SIM卡交换攻击盗币猖獗，比特币从业者如何自保？

来源 | bitcoinmagazine

作者 | David Hollerith

译者 | 泓技

出品 | 区块链大本营

使用电话号码进行身份验证是一种不怎么可取的安全认证方法。将比特币交给提供加密货币交换或借贷等服务的第三方也会降低安全性--“不是你的秘钥，则硬币不属于你”（not your keys, not your coins）是安全性建议，这点在Twitter和比特币圈内已广为传播。举个例子：在过去十年的大部分时间里，这两种做法的结合导致了越来越多的SIM交换攻击，最终导致盗窃比特币和其他加密货币的行为日益猖獗。

SIM卡交换是攻击者获得受害者无线电话帐户控制权的一种低成本、非技术性的方式。要发起攻击，黑客需要知道移动无线运营商如何验证身份以及有关受害者的某些信息。通常，得到受害者的一个电话号码就足够了。

现在，有明确的证据表明，美国大多数拥有无线运营商电话号码的人都容易受到SIM交换的攻击。如果你持有不想被盗的比特币，这一事实可能会更加令人痛苦。

SIM卡交换的兴起

由哈佛大学计算机科学系和普林斯顿大学信息技术政策中心的教授和博士组成的联合研究小组在2020年1月发表的一项经验研究中证明了潜在的SIM交换的日益增加。

普林斯顿大学副教授，论文的作者之一阿文德·纳拉亚南（Arvind Narayanan）在推特上总结道： “攻击者打电话给你的载体，假装是你，并要求将服务转移到新的由攻击者控制的SIM卡上。这已经够糟糕了，但是数百个网站还在使用SMS (Short Message Service短信服务)进行两因素身份验证，使你的帐户处于危险之中。”

该研究测试了美国五家主要无线运营商的身份验证协议--AT＆T，T-Mobile，Tracfone，US Mobile和Verizon。SIM卡交换测试为每个运营商尝试10个不同的预付费帐户，经过测试之后，作者发现所有五个运营商都使用了被认为不安全的身份验证方法。

纳拉亚南表示：

“综合起来，这些发现有助于解释为什么SIM卡交换一直是一个持续存在的问题。”

更麻烦的是，SIM卡交换问题已经严重到在研究期间纳拉亚南的手机SIM卡都被交换了。当他打电话报告欺诈行为时，其运营商的客户服务部门在验证了攻击者之后就无法对教授进行验证。最后纳拉亚南通过运用研究成果来利用运营商的协议漏洞，从而重新获得了对无线帐户的控制。

幸运的是，纳拉亚南迅速做到了这一点。一旦攻击者控制了受害者的无线帐户，他们就有可能进行大量的破坏。如研究中所述，这在很大程度上是由于用户为在线访问数字资产设置的不安全的身份验证方法（例如基于SMS或基于呼叫的2FA，一旦攻击者可以访问你的无线帐户，这些方法就不安全）和安全性问题（涉及容易获取的公共信息，例如母亲的娘家姓）。此外，该研究还发现了17个网站，仅凭SIM交换就可以破坏用户帐户（此方法的基础来自twofactorauth.org数据集）。该研究发布后不久，T-Mobile告知作者，在对其进行审查后，它已停止使用“最近的号码”进行客户身份验证。

通过SIM交换盗取比特币

SIM交换已经进行了多年。许多SIM卡交换目标属于以下两个类别之一：拥有珍贵社交媒体帐户的名人，例如Twitter的首席执行官，杰克·多尔西（Jack Dorsey）或拥有大量加密货币的人。去年，在比特币牛市鼎盛时期，一些加密货币所有者就被进行了SIM交换。

2019年12月，加密货币记者和播客Laura Shin发布了一个播客片段，讲述了她作为最近的SIM卡交换受害者的经历。Shin并未遭到抢劫，但她的经历值得注意，因为她透露，尽管她之前曾在2016年报道过该主题并在几年前积极保护自己的帐户，但她仍然很脆弱。

最终，使比特币所有者比其他无线运营商客户更容易作为SIM交换目标的事实是，比特币交易记录在区块链上，因此它们不能被撤销。与无线帐户不同，当局要抓住被盗的比特币要困难得多（尽管可以通过区块链分析来追查）。

