Kriptovalyuta Təhlükəsizlik Bələdçisi: Sosial Mühəndislik Hücumlarını Necə Tanımaq və Qarşısını Almaq

Müəllif: SafePal

Kriptovalyuta dünyasında, ən möhkəm qalalar bəzən texnologiya tərəfindən deyil, insanların özləri tərəfindən "açılır".

Mürəkkəb zəncir üstü zəifliklərdən daha çox, adi istifadəçilərin qarşılaşdığı şey sosial mühəndislik hücumlarıdır (Social Engineering Scam). Hücumçuların mütləq şəkildə hardware cüzdanını sındırması və ya sistem icazələrini əldə etməsi lazım deyil; onlar daha çox kimliklərini gizlətmək, təcili vəziyyət yaratmaq və insanların etimadını və aktiv itkisindən qorxusunu istifadə edərək, pul köçürməyə, phishing bağlantılarına klikləməyə, zərərli proqram yükləməyə, cüzdanı bağlamağa, əməliyyat imzalamağa və hətta xatırlatma sözlərini və özəl açarları verməyə təşviq edirlər.

Gerçəkdən ustalıqla həyata keçirilən sosial mühəndislik hücumları, adətən, fırıldağın fırıldaq olduğunu göstərmir. Əksinə, təhlükəli əməliyyatları adi "təhlükəsizlik əməliyyatı" kimi təqdim edir.

I. Sosial mühəndislik hücumlarının beş növü:

Birinci növ: Kimlik saxtakarlığı

Hücumçular cüzdan, birja müştəri xidməti, layihə administratoru, KOL, logistika şirkəti, hüquqşünas və hətta digər təşkilatlar kimi davranaraq, Telegram, Discord, X, WeChat, telefon və s. vasitəsilə istifadəçilərlə əlaqə qururlar.

Müxtəlif danışıq nümunələri arasında "Hesabınızda anomaliya aşkar edildi." "Cüzdanınızın yenidən təsdiqlənməsi lazımdır." "Biz aktivlərinizi geri qaytarmağa kömək edə bilərik."

Karşı tərəfin sizin adınızı, telefonunuzu, sifarişinizi və ya hesab məlumatlarınızı bilməsi onun kimliyinin doğru olduğunu sübut etmir. Gerçək məlumatlar daha çox hücumçular tərəfindən etibarlılığı artırmaq üçün istifadə edilə bilər.

Dəyərləndirmənin açarı qarşı tərəfin "müştəri xidmətinə bənzəyib-bənzəmədiyi" deyil, onların sizdən nə istədiyidir; aktivlərinizi ələ keçirmək istəyənlər fırıldaqçılardır.

Rəsmi icma içində də müştəri xidmətinə bənzəyən fırıldaqçılar gizlənir. Özəl mesajlar rəsmi nəzarət altında deyil, bu fırıldaqçıların ən çox uğur qazandığı yerdir------Problemlə qarşılaşdığınızda, ictimai kanalda açıq suallar verərək cavab axtarmağı tövsiyə edirik.

Kriptovalyuta icmasında hər kəsin yadda saxlamalı olduğu bir qayda var: Gerçək rəsmi şəxslər sizə kömək etmək üçün heç vaxt özəl mesajla əlaqə qurmayacaqlar.

İkinci növ: Phishing bağlantıları, saxta veb saytlar və ya saxta proqramlar yayımlamaq

E-poçt, SMS, axtarış reklamları, QR kodları və sosial media özəl mesajları phishing giriş nöqtəsi ola bilər.

Hücumçular rəsmi veb saytla demək olar ki, eyni olan səhifələr yarada bilər və ya saxta cüzdan tətbiqləri, brauzer əlavələri, masaüstü müştəriləri və ya "firmware yeniləmələri" yayımlayaraq, sizi hesab, doğrulama kodu, xatırlatma sözləri daxil etməyə, cüzdanı bağlamağa və ya əməliyyat imzalamağa təşviq edirlər.

