Как безопасно хранить и работать с криптовалютой

В начале были слёзы... Слёзы тех, благодаря чьей беде появилась эта статья. Не падайте духом, братья. Мы будем учиться и станем сильнее!

Ключевые уязвимости и риски

1. Компрометация seed-фразы

Небезопасное цифровое хранение

Вследствие неправильного хранения, к которому можно отнести почти все цифровые методы:

• Облачные хранилища: Google Drive, iCloud, Dropbox могут быть взломаны через уязвимости в системе аутентификации или социальную инженерию
• Менеджеры паролей: Даже зашифрованные базы 1Password, LastPass, KeePass небезопасны для хранения seed-фраз, так как:
• Могут иметь уязвимости в механизмах шифрования
• Подвержены атакам через облачную синхронизацию
• Возможен перехват при расшифровке
• Локальные файлы:
• Могут быть украдены вредоносным ПО
• Остаются в бэкапах системы
• Сохраняются в буфере обмена
• Антидетект-браузеры и сибил софт — no comments.

Компромиссным методом для цифрового хранения может стать разбиение сид-фраз на несколько частей и хранение в базе зашифрованных парольных менеджеров на разных устройствах, либо внешнем SSD хранилище. Но лучше всего бумага / ламинат / таблички, разделённые на несколько частей и помещенная в надёжные места.

Вредоносное ПО

• Кейлоггеры: Записывают все нажатия клавиш, включая ввод seed-фразы
• Скриншотеры: Делают снимки экрана при работе с кошельком
• RAT (Remote Access Trojans):
• Предоставляют полный удаленный доступ к компьютеру
• Могут подменять адреса в буфере обмена
• Перехватывают управление мышью и клавиатурой
• Стилеры:
• Специализируются на краже криптовалютных данных (кошельки, профили браузера, текстовые файлы и всё, где могут храниться ваши секреты)
• Сканируют систему на наличие файлов с ключами
• Могут извлекать данные из браузеров

Небезопасная генерация ключей

• Предсказуемые источники энтропии: Использование слабых генераторов случайных чисел
• Скомпрометированные генераторы: Модифицированное ПО, создающее предсказуемые ключи

2. Уязвимости программного обеспечения

Кошельки

• Поддельные версии:
• Распространяются через фишинговые сайты
• Имитируют официальные приложения
• Содержат бэкдоры для кражи ключей
• Уязвимости в Ledger Live:
• Я не нашёл случаев взлома кошельков Ledger или Ledger Live, но есть случаи проблем с приложениями, которые были добавлены в Live и вызвали потерю средств, причём не были сразу удалены, не смотря на жалобы пользователей.
• Мне не известны случаи, где удалось украсть приватный ключ непосредственно из Ledger или Keystone.

Браузерные расширения

• Фальшивые MetaMask/Rabby:
• Копируют интерфейс оригинальных расширений
• Крадут ключи при импорте
• Подменяют адреса при транзакциях
• Вредоносные обновления:
• Автоматическое обновление может установить скомпрометированную версию
• Подмена репозитория обновлений

Подмена транзакций

Может происходить как в результате заражения, так и просто спам специальной dust атакой с похожих на ваш адресов.

• Address Switching:
• Замена адреса получателя в момент копирования (видно в Rabby, если используете whitelist)
• Генерация похожих адресов (первые и последние символы совпадают) (видно в Rabby, если используете whitelist)

• Модификация данных транзакции на фишинговых сайтах:
• Добавление скрытых approve на крупные суммы (видно в Rabby)
• Подмена smart-контрактов (видно в Rabby)
• Подмена permit2 аппрувов даёт доступ хакеру к распоряжению вашими монетами (видно в Rabby)

Чаще всего на такие сайты вы попадаете по ссылкам, если начинаете общаться с фальшивыми агентами поддержки в Discord, Telegram. Также по рекламе из поиска в браузере также часто можно попасть на копии сайтов. Короче, пользуйтесь закладками в браузере и обращайте внимание на предупреждения Rabby.

3. Проблемы с аппаратными кошельками

Аппаратные кошельки надёжно защищают сид-фразу, но всё еще могут быть компрометированы.

Уязвимости прошивок

• Атаки при обновлении:
• Установка модифицированной прошивки из не надёжного источника. Обновляйтесь только при острой необходимости и только с официального сайта, указанного производителем.
• Физические атаки:
• Модификация устройства до продажи (были случаи). Никогда не покупайте кошельки в непроверенных местах или с рук. То же касается и кабелей.

Взаимодействие с ПК

Данные можно модифицировать на программном и аппаратном уровне, поэтому даже при использовании аппаратного кошелька нужно быть бдительным. Проверять данные на экране, использовать оригинальные кабели или технологию air-gapped, без кабеля.

• Компрометация интерфейса:
• Подмена данных при отображении на экране компьютера. Вы можете видеть верные данные для подписи в кошельке, но фактически аппаратный кошелёк получит другую транзакцию. Поэтому важно проверять данные на экране аппаратного кошелька. Для этого лучше подходят кошельки с большим экраном и поддержкой EIP-712: например Keystone 3 PRO.
• Манипуляции с USB-протоколом (смотри ниже).
• Man-in-the-Middle:
• Перехват коммуникации между кошельком и компьютером
• Модификация данных в реальном времени

Достаточная причина никогда не оставлять ноутбук без присмотра и не заряжать там чужие смартфоны?

