По мере развития рисков для безопасности цифровых активов злоумышленники нацеливаются не только на торговые платформы и аккаунты пользователей. Аппаратные кошельки также могут стать точкой входа для атак на этапах закупки, транспортировки и доставки.
Если устройство перехватили, подменили или злонамеренно модифицировали в процессе распространения, оно может представлять угрозу для безопасности активов пользователей, даже если внешне неотличимо от оригинального продукта.
Gate напоминает всем пользователям: при покупке и использовании аппаратного кошелька следует обращать внимание не только на бренд и цену. Не менее важно проверить происхождение устройства, канал доставки и последующие проверки безопасности.
I. Что такое компрометация цепочки поставок оборудования?
Компрометация цепочки поставок оборудования — это атака, при которой злоумышленники используют уязвимости на таких этапах, как производство, складирование, транспортировка, распространение или доставка устройств, чтобы подменить их, вмешаться в их работу или внедрить вредоносные компоненты.
Например, пользователь может приобрести аппаратный кошелек через официальный канал, однако устройство может быть перехвачено третьей стороной во время доставки или перепродажи. Перед передачей устройства пользователю злоумышленники могут изменить внутренние компоненты, вмешаться в прошивку либо подделать упаковку и официальную документацию.
Некоторые атаки также могут включать фишинговые методы. Злоумышленники могут отправлять так называемые уведомления безопасности с просьбой установить указанное программное обеспечение, отсканировать QR-код или повторно импортировать кошелек. Если пользователи следуют инструкциям и вводят сид-фразу или приватный ключ, их активы могут оказаться под угрозой кражи.
Kraken Security Labs публично раскрыла исследование атак на цепочку поставок, нацеленных на аппаратные кошельки Ledger Nano X. В нем отмечается, что устройства могут быть модифицированы до того, как пользователи их получат, например при перехвате во время доставки или при попадании к пользователям через вредоносные каналы перепродажи. По состоянию на дату обновления статьи публичная информация показывает, что пакет фронтенд-зависимостей Ledger Connect Kit подвергся атаке на цепочку поставок. Подтвержденные затронутые версии ledgerhq/connect-kit: 1.1.5, 1.1.6 и 1.1.7. Эти версии содержали вредоносный код, предназначенный для побуждения к совершению или подмены транзакций, когда пользователи подключали свои кошельки или взаимодействовали с DApps, что приводило к краже активов. Справочный материал: От аномалий в цепочке поставок до предполагаемых аппаратных имплантов: полный анализ инцидента с кражей средств пользователей Ledger
Важно отметить, что неповрежденная упаковка и нормальное включение устройства не обязательно означают его безопасность. Некоторые вредоносные модификации сложно выявить при визуальном осмотре.
II. Каковы риски атак на цепочку поставок оборудования?
Основная функция аппаратного кошелька — помогать пользователям безопасно хранить приватные ключи и подписывать транзакции. Если само устройство было модифицировано, его исходные механизмы защиты могут быть скомпрометированы.
Вредоносные компоненты, внедренные в устройство: Вредоносные компоненты или модифицированная прошивка могут нарушать нормальную работу устройства, повышая риски утечки информации и проблем с безопасностью транзакций.
Программное обеспечение, выдающее себя за настоящее и побуждающее к действиям: Злоумышленники могут использовать поддельное программное обеспечение для управления кошельком, мошеннические уведомления об обновлении или ложные рекомендации службы поддержки, чтобы обманом заставить пользователей добровольно раскрыть сид-фразы и приватные ключи.
Утрата контроля над активами: Получив действующую сид-фразу или приватный ключ, злоумышленники могут восстановить кошелек на другом устройстве и перевести активы.
Даже если пользователи включили двухфакторную аутентификацию для аккаунтов на торговой платформе, она не может полностью предотвратить риски, связанные с модифицированными аппаратными устройствами или утечкой учетных данных кошелька. Безопасность аккаунта, безопасность устройства и управление приватными ключами должны поддерживаться надлежащим образом по отдельности, они не могут заменять друг друга!
III. Как снизить риски?
Приобретайте устройства через надежные каналы
При покупке аппаратного кошелька по возможности выбирайте официальный сайт бренда или проверенные авторизованные каналы. С осторожностью относитесь к устройствам неизвестного происхождения, с явно аномальной ценой или к продавцам, чья квалификация не может быть подтверждена.