Gerçək zəiflik yalnız domen adında bir hərfin olmaması və ya bir simvolun əlavə olunması ola bilər.

Buna görə, cüzdan yükləmələri, hesab girişləri, brauzer genişləndirmələri və hardware cüzdan firmware ilə bağlı olduğunda, səhifənin "rəsmi veb sayt kimi görünməsi" səbəbindən təhlükəsiz olduğunu düşünməyin. Gündəlik olaraq aşağıdakı əməliyyatlarla phishing veb saytlarına düşmə riskini azalda bilərsiniz:

1. İlk dəfə rəsmi təsdiq edilmiş kanaldan URL-ni yoxladıqdan sonra, onu əl ilə brauzerinizin işarələrinə əlavə edin.

Sonrakı hər dəfə işarələrdən daxil olun, hər dəfə axtarış motoruna yenidən axtarmağa etibar etməyin. Axtarış motoru nəticələrinin üstündəki "sponsor" və ya "reklam" bağlantıları, adətən, saxta veb saytların ən çox toplandığı yerlərdir.

2. Rəsmi veb saytın yönləndirmə yükləmə girişini tanıyın.

Cüzdan tətbiqi və ya brauzer əlavəsi yükləyərkən, həmişə rəsmi veb saytın verdiyi yönləndirmə bağlantısı vasitəsilə rəsmi tətbiq mağazasına daxil olun. Hətta tətbiq mağazasında axtarış edərkən, inkişaf etdirici məlumatlarını və yükləmə sayını diqqətlə yoxlayın, eyni adlı saxta proqram yükləməmək üçün.

Üçüncü növ: Qorxu və təcili vəziyyət yaratmaq

Bu, sosial mühəndisliyin ən yaygın psixoloji vasitələrindən biridir.

"Aktivləriniz oğurlanır." "Cüzdanınızda ciddi zəiflik var." "On dəqiqə ərzində hərəkət etməsəniz, hesabınız dondurulacaq." "Təcili yeniləmə etməlisiniz, əks halda cihaz istifadə edilə bilməyəcək."

Bu danışıq nümunələrinin məqsədi, sizə yoxlamağa vaxt vermədən, qarşı tərəfin təqdim etdiyi addımları izləməyə məcbur etməkdir.

Çox vaxt, "təhlükəsizlik xəbərdarlığı" özü fırıldağın bir hissəsidir.

Hücumçular əvvəlcə sizdə "bir an geciksəniz, pulunuz itəcək" qorxusunu yaradır, sonra zərərli bağlantı, saxta proqram və ya "təhlükəsiz ünvan" kimi həll yollarını təqdim edirlər.

Buna görə, daha çox təcili əməliyyat tələb edən məlumatlar, əvvəlcə dayanıb yoxlamağa dəyər.

Dördüncü növ: Gizli şəkildə gizlənmək və uzunmüddətli etimad qurmaq

Bütün sosial mühəndislik hücumları qorxu yaratmır, bəziləri əksinə, sizə fayda verə bilər.

Pulsuz airdrop, NFT, cashback mükafatları, yüksək gəlirli investisiyalar, daxili yerlər, hamısı cəlbedici ola bilər.

Bəzi fırıldaqlar sosial proqramlar, qruplar və hətta tanışlıq platformaları vasitəsilə uzun müddət əlaqə quraraq, sonra istifadəçiyə investisiya imkanları, ticarət platformaları və ya idarəetmə xidmətləri təqdim edirlər.

Bu cür hücumların ən təhlükəli tərəfi, onların mütləq sürətlə nəticə əldə etməməsidir------hücumçular etimad qurmaq üçün bir neçə həftə və ya hətta aylar sərf edə bilər, ta ki siz özünüz pulunuzu köçürməyə razı olana qədər.

