作者：文靜 路多
物聯(lián)網(wǎng)智庫(kù) 整理發(fā)布
幣圈大佬一夜丟失4500多萬(wàn)???
8月21日，福布斯曝光一則訴訟，當(dāng)事人巴特·斯蒂芬斯起訴匿名黑客，涉嫌在今年5月盜取他價(jià)值630萬(wàn)美元的加密貨幣。
要知道，斯蒂芬斯可是幣圈有頭有臉的人物，他創(chuàng)立的基金，Blockchain Capital基金，動(dòng)不動(dòng)就領(lǐng)投 Sam Altman 的 Worldcoin，投資Coinbase、Kraken 和 NFT 交易所 Opensea 等加密初創(chuàng)公司。
業(yè)界對(duì)此評(píng)價(jià)議論紛紛，看法不一：
有人認(rèn)為這是美國(guó)當(dāng)局所為，表示：“他們就是這樣，拿走你的錢，然后把它歸咎于黑客?！?/p>
有人表示：“加密貨幣和詐騙密不可分。這樣看來區(qū)塊鏈技術(shù)帶來的威脅比政策更大?！?/p>
更離譜的是，不光自己的加密貨幣被盜，斯蒂芬斯的公司社交賬號(hào)也被另一個(gè)黑客偷家了。
這……究竟怎么一回事?一起來扒扒。
事件經(jīng)過
巴特·斯蒂芬斯( Bart Stephens)是加密貨幣基金B(yǎng)lockchain Capital的聯(lián)合創(chuàng)始人兼管理合伙人，早期著名的加密貨幣傳播者。
在8月16日向法院提交的訴訟中，他表示價(jià)值630萬(wàn)美元的加密貨幣在5月份被黑客用SIM卡交換攻擊(SIM swap attack)的方式，一股腦竊取。
具體來說，一個(gè)化名為Jane Doe的黑客，使用在線和暗網(wǎng)上提供的個(gè)人信息，繞過斯蒂芬斯的手機(jī)運(yùn)營(yíng)商的安全檢查，更改了他的賬戶密碼。
在控制了斯蒂芬斯的蜂窩網(wǎng)絡(luò)賬戶后，黑客訂購(gòu)了一部新手機(jī)，然后將他的私人手機(jī)號(hào)碼移植到新設(shè)備的SIM卡上。
隨后，黑客使用斯蒂芬斯的手機(jī)號(hào)碼，在幾個(gè)未命名的數(shù)字錢包中重置密碼并通過雙因素身份驗(yàn)證，經(jīng)過一番操作，修改了其數(shù)字錢包密碼，開始“系統(tǒng)地竊取原告的數(shù)字資產(chǎn)”，630萬(wàn)美元就此轉(zhuǎn)移。
黑客們的囂張不至于此，在黑客在轉(zhuǎn)移630萬(wàn)美元的前一天，他們還給斯蒂芬斯發(fā)郵件，吹噓說他們可以“遠(yuǎn)程破解美國(guó)大陸任何人的電話號(hào)碼”。
不幸中的萬(wàn)幸，該黑客還試圖從斯蒂芬斯擁有的托管冷錢包中竊取價(jià)值1400萬(wàn)美元的比特幣和以太坊，被收到提款通知的BlockchainCapital員工阻止。否則，斯蒂芬斯損失還得翻倍。
相關(guān)部門表示，這類攻擊越來越常見，并且針對(duì)可能擁有大量加密貨幣的受害者。
目前，斯蒂芬斯已對(duì)匿名黑客提起訴訟，并呼吁加強(qiáng)對(duì)此類攻擊的安全防護(hù)措施。
盜竊事件發(fā)生后的第二天，斯蒂芬斯的移動(dòng)服務(wù)提供商確認(rèn)，他已成為SIM卡交換攻擊的目標(biāo)。
大約50%的被盜資金通過加密貨幣混幣器(Cryptocurrency Tumbler)交易所轉(zhuǎn)移，這些交易所將數(shù)字資產(chǎn)混合在一起，以掩蓋交易來源，使得追蹤被盜的加密貨幣變得更加困難。
更離譜的是，盯上斯蒂芬斯的人竟然還不止一個(gè)。
3個(gè)月后，Blockchain Capital在Twitter的賬戶也被盜竊，還發(fā)布了多條虛假的代幣消息。
隨后，8月10日官方賬號(hào)宣布賬號(hào)已恢復(fù)安全。
有意思的是，巴特·斯蒂芬斯一直是加密貨幣的堅(jiān)定支持者，經(jīng)常與摩根大通首席執(zhí)行官杰米·戴蒙等懷疑論者發(fā)生沖突，后者經(jīng)常將比特幣標(biāo)記為騙局。
斯蒂芬斯在回應(yīng)此類批評(píng)時(shí)曾表示：
“我建議杰米·戴蒙和其他人先做一些功課。這不是騙局。這是一項(xiàng)強(qiáng)大的技術(shù)，將影響多個(gè)行業(yè)。”
