کلاهبرداری ارز دیجیتال با سوءاستفاده از اپلیکیشن‌های موبایل

ناشناس‌بودن یا شبه‌ناشناس‌بودن رمزارزها آنها را به اهداف مطلوبی برای مجرمان اینترنتی تبدیل کرده است.

کلاهبرداری در ارز دیجیتال به مجرمان اجازه می‌دهد به‌راحتی سیستم‌های بانکی سنتی را دور بزنند و از نظارت مالی توسط نهادهای قانون‌گذار اجتناب کنند.

با توجه به اینکه افراد بیشتر از دسکتاپ‌ها و تلفن‌های هوشمند خود استفاده می‌کنند، عجیب نیست که مجرمان اینترنتی نیز بیشتر به‌دنبال هک‌کردن کیف پول‌های موبایلی باشند.

در ادامه این مقاله نشان می‌دهیم که کلاهبرداران چگونه از طریق تلفن‌های همراه، ارزهای دیجیتال افراد را مورد حمله قرار می‌دهند.

علاوه بر این در هر بخش، به چند روش برای محافظت از دارایی‌های دیجیتال نیز اشاره خواهیم کرد.

پس برای حفظ امنیت ارز دیجیتال‌تان این مطلب را بخوانید.

1. اپلیکیشن‌های جعلی صرافی‌های رمزارز

یکی از روش‌های کلاهبرداری ارز دیجیتال انتشار اپلیکیشن‌های جعلی مربوط به صرافی‌های دیجیتال است.

یکی از مشهورترین مثال‌ها اپلیکیشن جعلی صرافی پولونیکس (Poloniex) بود.

پیش از انتشار اپلیکیشن رسمی صرافی در ژوییه 2018، چندین اپلیکیشن جعلی از این صرافی روی گوگل پلی موجود بود. بسیاری از کاربرانی که این اپلیکیشن‌ها را دانلود می‌کردند، با ورود اطلاعات شخصی حساب کاربری خود در پولونیکس، دارایی‌های دیجیتال خود را از دست می‌دادند.

برخی از این اپلیکیشن‌ها حتی یک مرحله از این هم فراتر رفتند و از کاربران خواستند تا اطلاعات شخصی حساب‌های Gmail خود را نیز ارائه دهند. شایان ذکر است که فقط حساب‌های بدون احراز هویت دومرحله‌ای (2FA) دچار مشکل شد.

دنبال‌کردن مراحل زیر می‌تواند از شما در برابر این نوع کلاهبرداری ارز دیجیتال محافظت کند.

• وب‌سایت رسمی صرافی را بررسی کنید تا ببینید که آیا اصلاً اپلیکیشن موبایل ارائه می‌دهند یا خیر. اگر نسخه موبایل کیف پول نیز موجود است، از پیوند وب‌سایت رسمی برای دانلود کیف پول استفاده کنید.
• پیش از دانلود اپلیکیشن، نظرات و رتبه‌بندی‌ها را بخوانید. اپلیکیشن‌های تقلبی اغلب نظرهای افرادی را منعکس می‌کنند که از کلاهبرداری شکایت دارند. البته، باید مراقب اپلیکیشن‌هایی که رتبه‌‌بندی و نظرات مثبت دارند نیز باشید. هر اپلیکیشن مجازی ممکن است مشکلات و نقدهای منفی خودش را داشته باشد.
• اطلاعات ارائه‌دهنده و توسعه‌دهنده اپلیکیشن را بررسی کنید. ارائه‌دهنده کیف پول باید شرکتی قانونی همراه با آدرس ایمیل و وب‌سایت باشد. همچنین، باید در مورد اطلاعات ارائه‌شده نیز جستجو کنید و ببینید آیا اپلیکیشن موردنظر اپلیکیشن رسمی صرافی است یا خیر.
• تعداد دانلودها را بررسی کنید. بعید است که یک صرافی ارز دیجیتال بسیار محبوب تعداد اندکی بارگیری داشته باشد.
• احراز هویت دوعاملی (2FA) را در حساب‌های خود فعال کنید. اگرچه روش‌هایی برای دورزدن 2FA نیز وجود دارند، اما دورزدن احراز هویت دوعاملی بسیار دشوارتر است و می‌تواند تفاوت زیادی در سطح ایمنی دارایی‌های شما ایجاد کند، حتی اگر اطلاعات شخصی ورود به حساب کاربریتان دچار حمله فیشینگ (phishing) یا همان سرقت اطلاعات شخصی بشود.

