Cyberzagrożenia związane z kryptowalutami

Jeszcze jakiś czas temu świadomość społeczeństwa na temat kryptowalut była dokładnie zerowa — tematem interesowali się tylko Ci najbardziej zainteresowani nowymi technologiami. Sytuacja ta zmieniła się diametralnie i wiedza na ten temat dotarła do dużej części społeczeństwa dzięki nagłośnieniu medialnemu. Według badań Polacy nie tylko wiedzą już czym są kryptowaluty (głównie Bitcoin), ale i całkiem spora część dokonała zakupu.

Niestety wiedza na temat bezpieczeństwa wśród przeciętnego użytkownika kryptowalut jest dokładnie taka jak wiedza na ich temat parę lat temu — praktycznie zerowa. W tym artykule postaramy się przedstawić główne zagrożenia związane z kryptowalutami i poradzimy jak starać się ich unikać.

Trzeba zdać sobie sprawę, że wraz z kryptowalutami zyskaliśmy możliwość analogiczną do bycia bankiem. Bankowość na to, by wykształcić procedury bezpieczeństwa pracowała całe dekady. Niestety nad bezpieczeństwem zakupionych kryptowalut musimy trzymać piecze sami, dlatego tak ważna jest wiedza na ten temat.

Z jakimi typami cyberniebezpieczeństw związanych z kryptowalutami mamy do czynienia najczęściej?

Phishing

Phishing to typ cyfrowego ataku, który jest najczęściej przeprowadzany przy pomocy emaila, telefonu, lub sms-a. Zwykle polega na próbie wyłudzenia wrażliwych danych (takie jak hasło, czy dane bankowe) przez atakującego przy pomocy podszywania się pod inną osobę lub instytucję.

Przykładem tego typu ataku może być wiadomość email, która wygląda na wysłaną od jednego z usługodawców (np. wyglądającą na wiadomość od kryptogiełdy, której używamy), która wymaga od nas zalogowania się. Link zamiast do oryginalnej strony odsyła nas do podrobionej i jeśli wypełnimy formularz logowania, dane trafiają prosto do atakującego.

Jak się przestrzec przed phishingiem?

Przede wszystkim należy podchodzić do wszystkich wiadomości z dużą dozą nieufności. Nigdy nie klikajmy w linki zawarte w wiadomościach, jeśli nie jesteśmy w stu procentach pewni wiarygodności autora. Podczas logowania się i wypełniania formularzy upewnijmy się, że jesteśmy na odpowiedniej stronie, która używa SSL (https w adresie).

Malware

Malware to najogólniej szkodliwy kod. Rodzajów malware jest bardzo dużo, ale na niektóre z nich należy uważasz ze szczególną uwagą, mając do czynienia z kryptowalutami.

Do bardzo niebezpiecznych należą szczególnie trojany — te pisane są, przez przestępców, głównie do ataków na konta bankowe, ale pojawiły się na rynku i te z modułami nastawionymi na ataki na kryptowaluty. Należy uważać na niebezpieczne oprogramowanie, które podmienia adres kryptoportfela, gdy próbujemy dokonać płatności — przed dokonaniem zapłaty należy upewnić się, że adres, który wkleiliśmy to dokładnie taki sam adres, który skopiowaliśmy (malware podmienia zawartość pamięci podręcznej podczas operacji kopiuj/wklej).

Innym niebezpiecznym oprogramowaniem są keyloggery. To złośliwe oprogramowanie, które ma możliwość zapisania aktywności klawiatury. Bardzo łatwo się domyśleć do czego może doprowadzić posiadania tego typu malware na naszym komputerze. 

Cryptojacking nie jest bezpośrednio związany z możliwością utraty kryptowalut. To szkodliwe oprogramowanie, które po zainstalowaniu w systemie korzysta z jego zasobów (takich jak procesor, a w konsekwencji prąd) do kopania kryptowalut.

Jak unikać malware? 

Niestety nie ma prostego przepisu na to, jak uniknąć zarażenia przez malware. Przestrzeń ataku jest tu bardzo szeroka i ilość środków ostrożności, jakie należy stosować bardzo duży. Przede wszystkim należy używać oprogramowania antywirusowego, nigdy nie ściągać pirackiego oprogramowania (które obecnie w większości zawiera wirusy) i stosować ogólne zasady cyberbezpieczeństwa.

Dwuetapowa identyfikacja przy pomocy SMS-a

Większość z usługodawców w przestrzeni finansowej i kryptowalut umożliwia nam dokonania dwuetapowej identyfikacji. W swoim założeniu jest to bezpieczniejsza forma logowania. W przypadku jednoetapowej identyfikacji logujemy się przy pomocy hasła — jego przejęcie daje całkowity dostęp atakującemu do serwisu.

