мошенничество
21 февраля стало черным днем крипторынка из-за крупнейшего в истории взлома криптобиржи. Злоумышленники смогли вывести из второй по величине криптобиржи Bybit около $1,5 млрд. Ряд экспертов считает этот случай вообще крупнейшим ограблением всех времен. И хотя ни эта потеря, ни вывод еще пяти миллиардов долларов паникующими пользователями не являются фатальными для Bybit, этот инцидент ярко демонстрирует фундаментальные недостатки современной криптовалютной экосистемы и позволяет извлечь несколько ценных уроков для обычных владельцев крипты.
Как обокрали Bybit
Как и все крупные криптобиржи, Bybit использует многоуровневую защиту хранимой криптовалюты. Основные ее запасы хранятся на «холодных» кошельках, отключенных от онлайн-систем. При необходимости пополнить оборотные средства нужная сумма переводится с «холодного» кошелька на «горячий» вручную, и эту операцию подписывают несколько сотрудников одновременно. Для этого в Bybit используется решение со множественной подписью (multi-signature, multisig) от разработчика Safe{Wallet}, и каждый вовлеченный в транзакцию сотрудник ставит свою подпись при помощи личного аппаратного криптоключа Ledger.
Злоумышленники детально изучили эту систему и, по мнению независимых исследователей, скомпрометировали одного из разработчиков Safe{Wallet}. Код, который отображает страницы веб-приложения Safe{Wallet}, был, предположительно, заменен на вредоносный. Но логическая бомба в нем срабатывала, только если адрес отправителя совпадал с адресом Bybit — в остальных случаях Safe{Wallet} работал как обычно. Владельцы Safe{Wallet}, впрочем, провели собственное расследование и не соглашаются с заключением двух независимых ИБ-компаний, утверждая, что их инфраструктуру никто не взламывал.
Что же произошло? Сотрудники Bybit выполняли рутинное пополнение «горячего» кошелька на 7 миллионов долларов и видели на экранах компьютеров именно эту сумму и адрес получателя, совпадающий с адресом их «горячего» кошелька. Но на самом деле на подпись ушли другие данные! При обычных переводах адрес получателя можно (и обязательно нужно!) проверить на маленьком экране криптоключа Ledger, но при подписании multisig-транзакций эта информация не выводится, поэтому сотрудники Bybit, по сути, делали перевод вслепую.
В результате сотрудники криптобиржи непреднамеренно подтвердили запуск вредоносного смарт-контракта, который перевел все содержимое одного из «холодных» кошельков Bybit на несколько сотен подставных кошельков. Сразу после того как вывод средств с кошелька Bybit завершился, код на сайте Safe{Wallet} был, предположительно, заменен обратно на безобидную версию. Сейчас злоумышленники продолжают по частям переводить украденный Ethereum в попытках отмыть деньги.
Таким образом, Bybit и ее клиенты, вероятнее всего, стали жертвой целевой атаки на цепочку поставок.
Случай с Bybit — не исключение
ФБР официально заявило, что это ограбление — дело рук северокорейской группировки под кодовым названием TraderTraitor. В индустрии ИБ эта группа часто упоминается под именами Lazarus Group, APT38, BlueNoroff. Ее фирменным стилем являются настойчивые, изощренные и продолжительные атаки в сфере криптовалют: взлом разработчиков криптокошельков, кражи с криптобирж, похищение криптовалюты у обычных пользователей и даже изготовление фальшивых игр жанра play-to-earn.
До налета на Bybit рекордом группы было похищение $540 млн из блокчейна Ronin Networks, связанного с игрой Axie Infinity. В той атаке 2022 года хакеры смогли заразить компьютер одного из разработчиков игры при помощи фальшивого предложения о работе в зараженном PDF-файле. Эту тактику социальной инженерии группировка успешно применяет по сей день.
В мае 2024 года они же похитили более $300 млн с японской криптобиржи DMM Bitcoin, которая в результате обанкротилась. В 2020 году более $275 млн было украдено с криптобиржи KuCoin. Причиной была названа «утечка приватного ключа» для одного из «горячих» кошельков.
Lazarus оттачивает тактики кражи криптовалюты уже более десяти лет. В 2018 году мы писали о целой серии атак на банки и криптобиржи при помощи троянизированного приложения для торговли криптовалютой в рамках операции AppleJeus. А эксперты Elliptic подсчитали, что суммарно группировка украла около $6 млрд.
Что делать криптоинвестору
В случае с Bybit клиентам биржи повезло — компания смогла экстренно обслужить вал запросов на вывод криптовалюты и пообещала компенсировать потери из собственных средств. Учитывая беспрецедентный масштаб атаки, многие призывали «откатить» состояние блокчейна Ethereum к состоянию «до взлома», но разработчики Ethereum признали это нереалистичным. Руководство Bybit, в свою очередь, объявило награду 10% для криптобирж и этичных исследователей за любые возвращенные средства, но пока смогло вернуть лишь $43 млн. Компания продолжает работу, поэтому клиентам не нужно ничего делать специально.
А вот дальнейшая судьба 2,5 млрд рублей в USDT на кошельках российской криптовалютной биржи Garantex, заблокированных на этой неделе эмитентом USDT — компанией Tether, пока остается неизвестной. Биржа сначала объявила о приостановке оказания всех услуг, включая вывод криптовалют, а на момент публикации статьи ее сайт просто перестал открываться.