2. اپلیکیشن‌های جعلی کیف پول‌های دیجیتال

اپلیکیشن‌های جعلی انواع مختلفی دارند.

یکی از انواع این اپلیکیشن‌ها به‌دنبال به‌دست‌آوردن اطلاعات شخصی کاربران مانند گذرواژه‌های کیف پول و کلیدهای خصوصی آنها است.

در برخی موارد، اپلیکیشن‌های جعلی آدرس‌های عمومی را در اختیار کاربران قرار می‌دهند که پیش‌تر ایجاد شده‌اند.

بنابراین، کاربران فرض می‌کنند که دارایی‌ها قرار است به این آدرس‌ها واریز شود؛ با این حال، از آنجا که به کلیدهای خصوصی دسترسی ندارند، به دارایی‌هایی که برای آنها ارسال می‌شوند نیز دسترسی نخواهند داشت.

این کیف پول‌های جعلی تاکنون برای رمزارزهای معتبری همچون اتریوم و نئو ایجاد شده است و متأسفانه بسیاری از کاربران نیز دارایی‌های خود را از دست داده‌اند.

در اینجا به برخی از اقدامات پیشگیرانه‌ای اشاره می‌کنیم که می‌توانند به شما کمک کنند قربانی چنین کلاهبرداری‌هایی نشوید:

• هرآنچه در بخش پیش در مورد اپلیکیشن‌های جعلی صرافی اشاره کردیم، در خصوص اپلیکیشن‌های جعلی کیف پول نیز قابل‌اجراست.
• اقدام پیشگیرانه دیگری که می‌توانید انجام دهید این است که فقط پس از بازکردن اپلیکیشن، آدرس‌های جدید ایجاد کنید و مطمئن شوید که کنترل کلیدهای خصوصی (یا عبارات بازیابی‌تان) را در دست دارید. اپلیکیشن‌‌های مجاز کیف پول به شما اجازه می‌دهند کلیدهای خصوصی خود را به خارج از کیف پول انتقال (export) دهید. در عین حال، باید مطمئن شوید که ایجاد جفت‌ارز جدید دچار مشکل نمی‌شود. از این رو، بهتر است از یک نرم‌افزار معتبر (و ترجیحاً متن‌باز) استفاده کنید.
• حتی اگر اپلیکیشن کلید خصوصیتان را در اختیارتان قرار می‌دهد، باید بررسی کنید که آیا آدرس‌های عمومی را می‌توان از این کلیدهای خصوصی استخراج کرد یا خیر. به‌عنوان مثال، برخی از کیف پول‌های بیت‌کوین به کاربران اجازه می‌دهند تا کلیدهای خصوصی یا عبارات بازیابی خود را انتقال (import) دهند تا تصویری از آدرس‌های خود به دست آورند یا به دارایی‌هایشان دسترسی پیدا کنند. برای به‌حداقل‌رساندن خطرات احتمالی برای کلیدهای خصوصی و عبارات بازیابی، می‌توانید این کار را با رایانه‌ای انجام دهید که به اینترنت متصل نیست.

کلاهبرداری ارز دیجیتال با اپلیکیشن‌های کریپتوجکینگ

کریپتوجکینگ (cryptojacking) به‌علت موانع کم برای ورود و هزینه اندک، یکی از متداول‌ترین روش‌ها برای به‌سرقت‌بردن ارزهای دیجیتال توسط مجرمان سایبری بوده است.

هکر با استفاده از این روش از منابع محاسباتی افراد برای استخراج رمزارز بدون اطلاع و اجازه قربانی استفاده می‌کند. این روش به مجرمان اینترنتی اجازه می‌دهد در طولانی‌مدت و به‌صورت مکرر کسب درآمد داشته باشند.

با وجود قدرت پردازش کم در مقایسه با رایانه‌های شخصی، دستگاه‌های موبایل نیز به‌طور مداوم هدف حمله‌های کریپتوجکینگ قرار می‌گیرند.

به غیر از کریپتوجکینگ مبتنی بر وب، مجرمان سایبری برنامه‌هایی را نیز توسعه می‌دهند که به نظر می‌رسد بازی‌های مجاز یا اپلیکیشن‌های کاربردی یا آموزشی باشد؛ با این حال، بسیاری از این اپلیکیشن‌ها برای اجرای مخفیانه اسکریپت‌های استخراج رمزارز در پس زمینه طراحی شده‌اند.

