作者：文靜 路多
物聯網智庫 整理發布
幣圈大佬一夜丟失(shi)4500多萬???
8月21日，福布斯(si)(si)曝光一則訴訟，當(dang)事人(ren)巴(ba)特·斯(si)(si)蒂芬(fen)斯(si)(si)起訴匿(ni)名黑客，涉嫌(xian)在(zai)今(jin)年5月盜取他價(jia)值630萬美元(yuan)的加密貨幣(bi)。
要知道(dao)，斯蒂芬斯可是幣圈有頭有臉的(de)人物，他創立的(de)基(ji)金，Blockchain Capital基(ji)金，動不動就領(ling)投(tou)(tou) Sam Altman 的(de) Worldcoin，投(tou)(tou)資Coinbase、Kraken 和(he) NFT 交易(yi)所 Opensea 等加密初創公(gong)司。
業界對此評價議論紛紛，看法(fa)不(bu)一：
有人(ren)認為(wei)(wei)這是(shi)美國當局所(suo)為(wei)(wei)，表示：“他們就(jiu)是(shi)這樣(yang)，拿走(zou)你(ni)的錢，然后把(ba)它歸咎于黑(hei)客。”
有人(ren)表示：“加密(mi)貨(huo)幣和(he)詐騙(pian)密(mi)不(bu)可分。這樣(yang)看來區塊鏈技術帶來的威(wei)脅比(bi)政策更大。”
更離(li)譜的(de)是，不(bu)光自(zi)己的(de)加密貨幣被盜，斯(si)蒂芬斯(si)的(de)公司社交賬號(hao)也被另一(yi)個黑客偷(tou)家了。
這……究(jiu)竟怎么一回事?一起來扒扒。
事件經過
巴特(te)·斯蒂芬斯( Bart Stephens)是加密貨(huo)(huo)幣(bi)基金Blockchain Capital的(de)聯合創(chuang)始(shi)人兼(jian)管(guan)理合伙人，早期著(zhu)名(ming)的(de)加密貨(huo)(huo)幣(bi)傳播者(zhe)。
在8月16日向法院(yuan)提交(jiao)的訴訟(song)中，他表示價值630萬美元(yuan)的加密(mi)貨幣(bi)在5月份被黑客用SIM卡交(jiao)換攻擊(SIM swap attack)的方式，一股腦竊取。
具(ju)體來說(shuo)，一個化名為Jane Doe的(de)(de)黑客，使用在線和暗網上提供的(de)(de)個人信(xin)息，繞(rao)過斯(si)蒂(di)芬斯(si)的(de)(de)手機運營商的(de)(de)安全(quan)檢查，更改了他(ta)的(de)(de)賬戶密碼。
在(zai)控制了(le)斯(si)蒂芬斯(si)的(de)(de)蜂窩網絡賬戶后(hou)，黑客訂購(gou)了(le)一(yi)部(bu)新手機(ji)，然(ran)后(hou)將他(ta)的(de)(de)私人手機(ji)號(hao)碼移植到新設備(bei)的(de)(de)SIM卡(ka)上(shang)。
隨后，黑客使用斯(si)蒂芬斯(si)的(de)手機號碼(ma)，在幾個未命名(ming)的(de)數字錢包中重置密碼(ma)并通(tong)過(guo)雙(shuang)因素(su)身份驗證，經過(guo)一番(fan)操(cao)作(zuo)，修改了其數字錢包密碼(ma)，開始(shi)“系統(tong)地竊取原告的(de)數字資(zi)產”，630萬美元就此轉移。
黑(hei)客們的囂張不至于此，在黑(hei)客在轉移(yi)630萬美元(yuan)的前(qian)一天(tian)，他們還給(gei)斯(si)蒂芬(fen)斯(si)發郵(you)件，吹噓(xu)說他們可以“遠(yuan)程破解美國大陸(lu)任何人(ren)的電話(hua)號(hao)碼”。
