作者：文靜 路多
物聯網智庫 整理發布
幣圈(quan)大佬一夜(ye)丟失(shi)4500多萬???
8月21日，福布斯曝光一則(ze)訴(su)訟(song)，當事人巴特·斯蒂(di)芬斯起(qi)訴(su)匿名黑客，涉嫌在(zai)今年5月盜取他價值630萬美元的加(jia)密貨幣。
要知道，斯(si)蒂芬斯(si)可(ke)是(shi)幣圈有頭有臉(lian)的人(ren)物，他創立的基(ji)金，Blockchain Capital基(ji)金，動(dong)不動(dong)就領投 Sam Altman 的 Worldcoin，投資Coinbase、Kraken 和 NFT 交易所 Opensea 等(deng)加密初創公司。
業界(jie)對此評(ping)價議論(lun)紛紛，看法不一：
有人認(ren)為(wei)這是美國當局所為(wei)，表示：“他們就是這樣，拿走你的錢(qian)，然后(hou)把它歸(gui)咎(jiu)于黑(hei)客。”
有(you)人表(biao)示：“加密貨幣和詐(zha)騙密不可分。這(zhe)樣看來(lai)(lai)區塊鏈技術帶來(lai)(lai)的威脅比政(zheng)策更大(da)。”
更離(li)譜的(de)是，不(bu)光自己的(de)加密貨幣(bi)被(bei)盜，斯蒂芬斯的(de)公司社(she)交(jiao)賬號也被(bei)另一個黑客偷家了。
這(zhe)……究竟怎么一(yi)(yi)回事(shi)?一(yi)(yi)起(qi)來(lai)扒扒。
事件經過
巴特(te)·斯(si)蒂芬斯(si)( Bart Stephens)是加密貨幣基金(jin)Blockchain Capital的(de)(de)聯合創始人(ren)兼管理合伙人(ren)，早期(qi)著名的(de)(de)加密貨幣傳(chuan)播(bo)者。
在8月16日(ri)向法院提交的訴訟中，他表示(shi)價值630萬美元的加密貨(huo)幣在5月份被黑客(ke)用SIM卡交換攻擊(SIM swap attack)的方式，一股腦竊(qie)取(qu)。
具體來說，一個化名(ming)為(wei)Jane Doe的(de)黑客，使用在線(xian)和暗(an)網(wang)上(shang)提供的(de)個人信(xin)息，繞(rao)過斯蒂芬斯的(de)手(shou)機運營商的(de)安全檢查，更改了他的(de)賬戶密碼。
在控(kong)制了斯蒂芬斯的蜂窩(wo)網絡賬(zhang)戶后(hou)，黑客訂購(gou)了一部新(xin)手機(ji)，然(ran)后(hou)將他(ta)的私人手機(ji)號碼移植到新(xin)設(she)備的SIM卡上。
隨后，黑客(ke)使用斯蒂(di)芬斯的手機號碼(ma)，在幾個未命名的數字(zi)錢包(bao)中重(zhong)置(zhi)密(mi)碼(ma)并通過雙(shuang)因素(su)身份(fen)驗(yan)證，經過一番操作，修改了其數字(zi)錢包(bao)密(mi)碼(ma)，開(kai)始“系統地竊取原告的數字(zi)資(zi)產”，630萬美元(yuan)就此轉移。
黑客(ke)們的囂張不(bu)至于(yu)此，在黑客(ke)在轉移630萬(wan)美(mei)元(yuan)的前一(yi)天(tian)，他們還給(gei)斯(si)蒂(di)芬(fen)斯(si)發郵件，吹噓(xu)說他們可以“遠(yuan)程(cheng)破解美(mei)國大陸(lu)任(ren)何人的電話號碼”。
