Największa podatność w twoim portfelu Bitcoin może być etykieta wysyłkowa

Portfele sprzętowe mogą chronić twoje klucze, ale dokumenty związane z ich zakupem mogą ujawnić twoją tożsamość.

Aby kupić portfel sprzętowy, podajesz firmie swoje imię i nazwisko oraz adres, aby mogła wysłać ci urządzenie zaprojektowane w celu umożliwienia ci kontrolowania swoich pieniędzy. Gdy już rozpakujesz pudełko i je skonfigurujesz, nie ma wiele powodów, aby ponownie myśleć o zamówieniu.

Jednak gdzieś w branży dostawczej zapis tego zakupu może przetrwać przez lata.

W aktualizacji z 4 września dotyczącej ujawnienia naruszenia danych dostawcy wysyłek, Trezor poinformował, że około 67 000 dodatkowych klientów w USA zostało dotkniętych, w tym zamówienia z lat 2019-2021. Powiedział, że ShipMonk, firma zajmująca się dostarczaniem urządzeń, zapewniła go na piśmie, że usunęła te zapisy. Firma obecnie wymienia 80 689 dotkniętych klientów ogółem.

Trezor twierdzi, że jego systemy i urządzenia nie zostały naruszone, a zawartość paczek nie została ujawniona. Wykradzione informacje obejmowały jedynie dane kontaktowe i dostawcze, więc żadne fundusze nie zostały skradzione ani niewłaściwie przywłaszczone.

I chociaż dotychczasowe straty finansowe wynoszą zero, te dane kontaktowe stwarzają większy problem dla klienta, który przetrwał zakup i mogą trwać jeszcze długo w przyszłości.

Urządzenie, które kupili, nadal będzie chronić ich pieniądze, ale informacje użyte do jego dostarczenia mogą pomóc obcemu w podszywaniu się pod kogoś, komu ufają.

Urządzenie i osoba

Sieć Bitcoin rejestruje monety i kto może je wydawać. Portfele przechowują prywatne klucze, które autoryzują wydawanie: sekrety, które pozwalają ich właścicielowi polecić sieci transfer pieniędzy.

Portfele sprzętowe przechowują te sekrety w dedykowanym urządzeniu. Gdy dokonujesz płatności, może zatwierdzić transakcję bez przekazywania prywatnego klucza komputerowi obsługującemu towarzyszące oprogramowanie.

To oddzielenie oznacza, że problem z komputerem nie prowadzi automatycznie do utraty pieniędzy.

Potrzebujesz również sposobu na odzyskanie dostępu, jeśli urządzenie się zepsuje lub zniknie, co jest miejscem, w którym wkraczają kopie zapasowe portfela. Sposób, w jaki działają, zależy głównie od konfiguracji, ale zazwyczaj jest to sekwencja słów, która może odtworzyć portfel na innym urządzeniu.

Jednak ten mechanizm odzyskiwania może również pomóc złodziejowi, który go zdobędzie, dlatego instrukcje kopii zapasowej Trezora odradzają dzielenie się kopią zapasową lub przechowywanie cyfrowych kopii.

Każdy atakujący, który przekona właściciela portfela do przekazania tych informacji, omija wszystkie zabezpieczenia urządzenia. Jednak przekonanie osoby, że prośba o ich kopię zapasową jest uzasadniona, zawsze było najtrudniejszą częścią tego typu oszustwa.

Nawet najmniejsza informacja osobista może sprawić, że ta wiadomość będzie znacznie bardziej przekonująca. E-mail skierowany do ciebie po imieniu, który odnosi się do zamówienia, które rozpoznajesz, wydaje się inny niż ogólne ostrzeżenie wysłane do miliona skrzynek odbiorczych. Listy dostarczane do twojego domu mogą łatwo wyglądać jak oficjalna korespondencja, nawet gdy ich instrukcje są oszukańcze.

Rekordy kampanii phishingowych Ledger obejmują fizyczne listy kierujące odbiorców do zeskanowania kodu lub odwiedzenia strony internetowej, na której proszą o ich słowa odzyskiwania. Te kampanie pokazują, jak fizyczna poczta może przenosić oszustwo.

Wyrażenie 'wyciek portfela' może zaciemnić to, co ktoś faktycznie uzyskał. Informacje kontaktowe mogą pomóc oszustowi podejść do właściciela; sekrety portfela mogą dać im dostęp do pieniędzy.

Zamówienie mogło być prezentem. Kupujący mógł przestać używać urządzenia lub sprzedać swoje monety. Rekord wysyłki to wskazówka dotycząca przeszłego zakupu, ale pozostawia wiele niepewności co do tego, co kupujący posiada dzisiaj.

Niedoskonała wskazówka może być wystarczająca, aby wybrać cel do oszustwa. Właściciel musi ocenić wiadomości od obcych, którzy mogą znać szczegóły, które miały pozostać prywatne. Sekret wewnątrz portfela sprzętowego i informacje na zewnątrz są częścią tej samej dyskusji o bezpieczeństwie osobistym, mimo że wymagają różnych zabezpieczeń.

