Ta domowa inwazja na kryptowalutę o wartości 4,3 mln USD pokazuje, jak pojedynczy wyciek danych może zagrozić portfelowi – i bezpieczeństwu – każdej osoby

Schemat działania był dość prosty: przebrać się za kuriera, zapukać do drzwi, włamać się pod groźbą użycia broni i wydobyć klucze prywatne.

W czerwcu 2024 r. trzech mężczyzn wykonało ten skrypt pod adresem mieszkalnym w Wielkiej Brytanii i odeszło z kryptowalutą o wartości ponad 4,3 miliona dolarów.

Pięć miesięcy później Sheffield Crown Court skazał Farisa Ali i dwóch wspólników po tym, jak policja metropolitalna odzyskała prawie cały łup.

Sprawa, udokumentowane przez badacza blockchain ZachXBT, stanowi teraz punkt odniesienia dla pytania, którego branża unikała: jak wygląda bezpieczeństwo operacyjne, gdy wartość netto użytkownika znajduje się w rozszerzeniu przeglądarki, a adres domowy jest publicznie dostępny?

Napad miał miejsce w wąskim przedziale czasowym między naruszeniem danych a świadomością ofiary.

Dzienniki czatu uzyskane przez ZachXBT pokazują, że sprawcy omawiali swoje podejście na kilka godzin przed atakiem, udostępniając zdjęcia budynku ofiary, potwierdzając, że znajdują się przed drzwiami i koordynując swoją przykrywkę.

Na jednym ze zdjęć widać całą trójkę ubraną w uniformy kurierskie. Kilka minut później zapukali. Ofiara, spodziewając się paczki, otworzyła drzwi.

Następnie doszło do wymuszonego transferu na dwa adresy Ethereum, wykonanego pod przymusem przy użyciu broni palnej. Większość skradzionych kryptowalut pozostała uśpiona w tych portfelach do czasu wkroczenia organów ścigania.

ZachXBT poskładał operację w całość dzięki informatyce śledczej w łańcuchu i wyciekom rozmów Telegram.

Dzienniki rozmów ujawniły planowanie operacyjne i wcześniejszą przeszłość kryminalną: kilka tygodni przed napadem Faris Ali opublikował znajomym na Telegramie zdjęcie swoich dokumentów dotyczących kaucji, ujawniając swoje pełne imię i nazwisko.

Po kradzieży nieznana strona zarejestrowała domenę ENS farisali.eth i wysłała wiadomość on-chain, publiczne oskarżenie osadzone w księdze Ethereum.

ZachXBT podzielił się swoimi odkryciami z ofiarą, która przekazała je władzom. W dniu 10 października 2024 r. ZachXBT opublikował następujące informacje pełne dochodzenie, a 18 listopada Sąd Koronny w Sheffield wydał wyroki.

Przypadek ten wpisuje się w szerszy schemat, na który zwrócił uwagę ZachXBT: gwałtowny wzrost liczby napadów na domy, których celem są posiadacze kryptowalut w Europie Zachodniej w ostatnich miesiącach, w tempie wyższym niż w innych regionach.

Wektory są różne, SIM swapy, które wyciekają frazy odzyskiwania, ataki phishingowe, które ujawniają salda portfeli i inżynieria społeczna, która mapuje zasoby do fizycznych lokalizacji, ale punkt końcowy jest spójny.

Gdy atakujący potwierdzi, że cel posiada znaczną wartość i może zlokalizować jego miejsce zamieszkania, rachunek przechyla się w kierunku fizycznego przymusu.

Co wykorzystuje taktyka “kierowcy dostawczego”

Przebranie kuriera działa, ponieważ wykorzystuje zaufanie do infrastruktury logistycznej. Otwieranie drzwi kurierowi jest rutynowym zachowaniem, a nie luką w zabezpieczeniach.

Sprawcy zrozumieli, że najtrudniejszą częścią włamania do domu jest uzyskanie wejścia bez uruchamiania alarmu lub ucieczki.

Mundur i paczka stanowią wiarygodny powód, by podejść i czekać na progu. Zanim drzwi się otworzą, element zaskoczenia jest już w grze.

Taktyka ta nie sprawdza się, ponieważ wymaga fizycznej obecności, pozostawia ślady kryminalistyczne i upada, jeśli ofiara odmówi otwarcia drzwi, a jednocześnie omija każdą warstwę zabezpieczeń cyfrowych.

Portfele z wieloma podpisami, urządzenia sprzętowe i chłodnie nic nie znaczą, gdy atakujący może zmusić cię do podpisywania transakcji w czasie rzeczywistym.

Słabym ogniwem nie jest kryptografia, ale raczej człowiek, który posiada klucze i mieszka pod stałym adresem, który można odkryć poprzez naruszenie danych lub wyszukiwanie w rejestrach publicznych.