不幸(xing)中的萬幸(xing)，該黑客還(huan)試(shi)圖從斯(si)(si)(si)蒂芬斯(si)(si)(si)擁有的托管冷錢包中竊取(qu)價(jia)值(zhi)1400萬美元(yuan)的比特幣和以(yi)太坊，被(bei)收到提款通知的BlockchainCapital員工阻止(zhi)。否則，斯(si)(si)(si)蒂芬斯(si)(si)(si)損失(shi)還(huan)得翻倍。
相(xiang)關部(bu)門表示，這類(lei)攻擊越來越常(chang)見，并且(qie)針對可能擁有大量(liang)加(jia)密貨幣(bi)的受害者(zhe)。
目前，斯蒂芬斯已(yi)對匿名黑客提起訴訟，并(bing)呼吁(yu)加強(qiang)對此類(lei)攻擊(ji)的安全防護措施。
盜竊事(shi)件發生后的(de)第二天，斯(si)蒂芬斯(si)的(de)移動(dong)服(fu)務(wu)提供(gong)商確認(ren)，他已(yi)成為(wei)SIM卡交換攻擊的(de)目(mu)標。
大約50%的(de)被盜資(zi)金通過加(jia)(jia)(jia)密貨幣混幣器(Cryptocurrency Tumbler)交(jiao)易(yi)所轉(zhuan)移(yi)，這些交(jiao)易(yi)所將數字資(zi)產(chan)混合在一起(qi)，以(yi)掩蓋交(jiao)易(yi)來源(yuan)，使得追(zhui)蹤被盜的(de)加(jia)(jia)(jia)密貨幣變得更加(jia)(jia)(jia)困難。
更離譜的是，盯上斯(si)蒂芬斯(si)的人(ren)竟然還不止一個。
3個月后，Blockchain Capital在Twitter的賬戶也(ye)被盜竊，還發布了(le)多(duo)條虛假的代幣消息。
隨后，8月(yue)10日官(guan)方(fang)賬號(hao)宣布賬號(hao)已恢復(fu)安全。
有意思的是，巴特·斯蒂芬斯一直是加密貨幣的堅定支持者，經常與摩根大通首席執行官杰米·戴蒙等懷疑論者發生沖突，后者經常將比特幣標記為騙局。
斯蒂(di)芬斯在回應此類批評時曾表示：
“我建議(yi)杰米·戴蒙(meng)和其他人先做一些功課。這(zhe)不是(shi)騙局。這(zhe)是(shi)一項強大(da)的(de)技(ji)術，將影響多個行業。”
但從(cong)過去看，SIM卡交換攻擊受(shou)害者不止(zhi)斯蒂芬斯一人，這個(ge)倒霉蛋(dan)也來自幣圈。
7 月初，LayerZero 首席執行官 Bryan Pellegrino 成為(wei) SIM 卡交換(huan)攻擊(ji)的最新受害者之一，該攻擊(ji)使黑客暫時接管了他(ta)的 Twitter。幸(xing)運的是，后(hou)來他(ta)的賬號被追回(hui)，還悠(you)然地發帖(tie)報(bao)平(ping)安(an)。
Bryan Pellegrino 表示，一發現手機狀態不對就意識到了是SIM卡交換攻擊，立即在公司賬號發出警告帖，并發出消息提醒親友不要上當。
接著，他(ta)開始反(fan)擊，先(xian)登錄郵箱改密(mi)碼，將黑客踢出。盡管黑客增加了(le)其他(ta)雙(shuang)因素(su)驗(yan)證，經過一系(xi)列的操作，他(ta)終于找(zhao)回自己的賬號(hao)密(mi)碼。
據Bryan Pellegrino猜測：在(zai)多(duo)(duo)倫多(duo)(duo)一次演(yan)講之后，他沒有(you)把身份徽章(zhang)帶走，結果就(jiu)有(you)人從垃圾桶里面(mian)撿(jian)走了(le)他的身份徽章(zhang)，并以此騙取了(le)運營商的信任，進(jin)行SIM卡交換攻擊。因為盜(dao)號這(zhe)個事情就(jiu)在(zai)大會發生后不久。
那么黑客(ke)使用了(le)怎樣的技術呢?
