Account violati: quando una voce affidabile pubblica una truffa

Il post arriva da un account che segui da anni: un progetto noto, un fondatore, un analista rispettato. Annuncia il lancio a sorpresa di un token, un airdrop limitato o una migrazione urgente, con un link. L'account è verificato, l'immagine del profilo è quella giusta, persino lo stile di scrittura sembra familiare.

Ed è una truffa, perché l'account non è più nelle mani del suo proprietario. Il furto di account sui social media è diventato uno dei modi più efficaci per rubare criptovalute, proprio perché sfrutta una fiducia che ha richiesto anni per essere costruita.

Perché gli attaccanti vogliono account affidabili

Un account falso deve conquistare l'attenzione partendo da zero. Uno violato parte con un pubblico che gli crede già. Un solo post da un account di progetto compromesso può raggiungere centinaia di migliaia di follower in pochi minuti, e agli attaccanti basta che una piccola parte clicchi prima che il post venga notato e rimosso.

Per questo questi attacchi sono di solito rapidi e rumorosi: una raffica di post, risposte disattivate o inondate di finti elogi e un link che deve funzionare solo per un'ora.

Come vengono violati gli account

• Credenziali rubate con il phishing. Falsi messaggi di "violazione del copyright", "verifica" o "partnership" portano a pagine di accesso contraffatte che catturano la password e il codice a due fattori in tempo reale.
• SIM swap. Se il recupero dell'account si basa su un numero di telefono, un attaccante che trasferisce quel numero sulla propria SIM può reimpostare la password.
• App collegate compromesse. Uno strumento esterno di programmazione dei post o di analisi con permessi di pubblicazione può essere sfruttato senza nemmeno toccare la password.
• Malware sul dispositivo di un membro del team che ruba le sessioni attive, senza bisogno della password.
• Email di recupero debole. L'account social è protetto bene, ma l'email che c'è dietro no.

Cosa dice di solito il post truffa

• Un token o airdrop a sorpresa con un link per "riscattare": lo stesso schema dei falsi airdrop, colleghi il wallet, firmi, perdi i fondi.
• Una migrazione urgente: "sposta i tuoi token sul nuovo contratto prima della scadenza".
• Un avviso di sicurezza che è esso stesso l'attacco: "è stata trovata una vulnerabilità, revoca e approva di nuovo qui".
• Un giveaway che ti chiede di inviare prima dei fondi.
• Un'offerta di assistenza: una risposta da un account del "team" che si offre di aiutarti con il tuo problema e che porta allo stesso copione del falso supporto.

Come riconoscerlo

• Urgenza più un link, da qualsiasi account, è un segnale d'allarme, per quanto l'account sia affidabile.
• Controlla gli altri canali. Lo stesso annuncio compare sul sito del progetto, nella documentazione, sul blog e sugli altri account ufficiali? I lanci veri sono coordinati; gli account violati di solito no.
• Guarda il dominio del link, non il testo. Un dominio nuovo o leggermente diverso è il segnale più chiaro.
• Nota se le risposte sono disattivate o piene di commenti entusiasti tutti uguali.
• Aspetta un'ora. Le violazioni di solito vengono scoperte e annullate in fretta. Un'opportunità reale sarà ancora lì; una truffa di solito no.

La regola alla base di tutto questo è quella del phishing in generale: non agire sui link ricevuti nei messaggi, vai tu stesso sul sito.

Se gestisci un account di cui le persone si fidano

Progetti e personaggi pubblici sono bersagli proprio a causa del loro pubblico. Alcune misure rendono una violazione molto più difficile:

• Usa una chiave di sicurezza hardware o un'app di autenticazione per l'autenticazione a due fattori, non gli SMS.
• Rimuovi il numero di telefono come metodo di recupero, dove la piattaforma lo consente.
• Proteggi l'email di recupero con lo stesso standard dell'account stesso.
• Controlla regolarmente le app collegate e rimuovi quelle che non usi più.
• Limita chi può pubblicare e usa le funzioni di team o delega della piattaforma invece di password condivise.
• Concorda in anticipo una risposta in caso di violazione: chi contatta la piattaforma, dove pubblicate l'avviso e come i follower possono verificare i canali ufficiali.

Come comunica SSP

SSP non annuncerà mai, da nessuna parte, un token, un airdrop, una "migrazione" dei tuoi fondi o un motivo per inserire la tua frase di recupero. Non c'è nulla che dobbiamo migrare: le tue monete si trovano nella tua cassaforte 2 su 2 e solo i tuoi due dispositivi possono spostarle.

Se mai vedessi un post da un account che sembra il nostro e ti chiede di collegare, riscattare, migrare o verificare un wallet, consideralo compromesso e controlla il sito ufficiale e la documentazione prima di fare qualsiasi cosa.

E se un link riesce comunque a passare, l'approvazione su due dispositivi di SSP ti dà una seconda possibilità: ogni transazione e ogni firma richiedono una conferma in SSP Key, sul tuo telefono, dove puoi leggere cosa stai davvero approvando.

Il riassunto onesto

Un account violato trasforma la reputazione di qualcun altro nel megafono di un attaccante. Il fatto che l'account sia autentico non rende autentico il post.

Tratta con sospetto l'urgenza e i link, chiunque li pubblichi, conferma gli annunci tramite un secondo canale ufficiale, vai sui siti da solo invece di cliccare e concedi un'ora a qualsiasi opportunità "a tempo limitato". La maggior parte delle violazioni non dura così a lungo.