Trezor и BitBox предупреждают о поддельных предупреждениях безопасности для аппаратных кошельков

За последние годы я усвоил одну вещь о криптовалютах: аппаратный кошелёк обычно не является проблемой — проблема в человеке перед ним. Именно на это сейчас снова делают ставку преступники. Trezor и BitBox (Shift Crypto) бьют тревогу, и не без оснований.
Схема стара как мир, но, очевидно, чертовски опасна: вы получаете электронное письмо, которое выглядит так, будто оно пришло напрямую от Trezor или BitBox. Срочный тон, чёткое требование действовать. Якобы произошёл инцидент безопасности, прошивка скомпрометирована или аккаунт необходимо немедленно верифицировать. При клике на ссылку вы попадаете на подозрительно реалистичную страницу, которая запрашивает seed-фразу — те самые 12 или 24 слова, с помощью которых можно восстановить свои монеты. Тот, кто их введёт, обычно сразу теряет свои деньги.
То, что выяснила BitBox, делает ситуацию неприятной: по всей видимости, несколько биткоин-компаний попали в поле зрения злоумышленников через одного и того же поставщика услуг рассылок. Это означает, что, вероятно, были взломаны не сами кошельки, а каналы электронной почты провайдеров. Trezor тем временем признал, что в его почтовом сервисе произошёл несанкционированный доступ. В результате злоумышленники могли получить реальные адреса клиентов — и теперь рассылают ещё более убедительные фишинговые письма.




Оба производителя говорят это предельно ясно, и я могу лишь повторить: ни один добросовестный провайдер никогда не запрашивает вашу seed-фразу по электронной почте, телефону или в чате. Никогда. Эти слова — единственный ключ к вашим монетам. Тот, кто вводит их в цифровом виде — где угодно — рискует всем. Если приходит такое сообщение: удалить, не кликать. В случае сомнений — открыть официальный сайт напрямую в браузере и узнать информацию там.
Для владельцев кошельков это очередное пробуждение. Сами устройства безопасны, приватные ключи никогда не покидают аппаратное обеспечение. Но человек остаётся слабым звеном. Фишинг нацелен не на шифрование, а на невнимательность. Тот, кто хранит свою seed-фразу офлайн — на бумаге или металле — и никогда не вводит её в браузер, приложение или форму электронной почты, практически защищён от этой схемы.
Индустрия реагирует: шифрованная связь, предупреждения в приложениях, двухфакторная аутентификация везде, где возможно. Тем не менее текущий случай показывает, что фишинг остаётся одной из крупнейших угроз — до тех пор, пока преступники простыми средствами получают доступ к большим объёмам клиентских адресов. Итак: защищать не только кошелёк, но и учётную запись электронной почты. И при неожиданных предупреждениях безопасности всегда сначала проявлять недоверие.