Peke na Ledger na Panloloko Nagpapataas ng Mga Alalahanin sa Crypto Self Custody

Isang Brazilian security researcher ang muling nagpahayag ng pagkabahala hinggil sa dumaraming bilang ng mga scam na nagta-target sa mga gumagamit ng cryptocurrency matapos ang hindi sinasadyang pagbili ng pekeng Ledger hardware wallet na sadyang idinisenyo para sa pagnanakaw ng mga digital asset. Ang scam ay nai-post online sa Reddit, at nagdulot ito ng alarma sa tendensya ng mga scammer na i-target ang mga gumagamit ng cryptocurrency na may self-custody sa pamamagitan ng panggagaya sa mga respetadong hardware wallet at iba pang mapagkukunan upang maisakatuparan ang kanilang scam.

Ang babala ay inilabas kasabay ng pagiging agresibong pagbebenta ng maraming Ledger-type hardware wallet bilang isa sa mga pinakaligtas na paraan ng pag-iimbak ng crypto asset offline; gayunpaman, ang pagtaas ng paggamit ng hardware wallet ay humantong din sa pagtaas ng pagiging malikhain ng mga nagtatangkang magnakaw mula sa mga gumagamit sa pamamagitan ng paggamit ng pandarayang ginawang mga counterfeit device, pekeng software application, at social engineering na pamamaraan.

Paano natuklasan ang pekeng Ledger device

Isang security researcher na gumagamit ng handle na "Past_Computer2901" sa "ledgerwallet" subreddit ang nagbahagi na bumili sila ng (ayon sa kanila) lehitimong Ledger hardware wallet para sa personal na gamit. Nang dumating ang wallet, tila nagmula ito sa isang lehitimong pinagmulan batay sa kung paano ito nakabalot; samakatuwid, hindi alam ng researcher ang anumang isyu sa simula.

Gayunpaman, sa mas malalim na pagsusuri at pagsubok sa device, natukoy ng researcher na ang device ay hindi isang lehitimong produkto kundi bahagi ng isang detalyadong scheme ng panggagaya upang ikompromiso ang pondo ng gumagamit sa sandaling buksan o gamitin ang device.

Sinabi ng researcher na ang antas ng detalye na nauugnay sa scam na ito ay pambihira. Malaki ang pinaghirapan ng mga attackers sa panggagaya sa hitsura ng lehitimong packaging, ang disenyo ng hardware ng aktwal na hardware, at ang user experience na kasama sa paggamit ng isang tunay na Ledger Hardware Wallet.

Napansin din ng researcher na sila ay nagulat pa rin dahil sa laki ng operasyong ito ngunit nais nilang ibahagi ang impormasyong ito sa komunidad ng cryptocurrency upang manatili silang ligtas mula sa lumalaking banta na ito.

Bakit lalong mapanganib ang mga pekeng hardware wallet

Ang mga Ledger hardware wallet ay nag-iimbak ng mga private key offline upang protektahan ang mga ito mula sa pag-hack online. Karamihan sa mga tao ay gumagamit ng hardware wallet para sa pangmatagalang pag-iimbak ng kanilang cryptocurrency dahil binabawasan din nito ang panganib na mahawa ng malware o mabiktima ng phishing attacks.

Gayunpaman, ganap na pinawawalang-bisa ng mga pekeng device ang security model na ito. Sa halip na protektahan ang mga private key, ang mga pekeng device ay maaaring idinisenyo upang:

- Gumawa ng nakompromisong seed phrase

- Ilabas ang mga private key sa panahon ng pag-setup ng device

- Ilipat ang mga pondo sa address ng attacker

- Mag-install ng malisyosong firmware update

- Lokohin ang mga gumagamit na ibunyag ang kanilang recovery phrase

Dahil sa likas na tiwala na ibinibigay ng mga gumagamit sa mga hardware wallet, karamihan sa mga gumagamit ay hindi malalaman kung ang isang device ay minanipula hangga't hindi pa nawawala ang kanilang mga pondo.

Ang panganib na dulot ng mga pekeng device ay lalong pinapalala ng katotohanan na pinagsasama nila ang panganib ng pisikal na pagmamanipula sa likas na tiwala na inilalagay ng maraming gumagamit sa mga kilalang brand.

Lumalaking trend ng supply chain crypto attacks

Ang kaganapang ito ay bahagi ng isang pangkalahatang trend ng pagtaas ng pagiging sopistikado ng mga pag-atake laban sa mga indibidwal na piniling kontrolin ang sarili nilang cryptocurrency sa pamamagitan ng paggamit ng mga self-custodial na solusyon.

