Исследователи обратили внимание на страницу Coinbase, запрашивающую seed-фразы, инструмент был удален.

Компания Coinbase удалила недавно вызвавшую споры "функцию восстановления доступа", после того как исследователи блокчейна предупредили, что она может быть использована для обмана пользователей и получения от них seed-фраз.

Этот случай вновь поднял вопросы о том, как дизайнерские решения платформ могут противоречить устоявшимся практикам безопасности.

Проблемы безопасности, связанные со страницей восстановления Coinbase

Все началось 18 марта, когда Cos, основатель компании SlowMist, занимающейся безопасностью блокчейна, спросил, почему на странице, размещенной Coinbase, пользователям предлагается ввести свои 12-словные seed-фразы в открытом виде. Cos опубликовал скриншоты интерфейса коммерческого вывода средств Coinbase, который требовал от пользователей вводить свою мнемоническую фразу, а также предлагал им получить ее из резервных копий в Google Drive.

Вскоре после этого известный исследователь блокчейна ZachXBT заявил, что эта страница может быть использована злоумышленниками в качестве инструмента социальной инженерии, поскольку она размещена на официальном домене Coinbase.

"По сути, у Coinbase есть официальная страница, которую злоумышленники могут использовать для атак на пользователей Coinbase с целью получения seed-фраз с помощью социальной инженерии?" - спросил он.

Еще один член команды SlowMist, 23pds, указал на технические недостатки на странице, отметив, что у нее отсутствует правильная карта сайта и ее можно легко скопировать. Он добавил, что злоумышленники могут скопировать интерфейс и использовать домены, похожие на него, чтобы обманом заставить людей предоставить им конфиденциальную информацию.

Существовали также опасения, выходящие за рамки риска клонирования. Один пользователь X, под ником Kieran, утверждал, что более серьезная проблема заключается в поведенческих аспектах. Он заявил, что этот инструмент противоречит одному из самых распространенных правил безопасности в криптовалюте, а именно - никогда не делиться и не вводить seed-фразу на веб-сайт. По его мнению, наличие подобных требований на официальных страницах может сделать фишинговые атаки более убедительными.

Член команды Coinbase, Alex, ответил, заявив, что они удалили этот инструмент и активно разрабатывают новое решение.

"Спасибо всем, кто обратил на это внимание и предъявил нам высокие требования", - добавил он.

На момент написания статьи проверка страницы показала, что она действительно была удалена, и на ней отображалось простое сообщение о том, что услуга недоступна и пользователям следует попробовать позже.

Риски социальной инженерии

Опасения, высказанные ZachXBT и командой SlowMist, не были напрасными. Недавние данные показывают, что происходит смена методов, используемых злоумышленниками при совершении атак, связанных с криптовалютами.

Согласно компании Nominis, занимающейся безопасностью блокчейна, в феврале общие убытки, связанные со схемами и эксплойтами в криптовалютах, снизились почти на 87%. Но что более важно, компания Nominis сообщила, что теперь злоумышленники чаще нацелены на пользователей, а не на уязвимости в коде.

Компания отметила, что в недавних инцидентах все больше внимания уделяется фишингу и вводящим в заблуждение запросам, а не техническим уязвимостям. И учитывая, что такие схемы становятся все более распространенными, крайне важно лишить злоумышленников тех преимуществ, которые, по мнению ZachXBT, могли бы быть получены, например, благодаря инструментам восстановления, подобным тем, что использовались в Coinbase.