Šest najpogostejših napadov na kripto denarnice in zakaj bi moralo biti bankam mar (Karen Hsu)

Pred kratkim so bili v ameriškem senatu vloženi predlogi zakonov, ki bi dali
Komisija za trgovanje s terminskimi pogodbami (CFTC) nad kriptovalutami, ki bi jih obravnavala kot digitalno blago. Ne glede na to, ali bo predlog zakona postal zakon, pa bi morale banke in finančne institucije kriptovaluti posvetiti veliko pozornosti,
če ne zaradi drugega, pa zaradi varnostnega vidika. Navsezadnje nekatere organizacije za finančne storitve prodajajo izdelke kriptovalut, kot npr

Storitev skrbništva nad kriptovalutami ameriške banke. Obstaja pa še pomembnejši razlog, da banke skrbijo za kripto. Jasno je, da se nacionalne države premikajo v smeri digitalnih valut, saj so jih nekatere že izdale, kot npr.
Bahamski peščeni dolar. Tudi Združene države so

resno pretehta vprašanje CBDC-jev in digitalnega dolarja. Številne varnostne ranljivosti, s katerimi se soočajo kriptovalute, se bodo nanašale tudi na digitalne valute centralnih bank (CBDC).

Potrošniki, ki vlagajo v kriptovalute, pogosto shranijo svoje kriptovalute v digitalno denarnico, ki obstaja kot mobilna aplikacija na njihovem pametnem telefonu. Kibernetski kriminalci se dobro zavedajo, kar pomeni, da so mamljive tarče za napad. In kot vsaka aplikacija obstaja nešteto metod
za napad na kripto denarnico, vendar po mojih izkušnjah pri delu s kripto in kot strokovnjakom za varnost bo zagotavljanje, da je aplikacija zaščitena pred temi petimi najpogostejšimi napadi, močno povečalo zaščito za potrošnike. 

Kraja ključev in gesel

 Šifriranje ključev na ravni aplikacije je absolutno obvezna oprema. Če ključi niso šifrirani v prednostnih območjih, v peskovniku aplikacije, na kartici SD ali v zunanjih območjih, kot je odložišče, jih bodo hekerji lahko ukradli. Enkrat
imajo ključe, s sredstvi v denarnici lahko počnejo, kar hočejo. 

Če so šifrirani na ravni aplikacije, bodo ključi ostali varni, tudi če je naprava sama ogrožena. 

Dinamični napadi na zasebne ključe

Ključe in gesla za kripto denarnico je mogoče tudi dinamično ukrasti, kar pomeni, da so nekako prestreženi, ko lastnik denarnice vnese znake ključa ali gesla v mobilno aplikacijo kripto denarnice. Hekerji običajno uporabljajo eno od treh metod
storiti to:

• Napad čez ramo: V preteklosti se to nanaša na hekerja, ki je fizično in prikrito dovolj blizu uporabnika, da vidi, kako vnese geslo v kripto denarnico. Toda danes ni potrebe, da bi bil tam v telesu. Posnetki zaslona in zaslon
  snemanje se lahko zlorabi v ta namen.

• Zlonamerna programska oprema za zapisovanje tipk: tukaj se zlonamerna programska oprema izvaja v ozadju aplikacije, da zajame vsak pritisk tipke in jih pošlje kibernetskim kriminalcem. Rooting (Android) in jailbreaking (iOS) pametnega telefona naredi beleženje tipk še lažje.

• Prekrivni napad: V tem primeru zlonamerna programska oprema postavi zaslon, ki bi lahko bil videti pristen ali pa bi bil pregleden, ki zavede lastnika kripto denarnice, da vnese poverilnice v polje znotraj aplikacije denarnice ali zlonamerni zaslon. Zlonamerna programska oprema bodisi prenaša
  podatke posreduje neposredno spletnim kriminalcem ali neposredno prevzame denarnico za prenos sredstev v denarnici hekerjem.

Zaščita pred temi grožnjami zahteva, da aplikacija zazna beleženje tipk, prekrivanje in snemanje, tako da lahko neposredno ukrepa tako, da opozori lastnika denarnice ali celo popolnoma zaustavi aplikacijo. 

Zlonamerno instrumentiranje

Varnost mobilne denarnice je odvisna od integritete platforme, ki jo poganja, kajti če je naprava zakoreninjena ali zlomljena ali če hekerji zlorabljajo razvojna orodja, kot je Frida, lahko pridobijo dostop do naslova verige blokov odjemalske aplikacije. Oni
lahko celo lažno predstavljajo aplikacijo, da sami izvajajo transakcije. Aplikacije za mobilne kripto denarnice morajo biti sposobne ugotoviti, kdaj delujejo v zakoreninjenem okolju ali okolju z zlomom iz zapora, tako da se lahko, če je to potrebno, zaustavijo in zaščitijo uporabnika. Prav tako morajo biti sposobni
blokirati Magisk, Frida in druga orodja za dinamično analizo in instrumentacijo, ki jih je mogoče zlorabiti za ogrožanje celovitosti kritičnih funkcij. 

Enako pomembno je, da bi morali razvijalci zamegliti kodo aplikacije, tako da bodo hekerji veliko težje izvajali povratni inženiring notranjega delovanja in logike aplikacije.

Napadi človeka na sredini (MitM).

Številne kripto denarnice so del borz, ki so lahko decentralizirane ali centralizirane. V vsakem primeru so komunikacije odprte za napade MitM, ko aplikacija komunicira s strežnikom ali med transakcijami enakovrednih. Podatke med prenosom je treba zaščititi z
Za vse komunikacije je treba strogo uveljavljati šifriranje AES-256 in plast varnih vtičnic (SSL)/varnost transportne plasti (TLS).

Emulatorji

Hekerji lahko naredijo tudi spremenjene različice aplikacij za kripto denarnico. Prav tako lahko uporabljajo te spremenjene aplikacije s simulatorji in emulatorji za ustvarjanje goljufivih računov, sklepanje goljufivih poslov in prenos kriptovalut. 

Metode samozaščite izvajalnih aplikacij (RASP) in še posebej preprečevanje poseganja, odpravljanje napak in zaznavanje emulatorja so ključnega pomena za preprečitev tovrstnih napadov.

Tudi za finančne institucije, ki niso vključene v nobeno vrsto storitev kriptovalut, je pomembno, da se učijo iz varnostnih izzivov, s katerimi se srečujejo uporabniki, zlasti ko gre za kripto denarnice. »Digitalni dolar« morda ni tako daleč, kot si mislimo,
in tiste institucije, ki so pripravljene zagotoviti varne mobilne denarnice CBDC, bodo imele pomembno konkurenčno prednost.