Nagyot hibázott Buterin, SIM-kártyája segítségével hackelték meg
Az Ethereum társalapítója, Vitalik Buterin egy SIM-kártyás támadás révén lett adathalászat áldozata. Buterin elmondta, hogy nem vette észre, hogy elegendő egy telefonszám a közösségi média fiók visszaállításához, még akkor is, ha azt nem használja kétfaktoros hitelesítéshez.
Az Ethereum társalapítója, Vitalik Buterin mostanra helyreállította T-Mobile-fiókját, miután megerősítette, hogy egy SIM-kártyacsere-támadás áldozata lett. Mint arról hétvégén beszámoltunk, Buterin X (korábbi Twitter) fiókját kibertámadók törték fel. A támadás nyomán több százezres kár keletkezett. Akkor még nem lehetett tudni, hogy hogyan férhettek hozzá az Ethereum vezér fiókjához.
„Végre visszakaptam a T-mobile fiókomat (igen, ez egy sim swap volt, ami azt jelenti, hogy valaki elhatározta, hogy átveszi a T-mobile telefonszámomat” – írta Buterin a Warpcaston – a Farcaster decentralizált közösségi protokoll kliensén, ahol a fiók-visszaállítás egy Ethereum-címen keresztül kezelhető.
A kriptotérben a hitelesítésre használt telefonszámok bizonytalanságára vonatkozó figyelmeztetések ellenére – tekintettel a SIM-swap-támadások elterjedtségére – Buterin nem vette észre, hogy a telefonszám elegendő a rosszindulatú szereplők számára az X-fiókja visszaállításához, még akkor is, ha azt nem használják kétfaktoros hitelesítésre.
„Egy telefonszám elegendő egy Twitter-fiók jelszó-visszaállításához, még akkor is, ha nem 2FA-ként használják” – jegyezte meg Buterin. „Már korábban is láttam a telefonszámok nem biztonságosak, ne hitelesítsd magad velük tanácsot, de most ezt nem vettem észre”.
Sok más felhasználó tudta nélkül is összekapcsolhatta telefonszámát az X-fiókjával, Buterin pedig úgy véli, hogy a Twitter Blue prémium X-előfizetésre való feliratkozáskor írhatta be a számát.
„Nem emlékszem, mikor adtam meg a számot; feltételezésem szerint a Twitter Blue-ra való feliratkozáshoz volt szükséges” – mondta Buterin.
A Flashbots stratégiai vezetője, Hasu a többi X-felhasználót is figyelmeztette, hogy legyenek éberek.
„Ha feliratkoztál a Twitter Blue-ra, az automatikusan hozzáadta a telefonszámodat a Twitter-profilodhoz” – mondta Hasu. „Ez a telefonszám használható a fiókod visszaállítására, akár használod 2FA-ra, akár nem. Menj a beállítások/profil menüpontba, hogy most azonnal eltávolítsd a telefonszámodat.”