Проверяйте устройство перед использованием
Проверьте, нет ли признаков нарушений на упаковке, пломбах, серийном номере и внешнем виде устройства, а также подтвердите информацию об устройстве через официальные каналы производителя. При первом использовании следуйте официальным инструкциям для инициализации и проверки прошивки. Если устройство уже было инициализировано, проверка не пройдена или процесс выглядит необычно, не спешите импортировать активы.
Защитите сид-фразу и приватный ключ
Сид-фраза и приватный ключ являются критически важными данными для управления активами в вашем кошельке. Никто не должен запрашивать у вас эту информацию в чате, по электронной почте, на веб-страницах или через удаленную поддержку.
Не доверяйте запросам сид-фразы или приватного ключа, даже если собеседник представляется службой поддержки Gate, производителем оборудования или сотрудником службы безопасности. Никогда не вводите сид-фразу на веб-сайтах или в программном обеспечении из неизвестных источников.
Не устанавливайте программное обеспечение и не обновляйте прошивку без необходимости
Для подключения устройства, установки программного обеспечения и обновления прошивки используйте информацию, предоставленную через официальные каналы производителя. Прежде чем переходить по незнакомым ссылкам, сканировать QR-коды, устанавливать неофициальные пакеты обновлений или выполнять требования уведомлений о срочном переносе активов, сначала проверьте их подлинность. Не действуйте поспешно только потому, что кто-то утверждает, будто ваш аккаунт находится под угрозой.
Если вы обнаружили что-либо необычное, немедленно прекратите использование устройства
Если на устройстве есть признаки разборки или модификации, проверка прошивки не пройдена либо инициализация выполняется некорректно, прекратите его использовать и обратитесь в официальную службу поддержки производителя для уточнения ситуации.
Если вы подозреваете, что ваша сид-фраза или приватный ключ были скомпрометированы, используйте надежное незатронутое устройство, чтобы создать новый кошелек в безопасной среде, и как можно скорее переведите активы на безопасный адрес. Не продолжайте управлять активами с помощью устройства, которое могло быть модифицировано, и не вводите новые учетные данные кошелька на устройстве, которое предположительно скомпрометировано.
IV. Напоминание Gate о безопасности
Атаки на цепочку поставок оборудования отличаются высокой скрытностью, и риски могут возникнуть еще до того, как вы получите устройство. Поэтому не следует считать устройство полностью безопасным только на основании маркировки бренда, неповрежденной упаковки или его способности нормально включаться.
Gate напоминает пользователям: при покупке и использовании аппаратного кошелька внимательно проверяйте происхождение устройства, с осторожностью относитесь к незнакомым уведомлениям и надлежащим образом защищайте сид-фразы и приватные ключи. Если вы не можете подтвердить подлинность устройства, программного приложения или инструкций по выполнению операций, сначала проведите проверку и только затем предпринимайте действия.
Помните: используйте устройства из надежных источников, проверяйте обновления программного обеспечения и никогда не раскрывайте сид-фразу или приватный ключ.
Соблюдение этих базовых мер безопасности поможет лучше снизить риски для активов, связанные с атаками на цепочку поставок оборудования.
Отказ от ответственности
Содержимое, представленное здесь, предназначено только для справочных и образовательных целей и не является финансовой, инвестиционной, торговой или юридической консультацией, а также не представляет собой предложение или призыв к покупке или продаже каких-либо цифровых активов. Gate не дает никаких явных или подразумеваемых гарантий относительно точности, полноты или актуальности информации, содержащейся в этом материале. Функционал продукта, интерфейсы, правила и структура комиссий могут быть обновлены или изменены в любой момент. Для получения самой точной информации ознакомьтесь с последними объявлениями и фактическими данными, отображаемыми на платформе Gate.
Инвестиции в цифровые активы связаны с существенными рисками, их стоимость может значительно меняться. Вы можете потерять всю сумму своих вложений. Принимайте решения осознанно, учитывая собственное финансовое положение и уровень допустимого риска, после полного ознакомления со всеми сопутствующими рисками. При необходимости рекомендуется проконсультироваться с независимым профессиональным финансовым или юридическим консультантом.
Для получения дополнительной информации о возможных рисках ознакомьтесь с Раскрытием рисков и Пользовательским соглашением Gate.
