Ettevaatust! Petturid üritavad varastada krüptoraha

MetaMask

MetaMask on digitaalne krüptorahakott, mis on saadaval nii veebibrauseri laiendina (nt Chrome'is või Firefoxis) kui ka mobiilirakendusena (iOS ja Android). See võimaldab kasutajatel hoida, saata ja vastu võtta krüptoraha ning suhelda nn detsentraliseeritud rakendustega (DeFi platvormid, NFT-turud jms) otse veebibrauseri või rakenduse kaudu.

MetaMaski paigaldamisel luuakse kasutajale unikaalne 12-sõnaline taastefraas, millest tuletatakse rahakoti privaatvõtmed. Kes teab seda fraasi, omab täielikku kontrolli rahakoti ja seal hoitavate varade üle – olenemata sellest, millisesse seadmesse MetaMask paigaldatud on.

Kuidas õngitsejad seda sihivad?

CERT-EE on täheldanud mitmeid e-kirja teel levinud õngitsusi, mis imiteerivad MetaMaski ametlikku suhtlust. Kirjas väidetakse, et kasutaja MetaMaski konto ei ole KYC-protsessi raames veel kinnitatud ning kinnitamata kontod peatatakse konkreetsel kuupäeval. Tegu on pettusega – MetaMask ei nõua kunagi mingit KYC-tuvastust ega konto kinnitamist.

Kasutaja suunatakse klõpsama nuppu "Verify My MetaMask", mis viib võltsveebilehele, kus palutakse sisestada rahakotti täielikult kontrollida võimaldav taastefraas. Võltslehekülje aadress ei ole kuidagi seotud MetaMaski ametliku domeeniga (metamask.io), kuid visuaalselt on leht väga sarnane originaalile. Fraasi sisestamisel edastatakse see ründajale ning rahakott tühjendatakse loetud minutitega.

Ledger

Lisaks MetaMaskile on CERT-EE-ni jõudnud ka Ledgeri kasutajatele suunatud õngitsusrünnakuid. Erinevalt MetaMaskist ei ole Ledger tarkvaraline, vaid riistvaraline rahakott (füüsiline seade, mis näeb välja nagu USB-mälupulk). Ledgeri peamine turvaeelis seisneb selles, et privaatvõtmed genereeritakse ja hoitakse seadmes, mistõttu ei saa ründaja neid kätte nt arvuti pahavaraga nakatumise korral (küll aga saab kasutajat meelitada pahatahtlikke tehinguid kinnitama või taastefraasi avaldama). 

Ledgeri kasutamisel genereeritakse 24-sõnaline taastefraas, millest tuletatakse rahakoti privaatvõtmed. Paraku on selle sätted samad, mis MetaMaski puhul - kes teab seda fraasi, omab täielikku kontrolli kõigi seadmega seotud varade üle, ilma et tal seda konkreetset füüsilist seadet vaja oleks. Ledgerite puhul on taastefraas loodud eelkõige taastevahendina – kui seade läheb katki, kaob või varastatakse, saab kasutaja osta uue Ledgeri füüsilise seadme, sisestada oma taastefraasi (24 sõna) ning pääseda kõigile varadele uuesti ligi.

Päris Ledger ei küsi kunagi taastefraasi e-kirja, veebilehe ega tarkvarauuenduse käigus!

Kuidas õngitsus toimib?

Viimastel nädalatel enim esinenud Ledgeri õngitsuskirjas väidetakse, et kasutaja Ledgeri seadmel töötab aegunud tarkvara ning turvalisuse tagamiseks tuleb teha kohustuslik tarkvaravärskendus. Kasutajat hoiatatakse, et värskenduse tegemata jätmine võib kaasa tuua piiratud juurdepääsu rahakotile. Kirjas olev link "Update Now" suunab võltsveebilehele, kus sarnaselt MetaMaski skeemiga palutakse kasutajal sisestada oma 24-sõnaline taastefraas. 

Rünnak põhineb samal loogikаl: riistvaraline seade on küll võrdlemisi turvaline, kuid taastefraas on alati nõrk lüli. Ründajal ei ole vaja Ledgeri seadet – piisab taastefraasist, mille saab importida mistahes ühilduvasse tarkvarasse ning seejärel rahakott loetud minutite jooksul tühjendada.

Kuidas end kaitsta?

• Taastefraas (seed phrase) on ainus esmane ligipääs krüptorahakotile ning seal olevatele varadele. Taastefraasi kasutatakse ainult krüptorahakoti taastamiseks - kui seda küsitakse muul põhjusel e-kirja või sõnumi kaudu (nt KYC, uuendus, konto kinnitamine), on tegemist pettusega.
• Juhul kui on vaja oma krüptorahakotile päriselt taastefraasi kaudu ligi saada (nt uude seadmesse sisselogides), tuleb seda teha vaid konkreetse rahakoti ametlikus rakenduses või riistvaraseadmes. Kunagi ei tohi klikkida e-kirjades või sõnumites olevatel linkidel, vaid avada teenus alati ise ametliku veebiaadressi kaudu.
• Enne andmete sisestamist kontrolli, et veebiaadress on õige. Varastatud krüptoraha ei ole võimalik tagasi saada.
• MetaMask, Ledger ega ükski teine usaldusväärne krüptorahakott ei küsi kunagi taastefraasi e-kirja, sõnumi ega konto kinnitamise käigus.
• Saades MetaMaski, Ledgeri või mõne muu brändi nime alt õngitsuskirja või -sõnumi edasta see aadressile [email protected] ning seejärel kustuta.