Как хакеры крадут биткоины

Как украсть биткоин? Рабочие методы и схемы

Популярность криптовалют растет, а с ней и их курс. Логично, что такой ценный актив привлекает внимание злоумышленников. Держатели криптовалюты не зря интересуются вопросом: «Как украсть биткоин?», чтобы уберечь свои сбережения. Никто не хочет пострадать от мошенников. Представьте ситуацию, что вы несколько лет копили сбережения для покупки 1 BTC. И вот, монета в вашей собственности, но спустя пару дней вы теряете все из-за действий мошенников. Чтобы подобного не случилось, рассмотрим, можно ли украсть биткоин.

Две стороны безопасности биткоина

Биткоин не имеет физической сущности, а значит — его нельзя украсть подобно деньгам. Мошенник не может на улице вытащить из кармана у жертвы цифровые монеты. Доступ к кошельку можно получить только при наличии двух ключей: частного и публичного.

При должной аккуратности мошенники не смогут украсть биткоины, вообще никак. Но они ухищряются вводить в заблуждение пользователей, и обманным способом получать их личные данные. Речь идет о доступе к аккаунтам на обменных биржах, краже приватных ключей, денежных вымогательствах, призыв к участию в сомнительных проектах.

Как технология биткоина защищает ваши средства

Вы можете представлять ВТС как деньги, которые спрятаны в сейф. Хотите ли вы лично управлять этим сейфом или предпочтете, чтобы третья сторона делала это за вас? Обычно инвесторы выбирают второй вариант, покупая и храня биткоины на сервисах вроде Coinbase. Это разумный вариант, поскольку такие сервисы полагаются на функции безопасности, встроенные в биткоин (вы бы тоже полагались на них, если бы хранили токены самостоятельно).

Другой вариант — завести себе биткоин-кошелек. Это влечет за собой создание двух строк из клавиатурных символов: открытого и закрытого ключей. Вы можете считать, что открытый ключ — это месторасположение вашего сейфа, куда можно положить цифровые монеты, а закрытый ключ — секретный способ открыть хранилище, поэтому вы должны хранить этот набор символов в тайне.

Биткоин сконструирован так, что невозможно угадать или сгенеировать закрытый ключ. Никто не может взломать ваш кошелек. Единственный способ, при котором биткоины могут быть украдены, состоит в том, чтобы вор обманом заставил вас предоставить доступ к кошельку.

Распространенные способы украсть биткоины

Одна из особенностей Биткоина состоит в том, что каждый держатель криптовалюты сам несет ответственность за свои финансы. Никто не может диктовать владельцу монет, куда потратить деньги или кому их отправить. Нет никакой цензуры, только полная финансовая свобода. Однако, за все нужно платить. Если вы потеряете свои биткоины, отослав их кому-то по ошибке или если они будут украдены, то вернуть их не получится – средства будут утеряны навсегда.

Киберпреступники становятся все более искусными и находят новые пути и решения, чтобы украсть честно заработанные ВТС у пользователей. Те, кто пользуется криптовалютами уже не первый год, редко становятся жертвами мошенников. Цель злоумышленников – новички, которых легко обмануть, пообещав огромную прибыль за короткий срок.

Популярные способы кражи биткоинов:

1. Программы-вымогатели

Один из самых прибыльных способов мошенничества – использование вредоносной хакерской программы с требованием выкупа. Программы-вымогатели отнюдь не новый способ кражи, но Биткоин сделал их популярными среди хакеров, благодаря высокой эффективности своей децентрализованной платежной системы.

Программа-вымогатель — это вирус, который зашифровывает часть или все файлы на компьютере. Затем программа предлагает владельцу ПК заплатить выкуп. Обычно жертвой таких атак становятся компании или организации, которые не могут позволить себе выпасть из работы надолго. Но не стоит обольщаться, жертвой мошенничества может стать любой пользователь. Зашифрованные такими программами файлы не поддаются самостоятельной дешифровке.

Чтобы не стать жертвой программы-вымогателя, делайте резервные копии важных файлов, не открывайте и не скачивайте на свой компьютер подозрительные архивы и приложения. Скачайте качественное антивирусное ПО для защиты ПК.