不幸中的萬幸，該黑客還試圖從(cong)斯(si)蒂芬(fen)斯(si)擁有的托管(guan)冷錢包中竊取價值1400萬美元的比特幣和以(yi)太坊，被收到提款通知的BlockchainCapital員工阻止(zhi)。否則，斯(si)蒂芬(fen)斯(si)損(sun)失還得翻倍。
相關(guan)部門(men)表示，這類攻擊越來越常見，并且針對可能擁有大量加密貨幣的受害者。
目(mu)前(qian)，斯(si)蒂芬斯(si)已對(dui)匿(ni)名黑客提起(qi)訴(su)訟(song)，并呼吁加強對(dui)此類攻擊的安全(quan)防護措(cuo)施。
盜竊(qie)事件發(fa)生后(hou)的(de)第二天，斯蒂芬(fen)斯的(de)移動服(fu)務提供商確認(ren)，他已成為(wei)SIM卡交(jiao)換攻擊(ji)的(de)目標。
大約50%的被(bei)盜資(zi)金通過加密(mi)(mi)貨幣混(hun)幣器(Cryptocurrency Tumbler)交(jiao)易所(suo)轉移(yi)，這些交(jiao)易所(suo)將數字資(zi)產混(hun)合在(zai)一起，以掩蓋交(jiao)易來源，使得追(zhui)蹤被(bei)盜的加密(mi)(mi)貨幣變得更加困難。
更離譜的是，盯上斯(si)蒂芬斯(si)的人竟(jing)然還不止一個。
3個月(yue)后，Blockchain Capital在Twitter的賬戶也被盜竊(qie)，還發布了多(duo)條虛假的代幣消息。
隨(sui)后，8月10日官方賬(zhang)號宣(xuan)布賬(zhang)號已恢(hui)復安全。
有意思的是，巴特·斯蒂芬斯一直是加密貨幣的堅定支持者，經常與摩根大通首席執行官杰米·戴蒙等懷疑論者發生沖突，后者經常將比特幣標記為騙局。
斯(si)蒂芬(fen)斯(si)在回(hui)應此(ci)類(lei)批評時曾表示(shi)：
“我建議杰米(mi)·戴蒙和(he)其他人(ren)先做一些功課。這(zhe)不是騙局。這(zhe)是一項強(qiang)大的技(ji)術，將影響多個行業。”
但(dan)從過去看(kan)，SIM卡交換攻擊受害者不止斯(si)(si)蒂芬斯(si)(si)一人，這(zhe)個倒霉蛋也來自幣圈。
7 月初，LayerZero 首席執(zhi)行官 Bryan Pellegrino 成為 SIM 卡交換攻擊的(de)最新受(shou)害(hai)者之一(yi)，該攻擊使(shi)黑(hei)客暫時接(jie)管了他的(de) Twitter。幸運的(de)是，后來(lai)他的(de)賬(zhang)號被追回，還悠(you)然地發帖報平安。
Bryan Pellegrino 表示，一發現手機狀態不對就意識到了是SIM卡交換攻擊，立即在公司賬號發出警告帖，并發出消息提醒親友不要上當。
接著，他開始反擊，先登錄郵箱(xiang)改密(mi)碼(ma)，將黑客踢出。盡管黑客增(zeng)加了其他雙因素驗(yan)證，經過一系列的操作(zuo)，他終于找回自己(ji)的賬號密(mi)碼(ma)。
據(ju)Bryan Pellegrino猜測：在多倫(lun)多一次演(yan)講之后(hou)，他(ta)沒有(you)把身份(fen)徽(hui)章帶走，結果就(jiu)有(you)人從垃圾(ji)桶里(li)面撿走了他(ta)的(de)身份(fen)徽(hui)章，并以此騙取了運營(ying)商的(de)信任，進行SIM卡交換(huan)攻擊。因為盜號這個(ge)事情(qing)就(jiu)在大(da)會發生后(hou)不久。
那(nei)么黑客(ke)使用了(le)怎樣的技術(shu)呢?
