Fare un piccolo sforzo per comprendere le minacce più comuni quando si sceglie e si gestisce il proprio wallet di criptovalute può aiutare a proteggere le proprie criptovalute nel tempo.
Quando si tratta di affrontare minacce diverse, non tutti i wallet di criptovalute sono uguali. Ogni wallet è progettato in modo diverso, per bilanciare la sicurezza con la facilità d’uso, la privacy e altre funzionalità richieste, che funzionano sempre contro la sicurezza. La sicurezza del wallet scelto è in gran parte il risultato della natura robusta (o della mancanza) del suo codice sottostante, che fa sorgere la domanda: “In che modo gli sviluppatori hanno aderito ai principi di sicurezza durante la progettazione del wallet ?”
Inoltre, le pratiche relative alla sicurezza della catena di approvvigionamento del tuo wallet, incluso il fornitore del wallet selezionato, insieme allo scambio di criptovaluta che usi, l’ambiente in evoluzione delle minacce informatiche e le tue abitudini di cyber-igiene combinate, influiscono molto sulla sicurezza generale. Sebbene queste considerazioni siano rilevanti per tutti i software e i dispositivi, gli utenti possono apprezzarne l’importanza in modo più acuto rispetto al proprio uso delle applicazioni finanziarie e al loro “denaro”.
Qui, ci concentriamo sui hot e cold wallet, sulle minacce che circondano il loro utilizzo e su alcuni consigli.
La maggiore privacy per gli utenti del portafoglio di criptovaluta favorisce la sicurezza
Dovrebbe essere chiaro che, a differenza del classico portafoglio in pelle, un portafoglio di criptovaluta in realtà non conserva i tuoi soldi. Piuttosto, un wallet contiene la chiave privata che ti consente di controllare le tue monete e token virtuali per effettuare transazioni in una blockchain.
Molti wallet utilizzano un framework deterministico gerarchico (HD) per la gestione di chiavi e indirizzi di wallet. In questo framework, un seme principale univoco viene utilizzato per generare più coppie di chiavi pubbliche-private insieme agli indirizzi del wallet in modo che un indirizzo diverso possa essere utilizzato ogni volta che si effettua una transazione.
Effettuando costantemente transazioni con un indirizzo di wallet diverso, diventa più difficile per chiunque guardi la blockchain pertinente associare tutte le tue transazioni a un’unica fonte, migliorando così la privacy. Sebbene il guadagno in termini di privacy abbia un effetto positivo per la sicurezza, da solo non è sufficiente per la sicurezza.
Hot wallet collegati agli ecosistemi di computer odierni: è necessaria molta fiducia
Quando Binance ha subito un hack di uno dei suoi hot wallet nel maggio 2019, i trader di criptovalute sulla piattaforma hanno perso fino a un totale combinato di 7.000 bitcoin insieme a codici di autenticazione multifattoriale (MFA) e chiavi API. La perdita dei codici MFA è particolarmente dannosa per la protezione degli utenti e comporta un costo potenzialmente elevato per le aziende quando a volte non è sufficiente proteggere i dati. Fortunatamente per la sua clientela, Binance l’anno prima aveva istituito il Secure Asset Fund for Users, un fondo che raccoglie il 10 percento di tutte le commissioni di trading in un cold wallet, da cui rimborsare le vittime di un attacco di questo genere.
Questo hack dimostra anche come un punto debole di un hot wallet risieda proprio nel suo stato di “sempre connesso a Internet”. Gli hot wallet sono membri affiatati degli ecosistemi informatici odierni soggetti alle stesse minacce e necessitano di cautela.
Ciò significa che le minacce ai portafogli possono sfruttare le solite cattive abitudini degli utenti di Internet – riutilizzare password facili da indovinare, fare clic con noncuranza sui collegamenti, non riuscire a eseguire aggiornamenti o scaricare software “gratuito” tramite torrent – e distribuire il tipico malware progettato per rubare , come app false, keylogger e clipper.
Clippers: i tuoi appunti sotto attacco
Un clipper è un tipo di malware che sostituisce segretamente il contenuto degli appunti per sfruttare la comune azione di copia e incolla. Con questa strategia, il contenuto copiato, ad esempio, l’indirizzo del tuo portafoglio, viene sostituito con contenuto malintenzionato (l’indirizzo del portafoglio dell’aggressore) quando incolli.
Il primo clipper Android mai rilevato nel Google Play Store – Android / Clipper.C – si presentava come un’app chiamata MetaMask, una piattaforma per l’accesso alle app decentralizzate costruite sulla blockchain di Ethereum. Android / Clipper.C ha scambiato gli indirizzi dei portafogli Bitcoin ed Ethereum copiati negli appunti con quelli appartenenti agli attackers.
Lo stesso trucco, rimasto inosservato per anni, è stato utilizzato da una versione trojan di Tor Browser. Gli utenti interessati alla privacy che sono stati ingannati nel scaricare questo Tor Browser con trojan sulle loro macchine Windows, hanno sostituito di nascosto i loro indirizzi di portafoglio Bitcoin ogni volta che hanno visitato particolari mercati darknet per effettuare transazioni. Ciò ha permesso ai creatori di questo malware di rubare almeno 4,8 bitcoin.
Pagine di accesso false: avresti potuto ingannarmi!
Non è insolito che sviluppatori malintenzionati forniscano versioni di wallet mobile di app di wallet desktop popolari o per scambi di criptovaluta noti. L’idea alla base di questi tipi di campagne dannose è di colmare il vuoto lasciato dai marchi familiari in criptovaluta e attirare più potenziali vittime. Nel caso in cui un’app mobile legittima sia già offerta da un marchio, la versione falsa dell’app tenta di farlo rubare i clienti che stanno cercando il vero affare ma che probabilmente non sono consapevoli di una tale truffa.
Alle vittime che scaricano una di queste false app di wallet di criptovaluta viene spesso presentata una pagina di accesso che è phishing per chiavi private o frasi mnemoniche. Con anche solo una di queste informazioni in mano, gli operatori malintenzionati possono ottenere rapidamente il controllo del tuo portafoglio.
Un altro stratagemma utilizzato da queste app false è quello di presentare alle vittime una chiave pubblica per il “tuo” nuovo wallet, presentata come testo copiabile e / o un codice QR scansionabile. Le istruzioni sono semplici: “Invia le tue monete nel tuo nuovo portafoglio!” Il problema è che non hai la chiave privata, gli operatori del malware sì. Dopo il trasferimento, saluta le tue monete. Alcune app fasulle alzano la posta offrendo portafogli che “gestiscono” più criptovalute per il trading in uno scambio: uno stratagemma perfetto per immergersi in più di uno dei tuoi wallet. Il falso Trezor Mobile Wallet, ad esempio, offriva un portafoglio per ciascuna criptovaluta supportata – 13 portafogli in totale – presentando alle vittime più chiavi pubbliche per “coprire le loro diverse esigenze crittografiche”.
Infine, ci sono app mobili dannose che tentano di sovrapporre schermate di accesso false su wallet legittimi o altre app finanziarie. Fortunatamente, tramite Banking & Payment Protection, ESET Mobile Security impedisce alle app di sovrapporsi alle schermate delle tue app finanziarie. Ovviamente, i trucchi utilizzati con le app mobili false si applicano allo stesso modo su tutta la linea alle app desktop false, così come ai siti di phishing fatti per apparire come vere pagine di accesso al tuo portafoglio online preferito.
