Полиция Сингапура: модифицированные аппаратные кошельки могли привести к потерям примерно на 3,5 млн сингапурских долларов

Власти Сингапура расследуют предполагаемую атаку на цепочку поставок аппаратных кошельков после того, как по меньшей мере два пользователя, как сообщается, потеряли в общей сложности около 3,5 млн сингапурских долларов в криптоактивах.

Согласно предупреждению, опубликованному Полицией Сингапура, сообщения о подобных случаях начали поступать с 10 сентября. Пострадавшие приобрели аппаратные кошельки через отдельные розничные каналы в Сингапуре. Предварительные данные указывают на то, что некоторые устройства могли содержать вредоносные аппаратные компоненты, способные перехватывать фразы восстановления или приватные ключи.

Расследование продолжается. Власти пока не раскрыли названия конкретных продавцов и не объяснили, каким образом подозрительные компоненты попали в процесс дистрибуции.

Как модифицированное устройство может поставить криптоактивы под угрозу

Аппаратные кошельки предназначены для хранения приватных ключей в изоляции от устройств, подключённых к интернету. Однако такая защита зависит от целостности самого устройства и безопасности цепочки поставок, по которой оно попадает к пользователю.

Скомпрометированное устройство потенциально может:

• Перехватить фразу восстановления, введённую во время настройки
• Раскрыть или скопировать данные приватного ключа
• Показывать поддельные адреса кошельков во время транзакции
• Перенаправлять транзакции на адрес, контролируемый злоумышленником
• Обеспечить несанкционированный перевод активов после завершения настройки

Подобный инцидент отличается от обычной фишинговой атаки. Пользователь может пройти внешне стандартную процедуру инициализации кошелька, не подозревая, что устройство было изменено ещё до покупки.

Поэтому аппаратный кошелёк нельзя считать автоматически надёжным лишь потому, что он продаётся в физической упаковке. Проверка подлинности, безопасная инициализация, валидация прошивки и внимательный выбор места покупки — всё это составляющие общей модели безопасности.

Самое важное предупреждение: никогда не вводите фразу восстановления на подозрительном устройстве

Полиция Сингапура рекомендовала пользователям не вводить фразу восстановления и не продолжать совершать транзакции на устройстве, которое, предположительно, подверглось модификации.

Фраза восстановления фактически является главным резервным ключом кошелька. Получив её, злоумышленник может восстановить кошелёк на другом устройстве и вывести хранящиеся на нём активы. Транзакции в блокчейне, как правило, необратимы, поэтому ожидание возможных подозрительных действий может увеличить размер ущерба.

Пользователям следует немедленно принять меры, если устройство:

• Было приобретено через неофициальный или непрозрачный канал распространения
• Имеет признаки вскрытия или вмешательства в конструкцию
• Работает иначе, чем описано в официальной процедуре настройки производителя
• Необычным образом запрашивает конфиденциальную информацию
• Показывает неожиданные адреса кошельков или данные транзакций
• Уже связано с несанкционированными переводами

Также следует помнить, что представители официальной службы поддержки никогда не попросят предоставить полную фразу восстановления или приватный ключ.

Что делать пострадавшим пользователям

Если есть вероятность, что фраза восстановления или приватный ключ были раскрыты, соответствующий кошелёк следует считать безвозвратно скомпрометированным. Смена PIN-кода или переустановка приложения не создаёт новых криптографических данных.

Более безопасный порядок действий:

1. Немедленно прекратите пользоваться подозрительным устройством.
2. Не вводите существующую фразу восстановления на том же устройстве.
3. Приобретите проверенный и не затронутый проблемой кошелёк через надёжный канал распространения.
4. Создайте совершенно новый кошелёк и новую фразу восстановления.
5. Переведите оставшиеся активы на новый кошелёк.
6. Проверьте разрешения для токенов и при необходимости отзовите ненужные разрешения.
7. Сохраните документы о покупке, сведения об устройстве, хеши транзакций и соответствующую переписку.
8. Сообщите о предполагаемых потерях в местные правоохранительные органы и производителю кошелька.

В сетях Ethereum и других сетях со смарт-контрактами одного перевода нативных активов может быть недостаточно. Пользователям также следует проверить балансы токенов, принадлежащие им NFT, позиции в стейкинге и активные разрешения для смарт-контрактов. Скомпрометированный ключ может поставить под угрозу все аккаунты, созданные на основе одной и той же фразы восстановления.

Безопасность цепочки поставок — часть самостоятельного хранения активов

Этот инцидент подчёркивает важный принцип криптовалютной безопасности: самостоятельное хранение активов избавляет от необходимости полагаться на централизованных посредников, но одновременно возлагает больше ответственности на самого пользователя.

