Не ждите кражи, чтобы прочитать это: Руководство по безопасности Web3

Автор: Ye Su

После кражи $1,5 млрд у Bybit, хакеры атаковали также заслуживающую доверия infini.

Несколько лет назад я также понес серьезные убытки из-за хакеров. Сегодня утром в компании проводится внутреннее обучение по безопасности, делюсь личным опытом и руководством по профилактике:

Новые способы преступлений за последние два года

1. Выдача себя за друга (Social Engineering)

Хакеры часто получают ваши закрытые ключи или сид-фразы, маскируясь под службу поддержки, известных лиц, друзей или предлагая инвестиционные возможности. Будьте бдительны и не нажимайте на незнакомые ссылки.

Это самая сложная для предотвращения атака. В нашей компании хакеры выдавали себя за нас в личных сообщениях Twitter/Tg. Хакеры обычно выдают себя за других, под предлогом назначения телефонного звонка или обсуждения инвестиционных возможностей, отправляют поддельные deck, ссылки Zoom и веб-сайты, чтобы внедрить вирусы.

2. Внутреннее проникновение

Ультимативный прием северокорейских хакеров, основанный на личном опыте основателя ведущего CEX. Хакеры отправляют резюме, устраиваются в компанию и работают скрытно, обычно в отделах управления активами, архитектурой безопасности или финансов. Через полгода они совершают внутреннее преступление.

3. Похожие адреса

Хакеры могут сгенерировать адреса с полностью совпадающими первыми 5 и последними 5 символами за несколько секунд, например, 10 адресов, начинающихся с 0x1234 и заканчивающихся на 56abc.

Хакеры обычно имитируют транзакции крупных кошельков, используя похожие адреса для фишинга. Обязательно проверяйте Txid и хотя бы 5-6 символов в середине адреса при переводе, лучше проверять на каждом шаге.

4. Общедоступный Wi-Fi

Избегайте использования общедоступного Wi-Fi, чтобы предотвратить кражу активов из-за вредоносного ПО или троянов. Через Wi-Fi можно напрямую взломать устройство. Будьте осторожны с Wi-Fi в отелях, на вечеринках и даже дома у других. Старайтесь чаще использовать свою точку доступа.

Формирование принципов

1. Принцип нулевого доверия

В мире блокчейна не стоит легко доверять кому-либо или каким-либо инструментам. Все транзакции и операции подписания должны проходить независимую проверку, чтобы убедиться в надежности источника.

Даже если ваш homie пишет в личные сообщения с просьбой авансировать деньги, подтвердите это с ним по телефону/видеосвязи/лично.

2. Мудрец не стоит под опасной стеной

Если есть слухи (о краже/дефиците), немедленно удалитесь от места возникновения риска. Сначала обеспечьте безопасность, затем рассматривайте другие вопросы.

Никогда не верьте в “слишком большой, чтобы обанкротиться”. Крах FTX, ArkStream и я избежали беды, потому что вывели средства в первый день.

Остальные базовые операции по профилактике вы можете найти в Руководстве по самозащите в темном лесу блокчейна от SlowMist.