Sa nakalipas na ilang taon, lumipat ang mga attackers mula sa simpleng phishing scheme patungo sa mas sopistikadong supply chain tactics tulad ng:

Mga pekeng hardware wallet na ibinebenta sa pamamagitan ng mga hindi opisyal na reseller

Pagmamanipula sa hardware na ibinebenta sa isang secondary marketplace

Pag-repackage at pagpapalit ng pangalan ng mga lehitimong produkto ng manufacturer bilang pekeng produkto

Pagnanakaw ng mga package habang dumadaan sa sistema ng pagpapadala upang palitan ang mga lehitimong produkto ng pekeng produkto

Mga pre-loaded na pekeng hardware wallet na gumagamit ng pre-loaded seed phrase o firmware ng ibang tao

Ang mga aksyon na ito ay lumilikha ng pagkakataon para sa mga biktima (ang mga gumagamit) na hindi makilala ang tunay mula sa pekeng produkto, lalo na kung binibili nila ang kanilang produkto mula sa mga third-party na mapagkukunan / maraming lebel na tinanggal na vendor na hindi nagbe-verify sa nagbebenta.

Isinasaad ng mga eksperto sa larangan na ang self-custodial model ay ang ginustong paraan para sa maraming tao upang mag-imbak ng cryptocurrency, dahil mas mababa ang posibilidad na gagamitin nila ang anumang sentralisadong solusyon sa kustodiya at samakatuwid ay may mas mataas na antas ng halaga na nakaimbak sa mga cryptocurrency.

Kaugnay na Insidente na Kinasasangkutan ng Pekeng Ledger Live App

Ang paunawa na ito tungkol sa mga pekeng device ay inilabas matapos ang maraming iba pang seryosong insidente ng seguridad ngayong buwan na naganap sa mga pekeng app sa ilalim ng pagkukunwari na Ledger Live, na siyang awtorisadong application na ginagamit upang pamahalaan ang mga Ledger Wallet. Mahigit 50 biktima ang naiulat na nagpasok ng kanilang 'seed phrases' (key word o parirala) sa isang mapanlinlang na app ng Ledger Live na available sa Apple App Store bilang isang hindi awtorisadong, niredirektang link (isang "bait-and-switch" scheme).

Nang ipasok ng mga biktima ang kanilang recovery phrase, nagpatuloy ang mga attackers na alisin ang pera mula sa wallet ng biktima. Ang kabuuang pagkalugi mula sa insidenteng ito ay tinatayang humigit-kumulang $9.5 milyon, bago inalis ng Apple ang malisyosong application.

Ipinapakita rin ng atake ang kahinaan ng kahit na mga pinagkakatiwalaang application na na-download mula sa "app stores", dahil madali silang makompromiso ng kakayahan ng attacker na iwasan o lampasan ang mga proseso ng pagsusuri ng application ng app store at/o mag-upload ng mga malisyosong update sa kanilang application matapos maibigay ang paunang pag-apruba.

Bakit Ang Pagnanakaw ng Seed Phrase ang Nanatiling Pinakamalaking Panganib

Sa lahat ng modernong scam sa loob ng cryptocurrency realm, lumilitaw ang parehong tema habang hinahanap ng mga scammer na makakuha ng access sa iyong seed phrase. Ang seed phrase ang master password ng iyong currency wallet at kadalasan ay binubuo ng labindalawa hanggang dalawampu't apat na salita. Sinumang may access sa iyong seed phrase ay may kabuuang access sa mga pondo sa loob ng iyong wallet.

Ginagamit ng mga scammer ang mga taktikang social engineering pangunahin upang hikayatin ang mga gumagamit na ibunyag ang kanilang mga seed phrase. Ang ilang halimbawa nito ay:

Mga Pekeng Kahilingan sa Pagbawi ng Wallet

Panggagaya sa mga Tauhan ng Customer Support

Malisyosong Application na humihingi ng kumpirmasyon ng gumagamit

Mga Pekeng Device na Humihiling sa mga Gumagamit na "I-verify" ang Kanilang Device(s) sa Internet

Mga Pekeng Alerto sa Seguridad na Nagpapahiwatig na May Mali sa Account ng Gumagamit

Ang pagbawi mula sa isang ninakaw na seed phrase sa sandaling ito ay naibunyag ay karaniwang hindi posible dahil sa kung paano gumagana ang karamihan sa mga blockchain app; sa karamihan ng mga kaso, ang lahat ng transaksyon ay hindi na mababawi.

