5 millió dolláros lecke: a Bitcoin-csalót ugyanolyan átveréssel fosztották meg a vagyonától

Van valami mélységesen igazságos abban, amikor egy Bitcoin-csalót sikerül átverni. Nem szimpatizálunk a kárvallottal – de a sztori tanulsága mindenkire vonatkozik, aki kriptót tart.

Egy névtelen scammer – aki korábban mások pénzét szedte be különböző átverésekkel – nemrég 5 millió dollárnyi Bitcointól esett el. Nem hatóság vette el tőle, nem is piaci összeomlás söpörte el. Egy Ledger hardvertárca-phishing kampány áldozata lett. Azaz: ugyanazokkal a módszerekkel csapták be, amelyeket ő maga is bevetett másokkal szemben.

Költői igazságszolgáltatás – de a kérdés az, hogyan sikerülhetett ez egy olyannak, aki állítólag ért a kriptovilághoz?

Mi történt pontosan?

A részletek egyelőre töredékesek, de a forgatókönyv ismerős. A támadók egy hamis Ledger Live alkalmazást vagy phishing oldalt használtak – valószínűleg egy olyan e-mail vagy értesítés alapján, amely sürgős firmware-frissítést követelt. Az áldozat megadta a seed phrase-t (visszaállítási kulcsmondatot), a támadók pedig néhány percen belül kiürítették a tárcát.

Az 5 millió dolláros összeg nem fillér. Ez nem egy figyelmetlenségből adódó kis tévedés – ez egy rendszerszintű biztonsági hiba, amelyet még az is elkövetett, aki egyébként maga is hasonló technikákkal dolgozott.

Ez az egész eset rávilágít valamire, amit a kriptoközösség hajlamos elfelejteni: a hardvertárca csak annyira biztonságos, amennyire biztonságos a körülötte lévő viselkedés.

Hogyan működik egy Ledger-phishing támadás?

A Ledger neve nem véletlenül kerül elő gyakran ilyen esetekben. 2020-ban a cég adatbázisát feltörték, és több mint 270 000 ügyfél személyes adatai szivárogtak ki – köztük postai címek, e-mail-cím, telefonszám. Ezek az adatok azóta is keringenek a dark weben.

A phishing-kampányok tipikus felépítése:

• Hamis e-mail vagy SMS, amely Ledger-logóval érkezik, és sürgős firmware-frissítést vagy biztonsági ellenőrzést kér
• Legitim kinézetű landing page, ahol a felhasználót arra kérik, adja meg a 24 szavas seed phrase-t
• Fizikai levél – igen, papíralapon –, amelyben a „Ledger biztonsági csapata” arra kér, hogy egy QR-kódon keresztül ellenőrizd a tárcádat
• Hamis Ledger Live alkalmazás, amelyet nem a hivatalos forrásból töltöttek fel

Az alapszabály: a Ledger soha, semmilyen körülmények között nem kéri a seed phrase megadását. Ha valaki ezt kéri – legyen az e-mail, alkalmazás vagy weboldalform –, az 100%-ban átverés.

Miért nem elég önmagában a hardvertárca?

Sokan azt hiszik, hogy egy Ledger vagy Trezor megvásárlásával le van tudva a biztonság kérdése. Ez sajnos nem igaz.

A hardvertárca valóban védi a privát kulcsot a legtöbb online támadástól – de az emberi tényezőt nem védi meg. Ha te magad adod meg a seed phrase-t egy hamis oldalon, a legjobb hardver sem segít. A támadók ezt pontosan tudják, ezért nem a készüléket, hanem a felhasználót célozzák meg.

Néhány gyakori hiba, amelyet még tapasztalt felhasználók is elkövetnek:

• A seed phrase digitálisan tárolva (fotó, Notes app, e-mail önmagának)
• Egyetlen biztonsági mentés, egyetlen helyen
• A Ledger Live nem a hivatalos oldalról (ledger.com) letöltve
• Sietős döntéshozatal „sürgős” biztonsági értesítések hatására
• Közös hálózaton (pl. kávézói Wi-Fi) végzett tranzakció

Mit jelent a multi-sig, és mikor érdemes bevetni?

Ha valaki komolyabb összeget tart kriptóban – mondjuk több millió forint értékűt –, érdemes megismerni a multi-signature (multi-sig) megoldást.

A lényege egyszerű: egy tranzakcióhoz nem elég egyetlen aláírás, hanem kettő vagy több szükséges, különböző eszközökről vagy kulcsokból. Például egy 2-of-3 multi-sig tárcánál három kulcs van, de a pénz mozgatásához bármelyik kettő elegendő – és egyikkel sem lehet egyedül hozzáférni.

Ez azt jelenti, hogy ha egy kulcsot ellopnak vagy elvész, a vagyon nem kerül veszélybe automatikusan. Ismertebb megoldások közé tartozik a Sparrow Wallet, az Electrum vagy a Specter Desktop – ezek mindegyike támogatja a multi-sig beállítást Ledgerrel vagy Trezorral kombinálva.

Persze a multi-sig bonyolultabb – és ha nem megfelelően van beállítva, maga is kockázatot jelent. Ezért nem mindenki számára az első lépés, de nagy összegek esetén komolyan érdemes megfontolni.

A phishing felismerésének gyakorlati lépései

Nem kell biztonsági szakértőnek lenni ahhoz, hogy felismerd a legtöbb támadást. Néhány egyszerű kérdés, amelyet érdemes mindig feltenni:

1. Kér seed phrase-t? Ha igen – azonnal zárd be, és töröld az e-mailt.
2. Mi a feladó e-mail-doménje? A „ledger-security-alert.com” nem a Ledger. Mindig ellenőrizd a pontos domént.
3. Sürgősséget kommunikál? A valódi biztonsági frissítések nem igényelnek azonnali, pánikszerű cselekvést.
4. Honnan töltöd le az alkalmazást? Kizárólag a gyártó hivatalos weboldala elfogadható forrás.
5. Ismered a feladót? Ha nem, és kriptóról van szó – kétszeres óvatosság indokolt.

Összefoglalás

A scammer sztorija szórakoztató – de a tanulsága komoly. A kriptóbiztonság nem eszközkérdés, hanem viselkedéskérdés. A legjobb hardvertárca sem véd meg, ha te magad adod meg a kulcsot a tolvajoknak.

A legfontosabb szabályok röviden:

• A seed phrase soha nem kerülhet digitális formába, és soha nem adható meg senkinek
• A Ledger Live és hasonló alkalmazások kizárólag a gyártó hivatalos oldaláról tölthetők le
• Sürgős biztonsági értesítés esetén első lépés a megállás – nem a kattintás
• Nagy összegek esetén érdemes multi-sig megoldást fontolóra venni
• A hardvertárca a biztonság alapja, nem a teljessége

Az a valaki, aki 5 millió dollárt veszített, valószínűleg tudta ezeket a szabályokat. Csak egy pillanatra elfelejtette őket. Kriptovilágban ennyi elég.