2. Фальшивые кошельки

Этот метод не так популярен, однако уже немало пользователей стали его жертвой. Фальшивые кошельки – это сайты или мобильные приложения, которые выглядят так же, как и настоящий кошелек. Обычно мошенники используют логотипы и названия существующих сервисов, чтобы обмануть пользователей. Такие приложения даже появлялись в App Store, успешно пройдя его процедуру проверки.

Чтобы защитить себя, скачивайте кошельки только из надежных источников, например, официального сайта, и тщательно проверяйте приложения, которые вы устанавливаете из App Store или Play Market.

3. Фишинг

Фишинг – способ кражи информации, основанный на социальной инженерии. Чаще всего для этих целей используются электронная почта и фальшивые сайты. Мошенники пытаются вынудить жертву поделиться с ними информацией об их биткоинах, например, просят указать логин и пароль к онлайн-кошельку. Такие запросы приходят в электронных сообщениях, которые выглядят как официальное письмо. Одним из примеров фишинга является фальшивый сайт blocklchain[.]info.

4. Браузерное расширение

Некоторые браузерные расширения предлагают улучшить интерфейс на криптовалютных биржах. Но они не сообщают, что параллельно с этим записывают все ваши данные. Лучше терпите неудобный интерфейс, он, по крайней мере, будет безопасным.

Совет: воздержитесь от загрузок криптовалютных расширений. Пользуйтесь браузером в режиме «инкогнито» и в любом другом режиме, при котором браузерные расширения отключены. Также для работы на бирже вы можете использовать блокчейн-браузер Brave. Он имеет встроенный криптовалютный кошелёк и позволит вам чувствовать себя в безопасности при торговле на бирже.

5. Фейковые рекламные объявления в Google и других сетях

Это распространенная мошенническая тактика. В данном случае хакеры могут украсть ключи с помощью рекламы, всплывающей под ваши запросы в поисковиках. Важный совет: читайте адрес сайта несколько раз, прежде чем кликать по нему.

6. Кража криптовалюты с помощью электронной почты

Вы можете получить письмо от знакомой вам компании, но по факту это письмо будет отправлено хакерами. Стоит иметь в виду, что мошенники могут использовать тот же шаблон, формат, дизайн. Поэтому никогда не переходите по ссылкам из электронной почты вслепую.

7. Финансовые пирамиды

Известный случай — OpenCoin, который позиционировался как крупный проект, а на практике оказался площадкой для выманивания средств у доверчивых владельцев криптовалюты. У сервиса не было ничего — ни blockchain, ни сообщества участников криптовалютной сети. При этом создатели проекта уверяли людей в перспективности вложений.

Нельзя инвестировать деньги по рекомендации знакомых. Точнее, принимать информацию к сведению необходимо, но думать желательно только своей головой. Не стоит верить в красивые рассказы, купленные отзывы или нарисованные графики, отражающие потенциальный рост прибыли.

Если вас уговаривают вложить средства в какой-либо проект — это явный и главный признак финансовой пирамиды. Потенциальные клиенты заманиваются стандартным обещанием максимальной прибыли при минимальном риске. Выплата процентов происходит за счёт новых вкладчиков. Как только приток пользователей останавливается, прекращаются платежи, а проект и вовсе исчезает. Чтобы избежать таких рисков, покупать Биткоин рекомендуется только через известные биржевые площадки.

Что делать, если украли Биткоины с кошелька и как защитить средства?

Проблемы с воровством криптовалюты могут коснуться всех пользователей Сети. К сожалению, вопрос — что делать, если украли Биткоины с кошелька, больше риторический. Вернуть монеты, если неизвестна личность злоумышленника, невозможно. Исключением являются случаи, когда пострадавшему удалось узнать имя вора, или проблема возникла из-за взлома биржи. Чтобы сохранить репутацию, криптобиржи стараются возвращать деньги пользователям.

В остальных случаях пользователи должны сами защищать криптовалюту от кражи. Выделим основные аспекты:

1. Осторожный переход по ссылкам. Чтобы защитить деньги, нельзя переходить по подозрительным URL (ссылкам), которые приходят в чатах или на почтовые ящики. Мошенники часто делают поддельные сайты, которые ничем не отличаются от настоящих. После ввода информации на таком ресурсе сведения (в том числе личные ключи) могут оказаться в руках злоумышленников.
2. Установка надёжных паролей на кошельках. Важно использовать защитный код, который трудно взломать. Не стоит применять дату рождения, имена своих родственников и прочие пароли, которые легко вычислить логическим путём.

