CZ: Пользователям следует защищать свои данные и не использовать одну и ту же информацию на разных платформах

Утечки данных стали постоянной угрозой для криптовалютной отрасли. Даже если средства клиентов напрямую не затронуты, раскрытая персональная информация может создать условия для фишинга, подмены SIM-карты, кражи личности и целевых атак с использованием социальной инженерии.

28 октября основатель Binance Чанпэн Чжао, более известный как CZ, обратил внимание на несколько случаев утечки данных, затронувших компании как из сферы цифровых активов, так и из традиционного финансового сектора. Речь шла о поставщике услуг, связанном с Coinbase, южнокорейской криптовалютной бирже Bithumb, а также двух корейских брокерских компаниях — Mirae Asset и Daishin Securities. В инциденте, связанном с Coinbase, предположительно были раскрыты контактные данные пользователей, а не сведения, дающие доступ к средствам.

Эти случаи указывают на важную реальность, с которой сталкиваются пользователи криптовалют: вы не всегда можете предотвратить взлом компании, но способны уменьшить ущерб от информации, которой с ней делитесь.

Почему утечка данных может превратиться в угрозу для криптоактивов

Утечка адреса электронной почты или номера телефона сама по себе может показаться несущественной. Однако злоумышленники способны объединить несколько фрагментов информации и составить убедительный профиль жертвы.

При взломе финансовых сервисов часто могут быть раскрыты:

• Полное имя
• Адрес электронной почты
• Номер телефона
• Домашний или почтовый адрес
• Данные удостоверяющих личность документов
• Информация о торговых операциях или активности аккаунта
• История обращений в службу поддержки

Эти сведения позволяют сделать мошеннические сообщения похожими на настоящие. Злоумышленник может выдать себя за представителя биржи, провайдера кошелька, банка или отдела комплаенса и заявить, что получателю необходимо пройти проверку, разблокировать аккаунт или подтвердить подозрительную транзакцию.

Часто цель атаки заключается не в прямом взломе платформы. Вместо этого злоумышленники пытаются убедить жертву раскрыть пароль, подтвердить транзакцию, установить вредоносное программное обеспечение или сообщить фразу восстановления.

В рекомендациях Федеральной торговой комиссии США по защите от мошенничества с подменой SIM-карты объясняется, как преступники могут получить контроль над номером телефона жертвы и использовать его для получения кодов аутентификации. В криптовалютной сфере это особенно опасно, если номер телефона используется для восстановления доступа или выступает основным фактором входа в аккаунт.

Риски повторного использования одной и той же информации

Многие пользователи регистрируются на нескольких биржах, в кошельках, на NFT-маркетплейсах, в платёжных сервисах и блокчейн-приложениях, указывая один и тот же адрес электронной почты и номер телефона. Это упрощает управление аккаунтами, но одновременно создаёт тесную связь между изначально независимыми сервисами.

Если база данных одной из платформ будет скомпрометирована, злоумышленники смогут использовать утекшую информацию, чтобы:

1. Определить, на каких других платформах у жертвы могут быть аккаунты.
2. Связать реальную личность человека с его активностью в криптовалютной сфере.
3. Отправлять персонализированные фишинговые сообщения.
4. Пытаться сбросить пароли в сторонних сервисах.
5. Искать дополнительные сведения в открытых источниках.
6. Атаковать жертву с помощью социальной инженерии.

Чем больше платформ используют одни и те же идентификаторы, тем проще составить целостный профиль пользователя. Особенно это опасно для тех, кто хранит цифровые активы на нескольких биржах или взаимодействует с децентрализованными приложениями под легко узнаваемой личностью.

Таким образом, минимизация данных — это не только принцип конфиденциальности, но и практическая часть стратегии защиты криптоактивов.

Используйте отдельные адреса электронной почты для разных сервисов

Одно из самых простых улучшений — создать уникальный адрес или алиас электронной почты для каждой крупной биржи или финансовой платформы.

Например, вместо одного адреса для всех сервисов можно использовать отдельные алиасы для:

• Централизованной биржи
• Сервиса ввода фиатных средств
• Торговой платформы
• Сервиса блокчейн-аналитики
• Аккаунта программного или аппаратного кошелька
• Нефинансового веб-сервиса

Если на один из алиасов впоследствии начнут приходить подозрительные сообщения, пользователь сможет понять, какой сервис мог раскрыть или передать этот адрес. Кроме того, уникальный алиас затрудняет связь данного аккаунта с другими онлайн-идентичностями пользователя.

Алиас не следует считать заменой надёжной аутентификации. Лучше всего он работает в сочетании с уникальным паролем, менеджером паролей и устойчивой к фишингу многофакторной аутентификацией, если она доступна. В рекомендациях Национального института стандартов и технологий США по цифровой идентификации приведены более общие советы по аутентификации и защите аккаунтов.