Операционные риски

• Человеческий фактор:
• Невнимательная проверка деталей транзакции
• Спешка при подтверждении операций
• Сложность верификации:
• Длинные адреса затрудняют проверку
• Ограниченный экран устройства усложняет проверку данных

Социальная инженерия

Отдельно стоит выделить социальную инженерию. Человек втирается вам в доверие и вы перестаёте фильтровать поступающую от него информацию и сами запускаете присланный зловред в виде документа, PDF, или даже исполняемого файла.

Наиболее опасный вид атак это операция, где целью хакера является конкретный человек или компания. Если цель достаточно ≪жирная≫, в ход пойдут самые передовые методы. Это подогрев вас в течение недель и месяцев и использование уязвимостей 0day, которые не обнаруживаются антивирусом. Возможно это и аппаратные способы взлома, как те же кабели, скрытые камеры, жучки и хрен знает что ещё. Если вы являетесь такой крупной рыбой, вам лучше найти специалиста по безопасности и проконсультироваться с ним.

Рекомендации по безопасности ОС

Общая рекомендация независимо от ОС — не покупать компьютеры с рук, только новые, где ОС также установите вы сами (лицензионную). Также и перед продажей компьютера следует использовать специальный софт для надёжного удаления данных с диска множественным проходом.

Софт и расширения браузера ставить только необходимые и лицензионные, желательно из магазина приложений.

Если необходимо запустить софт не из магазина приложений, который может быть опасным или не вызывает у вас доверия, можно использовать программы виртуализации с отдельной ОС: VirtualBox, VMWare. Обе бесплатны для индивидуального использования. Минус — тормозят, не всё железо поддерживает виртуализацию.

Windows 11 Pro имеет встроенную песочницу Windows Sandbox, которая работает довольно шустро (если процессор поддерживает виртуализацию), права удаляет все данные после закрытия.

Альтернативой могут быть программы-песочницы Sandboxie (Windows) для безопасного запуска софта внутри ОС. Есть аналоги для Linux и Mac (Firejail). Берём на заметку, кидаем в закладки.

Windows

Windows 11 — самая актуальная версия на момент написания, содержит достаточно встроенных функций защиты. Необходимо их активировать и соблюдать правила цифровой гигиены.

1. Активировать расширенные функции Windows Defender:

• Изоляция ядра и памяти
• SmartScreen
• Controlled folder access
• Шифрование диска (Home) или BitLocker (Pro).

2. Использовать отдельный профиль браузера и пользователя без прав администратора в ОС для крипто операций.

3. Регулярные проверки на вредоносное ПО:

• Windows Defender и встроенный брендмауэр всегда включен и Windows Update регулярно должен накатывать обновления;
• Malwarebytes для периодического дополнительного сканирования;
• Process Monitor для отслеживания подозрительной активности, если вы шарите.

MacOS

1. Базовая защита:

• FileVault encryption
• Использовать только App Store или проверенные источники

2. Мониторинг:

• Little Snitch для контроля сетевой активности и подписей приложений
• LuLu брандмауэр для блокировки неавторизованных соединений

3. Безопасность системы:

• Регулярные обновления
• Отдельный пользователь для крипто операций
• Блокировка неиспользуемых портов

Хакеры могут взламывать не только ваш компьютер, но и компьютер разработчиков приложений. Поэтому с обновлением программы может прилететь что-то нежелательное и даже антивирус не сможет это определить. Поэтому 100% защиты нет и нужно минимизировать количество программ и максимизировать количество мер противодействия утечке данных.

Зловред может находиться в системе месяцами, а то и годами, никак не проявляя себя. Любые ваши данные и кошельки могут быть уже компрометированы.

Linux

Ну это лучше меня разбираются

Четыре шага по улучшению безопасности прямо сейчас

1. Аппаратное обеспечение:

• Приобрести hardware кошелек (Ledger или Keystone) в надёжном месте и создать новую seed фразу прямо в нём
• Keystone предпочтительнее, так как не требует подключения к компьютеру и имеет наглядное представление операций
• Использовать Safe мультисиг 2/3 для крупных сумм (для одного из ключей вполне подойдет хороший смартфон с чипом безопасности, такой как Samsung серии S с чипом Knox, Google Pixel, iPhone).

Важно помнить что адрес Safe кошелька может быть новый в каждой сети, где вы его развёртываете. Лучше выбрать какую-то одну сеть, где вы будете им пользоваться чтобы не запутаться. Safe также можно добавить в Rabby как обычный кошелёк. Даже если будет компрометирован или утерян доступ к одному из ключей, его можно заменить.

