Trezor i BitBox ostrzegają przed fałszywymi ostrzeżeniami bezpieczeństwa dotyczącymi portfeli sprzętowych

Jeśli przez ostatnie lata nauczyłem się czegoś o kryptowalutach, to tego: portfel sprzętowy zazwyczaj nie jest problemem – problemem jest człowiek, który go obsługuje. I właśnie na to znów coraz mocniej stawiają przestępcy. Trezor i BitBox (Shift Crypto) biją na alarm i to nie bez powodu.
Metoda jest sprawdzona od lat, ale najwyraźniej wyjątkowo niebezpieczna: dostajesz e-mail, który wygląda, jakby pochodził bezpośrednio od Trezora lub BitBox. Pilny ton, jasne wezwanie do działania. Rzekomo doszło do incydentu bezpieczeństwa, firmware został skompromitowany albo konto musi zostać natychmiast zweryfikowane. Po kliknięciu w link trafiasz na łudząco prawdziwą stronę, która pyta o frazę odzyskiwania – te 12 lub 24 słowa, którymi można odzyskać swoje monety. Kto je poda, zazwyczaj natychmiast traci swoje pieniądze.
To, co odkrył BitBox, sprawia, że sprawa staje się nieprzyjemna: najwyraźniej kilka firm bitcoinowych zostało zaatakowanych przez tego samego dostawcę usług newsletterowych. Oznacza to, że prawdopodobnie nie zhakowano samych portfeli, lecz kanały e-mailowe dostawców. Trezor przyznał w międzyczasie, że doszło do nieautoryzowanego dostępu do jego usługi e-mail. Atakujący mogli w ten sposób dotrzeć do prawdziwych adresów klientów – i teraz wysyłają tym bardziej przekonuj



ące e-maile phishingowe.
Obaj producenci mówią to jasno, a ja mogę tylko powtórzyć: żaden poważny dostawca nigdy nie pyta o twoją frazę odzyskiwania przez e-mail, telefon ani czat. Nigdy. Te słowa to jedyny klucz do twoich monet. Kto je wpisuje cyfrowo – nieważne gdzie – ryzykuje wszystko. Jeśli przyjdzie taka wiadomość: usunąć, nie klikać. W razie wątpliwości wejść bezpośrednio na oficjalną stronę w przeglądarce i tam się poinformować.
Dla posiadaczy portfeli to kolejne przebudzenie. Same urządzenia są bezpieczne, klucze prywatne nigdy nie opuszczają sprzętu. Ale człowiek pozostaje słabym ogniwem. Phishing nie celuje w szyfrowanie, lecz w nieuwagę. Kto przechowuje swoją frazę odzyskiwania offline – na papierze lub metalu – i nigdy nie wpisuje jej w przeglądarkę, aplikację czy formularz e-mailowy, jest w dużej mierze chroniony przed tą metodą.
Branża reaguje: szyfrowana komunikacja, ostrzeżenia w aplikacjach, uwierzytelnianie dwuskładnikowe, gdzie tylko możliwe. Mimo to obecny przypadek pokazuje, że phishing pozostaje jednym z największych zagrożeń – dopóki przestępcy prostymi środkami docierają do dużych ilości adresów klientów. A więc: zabezpiecz nie tylko portfel, ale też konto e-mail. I przy nieoczekiwanych ostrzeżeniach bezpieczeństwa zawsze zachowaj najpierw czujność.