Вони думали, що спілкуються з Apple: 195 000 доларів у криптовалютах зникли в Сінгапурі

Несподіване сповіщення, дзвінок, і гаманець спорожнюється. Сінгапурська поліція оприлюднила публічне попередження про шахрайство, яке видає себе за Apple, щоб викачувати криптовалюти. Щонайменше п’ять жертв, понад 195 000 сінгапурських доларів зникли безслідно (близько 130 000 євро), а схема не вимагає жодних технічних навичок: добре розміщене сповіщення, заспокійливий голос на телефоні, код з шести цифр, отриманий у потрібний момент.

У повідомленні сінгапурської поліції згадуються два доменні імені, які використовують шахраї, << chat-apple.com >> та << case-apple.com >>, а також повторюваний телефонний код: << +1 >>, що належить Північній Америці.

Ключові моменти {#h-points-cles}

• Щонайменше п’ять жертв у Сінгапурі та понад 195 000 сінгапурських доларів у криптовалютах, викрадених через шахрайство з підтримкою Apple
• Сценарій поєднує фальшиве сповіщення про безпеку, дзвінок з коду << +1 >> та фальшиві сайти << chat-apple.com >> та << case-apple.com >>
• Скомпрометований Apple ID надає доступ до iCloud Keychain та нотаток, де багато хто необачно зберігає свою seed phrase
• Passkeys, білий список адрес для виведення та офлайн-складення ключів переривають ланцюг перед переказом

Сповіщення, дзвінок, і механіка закривається {#h-une-notification-un-appel-et-la-mecanique-se-referme}

Все починається з несподіваного сповіщення на пристрої Apple жертви: були спроби несанкціонованого доступу до її облікового запису, потрібно терміново змінити пароль Apple ID. Через кілька миттєвостей телефон дзвонить. На іншому кінці дроту псевдотехнік служби підтримки Apple підтверджує погані новини та бере на себе управління розмовою.

Жертву направляють на один з фальшивих сайтів підтримки, де її просять ввести свої облікові дані Apple, дані крипто-рахунку, а потім знамениті OTP (Одноразові паролі, ці коди, що використовуються один раз, повинні підтверджувати кожну чутливу операцію). З цим повним набором шахраї входять до торгових рахунків або гаманців і переводять кошти за кілька хвилин. Більшість жертв зрозуміли, що сталося, лише виявивши історію вихідних транзакцій.

Деталь коду << +1 >> не випадкова. У Сінгапурі всі вхідні дзвінки з-за кордону позначаються кодом << + >> перед номером, захід, який оператори зобов’язані дотримуватись, щоб запобігти такого роду шахрайству. Це захист, який мало що важить, коли екран щойно показав сповіщення про безпеку, а співрозмовник говорить мовою технічної підтримки.

<< Apple ніколи не попросить вас надати ваш пароль Apple ID, одноразові коди або будь-які інші дані для входу через незапрошені телефонні дзвінки, спливаючі вікна або посилання. Ніколи не розголошуйте цю інформацію нікому. >>

Відділ громадських справ, Сінгапурська поліція -- Джерело

Apple ID, цей універсальний ключ, який прагнуть шахраї {#h-l-apple-id-ce-passe-partout-que-les-escrocs-convoitent}

У цій справі не було зламано жодного рядка коду блокчейну. Нападники націлюються на попередній рівень: обліковий запис користувача та його власника. Скомпрометований Apple ID відкриває доступ до iCloud Keychain, синхронізованих нотаток та фотогалереї. А саме там багато інвесторів зберігають, для зручності, скріншот своєї seed phrase або нотатку з дванадцятьма словами. Як тільки Apple ID потрапляє до рук шахраїв, гаманець слідує без опору.

Залишається шар OTP, останній замок перед виведенням. Він не піддається комп'ютерній атаці, але піддається добре проведеній телефонній розмові: жертва сама диктує код, який дозволяє переказ. І на відміну від шахрайства з кредитною карткою, жодна процедура повернення не зможе виправити помилку. Підтверджений переказ в блокчейні є остаточним, що робить ці рахунки набагато більш прибутковими, ніж поточний рахунок.

Сінгапур не вперше стикається з такими попередженнями. Місто-держава зафіксувала понад 51 000 випадків шахрайства лише за 2024 рік, з приблизно 1,1 мільярда сингапурських доларів, що були вкрадені, що є рекордом. Парламент відповів на це законом Protection from Scams Act, який дозволяє поліції тимчасово заморожувати банківські операції особи, яка вважається під впливом. Це ефективний інструмент у випадку банківського переказу, але значно менш ефективний у випадку криптовалютного виведення, виконаного з платформи, розташованої на іншому кінці світу.

ADD, CHECK, TELL: Рекомендації поліції

Сінгапурська поліція формулює свої рекомендації у три етапи, підсумовані акронімом ACT:

• ADD: встановити урядовий додаток ScamShield для блокування шахрайських дзвінків, активувати двофакторну автентифікацію на Apple ID та на всіх крипторахунках, обмежити суми транзакцій, коли така опція доступна.
• CHECK: перевірити легітимність будь-якого дзвінка, спливаючого вікна або посилання через офіційні канали Apple, і контролювати активність свого гаманця через додаток постачальника, ніколи через отримане посилання.
• TELL: повідомити свого постачальника крипто послуг, близьких і поліцію за номером 1800-255-0000 або через портал iWitness.

Декілька додаткових налаштувань закривають двері ще раніше. Замінити OTP через SMS на ключ доступу (passkey) або фізичний ключ безпеки позбавляє шахраїв самого предмета їхнього дзвінка, оскільки більше немає коду для диктування. Активувати білий список адрес для виведення на своєму обміні, з терміном очікування 24-48 годин, що застосовується після будь-якого додавання або підключення з нового пристрою, дає час на реакцію. І seed phrase не повинна зберігатися в хмарі, нотатці чи фотографії: її місце залишається на офлайн носії, ідеально - на апаратному гаманці.

Одного орієнтира часто достатньо, щоб все зупинити: підтримка Apple існує лише на apple.com та support.apple.com, і вона ніколи не телефонує першою, щоб вимагати ідентифікатор. << chat-apple.com >> та << case-apple.com >> ніколи не належали компанії з Купертіно. У разі сумнівів, лінія ScamShield 1799 відповідає 24 години на добу, а портал scamshield.gov.sg перераховує варіанти, що циркулюють.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.