Угрозы могут возникнуть на разных этапах, включая:

• Производство
• Сборку устройства
• Распространение прошивки
• Хранение товара в рознице
• Перевозку и доставку
• Первоначальную настройку
• Генерацию фразы восстановления
• Подтверждение транзакций

Кошелёк, приобретённый у неавторизованного продавца, может нести риски, которые сложно выявить при обычном визуальном осмотре. Даже целая упаковка не является абсолютной гарантией безопасности, если устройство прошло через ненадёжную цепочку поставок.

Пользователям следует отдавать предпочтение официальным каналам покупки, проверять устройство с помощью официальных процедур производителя, обновлять прошивку только через надёжное программное обеспечение и выполнять первоначальную настройку в приватной обстановке. Фраза восстановления должна генерироваться самим кошельком и записываться офлайн. Её нельзя фотографировать, хранить в облачных заметках, отправлять через мессенджеры или вводить на веб-сайтах.

Рекомендации Национального института стандартов и технологий США по цифровой идентификации также подтверждают более общий принцип безопасности: секреты аутентификации необходимо защищать от несанкционированного раскрытия. В криптовалютной сфере это особенно важно, поскольку контроль над ключом обычно означает контроль над активами.

Почему проверка транзакций по-прежнему важна

Даже если кошелёк работает нормально, перед подтверждением перевода пользователям следует проверять адрес получателя и данные транзакции на доверенном дисплее самого устройства.

Вредоносная программа на компьютере или смартфоне может заменить скопированный адрес адресом злоумышленника. Защищённое устройство для подписи транзакций снижает этот риск, но только в том случае, если пользователь проверяет отображаемую информацию перед подтверждением, а не одобряет операции автоматически.

При крупных переводах можно:

• Сначала отправить небольшую тестовую транзакцию
• Сверить полный адрес получателя
• Использовать адресные книги или функции белого списка, если они доступны
• Хранить долгосрочные сбережения отдельно от средств для активной торговли
• Использовать разные кошельки для различных уровней риска
• Проверять сетевые комиссии и разрешения для смарт-контрактов перед подписанием

Эти меры не устраняют все угрозы, но помогают снизить последствия фишинга, вредоносных программ, подменяющих данные в буфере обмена, опасных смарт-контрактов и операционных ошибок.

Что это означает для покупателей аппаратных кошельков

Расследование в Сингапуре не означает, что все аппаратные кошельки скомпрометированы. Однако оно демонстрирует, почему происхождение устройства и безопасная настройка являются важнейшими элементами защиты цифровых активов.

Перед покупкой устройства пользователям следует оценить:

• Является ли продавец авторизованным или однозначно проверяемым дистрибьютором
• Есть ли на упаковке и устройстве признаки модификации
• Поддерживает ли кошелёк безопасную генерацию фразы восстановления непосредственно на устройстве
• Можно ли независимо проверить подлинность прошивки
• Чётко ли отображаются данные транзакции перед её подписанием
• Публикует ли производитель предупреждения о безопасности и инструкции по реагированию на инциденты

Пользователям также следует следить за официальными обновлениями безопасности и рекомендациями местных правоохранительных органов, пока расследование продолжается. Официальные новостные и информационные каналы Полиции Сингапура остаются надёжным источником проверенной информации по указанным случаям.

Практический чек-лист безопасности

Для обычных пользователей криптовалют следующий список рекомендаций поможет снизить риски, связанные с аппаратными кошельками и приватными ключами:

• Покупайте устройства только через надёжные и проверяемые каналы.
• Перед использованием осмотрите упаковку и само устройство.
• Самостоятельно инициализируйте кошелёк в приватной обстановке.
• Никогда не используйте фразу восстановления, предоставленную другим человеком.
• Никому не сообщайте фразу восстановления или приватный ключ.
• Храните резервные слова офлайн и защищайте их от огня, воды и несанкционированного доступа.
• Проверяйте адреса и данные транзакций на собственном дисплее кошелька.
• Используйте отдельный кошелёк для экспериментальных приложений и более рискованных операций в сфере децентрализованных финансов.
• Немедленно переведите активы, если есть вероятность раскрытия фразы восстановления.
• При возникновении инцидента сохраняйте данные о транзакциях и устройстве.

Пользователям, которые ищут аппаратный кошелёк с акцентом на безопасную изоляцию ключей, прозрачное подтверждение транзакций и контроль над восстановлением, можно рассмотреть OneKey как часть более широкой стратегии самостоятельного хранения активов. Однако ни одно устройство не заменит грамотные методы операционной безопасности: даже самый надёжный кошелёк окажется уязвимым, если его фраза восстановления будет раскрыта, введена на ненадёжном устройстве или небрежно сохранена.

Предполагаемые потери в Сингапуре напоминают о том, что безопасность криптоактивов начинается ещё до подключения кошелька. Проверка происхождения устройства, защита фразы восстановления и внимательное отношение к любому неожиданному поведению оборудования могут стать решающими факторами между безопасным самостоятельным хранением активов и необратимой потерей.