2. Операционная система:

• Включить все рекомендованные настройки безопасности
• Создать отдельный профиль для крипто операций без админских прав и лишних программ и сервисов

3. Практики безопасности:

• Установить программу для хранения паролей Keepass XC, 1Password.
• Придумать надёжный метод хранения seed-фраз
• Проверять каждый символ адреса при транзакциях
• Установить Rabby и настроить whitelist для адресов CEX и тех, с которыми часто работаешь

4. Цифровая гигиена

• Создать отдельный электронный адрес для самых важных писем и привязки критичных сервисов. Этот адрес никто не будет знать.
• В Apple ID можно создавать дополнительные адреса хоть под каждый сервис.
• В Microsoft аккаунтах можно добавить псевдонимы своей учётки. Это дополнительные адреса почты, которые привязаны к основному аккаунту MS. Создаются в разделе Управление входом в службы Майкрософт. Потом можно все адреса добавить к себе в Outlook.
• Для одноразовых активаций подойдет одноразовый почтовый сервис от AdGuard.
• Посмотреть видео по настройке Х и Telegram в конце статьи и выполнить настройки.

Действия при взломе

Надеюсь что этот раздел вам никогда не пригодится!

В случае если вы поняли что вас взломали и украли приватные ключи (средства утекают с кошелька в разных сетях или вы сами раскрыли свои секреты). В ином случае, если только в одной сети, то возможно вы просто подписали scam approve. В этом случае можно просто снять аппрувы через Rabby или сервис https://revoke.cash/ru

1. Немедленные действия:

• Отключить компьютер от интернета;
• Создать новый кошелёк с безопасного устройства и перевести все оставшиеся активы;
• Обратиться к специалисту по цифровой безопасности чтобы сохранить все логи и доказательства для определения способа компрометации данных (опционально).

2. Подача заявлений и маркировка адресов хакера для блокировки на CEX:

• Местная полиция (киберпреступления)
• https://www.chainabuse.com/report
• https://amlbot.com/reclaim-crypto
• Обращение в волонтёрскую организацию @seal_911_bot

3. Специализированные сервисы:

• CipherBlade (https://cryptoforensic.com/)
• MistTrack (https://aml.slowmist.com/en/mistTrack.html)
• StarCompliance.io

Антидрейн

Для того чтобы спасти то, что находится в локах, стэйкингах, а также остатки первее хакеров, может понадобиться антидрейн-сервис. Программист настраивает программу, которая отправляет транзакцию с максимальным приоритетом в нужный момент. Обычно это платная услуга, за процент от спасённых плюс газ.

Опции:

Частные специалисты. Спрашивайте рекомендаций в чате, вам порекомендуют куда обратиться.

Пример услуг: https://t.me/n4z4v0d/1055 или https://t.me/antidrain_cryppi

Whitehat спецы. Форма от Flashbots, если остаток от $1000 (комиссия 10%):

https://noteforms.com/forms/flashbots-whitehat-intake-form?notionforms=1

Изучить вопрос самостоятельно. Если у вас сумма меньше $1000 или вы любите сами во всём разбираться. Начать можете с ролика Flashbots 1 и 2.

Полезные ресурсы

Документация и гайды:

1. Если вас заскамили от Officer CIA - этот блог рекомендую почитать, там очень много гайдов по безопасности
2. Настройка безопасности и приватности Windows 11
3. Настройка X, Telegram для защиты от угона и взлома

Инструменты безопасности:

🔐 Keepass XC для некритичных паролей. Тут можно настроить расшифровку не только паролем, но и пароль + файл, которым может быть что угодно, хоть песня Олега Газманова в mp3, так что никто и не узнает как его расшифровать кроме вас. https://keepassxc.org/

📱Hardware wallets (Ledger, Keystone). https://keyst.one/

🔢 Работа с seed фразами и приватными ключами. Полезный тул по разбиению ключей/фраз на части при помощи Shamir Secret. Использовать локально без подключению к интернету. https://iancoleman.io/shamir/

💧 Drops Telegram Bot для настройки уведомлений о транзакциях на своих кошельках. Система раннего предупреждения и просто мониторинга. @fomo

Где и как безопасно хранить криптовалюту

Повторим материал.

1. Хранение крупных сумм:

• Использовать мультисиг - самый надёжный метод, но не самый удобный для ежедневного использования
• Разделять рабочие средства между несколькими кошельками с разными сид фразами и аппаратным кошельком
• Завести отдельный ноутбук для работы с криптой

2. Ежедневные операции:

• Использовать кошелёк Rabby вместо MetaMask (мой видео обзор)
• Отдельные кошельки для разных целей
• Тщательная проверка адресов
• Использование whitelist

3. Общие правила:

• Никогда не хранить seed-фразы в открытом или слабо шифрованном цифровом виде
• Не использовать б/у компьютеры для крипто операций
• Регулярно обновлять ПО и проверять безопасность
• Всегда использовать разные пароли высокой сложности
• Использовать непубличный адрес почты для крипто бирж и сервисов
• Всегда настраивать 2FA во всех сервисах через приложение с кодами типа Authy, что лучше чем SMS.

Контент

1. Подкаст с профи по инфо безопасности Илья Суслин
2. Поиск в моём канале по тэгу #безопасность