Artıq fırıldaqa düşmüş insanlar üçün, daha gizli bir "ikinci fırıldaq" var: "hüquqşünas", "araşdırma təşkilatı" və ya "aktivlərin geri qaytarılması komandası" kimi şəxslər sizə aktivlərin tapıldığını bildirərək, yalnız hüquqşünas haqqı, vergi və ya dondurma haqqı ödəməyinizi tələb edirlər.

Beşinci növ: Offline kanallar vasitəsilə sosial mühəndislik hücumları

Sosial mühəndislik yalnız ekranlarda baş vermir.

Hücumçular telefon, fiziki məktublar, kuryer vasitəsilə, hətta "dəyişdirmə cihazları" göndərərək, istifadəçiyə cihazın riskli olduğunu bildirərək, skan etməyə, cüzdanı yenidən yükləməyə və ya hardware-i dəyişdirməyə məcbur edə bilərlər.

Buna görə, özünüzün aktiv şəkildə satın almadığınız və ya müraciət etmədiyiniz, lakin birdən-birə aldığınız cüzdan cihazlarını birbaşa istifadə etməməlisiniz, daha da önəmlisi, oraya əvvəlki cüzdanın xatırlatma sözlərini daxil etməməlisiniz.

II. Sosial mühəndislik hücumu adətən necə tamamlanır?

Formalardan asılı olmayaraq, əksər hücumlar bir neçə oxşar addıma bölünə bilər.

Birinci addım: Etibarlılıq yaratmaq

Hücumçular cüzdan, birja, müştəri xidməti, layihə, logistika şirkəti və ya hətta gerçək şəxslərin məlumatlarını gizlədərək etibarlılıq yarada bilərlər.

Buna görə, "karşı tərəf mənim gerçək məlumatlarımı bilir" demək, onun kimliyinin doğru olduğunu sübut etmir.

İkinci addım: Hərəkət etməyə məcbur edən bir səbəb yaratmaq

Səbəb qorxudan (aktivlərin oğurlanması, hesabın dondurulması), faydadan (airdrop, geri ödəmə, aktivlərin geri qaytarılması) və ya "kömək" (mən sizə kömək edəcəyəm) gələ bilər.

Hansı biri olursa olsun, məqsəd sizin müstəqil qərar vermə vaxtınızı sıxmaqdır.

Üçüncü addım: Gerçək hücumu həyata keçirmək

Hücumçular sonunda sizdən tələb edirlər: müəyyən veb sayta daxil olmaq, QR kodunu skan etmək, proqram yükləmək, ekran paylaşmaq, cüzdanı bağlamaq, doğrulama kodu daxil etmək, əməliyyat imzalamaq, xatırlatma sözlərini və ya özəl açarları təqdim etmək və ya birbaşa müəyyən bir ünvana pul köçürmək.

Bu, riskin dəyərləndirilməsi üçün ən vacib addımdır.

Sadəcə soruşmayın: "Bu şəxs rəsmi görünürmü?" Daha çox soruşmalısınız: "O, mənim nə etməyimi istəyir?"

Əgər bir "təhlükəsizlik bildirişi"nin son nəticəsi, sizin aktivlərinizi ələ keçirməkdirsə, o zaman əvvəlki bütün paketlər nə qədər gerçək olsa da, fırıldaqdır.

III. Sosial mühəndislik hücumlarına qarşı dörd əsas qaydanı qorumaq

Fırıldaq üsulları daim dəyişə bilər, amma təhlükəsizlik prinsipləri o qədər də mürəkkəb deyil.

Birinci: Heç kəsə xatırlatma sözlərini, özəl açarları, PIN kodunu və ya cüzdan şifrəsini verməyin

Xatırlatma sözləri doğrulama kodu deyil, kimlik təsdiqi məlumatı deyil, geri ödəmə sənədi deyil və ya "təhlükəsizlik yeniləmə kodu" deyil.

Rəsmi öz-özünə idarə olunan cüzdanlar, istifadəçilərin cüzdanı bərpa edərkən, etibarlı cihazda və ya rəsmi proqramda xatırlatma sözlərini daxil etmələrini tələb edə bilər, lakin bu, xatırlatma sözlərini müştəri xidməti, administrator və ya tanımadığınız veb saytlara göndərməkdən tamamilə fərqlidir.

