#Web3SecurityGuide

Atualização de segurança da SafePal: o verdadeiro risco agora é o phishing, não o acesso à carteira

A mais recente resposta de segurança da SafePal destaca uma importante lição da Web3: proteger as criptomoedas não termina com a proteção da própria carteira. Depois de uma falha de autorização num plugin de acompanhamento de encomendas ter exposto informações associadas a aproximadamente 39,798 clientes, a SafePal avançou para medidas mais abrangentes contra o phishing e de segurança. As informações expostas incluíam nomes, endereços de e-mail, moradas de entrega, números de telefone e detalhes de compras, enquanto a SafePal afirma não existir qualquer evidência de que frases-semente, chaves privadas, palavras-passe de carteiras ou criptoativos tenham sido comprometidos.

O risco subsequente mais importante é a engenharia social. Quando os atacantes sabem que alguém comprou uma carteira de hardware, informações como os dados de contacto e o histórico de compras podem fazer com que mensagens falsas de suporte, pedidos de reembolso, notificações de entrega ou solicitações de atualização de firmware pareçam muito mais convincentes. É por isso que a SafePal está a reforçar a sua resposta contra o phishing e a trabalhar com especialistas externos em segurança para identificar e remover sites maliciosos e contas fraudulentas. A SafePal afirma que já foram identificados e removidos mais de 30 sites fraudulentos e links de phishing associados ao incidente.

Outro passo importante é a auditoria de segurança independente planeada para o ambiente de processamento de encomendas. A SafePal afirma estar a recorrer a especialistas externos em segurança para validar as medidas corretivas e realizar uma análise mais abrangente dos seus sistemas de encomendas. A empresa também reduziu o período de retenção de dados pessoais no ambiente relevante para 90 dias, sujeito aos requisitos legais. Isto é importante porque minimizar a quantidade de informação armazenada pode reduzir os dados disponíveis caso surja outra vulnerabilidade no futuro.

Para os utilizadores, a mensagem é simples: nunca permita que um atacante transforme informações de encomendas divulgadas em acesso à carteira. Uma mensagem que contenha o seu nome, dados de entrega ou informações sobre compras anteriores pode continuar a ser falsa. No momento em que alguém pedir uma frase-semente, chave privada, palavra-passe da carteira ou código de recuperação, a conversa deve terminar. A SafePal afirma explicitamente que nunca solicitará estas credenciais.

A resposta mais segura é verificar de forma independente. Não confie num link, código QR, telefonema ou mensagem inesperados apenas porque contêm informações pessoais corretas. Abra a aplicação oficial ou aceda manualmente ao serviço legítimo, em vez de seguir instruções fornecidas por um contacto não solicitado. Isto é especialmente importante após um incidente de segurança, porque os atacantes podem utilizar detalhes aparentemente legítimos para criar tentativas de phishing altamente direcionadas.

Existe também uma lição mais abrangente para o setor da Web3: a segurança das carteiras e a segurança dos dados estão relacionadas, mas não são a mesma coisa. Manter as chaves privadas isoladas protege diretamente os ativos, enquanto minimizar as informações dos clientes protege as pessoas que controlam esses ativos. Um modelo de segurança sólido precisa, portanto, de ambas as camadas.

A resposta da SafePal inclui agora três componentes importantes: corrigir a vulnerabilidade original, auditar de forma independente o sistema de encomendas mais abrangente e desativar ativamente a infraestrutura de phishing. A empresa já corrigiu o problema reportado e introduziu controlos de segurança adicionais, enquanto continua a monitorizar a falsificação de identidade e os sites maliciosos.

Para mim, a principal conclusão não é simplesmente que foi descoberta uma vulnerabilidade. É o que acontece depois de a vulnerabilidade ser encerrada. A segurança deve ser avaliada pela rapidez com que uma plataforma identifica a falha, limita os dados armazenados, verifica a correção de forma independente e protege os utilizadores contra os ataques secundários que possam seguir-se.

Na Web3, uma base de dados comprometida não tem necessariamente de se transformar numa carteira comprometida. A diferença depende da sensibilização dos utilizadores, de controlos operacionais sólidos e da recusa em fornecer aos atacantes a última informação de que precisam.

A sua frase-semente é a chave. A sua chave privada é a chave. As suas credenciais de recuperação são a chave. Mantenha-as offline, mantenha-as privadas e nunca permita que uma mensagem convincente se sobreponha às verificações básicas de segurança.
@Gate_Square
#Web3Security #SafePal #CryptoSecurity