Сократите объём передаваемой персональной информации

Пользователям также стоит внимательно оценивать, какие сведения действительно необходимы при регистрации и прохождении верификации.

Некоторые криптовалютные платформы обязаны собирать персональные данные в соответствии с законодательными и нормативными требованиями. В таких случаях полностью избежать передачи документов может быть невозможно. Однако даже тогда можно сократить ненужное раскрытие информации:

• Не заполнять необязательные поля профиля
• По возможности удалять неиспользуемые номера телефонов из аккаунтов
• Ограничивать публичное раскрытие адресов кошельков
• Не публиковать скриншоты, на которых видны балансы или история транзакций
• Не связывать личные профили в социальных сетях с криптовалютными аккаунтами
• Проверять настройки конфиденциальности на биржах и в финансовых приложениях
• Удалять неактивные аккаунты, если сервис позволяет это сделать

Следует также с осторожностью передавать удостоверяющие личность документы незнакомым платформам. Прежде чем проходить верификацию, проверьте юридическое наименование компании, её методы защиты данных, политику конфиденциальности и каналы поддержки. Запрос на отправку конфиденциальных документов, полученный в непредвиденном сообщении, следует считать подозрительным, даже если в нём указаны достоверные персональные данные.

Как защититься от фишинга после утечки данных

Утечка данных может сделать будущие мошеннические схемы более убедительными. Пользователям следует исходить из того, что сообщение с их именем, номером телефона или частью истории транзакций всё равно может быть поддельным.

Прежде чем предпринимать какие-либо действия:

• Не переходите по ссылкам из неожиданных уведомлений об аккаунте.
• Открывайте сервис через сохранённую в закладках страницу или официальное приложение.
• Никому не сообщайте сид-фразу, приватный ключ или одноразовый код аутентификации.
• Считайте особенно опасными срочные требования, связанные с выводом средств или блокировкой аккаунта.
• Проверяйте обращения в службу поддержки через независимый канал связи.
• Внимательно проверяйте точное доменное имя перед вводом учётных данных.
• Не устанавливайте программное обеспечение по просьбе неизвестного «сотрудника поддержки».

Надёжной платформе не понадобится ваша фраза восстановления для восстановления доступа или расследования транзакции. Любой, кто запрашивает её, пытается получить контроль над кошельком.

В рекомендациях Агентства по кибербезопасности и безопасности инфраструктуры США по защите от фишинга также рекомендуется не торопиться и самостоятельно проверять неожиданные запросы, а не реагировать на них под давлением.

Некостодиальное хранение не устраняет риски для конфиденциальности

Некостодиальное хранение позволяет меньше зависеть от третьих сторон в вопросах контроля над приватными ключами, но само по себе не решает проблемы, связанные с идентификацией и конфиденциальностью.

Пользователь может хранить активы в собственном кошельке и при этом раскрывать персональные данные через аккаунты на биржах, блокчейн-приложения, социальные платформы или публичные публикации адресов кошельков. Если адрес кошелька связан с именем, адресом электронной почты или торговым аккаунтом, активность в блокчейне становится проще анализировать и сопоставлять с реальной личностью.

Более безопасный подход предполагает сочетание нескольких уровней защиты:

• Храните приватные ключи и фразы восстановления офлайн.
• Используйте отдельную электронную идентичность для финансовых сервисов.
• Не публикуйте адреса кошельков без необходимости.
• Проверяйте детали транзакции перед её подписанием.
• Отделяйте долгосрочные активы от средств, используемых для частой торговли.
• Храните резервные копии в безопасности и никогда не сохраняйте фразы восстановления в облачных документах или мессенджерах.

Пользователям, которые хотят самостоятельно контролировать приватные ключи, аппаратные кошельки OneKey предоставляют среду для офлайн-подписания, призванную изолировать операции с чувствительными данными кошелька от потенциально скомпрометированных компьютеров и веб-сайтов. Это не помешает бирже или поставщику услуг столкнуться с утечкой данных, но может снизить вероятность того, что раскрытая контактная информация напрямую приведёт к несанкционированному подтверждению транзакции.

Более устойчивый подход к безопасности пользователей криптовалют

Ни одна отдельная мера безопасности не способна предотвратить все виды атак. Утечки могут происходить на биржах, у поставщиков аналитических услуг, платёжных операторов, телекоммуникационных компаний и финансовых организаций, не связанных напрямую с криптовалютной отраслью.

Более реалистичная цель — ограничить объём раскрываемой информации, усложнить связывание аккаунтов между собой и сделать так, чтобы утечка персональных данных автоматически не означала получение контроля над цифровыми активами.

Использование уникальных алиасов электронной почты, сокращение объёма передаваемых данных, усиление аутентификации и отделение приватных ключей от онлайн-сервисов способны значительно повысить общий уровень безопасности пользователя. Как показывает предупреждение CZ, защита персональных данных становится неотъемлемой частью ответственного владения криптоактивами, а не необязательным улучшением конфиденциальности.