İkinci: Özünüzü doğrulamaq üçün qarşı tərəfin təqdim etdiyi girişdən istifadə etməyin

Sözde rəsmi e-poçt aldığınızda, e-poçtdakı "rəsmi veb sayt"a klikləməyin; şübhəli telefon zəngi aldığınızda, qarşı tərəfin təqdim etdiyi müştəri xidmətini istifadə etməyin.

Cari məlumat mənbəyindən çıxın, özünüz rəsmi veb sayt, rəsmi tətbiq və ya təsdiq edilmiş hesabı tapın və bir daha yoxlayın.

Üçüncü: Anlamadığınız imzaları və icazələri təsdiqləməyin

Xatırlatma sözlərini sızdırmamaq təhlükəsiz olduğunu göstərmir.

Zərərli icazələr, Permit imzaları, Token Approve, hətta adi bir pul köçürməsi belə aktivlərin itirilməsinə səbəb ola bilər.

Nəyi icazə verdiyinizi bilmirsinizsə, "müştəri xidməti bunu təsdiqləməlidir" deyərək təsdiqləməyin.

Dördüncü: Daha çox tələsdirilən məlumatlar, daha çox dayanmalısınız.

"Təcili yeniləmə etməlisiniz" "Aktivləriniz oğurlanır" "On dəqiqə ərzində hərəkət etməsəniz, dondurulacaq", bu danışıq nümunələri özləri psixoloji təzyiqin tipik nümunəsidir. Gerçək normal təhlükəsizlik prosesi, sizə bir neçə dəqiqə daha çox təsdiq etməyə imkan verir.

Fırıldaqçılar ən çox sizin düşünməyə vaxtınızın olmamasını istəyirlər.

IV. Əgər şübhəli əməliyyat həyata keçirilmişsə, nə etməli?

Əgər yalnız şübhəli e-poçt, SMS, telefon zəngi və ya özəl mesaj almışsınızsa, klikləmədən, imzalamadan və ya pul köçürmədən, əlaqəni dayandırın və müvafiq sübutları saxlayın.

Əgər artıq hesab şifrənizi, doğrulama kodunu daxil etmisinizsə və ya şübhəli proqram yükləmisinizsə, müvafiq hesab şifrənizi tez bir zamanda dəyişdirin, 2FA-nı sıfırlayın və e-poçt, birja və s. kimi mühüm hesabların giriş qeydlərini yoxlayın.

Əgər tanımadığınız DApp ilə əlaqə qurmuşsunuzsa, şübhəli icazələr və ya imzalar həyata keçirmişsinizsə, cüzdanınızın son əməliyyatlarını və icazələrini vaxtında yoxlayın, tanımadığınız və ya artıq istifadə etmədiyiniz icazələri ləğv edin.

Əgər xatırlatma sözləri və ya özəl açarlar sızdırılıbsa, o zaman orijinal cüzdanı artıq itirilmiş hesab edin. Bu halda, etibarlı bir cihaz istifadə edərək tamamilə yeni bir cüzdan və xatırlatma sözləri yaradın və tez bir zamanda orijinal cüzdanda hələ də mövcud olan aktivləri yeni cüzdana köçürün. Artıq sızdırılmış xatırlatma sözlərini istifadə etməyin.

Nəticə

Sosial mühəndisliyin ən təhlükəli tərəfi, texnologiyanın nə qədər mürəkkəb olması deyil, insanların psixologiyasını istifadə etməyi bilməkdir.

Hər hansı bir aktivlə bağlı anormal əlaqələrə qarşı, ən vacib olanı, nə qədər fırıldaq üsulunu xatırlamaq deyil, qorxu, tamah və tələsik qərarlar verməməkdir.

Sizi daha çox tələsdirən, daha yavaş olun; sizi daha çox cəlb edən, daha çox təsdiq edin.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.