Применение надежной антивирусной системы и её обновление. Большинство краж Биткоинов осуществляется с помощью вирусов.

Использование безопасного соединения. Один из способов защиты — применение защищенного Wi-Fi. Лучше подключаться через домашнюю сеть, пароль от которой больше никому не известен.

Хранение секретных ключей в офлайн-режиме. Можно распечатать ключ на бумажном носителе или выбрать CryptoHex (одно из новшеств криптоиндустрии). В отличие от бумажного носителя, CryptoHex не получится уничтожить, ведь изделие изготовлено из металла, оно не боится влаги и огня.

Защита Биткоинов — задача, которая ложится на плечи владельца. 99 % взломов и краж криптовалюты происходит по вине самого хозяина средств, его халатности и невнимательного отношения к безопасности. При этом технология блокчейн находится на этапе развития и в будущем есть надежда, что уровень защиты криптовалюты возрастает.

Источник

Украсть невозможное Статьи редакции

Как хакеры воруют криптовалюту

2 августа 2016 года курс биткоина по отношению к доллару упал на 20%. Если в 19:30 один биткоин стоил $560, то в 23:54 уже $480. Причиной падения стала одна из крупнейших по размеру краж за всю историю существования криптовалюты — хакеры украли с гонгконгской биржи Bitfinex 119 756 биткоинов, что равносильно $60 млн.

Криптовалюту, само определение которой связано с безопасностью и анонимностью, воруют уже не впервые. Обозреватель vc.ru рассказал о самых крупных аферах, связанных с воровством криптовалюты, и попробовал разобраться, как хакерам это удаётся.

В 2007 году американский предприниматель Джед Маккалеб приобрел домен Mtgox.com. Его идея заключалась в том, чтобы сделать Mtgox торговой площадкой по покупке и продаже карт для настольной игры Magic: The Gathering. В 2010 году Маккалеб переориентировал сайт, сделав из него биржу для торговли биткоинами.

В 2010 году популярность биткоина только набирала обороты, однако желающих купить или продать криптовалюту было много. Когда через биржу Маккалеба начали проходить десятки тысяч долларов, он понял, что бизнес стал слишком велик и он не может им управлять.

Маккалеб продал биржу Марку Карпелесу — 28-летнему программисту, который жил в Японии с женой и ребёнком. Wired пишет, что Карпелес был увлечен биткоинами. Предприниматели познакомились на онлайн-форуме — там Карпелес был известен под ником Magicaltux (волшебный смокинг). Карпелес начал переписывать программную часть биржи, и к 2013 году, когда цена биткоина возросла с $13 до своего пика в $1200, Mt.Gox стала самой крупной площадкой по торговле биткоинами.

Самое крупная кража в истории

Несмотря на успех — к маю 2013 года на бирже ежедневно торговалось до 150 тысяч биткоинов — Mt.Gox постепенно превращалась в хаос. Осенью 2013 года федеральные агенты США взыскали с банковского счета компании $5 млн, так как Mt.Gox не была зарегистрирована как финансовый посредник. В это же время Coinlab — бывший партнер компании — подал на Mt.Gox в суд, требуя $75 млн. В судебном иске было сказано, что Mt.Gox нарушила условие соглашения с Coinlab и продолжала осуществлять торговлю в США и Канаде.

Эти проблемы привели к сбоям в работе биржи, в частности, американские пользователи ждали месяцами, чтобы вывести средства. В конечном итоге, Mt.Gox упала с первого места в списке самых популярных бирж на третье.

В феврале 2014 года Mt.Gox остановила вывод денег с биржи. 10 февраля в пресс-релизе компания заявила, что «пытается прояснить технические тонкости обмена валют». Работа биржи была остановлена на две недели, а Марк Карпелес отказывался давать какие-либо комментарии.

24 февраля Mt.Gox прекратила обрабатывать любые операции, и через несколько часов сайт перестал работать. Примерно в это же время прессе стал доступен внутренний документ компании, в котором объяснялась причина сбоев — в течение нескольких лет с биржи были украдены 744 408 биткоинов. Впоследствии компания нашла 200 тысяч украденных биткоинов на старом кошельке, созданном в 2011 году.

Украденные биткоины эквивалентны $460 млн. Кража, которая является одной из самых крупных в истории осталась, нераскрытой. Кроме того, в ней много нестыковок.