SIM卡交換攻擊
一句話概括就是：
騙子用(yong)你(ni)的信息補了張卡。
SIM卡(ka)交換攻(gong)(gong)(gong)擊，又稱SIM卡(ka)劫(jie)持，是透過(guo)冒用身份向電信業者提(ti)出申請，將被害者的(de)電話號碼從(cong)對方(fang)的(de)SIM卡(ka)轉移至攻(gong)(gong)(gong)擊者的(de)一種詐騙攻(gong)(gong)(gong)擊手段(duan)。
攻擊者可借此在被害者不(bu)知情的情況下(xia)，從手機收取一次性密碼并盜取網(wang)站賬號(hao)與銀行賬戶。
這與普通的盜(dao)號可不同。盜(dao)號僅(jin)僅(jin)是獲取賬號的使(shi)用權，而SIM卡交換攻擊則(ze)能夠通過大(da)部分二(er)次驗證(zheng)，也就是說(shuo)——
即使(shi)黑客進(jin)行賬(zhang)號信(xin)息、業務往來的操作，被商(shang)家發短(duan)信(xin)提醒，也(ye)無濟(ji)于(yu)事。
近(jin)些年(nian)SIM卡(ka)交換攻擊案件時有發(fa)生。
2022年(nian)初，美(mei)國(guo)相(xiang)關(guan)(guan)部門對這種日漸(jian)猖(chang)獗的攻擊手(shou)段(duan)提出警告，稱(cheng)旗下的網絡犯罪投(tou)訴(su)中心在2018年(nian)到2020年(nian)間共(gong)收到320件相(xiang)關(guan)(guan)投(tou)訴(su)、損失金額達1200萬美(mei)元(yuan)，但在2021年(nian)共(gong)收到1610件相(xiang)關(guan)(guan)投(tou)訴(su)、損失金額達6800萬美(mei)元(yuan)，是過去三年(nian)間的五倍以(yi)上(shang)。
縱觀國內外，SIM卡交換攻擊多年來(lai)是社會(hui)工程里面的常用(yong)手段。
2018年(nian)，區(qu)塊鏈新創公司Transform Group創辦人Michael Terpin被(bei)盜取(qu)(qu)了價值2400萬美(mei)(mei)元(yuan)的(de)(de)加密(mi)貨幣，他(ta)(ta)隨即起訴(su)美(mei)(mei)國電信業(ye)者AT&T未能充分保(bao)護(hu)用戶安全(quan)，并(bing)求(qiu)(qiu)償2.24億美(mei)(mei)元(yuan);兩年(nian)后，盜取(qu)(qu)其(qi)資(zi)產(chan)的(de)(de)一名紐約(yue)高中生被(bei)起訴(su)，他(ta)(ta)在犯案時年(nian)僅15歲。目前，該名攻(gong)擊(ji)者已表示愿意歸還(huan)其(qi)盜取(qu)(qu)的(de)(de)資(zi)產(chan)，而對(dui)AT&T的(de)(de)求(qiu)(qiu)償則(ze)被(bei)法院駁回。
2020年，普林斯頓大學信(xin)息技術(shu)政(zheng)策中心的(de)四位研(yan)究員發表(biao)了(le)一份研(yan)究測試(shi)，他們在(zai)美國的(de)五(wu)大電信(xin)業者申辦了(le)共(gong)50張預(yu)付(fu)卡(ka)，再(zai)嘗試(shi)對其進(jin)行攻擊，結(jie)果有39張SIM卡(ka)成功轉移，且(qie)有兩家電信(xin)業者完(wan)全未(wei)進(jin)行身份查核。研(yan)究中還測試(shi)了(le)140個線上(shang)服務，其中有17個可以通(tong)過這種攻擊手段來盜取賬戶。
2022年(nian)1月(yue)，中國(guo)臺灣(wan)也(ye)有(you)攻(gong)擊(ji)案(an)例。攻(gong)擊(ji)者繞過相對嚴格的身(shen)份(fen)認(ren)證機制，冒(mao)用(yong)被害者的身(shen)份(fen)證和健保(bao)卡影(ying)本、出入境證明、委托書等資(zi)料，掛失SIM卡后盜(dao)取網絡(luo)銀行(xing)資(zi)產，更冒(mao)用(yong)身(shen)份(fen)申辦信用(yong)卡、領取消費券和接種疫苗。
慢(man)霧(wu)首(shou)席信(xin)息安全官23pds稱，基于SIM卡交換的(de)黑客攻擊目前還(huan)不太普遍，但在不久的(de)將來有進一步增加的(de)可(ke)能性。
但他也提到了(le)過(guo)去幾年(nian)涉及加(jia)密(mi)貨幣(bi)中SIM卡交換(huan)攻擊的一些案例，如2021年(nian)10月，由于2FA漏洞，黑(hei)客從至少(shao)6,000名客戶那里(li)竊取了(le)加(jia)密(mi)貨幣(bi)。
需要補(bu)充的是，一些(xie)案件并非直(zhi)接依賴SIM卡(ka)交換攻(gong)擊，而是以網絡(luo)釣魚為主(zhu)的“類(lei)補(bu)卡(ka)攻(gong)擊”。
例如(ru)很多騙子使(shi)用(yong)技(ji)術手(shou)段，給受(shou)害(hai)人(ren)的手(shou)機設置呼叫轉移，或者直接(jie)使(shi)用(yong)網絡電(dian)話(hua)顯示受(shou)害(hai)人(ren)號碼，然后(hou)對其家人(ren)進(jin)行詐騙。
隨著AI換臉、變聲(sheng)技術演進和普及，類似的情(qing)況還會有更多，監管(guan)難度也(ye)越(yue)來(lai)越(yue)大(da)。為了提(ti)升驗證級(ji)別，我國一些金融機構還提(ti)供了人臉識別服務(wu)，不過已有部分“先(xian)進技術”被(bei)破解造成(cheng)經濟損失的案(an)例報道。
還(huan)有一(yi)些「降(jiang)維版SIM卡交換攻擊」，就是(shi)直接(jie)冒(mao)充(chong)警(jing)方或(huo)(huo)金融服務商，以涉案、辦理變更手續以免影(ying)響征信為由，騙取受害人提供(gong)驗證(zheng)碼或(huo)(huo)打開(kai)會議分(fen)享手機頁面，直接(jie)獲(huo)取受害人的錢(qian)財和密碼信息。
說得感覺世(shi)界就(jiu)像是黑(hei)暗森林(lin)了，隨時有人想害我——
信息時代，到底應該怎樣(yang)防范潛(qian)在的風險呢?
