Оскільки ризики для безпеки цифрових активів постійно змінюються, зловмисники більше не націлюються лише на торгові платформи та облікові записи користувачів. Апаратні гаманці також можуть стати точкою входу для атак на етапах закупівлі, транспортування та доставки.
Якщо пристрій перехопили, підмінили або зловмисно модифікували під час розповсюдження, він може становити загрозу безпеці активів користувачів, навіть якщо зовні не відрізняється від справжнього продукту.
Gate нагадує всім користувачам, що під час придбання та використання апаратного гаманця слід зважати не лише на бренд і ціну. Не менш важливо перевірити походження пристрою, канал доставки та подальші перевірки безпеки.
I. Що таке компрометація ланцюга постачання апаратного забезпечення?
Компрометація ланцюга постачання апаратного забезпечення — це атаки, за яких зловмисники використовують вразливості на таких етапах, як виробництво, зберігання на складі, транспортування, розповсюдження або доставка пристроїв, щоб підмінити, модифікувати їх або вбудувати в них шкідливі компоненти.
Наприклад, користувач може придбати апаратний гаманець через легітимний канал, але пристрій може бути перехоплений третьою стороною під час транспортування або перепродажу. Зловмисники можуть змінити внутрішні компоненти, модифікувати прошивку чи підробити паковання та офіційну документацію перед доставкою пристрою користувачеві.
Деякі атаки також можуть передбачати фішингові методи. Зловмисники можуть надсилати так звані повідомлення про безпеку з вимогою встановити певне програмне забезпечення, відсканувати QR-код або повторно імпортувати гаманець. Щойно користувачі введуть свою фразу відновлення або приватний ключ відповідно до інструкцій, їхні активи можуть опинитися під загрозою викрадення.
Kraken Security Labs публічно розкрила дослідження атак на ланцюг постачання, спрямованих на апаратні гаманці Ledger Nano X, зазначивши, що пристрої можуть бути модифіковані до того, як їх отримають користувачі, — наприклад, унаслідок перехоплення під час транспортування або потрапляння до користувачів через зловмисні канали перепродажу. Станом на дату оновлення статті публічна інформація свідчить, що пакет залежностей фронтенду Ledger Connect Kit зазнав атаки на ланцюг постачання. Підтверджені вразливі версії ledgerhq/connect-kit: 1.1.5, 1.1.6 і 1.1.7. Ці версії містили шкідливий код, призначений для спонукання до проведення або підміни транзакцій, коли користувачі підключали свої гаманці чи взаємодіяли з DApps, що призводило до викрадення активів. Джерело: Від аномалій у ланцюгу постачання до підозрюваних апаратних імплантів: повний аналіз інциденту з викраденням коштів користувачів Ledger
Важливо зазначити, що неушкоджене паковання та пристрій, який нормально вмикається, не обов’язково означають його безпечність. Деякі зловмисні модифікації може бути складно виявити під час візуального огляду.
II. Які ризики пов’язані з атаками на ланцюг постачання апаратного забезпечення?
Основне призначення апаратного гаманця — допомогти користувачам безпечно зберігати приватні ключі та підписувати транзакції. Якщо сам пристрій було модифіковано, його початкові механізми захисту можуть бути скомпрометовані.
Шкідливі компоненти, вбудовані в пристрій: Шкідливі компоненти або модифікована прошивка можуть впливати на нормальну роботу пристрою, підвищуючи ризики витоку інформації та порушень безпеки транзакцій.
Програмне забезпечення для імітації, що спонукає до дій: Зловмисники можуть використовувати підроблене програмне забезпечення для керування гаманцем, шахрайські повідомлення про оновлення або фальшиві інструкції служби підтримки, щоб обманом змусити користувачів добровільно розкрити свої фрази відновлення та приватні ключі.
Втрата контролю над активами: Щойно зловмисники отримають дійсну фразу відновлення або приватний ключ, вони можуть відновити гаманець на іншому пристрої та переказати активи.
Навіть якщо користувачі увімкнули двофакторну автентифікацію для облікових записів на торговій платформі, вона не може повністю запобігти ризикам, спричиненим модифікованими апаратними пристроями або витоком даних доступу до гаманця. Безпека облікового запису, безпека пристрою та керування приватними ключами мають належно забезпечуватися окремо; вони не можуть замінювати одне одного!
III. Як можна зменшити ризики?
Купуйте пристрої через надійні канали
Купуючи апаратний гаманець, за можливості обирайте офіційний вебсайт бренду або перевірені авторизовані канали. Обережно ставтеся до пристроїв невідомого походження, з явно аномальною ціною або від продавців, чию кваліфікацію неможливо перевірити.