По версии Mt.Gox, хакеры использовали баг в системе транзакций, который существовал с первого дня работы биржи, и незаметно переводили небольшие суммы денег на свои счета.

Впечатляющий объём украденных средств вряд ли был незаметен. Мошенники украли 744 тысячи биткоинов — это примерно 6% всей существующей валюты. «Даже самый небрежный аудитор заметил бы такое количество средств, утекающее со счетов Mt.Gox», — пишет The Verge.

Среди интернет-пользователей даже появилась теория заговора о том, что кражу совершил один из сотрудников биржи. Никто не обвинял владельца Mt.Gox Марка Карпелеса — биржа была его детищем — однако в ней работали еще 18 человек, один из которых мог обнаружить баг и воспользоваться им.

Если мы когда-нибудь найдем этих воров, то лишь используя старые добрые инструменты системы правосудия.

— редактор The Verge Рассел Брэнд

С 2014 года дело Mt.Gox расследует тот же прокурор, который занимался делом Росса Ульбрихта, обвинённого в создании интернет-магазина наркотиков Silk Road.

В мае 2016 года биткоин-биржа Kraken объявила, что возместит бывшим пользователям Mt.Gox $91 млн. «После заявленного Mt.Gox банкротства был запущен процесс возврата средств клиентам биржи. Заниматься этим было поручено японскому попечителю Нобуаки Кобаяси и бирже Kraken», — пишет издание Bits Media. Кобаяси заявил, что «было рассмотрено более 24 тысяч жалоб и многие из них были удовлетворены».

$47 млн эфира

Кража биткоинов с биржи Mt.Gox была самой крупной, но далеко не единственной. В июне 2016 года злоумышленники похитили 3,5 млн единиц эфира. Цифровую валюту Ethereum в 2013 году создал российский разработчик Виталик Бутерин.

Как и биткоин, эфир — это децентрализованная валюта, построенная таким образом, что сторонние организации могут контролировать её части. Одной из таких организаций является DAO (Децентрализованная автономная организация), контролирующая примерно 10 млн эфира, что равняется $132,7 млн. В пятницу 16 июня злоумышленники нашли уязвимость в программном обеспечении DAO и смогли похитить 3,5 млн эфира. Курс Ethereum сразу же упал с $21,50 за единицу до $12. По новому курсу украденная сумма равняется $47 млн.

Децентрализованная структура Ethereum не позволяет принимать серьезные решения одному человеку или организации — все изменения вводятся за счет голосования. Основатель Ethereum Виталик Бутерин предложил «софт форк» — решение, которое заморозит все украденные средства на счете мошенника. Это решение практически единогласно поддержало сообщество.

20 июля 2016 года большая часть сообщества проголосовала за «хард-форк» — еще одно решение, целью которого было обновление протокола и миграция на новый блокчейн. После объявления о хард-форке сторонние разработчики анонсировали проект Ethereum Classic. Его целью было сохранить первоначальный блокчейн. Координатор Ethereum Classic известен под ником Arvicco и живет на территории России.

«Развитием событий в эфириум-сообществе были недовольны многие, но никто ничего не предпринимал, и тогда активные майнеры, трейдеры, разработчики и просто криптоэнтузиасты, собравшиеся вокруг нашего сайта, решили, что нужно брать инициативу в свои руки. Так зародилась идея проекта Ethereum Classic, и теперь к нам присоединяются единомышленники со всего мира», — рассказал в интервью изданию Bitnovosti Arvicco, по совместительству руководящий этим изданием.

Вину за кражу сообщество возложило на DAO. «По сути, мошенник просто использовал уязвимость в неправильно написанном коде. Программисты, которые его писали, должны нести ответственность», — считает один из членов сообщества.

Одним из решений, которое предложило сообщество, был откат базы Ethereum на несколько часов назад, однако это затронуло бы не только мошенническую операцию, но и все остальные сделки. «Нельзя просто откатить Ethereum назад, это приведет к хаосу. Вина полностью лежит на DAO и я предлагаю просто дать организации утонуть — Ethereum сможет восстановиться», — рассуждает другой член сообщества.

Последняя капля

Между активными сторонниками криптовалют часто возникают дискуссии о том, какая валюта лучше. Злорадство биткоин-энтузиастов по поводу взлома Ethereum не продлилось долго. 2 августа 2016 года злоумышленники взломали гонгконгскую биржу Bitfinex, похитив 119 756 биткоинов. На момент взлома эта сумма равнялась $72 млн, однако курс биткоина просел практически сразу — с $600 до $460 — и она снизилась до $60 млн.