防范建議
至于(yu)如(ru)何預防，我(wo)們給4點小建(jian)議：
保護信息，保護信息，保護信息。
不難(nan)發現，騙(pian)子成功的(de)前提是(shi)獲取受(shou)害者的(de)信息(xi)(xi)。這(zhe)(zhe)些(xie)信息(xi)(xi)包括身份、地址、面容(rong)甚至是(shi)醫(yi)療(liao)信息(xi)(xi)，而這(zhe)(zhe)些(xie)信息(xi)(xi)除了灰產之外，很多都可以(yi)直接從社(she)交網絡上獲取——
所(suo)以盡量不要在社交網(wang)絡(luo)過度分享自己隱私信息，或者偶爾發出(chu)一切(qie)無關信息進行混淆。
SIM卡其實可上鎖。
不(bu)管是中國還是美國，SIM卡(ka)其實也是可(ke)(ke)以設置(zhi)密(mi)碼(ma)的，稱之為PIN碼(ma)，共4位數字，可(ke)(ke)以在用(yong)戶手(shou)機被盜、SIM卡(ka)丟失而更換設備時能起到保護作用(yong)。
通常運營商沒(mei)有設(she)置默認(ren)開啟PIN碼(ma)，而且有簡單的默認(ren)密碼(ma)，用戶可以自行修改(gai)，不(bu)過，這(zhe)個數(shu)字一定要記住，不(bu)然輸錯3次(ci)需(xu)要使用PUK碼(ma)或(huo)者(zhe)到運營商處修改(gai)，非常麻(ma)煩。
減少使用或補強短信驗證，使用身份驗證程序。
我國現在實(shi)行實(shi)名制，大部(bu)分(fen)APP都(dou)可以僅僅通過手機(ji)驗(yan)證碼、郵箱驗(yan)證碼就重置密碼，這還是存(cun)在一定(ding)的風險。
越來越多的國際(ji)企業提供了身(shen)份(fen)驗證(zheng)應(ying)用(yong)程(cheng)序，例(li)如Duo、Google Authenticator等，黑客們即(ji)使獲取到(dao)你的郵(you)箱或SIM卡，也無法完(wan)全控制你的賬號。
冷靜操作，及時求助
盡(jin)管(guan)不法(fa)分子們憑借飛(fei)速(su)發展的(de)(de)科技手段(duan)進行攻擊(ji)和詐騙，運(yun)營(ying)商(shang)和金融機構(gou)都有(you)相應的(de)(de)安全策略，甚至是(shi)(shi)嚴格的(de)(de)信息安全等級保護(hu)認(ren)證和合規要求(qiu)。那(nei)么(me)(me)為什么(me)(me)有(you)這么(me)(me)多人受騙呢?因為有(you)時候被唬住了，慌了神。在遇(yu)到異常(chang)情況的(de)(de)時候保持(chi)冷靜，及時求(qiu)助，也(ye)是(shi)(shi)自我保護(hu)的(de)(de)方式(shi)。
一(yi)旦發生手機被(bei)盜(dao)，或者(zhe)關注到(dao)類似SIM卡交換(huan)攻擊的(de)(de)(de)情況，就要(yao)立刻致電運營商、銀行(xing)和等機構，并臨時凍結自(zi)(zi)己(ji)(ji)的(de)(de)(de)賬戶(hu)，一(yi)舉動，不(bu)(bu)光(guang)能(neng)夠防(fang)止(zhi)加重自(zi)(zi)己(ji)(ji)的(de)(de)(de)損失(shi)，也能(neng)夠為身(shen)份被(bei)盜(dao)用從事(shi)不(bu)(bu)法(fa)行(xing)為進行(xing)一(yi)種證據保(bao)留。另外，對于產生直接或潛在的(de)(de)(de)經濟(ji)損失(shi)，也要(yao)及(ji)時報警，維護(hu)自(zi)(zi)身(shen)權(quan)益。
那么現在，打開自己的手機想(xiang)一想(xiang)，你的信息，安全嗎(ma)?