Эти примеры еще раз демонстрируют, как трудно уследить за сохранностью денег в блокчейн-системах и как мало можно сделать для отмены транзакции или возврата денег. Именно поэтому часть экспертов криптоиндустрии считает, что основным следствием взлома Bybit станет самостоятельное хранение своих криптоактивов.
Храните деньги в сберегательной кассе холодном кошельке
Самостоятельное хранение (self—custody) перекладывает заботы о безопасности вашей крипты с плеч специалистов на ваши. Поэтому принимать такое решение можно только при полной уверенности, что вы сможете хорошо освоить все меры безопасности и изо дня в день четко им следовать. Стоит отметить, что обычному пользователю без миллионов в криптокошельке вряд ли придется столкнуться с изощренной целевой атакой, направленной конкретно на него, а защита от типовых массовых атак куда проще в реализации.
Итак, что нужно для безопасного самостоятельного хранения криптоактивов?
- Купите аппаратный кошелек с экраном. Это самое действенное решение для защиты криптоактивов. Важно провести небольшое исследование и купить кошелек от уважаемого производителя, причем напрямую — ни в коем случае не с рук, не с барахолок, не с маркетплейсов. Иначе можно получить заранее взломанный кошелек и распрощаться с деньгами. Пользуясь кошельком для подписи переводов, всегда сверяйте адрес получателя перевода на экране компьютера и на экранчике криптокошелька, чтобы избежать его подмены вредоносным смарт-контрактом или трояном-клиппером, заменяющим адреса криптокошельков в буфере обмена.
- Ни в коем случае не храните сид-фразы (резервные коды) от кошелька в электронном виде. Забудьте о файлах на компьютере и фото в галерее — современные трояны научились проникать в Google Play и App Store и распознавать данные на фотографиях, хранящихся в вашем смартфоне. Годятся только бумажные записи (или даже гравировка на металле), хранящиеся в сейфе или другом физически безопасном месте, защищенном как от доступа посторонних, так и от стихийных бедствий. Можно обдумать вариант с несколькими местами хранения, а также хранением резервной копии по частям.
- Не храните все яйца деньги в одной корзинке. Для держателей крупных сумм криптовалюты или различных видов криптоактивов есть смысл разделить все это на несколько кошельков. Небольшие суммы для оперативных нужд можно хранить на криптобирже, а основной объем лучше держать в аппаратных криптокошельках по частям.
- Используйте отдельный компьютер. По возможности выделите отдельный компьютер для операций с криптовалютой. Физически ограничьте к нему доступ посторонних (сейф, запертый шкаф, запертая комната), используйте шифрование дисков и пароль на вход в ОС, отдельную учетную запись с другими паролями, чем на своем основном компьютере. Установите на него надежную защиту и используйте максимальные настройки безопасности на этом «криптокомпьютере». Подключайте его к Интернету только для проведения транзакций и не делайте на нем вообще ничего, кроме манипуляций с криптокошельками. Игры, чтение новостей про крипту, переписка с друзьями — на другом устройстве.
- Если отдельный компьютер для работы с криптоприложениями выделить не удается или это нерентабельно, соблюдайте строгую гигиену на своем основном компьютере. Заведите для работы с криптой отдельную учетную запись с низкими привилегиями (не администраторскую), а для работы, общения и игр — другую, тоже не администраторскую, учетную запись. В режиме администратора работать вообще не нужно, за исключением ситуаций, когда надо обновить системное ПО или существенно перенастроить компьютер. Входите в «криптовалютную» учетную запись только для операций с криптокошельком и сразу выходите из нее, завершив операции. Не допускайте к компьютеру посторонних и никому не сообщайте пароли администратора.
- Тщательно выбирайте приложения для работы с криптокошельками. Внимательно изучите описание приложения, убедитесь, что оно на рынке давно, проверьте, что вы скачиваете его именно с официального сайта, а цифровая подпись дистрибутива соответствует сайту и названию производителя этого приложения. Используйте свежую версию защитного решения для глубокой проверки своего компьютера перед установкой и запуском приложений криптокошелька.
- Будьте осторожны с обновлениями. Хотя обычно мы рекомендуем оперативно обновляться до свежих версий всего используемого ПО, в случае с криптовалютными приложениями стоит немного скорректировать политику. После выхода новой версии подождите около недели, изучите отзывы, перед тем как устанавливать эту обновленную версию. За это время сообщество выловит баги и троянов в обновлении, если они там есть.
- Соблюдайте усиленные меры компьютерной безопасности, описанные в статье Как защитить свои криптоинвестиции: четыре главных совета, — применяйте мощное защитное решение для компьютера и смартфона, например — Kaspersky Premium, регулярно обновляйте операционную систему и браузеры, используйте стойкие и уникальные пароли.
- Ожидайте фишинга. Мошенничество для кражи криптовалюты бывает многоликим и изощренным, поэтому в любых неожиданных письмах, сообщениях в мессенджере и так далее стоит подозревать начало «разводки». Следите за свежими схемами криптомошенников у нас в блоге или в нашем Telegram-канале, а также в других авторитетных источниках по кибербезопасности.
Больше информации о мошенничествах с криптой и способах защиты от них вы найдете в наших статьях:
Советы