Система безопасности Bitfinex имела серьёзную уязвимость. В качестве попечителя биржа использовала компанию BitGo. Ключи от кошельков хранились на серверах биржи и BitGo, третья же копия находилась в хранилище без доступа к интернету. Пользователи могли снять деньги лишь в том случае, если у них не было никаких задолженностей. Forbes пишет, что такая концепция похожа на эскроу — когда две стороны сделки доверяют средства эскроу-агенту и тот возвращает их, если все условия сделки были выполнены.

Однако злоумышленники смогли обойти защиту BitGo и получить доступ к тысячам кошельков клиентов. Им также удалось переписать алгоритмы BitGo, сняв ограничение на сумму выводимых средств.

Средства были перечислены на тысячи кошельков за короткий промежуток времени, а Bitfinex была абсолютно бессильна.

— колумнист Forbes Фрэнсис Коппола

Через несколько дней после кражи Bitfinex решили уравнять потери всех пользователей, сняв 36,067% биткоинов с каждого кошелька. Разумеется, решение биржи было воспринято со скепсисом. Представители Bitfinex добавили, что ищут инвесторов, которые будут готовы возместить потери, однако добавили, что «такие вопросы, обычно, занимают время».

Банкир и колумнист Forbes Фрэнсис Коппола (однофамилица американского режиссёра — прим. ред.) считает, что кража была спроектирована самой биржей. «Неудивительно, что BItfinex винят всех, кроме себя. Я могу ошибаться, но мне кажется, что кража была спланирована и осуществлена кем-то из Bitfinex», — пишет Коппола.

В качестве доказательства своим словам Коппола приводит схему процедуры перевода средств. Bitfinex хранит деньги каждого пользователя на отдельном аккаунте. Каждый из них защищен тремя ключами: двух ключей достаточно для перевода средств. Один ключ хранится у пользователя, второй у Bitfinex и третий у BitGo.

Однако у биржи есть специальный API, который отправляет программный запрос на перевод средств BitGo. «Поэтому взлом биржи означает, что злоумышленник имел один ключ от каждого кошелька и доступ к API, которое отправляет запрос на перевод от Bitfinex», — пишет Коппола.

Колумнист резонно замечает, что такая схема развязывает руки хакерам, и либо создатели биржи «чрезвычайно наивны», либо каким-то образом замешаны в краже. В мае 2015 года Bitfinex уже взламывали. Тогда злоумышленники похитили полторы тысячи биткоинов — примерно $330 тысяч.

Последствия

После каждой кражи курс криптовалют заметно падает. Например, из-за кражи с биржи Bitfinex курс биткоина упал на 20%. Генеральный директор биткоин-биржи BitMEX Артур Хэйс отмечает, что такие инциденты не позволяют криптовалюте быть стабильной денежной единицей. Усугубляет ситуацию и то, что биржи криптовалют слабо регулируются государством, поэтому непонятно, когда и как пользователи смогут возместить свои потери и смогут ли вообще.

Основатель трейдинговой платформы Magnr Джо Ли считает, что долгосрочные перспективы криптовалют далеки от радужных. «Трейдеры следят за курсом биткоина, и в долгосрочной перспективе он слишком нестабилен», — говорит Ли.

Однако есть и противоположное мнение. Аналитик Тур Демистер не видит никаких знаков того, что рынок криптовалют наполнен и ожидает, что за следующий год курс биткоина заметно вырастет.

Неудивительно, что рынки криптовалют паникуют после каждого инцидента. В феврале 2016 года из Центрального банка Бангладеша были украдены $81 млн и это стало известно лишь в марте, когда кражу обнаружили государственные служащие. За кражей криптовалюты можно наблюдать, фактически, в реальном времени.

И хотя кражи случаются не так часто, отсутствие у обычного пользователя возможности что-то изменить, делает биткоин, эфир и их аналоги не самым лучшим вложением. «Если вы любите играть, криптовалюта — идеальный актив, однако если вы ищете альтернативу денежному инструменту, то лучше смотреть в другое место», — говорит профессор экономики Колледжа Льюиса и Кларка Эрик Тимон.

Источник