O ile prawdą jest, że dwuetapowa identyfikacja jest bezpieczniejsza to przy serwisach związanych z kryptowalutami należy unikać drugiego kroku w formie SMS-a. Okazuje się, że w większości krajów bardzo łatwo dokonać transferu numery. Atakujący podszywa się pod właściciela numery i transferując go na swój własny, przejmuje całą komunikację. Tego typu ataki są bardzo głośne ze względu, że zwykle dochodzi do strat niekiedy i dziesiątek milionów. Atakujący zwykle bardzo dobrze wiedzą kogo atakują, dlatego ofiarami padają osoby znane z dużych inwestycji w kryptowaluty (np. właściciele funduszy). Nie oznacza to, że jesteśmy bezpieczni.

Jak się przestrzec przed SMS 2FA? 

Nie używajmy z drugiego etapu w formie SMS-a, zwykle mamy możliwość drugiego etapu w formie aplikacji takiej jak Google Authenticator, czy Authy. Powiadomienie zostaje wysłane, w tym przypadku, bezpośrednio na aplikację zainstalowaną na naszym urządzeniu.

Podsłuchiwanie przez VPN

VPN (Virtual Private Network) w teorii ma zwiększyć prywatność i bezpieczeństwo naszej komunikacji. Tak też jest w rzeczywistości i używanie VPN jest jak najbardziej zalecane szczególnie podczas korzystania z publicznego internetu (co, swoją drogą, bardzo odradzamy, gdyż wiąże się z całym szeregiem potencjalnych zagrożeń).

W przypadku tego rozwiązania nasze dane przechodzą przez serwery VPN i to od uczciwości dostarczyciela takiej usługi zależy nasze bezpieczeństwo. Okazuje się, że zdarzają się przypadki, gdzie nasze połączenie jest w ten sposób podsłuchiwane — dlatego tak ważnym jest wybór usługodawcy. Bezwzględnie nie polecamy darmowych rozwiązań — gdy w grę wchodzą pieniądze, nie należy ryzykować z darmowymi rozwiązaniami (co nie oznacza, że darmowe rozwiązania zawsze muszą być złe).

Jeśli zależy nam na najlepszym rozwiązaniu, a mamy jednocześnie techniczną wiedzę, idealnym wyjściem jest postawienie własnego serwera VPN.

Luki w hardware'owych portfelach kryptowalut

Hardware'owe portfele uważane są z jednym z najbezpieczniejszej formy przetrzymywania kryptowalut. W ich przypadku komunikacja ze światem zewnętrznym jest bardzo ograniczona, co automatycznie eliminuje całą listę zagrożeń, takich jak wirusy, na które narażeni jesteśmy, trzymając nasze klucze na komputerze.

Trzeba jednak pamiętać, że i one nie są pozbawione wad, które mogą zostać wykorzystane. Niebezpieczeństwo w tym przypadku jest ograniczone — wymaga zdobycia fizycznego dostępu do danego urządzenia.

O czym powinniśmy pamiętać, korzystając z hardware'owych portfeli krypto walut? 

- Trzymaj urządzenie w bezpiecznym miejscu i nie pozostawiaj go bez nadzoru, by uniknąć wgrania złośliwego firmware.

- Upewnij się, że adres, na który wysyłasz kryptowaluty jest prawidłowy (atak „Men in the Middle”).

- Trzymaj frazy służące do odzyskania portfela w innym miejscu niż samo urządzenie. Trzeba pamiętać, że jest to tak samo ważna rzecz, jak sam klucz — przejęcie wyrazów służących do resetu może umożliwić niepowołanej osobie do przejęcia portfela.

- Kupuj urządzenia tylko i wyłącznie od producenta.

Ataki na kryptogiełdy

Jest jedna bardzo ważna zasada, o której nie wie, lub zapomina bardzo duża część ludzi, którzy zaczynają swoją przygodę z kryptowalutami — „not your keys, not your bitcoin” — co oznacza, że jeśli nie jesteśmy właścicielami kluczy kryptograficznych do portfela, na którym trzymamy naszą kryptowalutę to tak naprawdę nie jesteśmy jej właścicielami (jesteśmy właścicielami tylko w teorii).

Główne giełdy i portfele, które umożliwiają nam zakup kryptowalut pobierają pieniądze w zamian za kryptowaluty, ale te drugie trzymają na swoich portfelach. Ma to bardzo duże konsekwencje. W przeciwności do sum, które znajdują się na prywatnych (wygenerowanych kryptograficznie) portfelach, które zwykle nie są duże, te znajdujące się na portfelach giełd, czy aplikacji zawierają gigantyczne sumy, co przyciąga rzesze hakerów próbujących zdobyć do nich dostęp.

Jak zabezpieczyć się przed atakami na giełdy? 

Sam Bitcoin, dla przykładu, nigdy nie został zhakowany, ale giełdy tak — dlatego należy ograniczać swoją ekspozycję na giełdy i jak najszybciej, po zakupie, przelewać kryptowaluty na prywatny portfel, za który odpowiadamy sami. Giełdę należy traktować jedynie jako coś, co umożliwia nam transakcje, a nie jak miejsce, gdzie przechowujemy nasze pieniądze.