علاوه بر این، اپلیکیشن‌های کریپتوجکینگی نیز وجود دارند که به‌عنوان ماینرهای شخص ثالث و قانونی تبلیغ می‌شوند، اما پاداش استخراج را به‌جای کاربران، به توسعه‌دهندگان اپلیکیشن‌ ارائه می‌کنند.

بیشتر بخوانید: ۱۰ روش هکرها برای سرقت ارز دیجیتال

همچنین، مجرمان سایبری روز‌به‌روز از ابزارهای پیچیده‌تری برای پیاده‌سازی الگوریتم‌های سبک استخراج استفاده می‌کنند تا شناسایی نشوند. کریپتوجکینگ برای دستگاه‌های تلفن همراه شما نیز می‌تواند مشکلات بسیاری ایجاد کند، زیرا عملکرد آنها را کاهش می‌دهد و در تسریع فرسودگی دستگاه نقش دارد. حتی در شرایط بدتر، مجرمان می‌توانند از این دستگاه‌ها مانند اسب تروا و عامل نفوذی برای پیاده‌سازی بدافزارهای مخرب‌تر استفاده کنند.

در ادامه به برخی از اقداماتی اشاره می‌کنیم که می‌توانید برای جلوگیری از این حملات انجام دهید.

• اپلیکیشن‌ها را فقط از فروشگاه‌های رسمی مانند گوگل پلی دانلود کنید. اپلیکیشن‌هایی که از منابع نامعتبر دانلود می‌کنید، اغلب مورد بررسی قرار نگرفته‌اند و به احتمال زیاد حاوی اسکریپت‌های رمزنگاری‌شده هستند.
• مراقب میزان مصرف شارژ یا داغ‌شدن بیش‌ازحد دستگاه خود باشید. اپلیکیشن‌هایی را که بیش‌ازحد از شارژ تلفن همراهتان استفاده می‌کنند، شناسایی و حذف کنید.
• دستگاه و اپلیکیشن‌های خود را به‌روز نگه دارید تا از موارد آسیب‌پذیری امنیتی کاسته شود.
• از مرورگر وبی استفاده کنید که در برابر کریپتوجکینگ از دستگاه شما محافظت می‌کند؛ همچنین، پیشنهاد می‌کنیم افزونه‌هایی همچون ماینربلاک (MinerBlock)، نوکوین (NoCoin) و ادبلاک (Adblock) را روی مرورگر خود نصب کنید.

در صورت امکان، روی دستگاه تلفن خود اپلیکیشن آنتی ویروس نصب کنید و آن را به‌روزرسانی‌شده نگه دارید.

اپلیکیشن‌های جعلی استخراج رمزارز و پاداش رایگان

این نوع از اپلیکیشن‌ها وانمود می‌کنند که در حال استخراج کوین‌های دیجیتال برای کاربران خود هستند، اما در واقع به‌غیر از نشان‌دادن تبلیغ به افراد هیچ کاری انجام نمی‌دهند. آنها با نشان‌دادن آمار جعلی در خصوص پاداش کاربران در طول زمان، کاربر را وادار می‌کنند تا اپلیکیشن‌ها را باز نگه دارد.

حتی برخی از اپلیکیشن‌ها کاربران را تشویق می‌کنند تا برای دریافت پاداش بیشتر رتبه 5 ستاره در فروشگاه‌های اپلیکیشن‌ برای آنها ثبت کنند؛ در حالی‌ که هیچ‌کدام از این اپلیکیشن‌ها در این مدت در حال استخراج نبوده‌اند و کاربران نیز هرگز پاداشی دریافت نکرده‌اند.

بیشتر بخوانید: ۱۴ کلاهبرداری متداول در ارزهای دیجیتال

مهم‌ترین کاری که برای جلوگیری از این روش کلاهبرداری ارزهای دیجیتال می‌توانید انجام دهید درک این نکته است که استخراج ارزهای دیجیتال نیازمند سخت‌افزارهای بسیار تخصصی همچون ایسیک (ASIC) است و ماینینگ اکثر رمزارزها در یک دستگاه تلفن همراه تقریباً امکان‌پذیر نیست.

هر میزان استخراجی که با دستگاه‌های تلفن انجام می‌دهید، در نهایت مقداری بسیار ناچیز خواهد بود. بهترین کار دوری‌کردن از این اپلیکیشن‌هاست.

