作者：文静 路多
物联网智库 整理发布
币圈大佬一夜丢失4500多万???
8月21日，福布斯曝光一则诉讼，当事人巴特·斯蒂芬斯起诉匿名黑客，涉嫌在今年5月盗取他价值630万美元的加密货币。
要知道，斯蒂芬斯可是币圈有头有脸的人物，他创立的基金，Blockchain Capital基金，动不动就领投 Sam Altman 的 Worldcoin，投资Coinbase、Kraken 和 NFT 交易所 Opensea 等加密初创公司。
业界对此评价议论纷纷，看法不一：
有人认为这是美国当局所为，表示：“他们就是这样，拿走你的钱，然后把它归咎于黑客。”
有人表示：“加密货币和诈骗密不可分。这样看来区块链技术带来的威胁比政策更大。”
更离谱的是，不光自己的加密货币被盗，斯蒂芬斯的公司社交账号也被另一个黑客偷家了。
这……究竟怎么一回事?一起来扒扒。
事件经过
巴特·斯蒂芬斯( Bart Stephens)是加密货币基金Blockchain Capital的联合创始人兼管理合伙人，早期著名的加密货币传播者。
在8月16日向法院提交的诉讼中，他表示价值630万美元的加密货币在5月份被黑客用SIM卡交换攻击(SIM swap attack)的方式，一股脑窃取。
具体来说，一个化名为Jane Doe的黑客，使用在线和暗网上提供的个人信息，绕过斯蒂芬斯的手机运营商的安全检查，更改了他的账户密码。
在控制了斯蒂芬斯的蜂窝网络账户后，黑客订购了一部新手机，然后将他的私人手机号码移植到新设备的SIM卡上。
随后，黑客使用斯蒂芬斯的手机号码，在几个未命名的数字钱包中重置密码并通过双因素身份验证，经过一番操作，修改了其数字钱包密码，开始“系统地窃取原告的数字资产”，630万美元就此转移。
黑客们的嚣张不至于此，在黑客在转移630万美元的前一天，他们还给斯蒂芬斯发邮件，吹嘘说他们可以“远程破解美国大陆任何人的电话号码”。
不幸中的万幸，该黑客还试图从斯蒂芬斯拥有的托管冷钱包中窃取价值1400万美元的比特币和以太坊，被收到提款通知的BlockchainCapital员工阻止。否则，斯蒂芬斯损失还得翻倍。
相关部门表示，这类攻击越来越常见，并且针对可能拥有大量加密货币的受害者。
目前，斯蒂芬斯已对匿名黑客提起诉讼，并呼吁加强对此类攻击的安全防护措施。
盗窃事件发生后的第二天，斯蒂芬斯的移动服务提供商确认，他已成为SIM卡交换攻击的目标。
大约50%的被盗资金通过加密货币混币器(Cryptocurrency Tumbler)交易所转移，这些交易所将数字资产混合在一起，以掩盖交易来源，使得追踪被盗的加密货币变得更加困难。
更离谱的是，盯上斯蒂芬斯的人竟然还不止一个。
3个月后，Blockchain Capital在Twitter的账户也被盗窃，还发布了多条虚假的代币消息。
随后，8月10日官方账号宣布账号已恢复安全。
有意思的是，巴特·斯蒂芬斯一直是加密货币的坚定支持者，经常与摩根大通首席执行官杰米·戴蒙等怀疑论者发生冲突，后者经常将比特币标记为骗局。
斯蒂芬斯在回应此类批评时曾表示：
“我建议杰米·戴蒙和其他人先做一些功课。这不是骗局。这是一项强大的技术，将影响多个行业。”
但从过去看，SIM卡交换攻击受害者不止斯蒂芬斯一人，这个倒霉蛋也来自币圈。
7 月初，LayerZero 首席执行官 Bryan Pellegrino 成为 SIM 卡交换攻击的最新受害者之一，该攻击使黑客暂时接管了他的 Twitter。幸运的是，后来他的账号被追回，还悠然地发帖报平安。
Bryan Pellegrino 表示，一发现手机状态不对就意识到了是SIM卡交换攻击，立即在公司账号发出警告帖，并发出消息提醒亲友不要上当。
接着，他开始反击，先登录邮箱改密码，将黑客踢出。尽管黑客增加了其他双因素验证，经过一系列的操作，他终于找回自己的账号密码。
据Bryan Pellegrino猜测：在多伦多一次演讲之后，他没有把身份徽章带走，结果就有人从垃圾桶里面捡走了他的身份徽章，并以此骗取了运营商的信任，进行SIM卡交换攻击。因为盗号这个事情就在大会发生后不久。
那么黑客使用了怎样的技术呢?
