Поддельные приложения кошельков: как убедиться, что вы установили настоящее

Самый простой способ украсть чужую криптовалюту — не взломать кошелёк, а подсунуть поддельный. Фальшивое приложение или расширение браузера, которое выглядит точь-в-точь как настоящее, может перехватить вашу фразу восстановления в тот момент, когда вы её вводите, или незаметно подменить адреса, на которые вы отправляете средства.

Поддельные кошельки встречаются в магазинах приложений, магазинах расширений для браузеров, поисковой рекламе и ссылках в соцсетях. Часто они хорошо сделаны, имеют отличные отзывы, и их трудно отличить от оригинала. Хорошая новость: несколько простых привычек позволяют легко их избежать.

Как поддельные кошельки попадают к людям

• Поисковая реклама. При поиске названия кошелька над настоящим сайтом может появиться платное объявление, ведущее на похожую страницу загрузки. Злоумышленники покупают рекламу именно по тем запросам, которые люди вводят перед установкой.
• Страницы в магазинах. Поддельные приложения и расширения действительно проходят проверку магазинов приложений и расширений — иногда со скопированными скриншотами, накрученными оценками и почти идентичным названием.
• Ссылки в сообщениях. «Обновите кошелёк», «получите свой аирдроп» или «поддержка просит переустановить» — всё это ведёт к загрузке, к которой вы иначе никогда бы не прикоснулись.
• Похожие домены. Одной изменённой буквы, лишнего слова или другого окончания (.app вместо .io) достаточно, чтобы обмануть беглый взгляд.
• Файлы, установленные вручную. APK и пакеты расширений, которыми делятся напрямую, в обход любых магазинов, минуют все проверки, которые провёл бы магазин.

Что делает поддельный кошелёк

Большинство подделок делают одно из двух:

1. Собирают вашу фразу восстановления. Подделка просит «импортировать» или «восстановить» кошелёк. Когда вы вводите фразу, она отправляется злоумышленнику, который опустошает кошелёк со своего устройства — иногда спустя несколько дней, чтобы вы не связали кражу с установкой.
2. Контролируют то, что вы видите. Подделка, которую вы настраиваете с нуля, может генерировать адреса под контролем злоумышленника или подменять получателей при отправке.

В любом случае, когда что-то начинает казаться подозрительным, ущерб уже нанесён.

Пять привычек, которые это предотвращают

1. Начинайте с официального сайта. Введите адрес сами или воспользуйтесь закладкой и переходите в магазины по ссылкам оттуда. Для SSP это sspwallet.io — там есть ссылки на страницы SSP Wallet в магазинах браузеров и страницы SSP Key в магазинах приложений.
2. Проверяйте издателя, а не только название. В любом магазине смотрите, кто опубликовал приложение или расширение и совпадает ли это с официальным разработчиком. Другое имя издателя — самый явный тревожный сигнал из всех.
3. Не доверяйте срочности. Настоящий кошелёк не пишет вам с просьбой переустановить, перенести или «подтвердить» кошелёк. Любой, кто вас к этому подталкивает, действует по сценарию фальшивой поддержки.
4. Никогда не вводите фразу восстановления в то, что только что установили, если только вы не восстанавливаете кошелёк намеренно и не проверили приложение заранее. Запрос фразы при первом запуске приложения, которое вы собирались настроить с нуля, — это знак «стоп».
5. Держите мало расширений, и только известные. Каждое расширение — это программа с доступом к вашему браузеру. Хорошая гигиена расширений снижает и вероятность установить подделку, и ущерб, который может причинить взломанное расширение.

Ещё глубже: проверка сборки

Страницы в магазинах и сайты говорят, откуда взялось приложение. Для тех, кому нужна более надёжная гарантия, некоторые кошельки позволяют проверить, что приложение собрано из опубликованного ими кода.

SSP имеет открытый исходный код, а релизы SSP Wallet собираются воспроизводимо: один и тот же исходный код всегда даёт один и тот же результат, поэтому любой может пересобрать релиз и убедиться, что он совпадает с распространяемым. Кроме того, эти релизы подписаны GPG, так что вы можете проверить, что они исходят от команды SSP. Большинству людей этот шаг никогда не понадобится — но именно он превращает «доверься магазину» в то, что можно проверить. В статье Атаки на цепочку поставок и детерминированные сборки объясняется, почему это важно.

Почему два устройства помогают — и где нет

Схема 2-из-2 в SSP даёт здесь запас прочности. Один лишь поддельный SSP Wallet не может переместить средства вашей настоящей конфигурации, потому что каждой транзакции нужен ещё и SSP Key на вашем телефоне. Точно так же один лишь поддельный SSP Key не может ничего потратить без ключа кошелька.

Но есть предел, и он важен. Если вы введёте обе фразы восстановления в поддельные приложения, у злоумышленника окажутся оба ключа, и мультиподпись уже не поможет. Второе устройство защищает от одного скомпрометированного приложения; оно не защитит, если вы отдадите всё. Ни одна настоящая часть SSP никогда не попросит вас ввести фразу восстановления, кроме случая, когда вы сами решите восстановить кошелёк.

Если вы думаете, что установили подделку

• Больше ничего в неё не вводите и удалите её.
• Если вы ввели фразу восстановления, считайте этот кошелёк скомпрометированным. Создайте новый кошелёк из официального источника на чистом устройстве и немедленно переведите средства — скорость важнее всего.
• Пожалуйтесь на страницу в магазин, чтобы её удалили, прежде чем она поймает кого-то ещё.

Честный итог

Поддельные кошельки побеждают, оказываясь первым результатом, который вы находите. Начинайте с официального сайта, проверяйте издателя, игнорируйте срочные сообщения об «обновлении» и никогда не отдавайте фразу восстановления тому, что только что установили.

Конфигурация с двумя устройствами делает одну подделку гораздо менее опасной — но самая сильная защита в том, чтобы вообще её не устанавливать.