此外，与大多数在线银行账户不同，只有少数加密货币交易所（如Coinbase，Gemini，ItBit和Binance.US）由FDIC保险提供担保，该保险为会员银行中的存款提供最高25万美元的保险。当将比特币的价值视为一种去中心化的不可变资产时，这是很合理的。但这也意味着安全永远不应被视为理所当然。

正义之轮转得太慢

企业家和投资者迈克尔·特平（Michael Terpin）是高净值加密货币所有者，他与人共同创立了第一个针对比特币爱好者的天使基金，即Bitangels基金，他们都非常清楚这一宗旨。

>“正义之轮转得很慢，”特平在接受《比特币杂志》采访时说。

关于Terpin案的司法纠纷卷入了他于2018年8月针对AT＆T进行的2.24亿美元持续诉讼中。两次有组织的黑客交换了Terpin的T-Mobile和AT＆T帐户相关的SIM卡。据他介绍，第一次SIM交换后，一群攻击者“在波士顿的两家商店里互相殴打，以使我放弃这两个帐户的凭据。”

在进行了这些交换之后，黑客在Terpin开设的交换帐户中抢了一半多一点的比特币，“当时比特币大约是100美元。”

第一次SIM交换后，Terpin要求两个运营商提供更高的安全性。事实证明，AT＆T和T-Mobile各自提供了“高级配置保护选项”。但是，就像Terpin说的一样，当T-Mobile的店内验证“无端口”选项和AT＆T添加的六位数帐户密码都被证明无用时，2018年1月，一名新泽西AT＆T零售店的19岁员工出卖了Terpin的账户密码，以换取100美元的贿赂。

作为回报，这组攻击者盗窃了2400万美元的山寨币。

“是的，” Terpin说，“他们唯一能得到的就是山寨币，但那天它们恰好具有很高的价值。”

与比特币不同，Terpin被盗的山寨币（TRIG，SKY和STEEM）没有可用的钱包私钥硬件备份选项。

尽管Terpin的上一次SIM交换发生在两年多以前，但他说，每周都有一名新的SIM交换受害者与他联系，以寻求帮助。如果他们真想解决的话，他会将他们指向他的法律团队和加利福尼亚州的REACT工作组。

SIM卡交换盗贼的故事

Terpin还参与了针对Nicholas Truglia的民事诉讼，Nicholas Truglia是一名21岁的纽约市居民，被控通过SIM卡互换窃取2400万美元。Truglia最初被指控从硅谷高管兼StopSIMCrime.org的创建者Ross White 窃取了100万美元的加密货币。

Terpin 声称，在Truglia的另一次SIM欺诈保释听证会上的证据（一个iCloud备份文件）表明Truglia可能也是他2400万美元攻击背后的SIM卡交换者。在Terpin袭击的同一天，Truglia向家人和朋友发送了邮件，表明他从钱包中窃取了价值超过2000万美元的加密货币，并将其转换为比特币，他的生活永远改变了。尽管调查仍在进行中，但Terpin声称Truglia是由26人组成的分散式SIM卡交换小组的成员之一。

调查记者布莱恩·克雷布斯（Brian Krebs）将Truglia的案子与盗窃SIM卡交换者的其他几项逮捕，指控和刑罚结合在一起，对这些角色进行详细的描述。据克雷布斯说，他们都是男性，年龄在25岁以下。

2020年1月，一份报告指责18岁的加拿大居民Samy Bensaci对区块链研究小组负责人Don Tapscott实施SIM交换，所幸的是这未能成功。这个故事将加密货币社区中的许多SIM交换目标与其在纽约市举行的年度共识会议的出席联系起来。它还证实了Krebs的报告，该报告将SIM交换加密货币盗窃行为与名为OGUsers.com的在线论坛的用户相联系。

比特币和隐私专家Matt Odell说：“我认为每个人总是对年轻一代采用新技术感到措手不及。”他参与了多个项目，例如共同主持“地窖故事”播客。

就像大规模采用本身一样，比特币和相关的SIM卡交换盗窃的现象似乎是由年轻一代针对较原始系统的受害者发起的。

选择安全而不是方便

Webroot的安全分析师泰勒·莫菲特（Tyler Moffitt）表示：“围绕这项技术创造的法律总是落后的。”他指的是比特币所有者由于其无线运营商而处于独特的危险境地。“我看不出在未来五年内会出现[更严格的运营商消费者保护法]，到那时，黑客已经从SIM交换盗窃加密货币中赚了一大笔钱。”