SIM卡交換攻擊
一句話概括就是：
騙子用你的信息補了(le)張卡。
SIM卡交換攻(gong)擊，又稱(cheng)SIM卡劫(jie)持，是透(tou)過冒用身份向電信業者(zhe)提出申請(qing)，將被害者(zhe)的電話(hua)號碼從對方的SIM卡轉移(yi)至(zhi)攻(gong)擊者(zhe)的一種詐騙攻(gong)擊手段。
攻擊者(zhe)可借此在被害(hai)者(zhe)不知(zhi)情的情況下，從手機收取一次性密(mi)碼(ma)并盜取網站賬號與(yu)銀行賬戶。
這與普(pu)通的盜號(hao)可不同。盜號(hao)僅僅是獲取(qu)賬(zhang)號(hao)的使(shi)用權(quan)，而(er)SIM卡交(jiao)換攻擊則能夠通過(guo)大部分二次(ci)驗(yan)證，也就是說——
即使黑客進行賬(zhang)號信(xin)(xin)息、業務(wu)往來的操(cao)作，被商(shang)家發短信(xin)(xin)提醒，也無(wu)濟于事。
近些年SIM卡交(jiao)換攻擊案件時(shi)有發生。
2022年初，美國相關(guan)部門對這種日(ri)漸猖獗的(de)攻擊手段提出警告，稱旗下的(de)網絡犯罪投訴(su)中心在(zai)(zai)2018年到2020年間共收(shou)到320件相關(guan)投訴(su)、損(sun)失(shi)金(jin)額(e)達(da)1200萬美元(yuan)(yuan)，但在(zai)(zai)2021年共收(shou)到1610件相關(guan)投訴(su)、損(sun)失(shi)金(jin)額(e)達(da)6800萬美元(yuan)(yuan)，是過去三年間的(de)五倍以上。
縱觀國內外(wai)，SIM卡交換攻擊多年來是(shi)社(she)會(hui)工(gong)程里面(mian)的常(chang)用手段。
2018年，區塊鏈新創公司Transform Group創辦人Michael Terpin被(bei)盜(dao)(dao)取了(le)價值2400萬美元的加密(mi)貨(huo)幣，他(ta)隨即起訴(su)美國電信(xin)業(ye)者AT&T未(wei)能充(chong)分保護(hu)用戶安全(quan)，并求償2.24億美元;兩年后(hou)，盜(dao)(dao)取其(qi)資產的一名(ming)紐約(yue)高中生被(bei)起訴(su)，他(ta)在犯(fan)案時年僅15歲。目前，該(gai)名(ming)攻擊者已表示愿意歸還其(qi)盜(dao)(dao)取的資產，而對AT&T的求償則被(bei)法(fa)院駁回(hui)。
2020年，普林(lin)斯(si)頓大(da)學信(xin)息技術(shu)政策中心(xin)的四位研(yan)究員發表了一份研(yan)究測試，他們在美國的五大(da)電信(xin)業(ye)者申辦了共50張預付(fu)卡(ka)，再嘗試對其進行攻擊，結果有39張SIM卡(ka)成功轉移(yi)，且有兩家電信(xin)業(ye)者完全未進行身份查核。研(yan)究中還(huan)測試了140個線上服務，其中有17個可以(yi)通過這(zhe)種攻擊手段來盜取賬戶。
2022年1月，中國臺(tai)灣也有攻擊(ji)案例。攻擊(ji)者繞過相對嚴格的(de)身份(fen)認(ren)證(zheng)機制，冒用被害(hai)者的(de)身份(fen)證(zheng)和健保卡影本、出入境證(zheng)明、委托書等資料(liao)，掛(gua)失(shi)SIM卡后(hou)盜取網絡銀行資產，更冒用身份(fen)申辦信用卡、領(ling)取消費券和接(jie)種疫苗。
慢霧首(shou)席(xi)信息安全官(guan)23pds稱，基于SIM卡交換的黑客攻擊目前(qian)還不太普遍，但在不久的將來有進一步增加的可能性。
但他也提(ti)到了(le)過去幾年(nian)涉及加(jia)密貨(huo)幣中SIM卡交(jiao)換(huan)攻擊(ji)的一些案(an)例(li)，如2021年(nian)10月(yue)，由于2FA漏洞，黑客從至(zhi)少6,000名客戶那里竊取了(le)加(jia)密貨(huo)幣。
需要補(bu)充(chong)的是，一些案件并非直接依賴SIM卡交(jiao)換攻擊，而是以網絡釣魚為主的“類補(bu)卡攻擊”。
例如很(hen)多騙子使用(yong)技術手段，給(gei)受害人(ren)的手機設置呼叫轉移，或者直接使用(yong)網絡電話顯示受害人(ren)號碼，然后對其(qi)家人(ren)進行詐騙。
隨(sui)著AI換臉(lian)(lian)、變聲技術(shu)(shu)演進和(he)普(pu)及，類似的情況(kuang)還會有更(geng)多，監管難(nan)度(du)也越來越大。為了提升驗證(zheng)級別(bie)，我(wo)國一些金融機構還提供(gong)了人臉(lian)(lian)識別(bie)服務，不過已有部分“先進技術(shu)(shu)”被(bei)破解造成經濟損失的案例報道。
還有一些「降維(wei)版SIM卡交換攻擊」，就是直(zhi)接冒充警方或(huo)金融服務商，以涉案、辦理變更手續以免影響征信為由，騙取受(shou)害(hai)人(ren)提供驗(yan)證碼或(huo)打開會(hui)議分享手機頁(ye)面，直(zhi)接獲取受(shou)害(hai)人(ren)的(de)錢財和密碼信息(xi)。
說得感覺(jue)世界就像是黑暗森林了(le)，隨時(shi)有人想害我——
信息時代(dai)，到底應(ying)該怎樣防范潛在(zai)的風(feng)險呢?
