Bashkë-CEO i bursës Binance, Yi He, njoftoi sot se llogaria e saj në WeChat u hakua pasi dikush mori përsipër numrin e vjetër të celularit të lidhur me profilin e saj.
Hakerët përdorën këtë qasje për të promovuar tokenin “Mubarakah” përmes një skeme “pump-and-dump”, duke fituar rreth 55,000 dollarë në këtë proces përpara se përmbajtja të hiqej. Llogaria është rikthyer që atëherë pas ndërhyrjes së ekipeve të sigurisë të Binance dhe WeChat, shkruan CryptoSlate .
Pse ky incident është i rëndësishëm përtej botës së kriptovalutave
Incidenti, i cili ndodhi vetëm disa ditë pas ngritjes në detyrë të Yi He, nxjerr në pah një dobësi që prek pothuajse të gjithë përdoruesit e internetit. Llogaritë në internet të lidhura me numrat e telefonit mbeten të cenueshme ndaj sulmeve që nuk kërkojnë depërtimin në portofolet e kriptovalutave ose sistemet e shkëmbimit. Sulmuesit thjesht shfrytëzojnë proceset e rikuperimit të llogarisë.
Një skenar i ngjashëm ndodhi në janar 2024 kur llogaria X e SEC-ut të SHBA-së u hakua. Për shkak të mungesës së autentifikimit me dy faktorë, njoftimi i rremë i miratimit të ETF-së shkaktoi një rritje të shkurtër të çmimit të Bitcoin me afërsisht 1,000 dollarë, duke demonstruar se si një mesazh i vetëm mund ta trondisë tregun.
Si funksionon ky sulm?
Problemi qëndron në praktikën e zakonshme të operatorëve celularë, të cilët i riaktivizojnë numrat e telefonit joaktivë pas rreth 90 ditësh. Nëse numri i vjetër është ende i lidhur me një profil online, pronari i ri i numrit mund të marrë kode rikuperimi me SMS dhe kështu të marrë përsipër llogarinë. Kjo është ndoshta ajo që ka ndodhur në rastin e Yi He.
Një dobësi tjetër është metoda e rikuperimit në WeChat që kërkon verifikim nëpërmjet “kontakteve të shpeshta”. Sulmuesit mund ta shfrytëzojnë këtë opsion duke dërguar mesazhe te dy kontakte për të verifikuar identitetin, duke ofruar një mënyrë të lehtë për të marrë kontrollin e një llogarie.
Rreziqet specifike për komunitetin e kriptovalutave
Roli i WeChat në rrethet e kriptovalutave i bën këto lloj sulmesh veçanërisht të rrezikshme. Aplikacioni përdoret shpesh për transaksione dhe diskutime OTC, kështu që një postim nga një person i njohur si CEO i Binance mund të fitojë lehtësisht besimin e përdoruesve dhe t’i çojë ata në investime mashtruese. Ky rrezik është dukshëm më i lartë sesa me mesazhet e rastësishme spam në platforma të tjera.
Ekosistemi Binance vetë përjetoi një problem të ngjashëm kur llogaria zyrtare X e BNB Chain u kompromentua në tetor të këtij viti, duke rezultuar në publikimin e dhjetëra lidhjeve phishing dhe një humbje prej rreth 8,000 dollarësh për përdoruesit, të cilat u rimbursuan më vonë.
Tregu ka mbetur i qetë, por nxitja për hakerat është e qartë
Ndikimi i menjëhershëm në treg ishte i kufizuar dhe çmimi i BNB mbeti i qëndrueshëm. Megjithatë, llogaritja ekonomike për hakerat është e qartë. Edhe nëse vetëm një përqindje e vogël e një milion ndjekësve klikojnë në link dhe investojnë një shumë modeste, fitimet mund të arrijnë dhjetëra mijëra dollarë për postim, që përputhet me shumën e vlerësuar prej 55,000 dollarësh në këtë rast.
Ky incident është pjesë e një trendi më të gjerë. Rreth 2.2 miliardë dollarë në kriptovaluta u vodhën në vitin 2024, me sulme ndaj shërbimeve të centralizuara në rritje. Në përgjigje, rregullatorët po shtrëngojnë rregullat, me Korenë e Jugut që udhëheq në futjen e përgjegjësisë “në nivel bankar” për bursat në rastet e inxhinierisë sociale.
Si të mbroheni nga kërcënime të tilla
Dobësitë e sigurisë qëndrojnë në një kombinim të riciklimit të kartave SIM dhe metodave të rikuperimit të llogarisë përmes kontakteve sociale. Zgjidhjet janë të njohura mirë: çaktivizimi i rikuperimit të llogarisë përmes SMS-ve, përdorimi i çelësave të sigurisë së harduerit dhe zbatimi i politikave “kill-switch” për llogaritë zyrtare të papërdorura.
Platforma si WeChat mund të prezantojnë gjithashtu masa shtesë, të tilla si kërkesa për verifikim nga një pajisje e përdorur së fundmi përpara se të lejojnë postimet nga profilet e figurave publike të lidhura me numrat e ricikluar.
Edhe pse llogaria e Yi He është rikthyer, mbeten pyetje: nëse përdoruesit e Binance kanë pësuar humbje të drejtpërdrejta dhe nëse atyre do t’u ofrohet kompensim. Vëmendja tani kthehet në faktin nëse operatorët e telekomunikacionit dhe platformat sociale do t’i përshtatin protokollet e tyre të sigurisë për të parandaluar incidente të ardhshme.