کلاهبرداری ارز دیجیتال با اپلیکیشن‌های کلیپر

اپلیکیشن‌های کلیپر (Clipper) آدرس رمزارزهایی را که کپی می‌کنید، تغییر می‌دهند و آدرس هکر را جایگزین آنها می‌کنند. بنابراین، در حالی که قربانی ممکن است آدرس گیرنده را به‌طور صحیح کپی کند، آدرسی که برای پردازش تراکنش چسبانده می‌شود با آدرس هکر عوض شده است.

برای جلوگیری از چنین مشکلاتی، می‌توانید چند اقدام احتیاطی انجام دهید:

• همیشه آدرسی را که در قسمت گیرنده می‌چسبانید، چندین بار چک کنید. تراکنش‌های بلاک‌چین برگشت‌ناپذیر هستند، بنابراین باید همیشه مراقب باشید.
• بهتر است به‌جای قسمت‌های خاصی از آدرس، کل آن را با آدرس اصلی کیف پولتان مطابقت دهید و بررسی کنید. برخی از این اپلیکیشن‌های جعلی به‌اندازه‌ای هوشمند هستند تا آدرس‌هایی را بچسبانند که مشابه آدرس مورد نظر شما باشند.

حملات سیم سواپ

در کلاهبرداری از طریق حملات سیم سواپ (SIM swapping) یا همان تعویض سیم‌کارت، مجرم سایبری به شماره تلفن کاربر دسترسی پیدا می‌کند.

آنها این کار را با استفاده از تکنیک‌های مهندسی اجتماعی و به‌منظور فریب اپراتورهای تلفن همراه انجام می‌دهند تا سیم کارت جدیدی برای آنها صادر کنند. معروف‌ترین کلاهبرداری سیم سواپ به پرونده‌ای از سوی مایکل ترپین (Michael Terpin)، کارآفرین رمزارز مربوط می‌شود. طبق ادعای ترپین، از آنجا که شرکت ارائه‌دهنده خدمات تلفن همراه AT&T به‌خوبی از اطلاعات شخصی موبایل او حفاظت نکرده بود، او رمزارزهایی به ارزش بیش از 20 میلیون دلار آمریکا را از دست داد.

پس از اینکه مجرمان سایبری به شماره تلفن شما دسترسی پیدا کردند، می‌توانند از آن برای دور زدن هر 2FA که با استفاده از این دستگاه انجام می‌شود، استفاده کنند. این کار به‌راحتی کیف پول‌ها و حساب‌های کاربری شما در صرافی‌ها را برای هکرها دسترس‌پذیر می‌کند.

یکی دیگر از روش‌هایی که مجرمان سایبری می‌توانند به کار بگیرند نظارت بر ارتباطات پیامکی شما است. نقص در شبکه‌های ارتباطی می‌تواند به مجرمان اجازه دهد به پیام‌های دریافتی شما که شامل پین‌کُد دو عاملی می‌شود، دسترسی پیدا کنند.

نکته‌ای که این نوع حمله را بسیار نگران‌کننده می‌کند این است که حتی بدون هیچ اقدامی، مانند دانلود اپلیکیشن جعلی یا کلیک روی پیوندی مخرب از سوی کاربران، حملات سیم سواپ قابل اجرا هستند.

برای جلوگیری از چنین حملاتی، می‌توانید موارد زیر را در نظر بگیرید:

• از شماره تلفن همراه خود برای احراز هویت دوعاملی پیامکی استفاده نکنید. بهترین روش برای ایمن‌سازی حساب‌های کاربری، استفاده از اپلیکیشن‌هایی همچون گوگل آتنتیکیتور (Google Authenticator) یا آتی (Authy) است. مجرمان سایبری حتی اگر شماره تلفن شما را داشته باشند، باز هم نمی‌توانند به این اپلیکیشن‌ها دسترسی پیدا کنند. همچنین، استفاده از سخت‌افزارهای 2FA همچون یوبی‌کی (YubiKey) یا تایتان سکیوریتی کی (Titan Security Key) گوگل نیز می‌تواند راه‌حل مناسبی باشد.
• اطلاعات شخصی مانند شماره تلفن همراهتان را در شبکه‌های اجتماعی فاش نکنید. مجرمان سایبری می‌توانند این اطلاعات را جمع‌آوری و از آنها برای جعل هویت شما در پلتفرم‌های دیگر استفاده کنند.
• هرگز نباید در شبکه‌های اجتماعی اعلام کنید که صاحب رمزارز هستید، زیرا این امر شما را به یک هدف بالقوه تبدیل می‌کند. اگر در موقعیتی هستید که همه می‌دانند شما مالک ارزهای دیجیتال هستید، از افشای اطلاعات شخصی خود از جمله صرافی‌ها یا کیف پول‌هایی که استفاده می‌کنید، خودداری کنید.
• برای محافظت از حساب خود با ارائه‌دهنده تلفن همراهتان هماهنگ کنید. این هماهنگی می‌تواند به‌معنای اتصال یک پین‌کد یا گذرواژه به حساب کاربری شما باشد، به‌صورتی که فقط کاربرانی که از این پین‌کد اطلاع دارند بتوانند در حساب کاربریتان تغییر ایجاد کنند. از سویی دیگر، می‌توانید هماهنگ کنید که هر گونه تغییری در حساب کاربری شما فقط به‌صورت حضوری و نه تلفنی انجام‌پذیر باشد.