Перевірте пристрій перед використанням
Перевірте, чи не мають паковання, пломби, серійний номер і зовнішній вигляд пристрою ознак порушень, а також підтвердьте інформацію про пристрій через офіційні канали виробника. Під час першого використання дотримуйтеся офіційних інструкцій, щоб завершити ініціалізацію та перевірку прошивки. Якщо пристрій уже було ініціалізовано, перевірка не пройшла або процес виглядає аномально, не поспішайте імпортувати активи.
Захищайте свою фразу відновлення та приватний ключ
Ваша фраза відновлення та приватний ключ є критично важливою інформацією для контролю активів у вашому гаманці. Ніхто не повинен просити вас надати ці дані через чат, електронну пошту, вебсторінки або віддалену допомогу.
Незалежно від того, чи називає себе інша сторона службою підтримки Gate, виробником апаратного пристрою або працівником служби безпеки, не довіряйте запитам щодо вашої фрази відновлення або приватного ключа. Також ніколи не вводьте свою фразу відновлення на вебсайтах або в програмному забезпеченні з невідомих джерел.
Не встановлюйте програмне забезпечення та не оновлюйте прошивку без належної перевірки
Для підключення пристрою, встановлення програмного забезпечення та оновлення прошивки використовуйте інформацію з офіційних каналів виробника. Для незнайомих посилань, QR-кодів, неофіційних пакетів оновлень або сповіщень із вимогою терміново перемістити активи спочатку перевірте їхню автентичність. Не дійте поспіхом лише тому, що хтось стверджує, нібито ваш обліковий запис перебуває під загрозою.
Якщо ви виявили щось незвичне, негайно припиніть використовувати пристрій
Якщо на пристрої є ознаки розбирання або модифікації, перевірка прошивки не пройшла або ініціалізація відбувається аномально, припиніть його використання та зверніться до офіційних каналів підтримки виробника, щоб перевірити ситуацію.
Якщо ви підозрюєте, що вашу фразу відновлення або приватний ключ було скомпрометовано, використайте надійний непошкоджений пристрій, щоб створити новий гаманець у безпечному середовищі, і якомога швидше переказати активи на безпечну адресу. Не продовжуйте використовувати пристрій, який міг бути модифікований, для керування активами та не вводьте нові дані доступу до гаманця на пристрої, щодо якого є підозра на компрометацію.
IV. Нагадування від Gate щодо безпеки
Атаки на ланцюг постачання апаратного забезпечення мають прихований характер, а ризики можуть виникнути ще до того, як ви отримаєте пристрій. Тому не слід вважати пристрій цілком безпечним лише на підставі назви бренду, неушкодженого паковання або здатності нормально вмикатися.
Gate нагадує користувачам ретельно перевіряти походження пристрою під час придбання та використання апаратного гаманця, обережно ставитися до незнайомих сповіщень і належно захищати фрази відновлення та приватні ключі. Якщо ви не можете перевірити автентичність пристрою, програмного застосунку або інструкцій щодо дій, спочатку підтвердьте її, а вже потім дійте.
Будь ласка, пам’ятайте: використовуйте пристрої з надійних джерел, перевіряйте оновлення програмного забезпечення та ніколи не розкривайте свою фразу відновлення або приватний ключ.
Дотримання цих базових заходів безпеки допоможе вам краще зменшити ризики для активів, пов’язані з атаками на ланцюг постачання апаратного забезпечення.
Відмова від відповідальності
Наданий тут зміст призначений лише для ознайомлення та освітніх цілей і не є фінансовою, інвестиційною, торговою чи юридичною порадою, а також не є пропозицією або закликом купувати чи продавати будь-які цифрові активи. Gate не надає жодних прямих чи непрямих заяв або гарантій щодо точності, повноти чи актуальності інформації, що міститься тут. Функціонал продукту, інтерфейси, правила та структура комісій можуть оновлюватися або змінюватися у будь-який час. Для отримання найактуальнішої інформації звертайтеся до останніх оголошень і фактичних даних, що відображаються на платформі Gate.
Інвестиції в цифрові активи пов'язані зі значними ризиками, а ціни можуть суттєво коливатися. Ви можете втратити всю суму своїх інвестицій. Приймайте рішення обережно, враховуючи власний фінансовий стан і рівень толерантності до ризику після повного розуміння супутніх ризиків. За потреби рекомендується звернутися до незалежного професійного фінансового чи юридичного радника.
Щоб отримати додаткову інформацію про потенційні ризики, зверніться до Розкриття інформації про ризики та Угоди користувача Gate.