莫菲特（Moffitt）是众多认为在权衡便利性和安全性时，人们将始终倾向于便利性的人之一。这正是无线运营商账户和整个美国社会被设计成的方式。

但是响亮的声音开始发出。2020年1月9日，美国六位议员签署了致美国联邦通信委员会（FCC）主席阿吉特·派（Ajit Pai）的一封信，他此前曾担任Verizon的总顾问。该信提倡加强针对无线客户的SIM交换欺诈保护，并指出了调查人员与REACT工作组就SIM交换总损失的声明：“他们已经知道3000多名SIM交换受害者，这造成了7000万美元的损失。“

这封信还解决了SIM卡交换黑客行为变得更加复杂的指控问题。现在，攻击者还通过欺骗或强迫零售员工在其计算机上以远程桌面协议的形式运行恶意软件，从而直接入侵无线运营商计算机中，而不仅仅是行贿。

信中写道：“你是否曾看到有关违规的报道……涉及对无线运营商的入侵，包括零售商店中的计算机以及客户服务代理商使用的计算机？”

更加严重的是，这封信的立法者和作者认识到，SIM卡交换盗窃对国家安全构成了非常现实的威胁。据称许多政府机构雇员使用不同级别的2FA。在这种假设下，有组织的黑客或民族国家行为者团体可以访问公共官员的电子邮件帐户，然后以几种严重的破坏性方式利用该访问权，例如从联邦紧急事务管理局的警报和警告中发出虚假的紧急警报。

Terpin在2019年秋季向FCC发送了类似的信，其中有更具体的要求。

他写道：“我建议FCC让所有美国运营商都收回其私密密码。”

这是无线运营商的核心安全故障–与银行，航空公司和酒店不同，这些机构的无线帐户的密码访问权限是基于是否具有密码而“通过”或“失败”，但运营商员工可以使用整个无线帐户的密码。主要是为了方便客户，当客户摔坏或丢失手机，然后急需返回我们的以移动设备为中心的世界时。但是，鉴于许多运营商商店，甚至以最大运营商名称冠名的商店，实际上都是第三方拥有和经营的，因此这种核心安全漏洞显得更加糟糕。

“不仅仅是电信公司的员工，” Yubico的首席产品官Guido Appenzeller说。Yubico是一家以发明YubiKey闻名的硬件安全公司。“每个第三方零售雇员都可以访问这些数据库。”

在某些地区，第三方零售运营商的最低时薪每小时低至10美元，很明显，这就是为什么零售零售商会以每100美元的价格泄露数千个帐户密码的原因。

保护自己免受SIM交换的影响应该是比特币文化的一部分

从一开始，比特币文化中就有一条深植其代码中的共同信仰—获得真正的自由意味着要承担个人，财务和技术责任的新高度。隐私和操作安全没有什么不同，通常我们不会为了方便而牺牲它们，但会在交易和借贷等牟利活动中丧失。总体而言，损失更多是提高比特币安全性的最佳动力，但重要的是不要以为你的行李不够大而成为盗窃的受害者。

打破常规是无线运营商未针对比特币用户进行优化的原因之一。大多数人不会成为SIM交换的目标，但是，根据Appenzeller的说法，如果有人“说有超过10,000美元的比特币钱包，SIM交换无疑在经济上对黑客有吸引力”。

还有一些更复杂，更容易获得的恶意软件攻击实例，它们绕过了基于应用程序的2FA，而无需进行SIM交换。其中包括使用冒名顶替者的仿冒网站，例如上次Binance黑客攻击中所使用的网站，以及危害更大的DNS劫持或中毒行为，通常由民族行为者用来从事间谍活动，例如海龟行动。

好消息是，有可用的技术可以防止SIM交换和更复杂的网络钓鱼攻击。大众消费者市场上最强大的2FA方法是U2F，即使用USB的两因素身份验证。Appenzeller表示，使用U2F消除了基于SIM卡的攻击的风险，并消除了“网络钓鱼和其他中间人攻击以及其他恶意软件攻击”。