کلاهبرداری ارز دیجیتال از طریق وای‌فای

مجرمان سایبری دائماً به دنبال نقاط ورود به دستگاه‌های تلفن همراه، به‌ویژه تلفن‌های کاربران ارزهای دیجیتال هستند. یکی از این نقاط ورود، دسترسی به وای‌فای است. وای فای عمومی ناامن است و کاربران باید پیش از اتصال به وای‌فای عمومی اقدامات احتیاطی لازم را انجام دهند. در غیر این صورت، ممکن است در معرض خطر دسترسی مجرمان سایبری به داده‌های دستگاه‌های تلفن همراه خود قرار بگیرند.

برای جلوگیری از حملات اینترنتی از طریق وای‌فای عمومی، اقدامات احتیاطی زیر را انجام دهید:

• تنظیماتی را که به دستگاه شما اجازه می‌دهد به‌طور خودکار به شبکه‌های وای‌فای موجود متصل شود، خاموش کنید.
• گزینه به‌اشتراک‌گذاری فایل‌ها را خاموش کنید و از حساب‌هایی که استفاده نمی‌کنید، خارج شوید.
• در صورت امکان، از شبکه‌های وای‌فای محافظت‌شده با رمز عبور استفاده کنید. وقتی چاره‌ای جز استفاده از شبکه‌های وای‌فای عمومی ندارید، سعی کنید اطلاعات حساس و شخصی خود را ارسال نکنید یا اجازه دسترسی به آنها را ندهید.
• سیستم عامل و آنتی ویروس خود را به‌طور مداوم به‌روزرسانی کنید.
• هنگام استفاده از شبکه‌های عمومی، از هر گونه فعالیت مالی از جمله انجام تراکنش رمزارز خودداری کنید.
• از وب سایت‌هایی استفاده کنید که با پروتکل HTTPS کار می‌کنند. البته در نظر داشته باشید که برخی از هکرها پروتکل‌های HTTPS را نیز جعل می‌کنند، بنابراین این روش به‌طور کامل بی‌عیب نیست.
• استفاده از شبکه خصوصی مجازی (VPN) در هر حالتی توصیه می‌شود، به خصوص اگر نیاز به دسترسی به داده‌های حساس یا مرتبط با کسب‌وکار خود دارید.
• مراقب شبکه‌های جعلی وای‌فای باشید. به نام وای‌فای که به‌نام یک فروشگاه یا شرکت است، بسنده نکنید. اگر شک دارید، از یکی از کارکنان بخواهید تا صحت شبکه را تأیید کند. همچنین بپرسید آیا آنها می‌توانند دسترسی ایمن و محافظت‌شده به اینترنت در اختیارتان قرار دهند یا خیر.
• در صورت عدم استفاده از وای‌فای و بلوتوث تلفن همراه خود، آنها را خاموش کنید. اگر واقعاً نیازی به وای‌فای یا بلوتوث ندارید، از اتصال به شبکه‌های عمومی خودداری کنید.

سخن پایانی

تلفن‌های همراه به بخشی جدایی‌ناپذیر از زندگی ما تبدیل شده‌اند. در واقع، آنها چنان با هویت دیجیتالی شما آمیخته‌اند که می‌توانند به بزرگ‌ترین آسیب‌پذیری شما و دارایی‌های دیجیتالتان تبدیل شوند. مجرمان سایبری با آگاهی از این واقعیت، همیشه به‌دنبال روش‌هایی برای کلاهبرداری ارز دیجیتال از دستگاه‌های تلفن همراه هستند.

ایمن‌سازی دستگاه‌های تلفن همراه نه فقط یک انتخاب، بلکه به یک ضرورت تبدیل شده است. بنابراین به‌هنگام کار با تلفن همراه خود، همیشه نکات ایمنی و اقدامات احتیاطی را در نظر بگیرید.