但從過去看，SIM卡交換攻擊受害者不止斯蒂芬斯一人，這個(gè)倒霉蛋也來自幣圈。
7 月初，LayerZero 首席執(zhí)行官 Bryan Pellegrino 成為 SIM 卡交換攻擊的最新受害者之一，該攻擊使黑客暫時(shí)接管了他的 Twitter。幸運(yùn)的是，后來他的賬號(hào)被追回，還悠然地發(fā)帖報(bào)平安。
Bryan Pellegrino 表示，一發(fā)現(xiàn)手機(jī)狀態(tài)不對(duì)就意識(shí)到了是SIM卡交換攻擊，立即在公司賬號(hào)發(fā)出警告帖，并發(fā)出消息提醒親友不要上當(dāng)。
接著，他開始反擊，先登錄郵箱改密碼，將黑客踢出。盡管黑客增加了其他雙因素驗(yàn)證，經(jīng)過一系列的操作，他終于找回自己的賬號(hào)密碼。
據(jù)Bryan Pellegrino猜測(cè)：在多倫多一次演講之后，他沒有把身份徽章帶走，結(jié)果就有人從垃圾桶里面撿走了他的身份徽章，并以此騙取了運(yùn)營(yíng)商的信任，進(jìn)行SIM卡交換攻擊。因?yàn)楸I號(hào)這個(gè)事情就在大會(huì)發(fā)生后不久。
那么黑客使用了怎樣的技術(shù)呢?
SIM卡交換攻擊
一句話概括就是：
騙子用你的信息補(bǔ)了張卡。
SIM卡交換攻擊，又稱SIM卡劫持，是透過冒用身份向電信業(yè)者提出申請(qǐng)，將被害者的電話號(hào)碼從對(duì)方的SIM卡轉(zhuǎn)移至攻擊者的一種詐騙攻擊手段。
攻擊者可借此在被害者不知情的情況下，從手機(jī)收取一次性密碼并盜取網(wǎng)站賬號(hào)與銀行賬戶。
這與普通的盜號(hào)可不同。盜號(hào)僅僅是獲取賬號(hào)的使用權(quán)，而SIM卡交換攻擊則能夠通過大部分二次驗(yàn)證，也就是說——
即使黑客進(jìn)行賬號(hào)信息、業(yè)務(wù)往來的操作，被商家發(fā)短信提醒，也無濟(jì)于事。
近些年SIM卡交換攻擊案件時(shí)有發(fā)生。
2022年初，美國(guó)相關(guān)部門對(duì)這種日漸猖獗的攻擊手段提出警告，稱旗下的網(wǎng)絡(luò)犯罪投訴中心在2018年到2020年間共收到320件相關(guān)投訴、損失金額達(dá)1200萬(wàn)美元，但在2021年共收到1610件相關(guān)投訴、損失金額達(dá)6800萬(wàn)美元，是過去三年間的五倍以上。
縱觀國(guó)內(nèi)外，SIM卡交換攻擊多年來是社會(huì)工程里面的常用手段。
2018年，區(qū)塊鏈新創(chuàng)公司Transform Group創(chuàng)辦人Michael Terpin被盜取了價(jià)值2400萬(wàn)美元的加密貨幣，他隨即起訴美國(guó)電信業(yè)者AT&T未能充分保護(hù)用戶安全，并求償2.24億美元;兩年后，盜取其資產(chǎn)的一名紐約高中生被起訴，他在犯案時(shí)年僅15歲。目前，該名攻擊者已表示愿意歸還其盜取的資產(chǎn)，而對(duì)AT&T的求償則被法院駁回。
2020年，普林斯頓大學(xué)信息技術(shù)政策中心的四位研究員發(fā)表了一份研究測(cè)試，他們?cè)诿绹?guó)的五大電信業(yè)者申辦了共50張預(yù)付卡，再嘗試對(duì)其進(jìn)行攻擊，結(jié)果有39張SIM卡成功轉(zhuǎn)移，且有兩家電信業(yè)者完全未進(jìn)行身份查核。研究中還測(cè)試了140個(gè)線上服務(wù)，其中有17個(gè)可以通過這種攻擊手段來盜取賬戶。
2022年1月，中國(guó)臺(tái)灣也有攻擊案例。攻擊者繞過相對(duì)嚴(yán)格的身份認(rèn)證機(jī)制，冒用被害者的身份證和健?？ㄓ氨尽⒊鋈刖匙C明、委托書等資料，掛失SIM卡后盜取網(wǎng)絡(luò)銀行資產(chǎn)，更冒用身份申辦信用卡、領(lǐng)取消費(fèi)券和接種疫苗。
慢霧首席信息安全官23pds稱，基于SIM卡交換的黑客攻擊目前還不太普遍，但在不久的將來有進(jìn)一步增加的可能性。