他的公司Yubico与Google共同创建了U2F，并在其旗舰产品YubiKey中使用了U2F。这样，YubiKey相当于2FA的硬件钱包，并且在撰写本文时，还没有一个用户成为SIM交换相关盗窃的牺牲品。

如何避免SIM卡交换攻击

对于本文，我们与几位安全专家和比特币社区成员进行了交谈。根据这些信息，以下列出了为避免SIM卡交换攻击而应做的“不要做的事项”：

对于初学者和普通比特币用户

将比特币保存在硬件钱包中，并停止使用基于电话的2FA。

“请使用硬件设备和multisig保护你的私钥。不要使用基于浏览器的钱包，因为它们具有巨大的攻击面。请勿将基于硬件的2FA用于支持它的任何Web应用程序。不要使用SMS 2FA，也不要通过电话号码重置/恢复在线帐户。” -Jameson Lopp，比特币核心工程师

如果你不使用比特币进行交易，请不要将其保留在交易所中。请参阅此交易清单（https://bitcoinmagazine.com/articles/infographic-overview-compromised-bitcoin-exchange-events），这些交易所因黑客和其他恶意活动而丢失了客户的钱。

与你的电话运营商讨论加强安全性，并使用基于应用程序的身份验证器。

“你可以要求电话运营商提供更高的安全性。你不应该使用SMS验证器。使用Google Authenticator或Authy等身份验证应用。”

泰勒·莫菲特

对于使用无线电话帐户共享身份的任何人（我们大多数人）

重新访问你的无线运营商和其他在线帐户的安全策略。你可以尝试入侵自己的帐户来进行测试。Twofactorauth.org是一个不错的起点。

“从长远来看，我认为真正的问题是为什么我们仍然使用电话号码？检查你是否安全的最简单方法是尝试使用你的电话号码进入所有帐户，如果可以的话，你会遇到SIM卡交换漏洞。”

—马特·奥德尔

对于那些认为自己的比特币硬件钱包足够安全的人

结合使用密码管理器和你的比特币钱包。定期测试你的程序，即使它很简单。

“我正在使用密码管理器，这是一个很好的做法。与我一起工作的每个人都使用密码管理器。”

— Guido Appenzeller

“就密码/密钥管理而言，我使用多个加密USB备份的可靠密码管理器。房屋外面至少一个备份（和房屋内至少一个备份）。我总是在旅行时携带一份副本，偶尔与我的妻子和另一个兄弟一起进行测试和设置浏览。我的大部分资产位于硬件钱包上，然后适度放入比特币核心钱包，我用它为我的所有Casa，移动应用，Lightning，beta客户等提供资金。”

—加密货币播客主持人Guy Swann

为了获得最高的安全性，对消费者友好

拥有至少一个YubiKey，它们相对便宜。

“购买多个YubiKeys（用于冗余），并尽可能将它们用于2FA。许多密码管理器支持YubiKey 2FA，而许多Web应用程序现在支持U2F 2FA，较新的YubiKeys也支持。如果Web应用程序仅支持TOTP滚动代码，你仍然可以使用Yubico身份验证器应用程序将数据保存在YubiKey上。”

—詹姆森·洛普

避免更复杂的攻击

为敏感帐户网页添加书签。

“ Binance hack是一个很好的例子，说明应用程序2FA何时可能失败。在这种情况下，他们正在Google中搜索Binance并选择第一个网页，在这种情况下，这是一个假网站，通过付费将其推到Google搜索的顶部促销一天。你应该在敏感网页上添加书签，黑客可能会尝试伪造这些网页。”泰勒·莫菲特（Tyler Moffitt）

积极改善你的操作安全性

为“ SIM卡交换”或“黑客”和“法院案例”设置Google警报。

“作为平民，很难将操作安全性视为对其他（守法）公民重要的事物。现实世界中许多最佳的操作安全性实例--好的操作安全性和差的操作安全性-通常是从详细描述犯罪组织的法庭文件中提取的。其他好的例子通常来自情报或军事领域，似乎很少适用。”

— @ 5auth，cryptomarket和黑暗市场研究员

有关如何保护你的比特币免受SIM交换攻击以及如果发生意外时如何处理的更多信息，请参阅《SIM交换圣经》。当比特币牛市时，攻击（SIM交换或其他方式）往往会发生。