Nagbabala ang mga eksperto sa seguridad sa lumalaking pagiging sopistikado

Isang Brazilian scientist ang nagpahayag ng pagkabahala tungkol sa isang nakakabahalang pag-unlad sa cybersecurity – ang mga crypto scam ay nagiging mas estrukturado, sopistikado, at mahirap tukuyin kaysa sa ilang taon na ang nakalipas. Habang noon, ang mga scam ay karaniwang kinasasangkutan ng malinaw na phishing email o mahinang ginawang website, ang mga pagsulong na ginawa ng mga scammer ay maaaring magsama ng kombinasyon ng:

Mataas na Kalidad ng Branding at Packaging

Mga Pekeng Produkto na Gumagana Tulad ng Totoong Bagay

Mga Mobile App na Klone na May Halos Magkaparehong User Interfaces

Customer Support na Mukhang Tunay

Mga Multi-national Distribution Network

Dahil sa pagiging sopistikado ng mga produktong ito, maaaring hindi matukoy ng mga ordinaryong tao kung ang produkto na ginagamit nila ay mapanlinlang hangga't huli na ang lahat. Sinabi ng mga eksperto na ang mga scammer ay hindi na random na oportunista; sila ay naging organisadong sindikato na nakikibahagi sa advanced, multi-year, kumplikadong operasyon ng pandaraya.

Epekto Sa Tiwala Sa Self-Custody Solutions

Hinihikayat ng komunidad ng crypto ang self-custody bilang isang paraan para mapanatili ng mga gumagamit ang kontrol sa kanilang sariling private keys nang hindi kinakailangang magtiwala sa mga sentralisadong exchange. Isang magandang halimbawa ng mga panganib na kasama sa ganap na pagmamay-ari ng mga crypto digital asset ay ang kamakailang balita tungkol sa pekeng Ledger scam.

Pinoprotektahan ng self-custody ang gumagamit mula sa panganib sa pamamagitan ng pag-alis ng kabilang partido mula sa transaksyon. Gayunpaman, inilalagay din nito ang 100% ng responsibilidad ng pagseguro ng kanilang crypto sa indibidwal na gumagamit.

Kailangan na ngayong maging lubos na maingat ang mga gumagamit hinggil sa pagiging tunay ng mga device na ginagamit nila, ang integridad ng software na naka-load sa mga device na iyon, at ang kakayahan ng gumagamit na sumunod sa mahusay na kasanayan sa seguridad ng operasyon.

Ang mga kamakailang kaganapan tulad ng pekeng Ledger scam ay maaaring maging dahilan upang muling suriin ng maraming gumagamit ang kanilang paraan ng pag-iimbak para sa kanilang mga digital asset, lalo na kung hindi sila sapat na kumpiyansa sa kanilang kakayahan na matukoy at/o makita ang mga sopistikadong pagtatangka ng pandaraya.

Mga Pangunahing Aral Para sa mga Gumagamit ng Crypto

Mayroong maraming palatandaan na makakatulong sa iyo na matukoy ang mga paraan upang protektahan ang iyong sarili mula sa pandaraya:

1. Laging bumili ng iyong mga hardware wallet sa pamamagitan ng isang awtorisadong retailer o mula sa opisyal na site ng manufacturer.

2. Siguraduhin na suriin mo ang packaging at hanapin ang pagmamanipula at kumpirmahin ang paggana ng device bago gamitin.

3. Ang pagpasok ng iyong seed phrase para sa iyong wallet ay dapat mangyari lamang sa panahon ng paunang pag-setup ng hardware wallet.

4. I-download ang iyong software mula lamang sa isang lehitimong pinagmulan; alinman sa pamamagitan ng isang awtorisadong app store o sa pamamagitan ng link na ibinigay ng manufacturer.

5. Kung binibili mo ang iyong hardware wallet mula sa mga third-party na pinagmulan at ang presyo ay mas mababa kaysa sa iminungkahing presyo ng manufacturer, mag-ingat.

6. Laging kumpirmahin ang opisyal na beripikasyon ng manufacturer ng firmware.

Bagama't walang sinuman sa mga hakbang na ito ang ganap na nag-aalis ng panganib ng pandaraya o mga minanipulang device, ang bawat isa ay nagkaroon ng malaking papel sa pagbabawas ng panganib na maging biktima ng isang pekeng o minanipulang device.

Konklusyon

Ang pagtuklas ng isang Brazilian security researcher sa pekeng Ledger hardware wallet ay nagpapakita ng mabilis na umuunlad at lubhang sopistikadong banta sa cryptocurrency. Ang patuloy na ebolusyon ng supply-chain attacks at social engineering tactics ay nangangahulugan na ang mga gumagamit na umaasa sa self-custody ay kailangang manatiling laging mapagbantay.

Ang kamakailang paglitaw ng pekeng Ledger Live app, na nagdulot ng milyun-milyong dolyar na pagkalugi, ay nagpapakita na ang mga crypto scam ay nagbabago mula sa simpleng phishing patungo sa mas kumplikadong operasyon na nagpapalabo sa linya sa pagitan ng totoo at pekeng produkto.

Malinaw ang mensahe sa mga gumagamit. Sa isang sitwasyon kung saan ang kontrol ay katumbas ng responsibilidad, ang edukasyon sa seguridad ay hindi na opsyonal; ito ay mandatoryo para sa pagprotekta sa sariling digital assets.