MSTR Cat

Blockchain/Tahap IV · Kedalaman protokol/4.3 Jagaan dan privasi/Pelajaran 5

Keselamatan operasi dan penipuan biasa

Kriptografi bertahan; manusia tidak

BahanDompet perkakasan dengan skrin paparan bebasPeranti air-gapped berasingan untuk storan jangka panjangLaporan tahunan Internet Crime Complaint Center (IC3) FBI AS tentang penipuan mata wang kripto

Ingin tahu

  1. Mengapakah dompet perkakasan masih boleh kehilangan dana kepada laman phishing?
  2. Bagaimanakah transaksi yang ditandatangani dengan kunci sah boleh dihantar ke alamat penyerang tanpa pengguna menyedarinya?
  3. Mengapakah kebanyakan kerugian berpunca daripada penipuan dan bukannya kriptografi yang dipecahkan?

Teroka

  1. Keselamatan protokol Bitcoin bersandarkan kriptografi lengkung eliptik secp256k1; tiada kaedah yang diketahui dapat memecahkannya. Namun, kebanyakan kerugian besar berpunca daripada kejuruteraan sosial dan bukannya kegagalan matematik. Lejarnya tidak boleh diubah, bermakna transaksi yang telah disahkan tidak boleh dibatalkan oleh mana-mana pihak berkuasa. Kemuktamadan ini melindungi rangkaian tetapi menyebabkan pemegang individu terdedah kepada kesilapan dan penipuan yang tidak boleh diundur.
  2. Phishing ialah salah satu laluan kecurian yang paling biasa. Penyerang menggunakan domain tiruan atau aplikasi dompet palsu yang meniru antara muka yang sah. Mangsa memasukkan frasa benih atau kunci peribadi ke dalam persekitaran palsu ini, sekali gus memberikan kawalan penuh kepada penyerang. Internet Crime Complaint Center FBI AS melaporkan jumlah penipuan mata wang kripto yang tinggi secara konsisten setiap tahun, dengan penipuan pelaburan sebagai kategori terbesar dari segi kerugian.
  3. Perisian hasad clipboard beroperasi secara senyap di latar belakang, menggantikan alamat yang disalin dengan alamat yang dikawal penyerang. Pengguna menyalin alamat sah daripada dompet atau senarai kenalan mereka, menampalnya ke dalam pembina transaksi, dan tanpa sedar menghantar dana ke destinasi lain. Peracunan alamat (address poisoning) menambah risiko ini: penyerang menghantar sejumlah kecil debu (dust) daripada alamat yang kelihatan serupa dengan alamat dalam sejarah pengguna sendiri, dengan harapan mangsa menyalin entri tiruan itu daripada log transaksi mereka.
  4. Kejuruteraan sosial turut merangkumi penyamaran dan skim penipuan jangka panjang. Kakitangan sokongan palsu menghubungi pengguna dengan mendakwa ada masalah akaun atau menawarkan perkhidmatan pemulihan dana yang dicuri; tiada entiti sah yang meminta frasa benih. Penipuan 'pig butchering' melibatkan pembinaan hubungan selama berbulan-bulan sebelum mengarahkan mangsa ke platform pelaburan palsu. Pada Julai 2020, penggodam menceroboh akaun Twitter terkemuka, termasuk akaun eksekutif teknologi ternama, untuk mempromosikan penipuan peraduan hadiah yang menjanjikan deposit bitcoin digandakan.
  5. SIM swapping menyasarkan akaun bursa dengan memujuk penyedia telekomunikasi supaya memindahkan nombor telefon mangsa ke peranti yang dikawal penyerang. Sebaik sahaja menguasai nombor itu, penyerang menerima kod log masuk berasaskan SMS dan mendapat akses kepada dompet bursa. Paksaan fizikal, yang dikenali sebagai 'serangan sepana' (wrench attack), melibatkan rampasan peranti perkakasan atau memaksa pendedahan frasa benih melalui ugutan atau keganasan, sekali gus memintas sepenuhnya semua kawalan keselamatan digital.
  6. Amalan operasi mengurangkan risiko ini tanpa menghapuskannya. Pengguna mengesahkan alamat penerima pada skrin bebas dompet perkakasan sebelum menandatangani, bagi memastikan destinasi sepadan dengan niat mereka. Ramai yang mengekalkan peranti berasingan untuk transaksi harian dan storan jangka panjang, sekali gus mengurangkan pendedahan kepada perisian hasad. Berdiam diri tentang pegangan mengehadkan risiko menjadi sasaran; pengisytiharan kekayaan secara terbuka menarik perhatian penipu dan juga ancaman fizikal.

Fakta utama

  • Kerugian Bitcoin berpunca daripada penipuan, kesilapan pengguna dan kegagalan perkhidmatan, bukannya daripada kriptografi yang rosak.
  • Perisian hasad clipboard menggantikan alamat yang disalin dalam penimbal sistem, lalu mengalihkan transaksi ke akaun yang dikawal penyerang.
  • Peracunan alamat (address poisoning) melibatkan penghantaran debu (dust) daripada alamat tiruan supaya mangsa menyalinnya daripada sejarah transaksi mereka.
  • Pembajakan akaun Twitter pada Julai 2020 menggunakan akaun berprofil tinggi yang dibajak untuk mempromosikan peraduan pemberian bitcoin palsu kepada pengikut akaun tersebut.
  • SIM swapping membolehkan penyerang menerima kod log masuk berasaskan SMS dengan memindahkan nombor telefon mangsa ke peranti mereka sendiri.
  • Dompet perkakasan memaparkan alamat destinasi pada skrin fizikalnya, membolehkan pengesahan tanpa bergantung pada komputer hos.

Latihan sembilan, enam, tiga, satu

9KumpulSenaraikan 9 jenis penipuan mata wang kripto atau serangan kejuruteraan sosial yang berbeza seperti yang diterangkan dalam laporan penguatkuasaan undang-undang atau nasihat keselamatan terkini. Bagi setiap satu, catat mekanisme penipuan utama dan sama ada ia menyasarkan dompet jagaan sendiri, akaun bursa, atau kedua-duanya.
6KelompokkanKumpulkan 9 jenis penipuan itu kepada 6 kategori berdasarkan vektor operasinya: pengekstrakan kunci secara langsung, pengalihan transaksi, pengambilalihan akaun melalui faktor sekunder, manipulasi hubungan jangka panjang, paksaan fizikal, atau eksploitasi peringkat protokol. Wajarkan setiap kumpulan berdasarkan langkah teknikal khusus tempat penipuan berlaku.
3SaringRingkaskan 6 kelompok itu kepada 3 kelemahan asas manusia yang dieksploitasi oleh penipu, tanpa mengira jenis penipuan yang digunakan.
1KristalkanTulis satu ayat yang menerangkan mengapa kemuktamadan (finality), ciri teras keselamatan blockchain, pada masa yang sama melindungi protokol dan memaksimumkan kerentanan individu terhadap penipuan.

Semakan fakta

Tarikh, angka dan dakwaan telah disemak berbanding dengan sumber yang diterbitkan yang disenaraikan di bawah.

Buka dalam akademi interaktif →

EN PT ES ZH JA KO RU DE FR