防范建議
至于(yu)如何預防，我們給4點小(xiao)建議：
保護信息，保護信息，保護信息。
不難(nan)發(fa)現，騙子成功的(de)前提是獲取受害者的(de)信息(xi)。這(zhe)些(xie)信息(xi)包括身份、地址、面容甚(shen)至是醫療信息(xi)，而這(zhe)些(xie)信息(xi)除了灰產之外，很多都可(ke)以直(zhi)接從社交網絡上獲取——
所以(yi)盡(jin)量(liang)不要在(zai)社交網絡過度分享自己(ji)隱私(si)信(xin)息，或者偶爾(er)發出一(yi)切無關信(xin)息進行混淆。
SIM卡其實可上鎖。
不管是中國還是美國，SIM卡(ka)其實也是可以設(she)置密碼的，稱之為PIN碼，共(gong)4位數字(zi)，可以在(zai)用戶手機被盜、SIM卡(ka)丟失而更換設(she)備時(shi)能(neng)起(qi)到保護作用。
通常運營商(shang)沒有(you)設置默認開啟PIN碼，而且有(you)簡單(dan)的默認密碼，用戶可以自行修(xiu)改，不(bu)(bu)過(guo)，這個數(shu)字一定(ding)要記住，不(bu)(bu)然輸錯(cuo)3次需要使用PUK碼或者(zhe)到運營商(shang)處修(xiu)改，非常麻(ma)煩(fan)。
減少使用或補強短信驗證，使用身份驗證程序。
我國現在(zai)實(shi)行(xing)實(shi)名(ming)制，大部分APP都(dou)可以(yi)僅僅通過手機(ji)驗證(zheng)碼(ma)、郵(you)箱驗證(zheng)碼(ma)就重置密(mi)碼(ma)，這還是存在(zai)一定(ding)的風(feng)險。
越來越多的國際企業提供(gong)了身(shen)份驗證(zheng)應用程(cheng)序(xu)，例如Duo、Google Authenticator等，黑客們即(ji)使獲取到(dao)你(ni)的郵箱或(huo)SIM卡，也無法完全控制你(ni)的賬號。
冷靜操作，及時求助
盡(jin)管不(bu)法分子們(men)憑借飛速(su)發展的(de)科技手段進行攻擊和詐(zha)騙(pian)，運營商(shang)和金(jin)融機構都有相應的(de)安全策略(lve)，甚至是(shi)嚴(yan)格的(de)信息安全等(deng)級保(bao)護(hu)認(ren)證和合規(gui)要求。那么(me)為什么(me)有這么(me)多人受(shou)騙(pian)呢(ni)?因為有時(shi)候(hou)被唬住了(le)，慌(huang)了(le)神(shen)。在遇到異(yi)常情(qing)況的(de)時(shi)候(hou)保(bao)持冷靜，及時(shi)求助，也是(shi)自我保(bao)護(hu)的(de)方式。
一旦發生手機(ji)(ji)被(bei)(bei)盜，或(huo)者關注到類似SIM卡交(jiao)換攻擊的(de)(de)情(qing)況(kuang)，就(jiu)要立刻(ke)致電運(yun)營(ying)商、銀行(xing)和等(deng)機(ji)(ji)構，并(bing)臨時凍結自己(ji)的(de)(de)賬戶，一舉動，不光能(neng)夠(gou)防止加重自己(ji)的(de)(de)損(sun)失，也(ye)能(neng)夠(gou)為(wei)身份被(bei)(bei)盜用(yong)從事不法行(xing)為(wei)進(jin)行(xing)一種證(zheng)據保留(liu)。另外，對于產生直接或(huo)潛在(zai)的(de)(de)經濟(ji)損(sun)失，也(ye)要及時報警(jing)，維護自身權益。
那么現在，打開自己的手機想(xiang)一想(xiang)，你的信息，安(an)全嗎?