Zamówienia portfeli przetrwają dostawę

Informacje o wysyłce mają uzasadniony cel, ponieważ ktoś musi umieścić właściwą paczkę na właściwej trasie, rozwiązać problem z nieudana dostawą i zająć się zwrotem. Biorąc pod uwagę rozmiar i zakres tej operacji logistycznej, firmy sprzedające urządzenia międzynarodowo często polegają na innych firmach, aby to dla nich zrealizowały.

Problemy zaczynają się, gdy to, co powinno być tymczasowymi informacjami operacyjnymi, staje się trwałym aktywem korporacyjnym. Zachowanie starego rekordu kosztuje bardzo mało, a ustalenie, gdzie trafiła każda informacja, może wymagać pracy w różnych działach i u dostawców.

Pierwotny powód zbierania tych informacji najprawdopodobniej wygaśnie na długo przed systemem, który je przechowuje.

W różnych firmach informacje mogą utrzymywać się w replikach baz danych, eksportach systemów wsparcia i kopiach zapasowych długo po ich usunięciu z aplikacji, z której korzysta personel na co dzień. Ustalenie, że rekord zniknął, wymaga procesu, który uwzględnia sposoby, w jakie był przechowywany i udostępniany.

Wytyczne Federalnej Komisji Handlu zaczynają się od dość prostego zasady: zbierać i przechowywać wrażliwe informacje tylko w uzasadnionym celu biznesowym, wiedzieć, gdzie one trafiają, i bezpiecznie je usunąć. Jej wytyczne dotyczą również dostawców usług, ponieważ zlecenie zadania nie zwalnia firmy z potrzeby zrozumienia, jak informacje są obsługiwane.

Klauzula dotycząca usunięcia, którą ma większość umów, jest częścią tego procesu, a także zapewnienie dostawcy, że klauzula została przestrzegana. Ale ani jedno, ani drugie nie jest tym samym, co bezpośredni dowód, że każdy odpowiedni system zastosował politykę przechowywania.

Możesz sprawdzić adres na paczce i potwierdzić odbiór urządzenia, ale nie możesz sprawdzić baz danych partnera realizującego zamówienia kilka lat później. Firma wybierająca partnera musi żądać dowodów, definiować okresy przechowywania i testować, czy te warunki są przestrzegane.

To sprawia, że prywatność jest odpowiedzialnością produktu, a także nawykiem użytkownika. Doradzanie klientom, aby byli ostrożni z ich adresami zapasowymi, nie rozwiązuje losu rekordu, który już został powierzone detalistom i ich wykonawcom.

Karty płatnicze można zastąpić nowym numerem, a skompromitowane hasła można wycofać. Ale adresy domowe mogą pozostawać ważne długo po tym, jak pierwotny zakup zostanie zapomniany, a skopiowany rekord nie może być odzyskany od wszystkich, którzy go otrzymali.

Nawet przeprowadzka nie zrywa związku. Stare adresy mogą nadal pomóc komuś dopasować inne dane lub podszyć się pod firmę, z którą klient kiedyś współpracował. Ciągłe koszty to częściowo bezpieczeństwo finansowe, a częściowo wysiłek związany z decyzją, które komunikaty zasługują na uwagę.

Prywatność musi przetrwać zakup portfela

Istnieją sposoby, aby zachować większą prywatność podczas dostaw. Skrytki na paczki, neutralne opakowania i oddzielne dane kontaktowe dla zamówień online mogą znacznie utrudnić realizację tych oszustw.

Jednak istnieje limit, jak daleko można posunąć się w stosowaniu tych środków. Operatorzy skrytek mogą wymagać identyfikacji, dostawcy płatności mogą przechowywać informacje o fakturach, a wysyłanie portfela sprzętowego w pustym pudełku nie usuwa zapisów sprzedawcy.

Zakup przez nieznanego lub używanego sprzedawcę może wprowadzić inny problem, jeśli pochodzenie urządzenia stanie się trudniejsze do zaufania.

Te zabezpieczenia działają na różnych etapach zakupu. Kupujący muszą wiedzieć, za jakie zabezpieczenie płacą i które organizacje otrzymają ich dane.

Dla producentów największa poprawa musi nastąpić przed powiadomieniem o naruszeniu. Oznacza to zbieranie mniej, gdzie to możliwe, oddzielanie informacji, które nie muszą podróżować razem, oraz ustanowienie dowodów, że wykonawcy usuwają zapisy, gdy ich praca się kończy.

Legitymacyjne zobowiązania nie wymagają automatycznie przechowywania każdego starego numeru telefonu i adresu dostawy przez cały okres współpracy handlowej.

Portfele sprzętowe chronią klucze prywatne, trzymając je z dala od zwykłego komputera. Ochrona osoby, która kupuje jeden z nich, wymaga pracy w całym biznesie, który go dostarcza. Producenci wybierają magazyn i negocjują umowę, więc mogą żądać dowodów, że stare zapisy zostały usunięte.

Te decyzje pomagają określić, jak dużo zaufania klient musi nadal okazywać długo po otwarciu pudełka.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.