Как восстановить взломанный криптоаккаунт

Если ваш криптоаккаунт взломан, действуйте в таком порядке: защитите электронную почту и телефон, попросите биржу заморозить аккаунт, переведите оставшиеся средства с скомпрометированных кошельков, отзовите разрешения, задокументируйте всё и сообщите о краже. Скорость важна, поскольку злоумышленники выводят средства в течение минут, а переводы в блокчейне нельзя отменить.

Сначала выясните, что было скомпрометировано

Разные взломы требуют разных действий. Используйте те строки, которые соответствуют тому, что вы наблюдаете.

Рисунок: Порядок действий после взлома.

Может подходить более одной строки. Компрометация почты часто приводит к компрометации биржевого аккаунта. Если вы не знаете, с чего начать, начните с почтового аккаунта: он является ключом почти ко всем остальным аккаунтам, и его защита в первую очередь не даёт злоумышленнику сбросить пароли остальных, пока вы работаете. Ведите короткую запись времени каждого шага.

Защитите почту и телефон

Большинство захватов аккаунтов происходит через сброс пароля по почте или SMS-коды. С доверенного устройства смените пароль от почты, завершите все остальные сеансы и проверьте, не добавил ли злоумышленник новые правила пересылки или адреса для восстановления. Переключите двухфакторную аутентификацию на приложение-аутентификатор или аппаратный ключ безопасности. Если телефон неожиданно потерял связь, позвоните оператору с другого телефона и попросите отменить любую замену SIM-карты и заблокировать номер. См. что такое атака SIM-свопинга.

Заморозьте биржевой аккаунт

Для связи со службой поддержки используйте только официальный сайт или приложение биржи и попросите заморозить аккаунт. Биржи иногда могут остановить ещё не завершённые выводы или пометить адреса назначения, если сообщить им быстро. Вернув контроль, удалите все адреса для вывода, API-ключи и незнакомые устройства и включите белый список выводов.

Спасите оставшееся в кошельке самостоятельного хранения

Если ваша seed-фраза могла быть увидена, кошелёк навсегда небезопасен. Создайте новый кошелёк с новой фразой, желательно на другом устройстве, и переведите всё оставшееся. Не используйте старую фразу повторно и не импортируйте её куда-либо. Злоумышленники иногда оставляют небольшие суммы и запускают боты, которые мгновенно выводят любой новый депозит, поэтому не отправляйте средства обратно в старый кошелёк для оплаты комиссий; переводите деньги на комиссии только в новый кошелёк.

Отзовите разрешения после вредоносной подписи

Если токены исчезли после использования веб-сайта, злоумышленник, вероятно, получил разрешение на расход токенов или подписанное разрешение. Используйте проверку разрешений на блок-эксплорере, чтобы найти и отозвать разрешения для неизвестных получателей, затем переведите оставшиеся токены в новый кошелёк. Отзыв прекращает будущее использование разрешения, но не может вернуть средства, которые уже взяты. См. что такое дрейнер кошельков.

Задокументируйте всё

Записывайте хеши транзакций, адреса, даты, суммы, веб-сайт или сообщение, связанные с инцидентом, и скриншоты всего значимого. Ясная запись помогает биржам решить, замораживать ли средства, которые до них дойдут, помогает следователям связывать дела между собой и может понадобиться для налоговых или страховых целей. См. что такое блокчейн-эксплорер.

Сообщите о краже

Сообщите в местную полицию и, в США, в Центр жалоб на интернет-преступления ФБР (IC3) по адресу ic3.gov. Укажите биржам, куда были отправлены украденные средства; если средства всё ещё там, они могут их заморозить. Заявления важны даже тогда, когда возврат маловероятен, поскольку они помогают властям выявлять тех же злоумышленников, атаковавших множество жертв.

Остерегайтесь мошенников, предлагающих вернуть средства

Пострадавшим нередко в течение нескольких дней пишут «эксперты по восстановлению», «блокчейн-расследователи» или люди, которые утверждают, что работают с правоохранительными органами. Они обещают отследить и вернуть средства за авансовую плату, а некоторые подделывают официальные документы. Настоящие органы власти не берут плату с потерпевших, и никто не может гарантировать возврат криптовалюты, отправленной в блокчейне. Считайте любое непрошеное предложение мошенничеством и никогда не сообщайте новую seed-фразу, пароли или документы, удостоверяющие личность, тому, кто связывается с вами по поводу кражи. См. признаки криптомошенничества.

Подготовка заранее ускоряет восстановление

Большая часть времени, потерянного после взлома, уходит на поиски нужной информации: официальной страницы поддержки биржи, резервных кодов, списка аккаунтов, привязанных к адресу электронной почты. Небольшая подготовка сокращает эту суету. Добавьте в закладки официальные страницы поддержки бирж, которыми вы пользуетесь, храните резервные коды двухфакторной аутентификации в офлайн-месте, запишите, какие аккаунты привязаны к каким адресам электронной почты и номерам телефона, и храните номер горячей линии службы мошенничества вашего оператора связи не только в телефоне. Если заранее знать, какие аккаунты нужно защитить в первую очередь, первые минуты уходят на действия, а не на поиск.

Когда ситуация стабилизировалась

Выясните, как злоумышленник получил доступ: через повторно использованный пароль, SMS-код, поддельный сайт или раскрытую seed-фразу, и закройте именно эту брешь. Затем проверьте остальные настройки безопасности: уникальные пароли в менеджере паролей, надежную двухфакторную аутентификацию, офлайн-резервную копию seed-фразы и отдельный кошелек для подключения к новым приложениям. Чтобы выработать повседневные привычки, прочитайте статью о том, как построить рутину безопасности в криптовалюте, а о заблуждениях, которые облегчают атаки, см. мифы о безопасности криптовалют.

Часто задаваемые вопросы

Может ли биржа отменить вывод, который совершил хакер?

Нет, если вывод уже подтвержден в блокчейне. Биржа может остановить выводы, которые еще находятся в ожидании, и может заморозить средства, поступившие на ее собственную платформу. Поэтому важно немедленно связаться с биржей.

Стоит ли платить выкуп или вступать в переговоры с хакером?

Как правило, нет. Платежи редко приводят к возврату средств и могут повлечь новые требования. Сообщите о любом контакте со стороны злоумышленника в полицию и сохраняйте его записи.

Эта статья носит образовательный характер и не является финансовой, инвестиционной, юридической или налоговой консультацией. Цифровые активы подвержены высокой волатильности, и вы можете потерять вложенную сумму.

Источники

• Рост числа схем подмены SIM-карт (сообщите в местные правоохранительные органы и на ic3.gov) — FBI IC3, февраль 2022
• Безопасность взаимодействия со смарт-контрактами (отзыв разрешений; проверка адресов) — Security Alliance
• Seed-фраза (скомпрометированная фраза дает полный контроль; создайте новый кошелек) — LearnBitcoin