但他也提到了過去幾年涉及加密貨幣中SIM卡交換攻擊的一些案例，如2021年10月，由于2FA漏洞，黑客從至少6,000名客戶那里竊取了加密貨幣。
需要補(bǔ)充的是，一些案件并非直接依賴SIM卡交換攻擊，而是以網(wǎng)絡(luò)釣魚為主的“類補(bǔ)卡攻擊”。
例如很多騙子使用技術(shù)手段，給受害人的手機(jī)設(shè)置呼叫轉(zhuǎn)移，或者直接使用網(wǎng)絡(luò)電話顯示受害人號(hào)碼，然后對(duì)其家人進(jìn)行詐騙。
隨著AI換臉、變聲技術(shù)演進(jìn)和普及，類似的情況還會(huì)有更多，監(jiān)管難度也越來越大。為了提升驗(yàn)證級(jí)別，我國(guó)一些金融機(jī)構(gòu)還提供了人臉識(shí)別服務(wù)，不過已有部分“先進(jìn)技術(shù)”被破解造成經(jīng)濟(jì)損失的案例報(bào)道。
還有一些「降維版SIM卡交換攻擊」，就是直接冒充警方或金融服務(wù)商，以涉案、辦理變更手續(xù)以免影響征信為由，騙取受害人提供驗(yàn)證碼或打開會(huì)議分享手機(jī)頁(yè)面，直接獲取受害人的錢財(cái)和密碼信息。
說得感覺世界就像是黑暗森林了，隨時(shí)有人想害我——
信息時(shí)代，到底應(yīng)該怎樣防范潛在的風(fēng)險(xiǎn)呢?
防范建議
至于如何預(yù)防，我們給4點(diǎn)小建議：
保護(hù)信息，保護(hù)信息，保護(hù)信息。
不難發(fā)現(xiàn)，騙子成功的前提是獲取受害者的信息。這些信息包括身份、地址、面容甚至是醫(yī)療信息，而這些信息除了灰產(chǎn)之外，很多都可以直接從社交網(wǎng)絡(luò)上獲取——
所以盡量不要在社交網(wǎng)絡(luò)過度分享自己隱私信息，或者偶爾發(fā)出一切無關(guān)信息進(jìn)行混淆。
SIM卡其實(shí)可上鎖。
不管是中國(guó)還是美國(guó)，SIM卡其實(shí)也是可以設(shè)置密碼的，稱之為PIN碼，共4位數(shù)字，可以在用戶手機(jī)被盜、SIM卡丟失而更換設(shè)備時(shí)能起到保護(hù)作用。
通常運(yùn)營(yíng)商沒有設(shè)置默認(rèn)開啟PIN碼，而且有簡(jiǎn)單的默認(rèn)密碼，用戶可以自行修改，不過，這個(gè)數(shù)字一定要記住，不然輸錯(cuò)3次需要使用PUK碼或者到運(yùn)營(yíng)商處修改，非常麻煩。
減少使用或補(bǔ)強(qiáng)短信驗(yàn)證，使用身份驗(yàn)證程序。
我國(guó)現(xiàn)在實(shí)行實(shí)名制，大部分APP都可以僅僅通過手機(jī)驗(yàn)證碼、郵箱驗(yàn)證碼就重置密碼，這還是存在一定的風(fēng)險(xiǎn)。
越來越多的國(guó)際企業(yè)提供了身份驗(yàn)證應(yīng)用程序，例如Duo、Google Authenticator等，黑客們即使獲取到你的郵箱或SIM卡，也無法完全控制你的賬號(hào)。
冷靜操作，及時(shí)求助
盡管不法分子們憑借飛速發(fā)展的科技手段進(jìn)行攻擊和詐騙，運(yùn)營(yíng)商和金融機(jī)構(gòu)都有相應(yīng)的安全策略，甚至是嚴(yán)格的信息安全等級(jí)保護(hù)認(rèn)證和合規(guī)要求。那么為什么有這么多人受騙呢?因?yàn)橛袝r(shí)候被唬住了，慌了神。在遇到異常情況的時(shí)候保持冷靜，及時(shí)求助，也是自我保護(hù)的方式。
一旦發(fā)生手機(jī)被盜，或者關(guān)注到類似SIM卡交換攻擊的情況，就要立刻致電運(yùn)營(yíng)商、銀行和等機(jī)構(gòu)，并臨時(shí)凍結(jié)自己的賬戶，一舉動(dòng)，不光能夠防止加重自己的損失，也能夠?yàn)樯矸荼槐I用從事不法行為進(jìn)行一種證據(jù)保留。另外，對(duì)于產(chǎn)生直接或潛在的經(jīng)濟(jì)損失，也要及時(shí)報(bào)警，維護(hù)自身權(quán)益。
那么現(xiàn)在，打開自己的手機(jī)想一想，你的信息，安全嗎?