Dochodzenie przeprowadzone przez ZachXBT wykazało, że atak był związany z “naruszeniem danych kryptograficznych”, wyciekiem, który dał sprawcom dostęp do informacji łączących zasoby portfela z fizyczną lokalizacją.

Dokładne źródło pozostaje nieokreślone, ale oś czasu sugeruje, że atakujący znali zarówno adres celu, jak i przybliżony stan posiadania, zanim dotarli na miejsce.

Podatek opsec i co się zmieni

Jeśli ta sprawa stanie się szablonem, posiadacze kryptowalut o wysokiej wartości netto będą musieli przemyśleć swoje praktyki w zakresie przechowywania i ujawniania informacji.

Natychmiastowa lekcja jest defensywna: podzielone zasoby, usuwanie danych osobowych z publicznych baz danych, unikanie omawiania sald portfeli w mediach społecznościowych i traktowanie wszelkich niechcianych wizyt jako potencjalnego zagrożenia.

Środki te nakładają jednak podatek na wygodę, przejrzystość i możliwość uczestniczenia w publicznym dyskursie kryptowalutowym bez malowania celu na plecach.

Kwestią długoterminową jest to, czy rynek ubezpieczeń wkroczy do akcji. Tradycyjni dostawcy usług powierniczych oferują ochronę od odpowiedzialności cywilnej i gwarancje bezpieczeństwa fizycznego, ale self-custody nie, co jest jedną z jego niewielu wad.

Jeśli włamania do domów staną się przewidywalnym wektorem ataku, należy spodziewać się popytu na produkty, które albo zlecają opiekę ubezpieczonym stronom trzecim, albo zapewniają prywatne usługi ochrony dla osób fizycznych posiadających aktywa powyżej określonego progu.

Żadne z tych rozwiązań nie jest tanie, a oba pozbawiają suwerenności, którą samodzielne przechowywanie ma gwarantować.

Naruszenia danych stanowią ryzyko wyższego szczebla. Scentralizowane giełdy, firmy analityczne blockchain, platformy raportowania podatkowego i usługi Web3, które wymagają KYC, przechowują rekordy łączące tożsamość z zasobami.

Kiedy te bazy danych wyciekają, a robią to regularnie, tworzą listę zakupów dla przestępców, którzy mogą porównać salda portfeli z publicznymi danymi adresowymi.

Wskazówka ZachXBT, by “monitorować swoje dane osobowe, gdy są one ujawniane online” jest rozsądną radą, ale zakłada, że ofiary mają narzędzia i czujność, aby śledzić naruszenia w czasie rzeczywistym. Większość z nich tego nie robi.

Innym ograniczeniem jest zdolność do egzekwowania prawa. Dochodzenie ZachXBT odegrało kluczową rolę w tej sprawie, ale jest on prywatnym podmiotem działającym pro bono.

Organom ścigania w większości jurysdykcji brakuje zdolności kryminalistycznych w łańcuchu, aby śledzić skradzione kryptowaluty bez pomocy z zewnątrz. Policja metropolitalna odniosła tutaj sukces po części dlatego, że praca dochodzeniowa została im przekazana w pełni ukształtowana.

O co toczy się gra?

Szersze pytanie, jakie rodzi ta sprawa, dotyczy tego, czy samodzielne przechowywanie może pozostać domyślnym zaleceniem dla każdego, kto posiada znaczną wartość.

Branża kryptowalutowa spędziła dekadę argumentując, że osoby fizyczne powinny kontrolować własne klucze i że suwerenność nad aktywami jest warta obciążenia operacyjnego.

Argument ten sprawdza się, gdy modelem zagrożenia jest niewypłacalność giełdy lub przejęcie przez rząd. Słabnie, gdy modelem zagrożenia jest mężczyzna w mundurze dostawczym z bronią palną i listą adresów pobranych z wyciekłej bazy danych.

Jeśli posiadacze aktywów o wysokiej wartości netto dojdą do wniosku, że samodzielne przechowywanie naraża ich na niedopuszczalne ryzyko fizyczne, przeniosą aktywa na ubezpieczone platformy instytucjonalne, a branża zamieni decentralizację na bezpieczeństwo.

Jeśli pozostaną na własnym utrzymaniu, ale będą intensywnie inwestować w infrastrukturę prywatności i bezpieczeństwa, kryptowaluty staną się subkulturą dla paranoików i osób z dobrymi zasobami.

Wyroki Sheffield Crown Court zamykają jeden rozdział. Napastnicy są w areszcie, ofiara odzyskała swoje środki, a ZachXBT ma kolejne studium przypadku do swojego archiwum przestępstw kryptowalutowych.

Ale systemowa podatność pozostaje: tak długo, jak duże sumy można wydobyć na muszce w mniej niż godzinę i tak długo, jak naruszenia danych nadal mapują salda portfeli na adresy domowe, żadna ilość kryptograficznych wzmocnień nie ochroni ludzi, którzy posiadają klucze.

Wspomniane w tym artykule Posted In: Wielka Brytania, Przestępczość, Kryptowaluty