SIM卡交换攻击
一句话概括就是：
骗子用你的信息补了张卡。
SIM卡交换攻击，又称SIM卡劫持，是透过冒用身份向电信业者提出申请，将被害者的电话号码从对方的SIM卡转移至攻击者的一种诈骗攻击手段。
攻击者可借此在被害者不知情的情况下，从手机收取一次性密码并盗取网站账号与银行账户。
这与普通的盗号可不同。盗号仅仅是获取账号的使用权，而SIM卡交换攻击则能够通过大部分二次验证，也就是说——
即使黑客进行账号信息、业务往来的操作，被商家发短信提醒，也无济于事。
近些年SIM卡交换攻击案件时有发生。
2022年初，美国相关部门对这种日渐猖獗的攻击手段提出警告，称旗下的网络犯罪投诉中心在2018年到2020年间共收到320件相关投诉、损失金额达1200万美元，但在2021年共收到1610件相关投诉、损失金额达6800万美元，是过去三年间的五倍以上。
纵观国内外，SIM卡交换攻击多年来是社会工程里面的常用手段。
2018年，区块链新创公司Transform Group创办人Michael Terpin被盗取了价值2400万美元的加密货币，他随即起诉美国电信业者AT&T未能充分保护用户安全，并求偿2.24亿美元;两年后，盗取其资产的一名纽约高中生被起诉，他在犯案时年仅15岁。目前，该名攻击者已表示愿意归还其盗取的资产，而对AT&T的求偿则被法院驳回。
2020年，普林斯顿大学信息技术政策中心的四位研究员发表了一份研究测试，他们在美国的五大电信业者申办了共50张预付卡，再尝试对其进行攻击，结果有39张SIM卡成功转移，且有两家电信业者完全未进行身份查核。研究中还测试了140个线上服务，其中有17个可以通过这种攻击手段来盗取账户。
2022年1月，中国台湾也有攻击案例。攻击者绕过相对严格的身份认证机制，冒用被害者的身份证和健保卡影本、出入境证明、委托书等资料，挂失SIM卡后盗取网络银行资产，更冒用身份申办信用卡、领取消费券和接种疫苗。
慢雾首席信息安全官23pds称，基于SIM卡交换的黑客攻击目前还不太普遍，但在不久的将来有进一步增加的可能性。
但他也提到了过去几年涉及加密货币中SIM卡交换攻击的一些案例，如2021年10月，由于2FA漏洞，黑客从至少6,000名客户那里窃取了加密货币。
需要补充的是，一些案件并非直接依赖SIM卡交换攻击，而是以网络钓鱼为主的“类补卡攻击”。
例如很多骗子使用技术手段，给受害人的手机设置呼叫转移，或者直接使用网络电话显示受害人号码，然后对其家人进行诈骗。
随着AI换脸、变声技术演进和普及，类似的情况还会有更多，监管难度也越来越大。为了提升验证级别，我国一些金融机构还提供了人脸识别服务，不过已有部分“先进技术”被破解造成经济损失的案例报道。
还有一些「降维版SIM卡交换攻击」，就是直接冒充警方或金融服务商，以涉案、办理变更手续以免影响征信为由，骗取受害人提供验证码或打开会议分享手机页面，直接获取受害人的钱财和密码信息。
说得感觉世界就像是黑暗森林了，随时有人想害我——
信息时代，到底应该怎样防范潜在的风险呢?
防范建议
至于如何预防，我们给4点小建议：
保护信息，保护信息，保护信息。
不难发现，骗子成功的前提是获取受害者的信息。这些信息包括身份、地址、面容甚至是医疗信息，而这些信息除了灰产之外，很多都可以直接从社交网络上获取——
所以尽量不要在社交网络过度分享自己隐私信息，或者偶尔发出一切无关信息进行混淆。
SIM卡其实可上锁。
不管是中国还是美国，SIM卡其实也是可以设置密码的，称之为PIN码，共4位数字，可以在用户手机被盗、SIM卡丢失而更换设备时能起到保护作用。
通常运营商没有设置默认开启PIN码，而且有简单的默认密码，用户可以自行修改，不过，这个数字一定要记住，不然输错3次需要使用PUK码或者到运营商处修改，非常麻烦。
减少使用或补强短信验证，使用身份验证程序。
我国现在实行实名制，大部分APP都可以仅仅通过手机验证码、邮箱验证码就重置密码，这还是存在一定的风险。
越来越多的国际企业提供了身份验证应用程序，例如Duo、Google Authenticator等，黑客们即使获取到你的邮箱或SIM卡，也无法完全控制你的账号。
冷静操作，及时求助
尽管不法分子们凭借飞速发展的科技手段进行攻击和诈骗，运营商和金融机构都有相应的安全策略，甚至是严格的信息安全等级保护认证和合规要求。那么为什么有这么多人受骗呢?因为有时候被唬住了，慌了神。在遇到异常情况的时候保持冷静，及时求助，也是自我保护的方式。
一旦发生手机被盗，或者关注到类似SIM卡交换攻击的情况，就要立刻致电运营商、银行和等机构，并临时冻结自己的账户，一举动，不光能够防止加重自己的损失，也能够为身份被盗用从事不法行为进行一种证据保留。另外，对于产生直接或潜在的经济损失，也要及时报警，维护自身权益。
那么现在，打开自己的手机想一想，你的信息，安全吗?
