Криптовалютный специалист остановился в отеле люкс класса для празднования отпуска, но после подключения к общественному WiFi и обсуждения криптовалюты в общественном месте стал жертвой атаки «человек посередине», в результате которой злоумышленники внедрили вредоносный код и похитили 5000 долларов. (Предыстория: северокорейские хакеры установили рекорд в 2025 году, украв 2,02 миллиарда долларов в криптовалютах, цикл отмывания средств составляет примерно 45 дней) (Дополнительная информация: похитив 120 000 BTC, супружеская пара хакеров Bitfinex была досрочно освобождена: спасибо папе Трампу, с Новым годом)

Содержание статьи

• Атаки «человек посередине» в общественном WiFi
• Поддельные запросы авторизации, выглядящие как обычные операции
• Подписано не денежное переводится, а разрешение на доступ
• Мои ошибки и уроки, которые я извлек

«Я не должен был подключаться к общественному WiFi отеля, вместо этого я должен был использовать мобильный хотспот.»

Несколько дней назад я со своей семьей провел три дня в отеле люкс класса, чтобы отпраздновать конец года. Но на второй день после выезда мой криптовалютный кошелек был полностью опустошен. Я был совершенно озадачен, так как не переходил по каким-либо фишинговым ссылкам и не подписывал никаких вредоносных транзакций.

Я потратил много часов на расследование и даже нанял специалиста, чтобы разобраться. В конце концов я выяснил полную цепочку событий взлома. Оказалось, что все началось с общественного WiFi отеля, одного короткого телефонного звонка и серии глупых ошибок, которые я допустил.

Как и большинство криптовалютных энтузиастов, я взял с собой ноутбук даже во время отпуска с семьей в отеле, планируя найти время для работы. Моя жена неоднократно просила меня полностью отвлечься от работы на эти три дня, и теперь я жалею, что не послушал ее.

Поэтому я, как и все остальные, подключился к общественному WiFi отеля. Эта сеть не требовала пароля и была доступна через принудительный портал аутентификации.

Я работал в обычном режиме, не делая ничего рискованного: я не создавал новые кошельки, не открывал подозрительные ссылки и не использовал поддозрительные децентрализованные приложения (dApp), я всего лишь просматривал социальную сеть X, проверял баланс кошелька, заходил в Discord и Telegram.

И вот в этот момент я получил звонок от друга из криптовалютной отрасли. Мы поговорили о рыночной ситуации, биткоине и текущих событиях в криптовалютной индустрии.

Но я не предполагал, что рядом кто-то подслушивал наш разговор и сразу понял, что я работаю в сфере криптовалют. Это была моя первая ошибка. Этот человек не только узнал, что я использую кошелек Phantom, но и понял, что я владею значительным количеством токенов.

Именно поэтому я стал его целью.

Атаки «человек посередине» в общественном WiFi

Особенность общественного WiFi в том, что все устройства используют одну сеть, а видимость между устройствами намного выше, чем вы думаете. Между пользователями нет реальной изоляции безопасности. Это дает хакерам возможность провести атаку «человек посередине». При такой атаке хакер скрывается между вами и интернетом, как если бы кто-то открыл письмо перед его доставкой вам, прочитал и изменил содержание.

Когда я просматривал веб-сайты в WiFi сети отеля, один из сайтов казался загруженным нормально, но на самом деле содержал вредоносный код. Я об этом не подозревал, и если бы я предварительно установил определенные средства безопасности, я мог бы обнаружить аномалию, но я этого не сделал.

Поддельные запросы авторизации, выглядящие как обычные операции

Обычно некоторые веб-сайты запрашивают у пользователь подписать какой-то контент в кошельке, при этом Phantom кошелек выдает всплывающее окно, позволяя пользователю подтвердить или отклонить авторизацию. Как правило, пользователи на основе доверия к веб-сайту и браузеру просто подтверждают авторизацию. Но в тот день я этого точно не должен был делать.

В то время я выполнял операцию обмена токенов на децентрализованной бирже Jupiter Exchange, когда вредоносный код перехватил процесс и выдал запрос авторизации кошелька вместо команды обмена, которую я собирался выполнить. На самом деле, я мог бы обнаружить это как вредоносный запрос, если бы тщательно проверил детали транзакции, но поскольку я действительно работал на платформе Jupiter, я не заподозрил ничего.

Подписано не денежное переводится, а разрешение на доступ

То, что я подписал в тот день, вообще не было транзакцией перевода активов, а был договором предоставления разрешений. Вот почему кошелек был взломан несколько дней спустя.

Вредоносный код был хитрым. Он не запрашивал прямо отправить мне SOL платформы, это было бы слишком очевидно. Вместо этого он выдал запрос типа «предоставить доступ», «утвердить разрешения учетной записи» или «подтвердить сеанс» — расплывчатые формулировки.

Проще говоря, я авторизовал другой адрес для действий с моим кошельком.

Я одобрил этот запрос, потому что думал, что это необходимый шаг для нормальной работы платформы Jupiter. В то время всплывающее сообщение кошелька Phantom содержало только технический жаргон, никаких подробностей о сумме перевода или указания на то, что это немедленный перевод.

На этом этапе хакер уже имел все условия для кражи моих активов. Он ждал, когда я выеду из отеля, а затем передал все SOL, различные токены и все мои невзаимозаменяемые токены (NFT) на свой адрес.

Мои ошибки и уроки, которые я извлек

Я никогда не думал, что это может случиться со мной. К счастью, этот кошелек был не моим основным кошельком, а всего лишь горячим кошельком для повседневных операций, не кошельком для долгосрочного хранения. И все же я допустил много ошибок, и я считаю, что основная ответственность лежит на мне.

Во-первых, я не должен был подключаться к общественному WiFi отеля, вместо этого я должен был использовать мобильный хотспот.

Во-вторых, я ошибался в том, что был слишком беспечен и обсуждал криптовалюту в общественном месте отеля, вообще не подумав о том, что рядом могут быть люди. Мой отец всегда предупреждал меня, что ни в коем случае нельзя давать посторонним людям знать, что я занимаюсь криптовалютами. Последствия этого инцидента могли быть гораздо более серьезными. В реальности некоторые люди были похищены или даже убиты за то, что держали криптовалюту.

Другая критическая ошибка была в том, что я одобрил запрос авторизации кошелька, не проверив его тщательно. Поскольку я считал, что этот запрос исходит от платформы Jupiter, я не проанализировал его подробно. Здесь я напомню всем: при любой авторизации кошелька на любом приложении необходимо тщательно проверить. Эти запросы могут быть перехвачены и изменены хакерами, и источник может быть вовсе не тем приложением, которое вы думаете.

Наконец, мой кошелек потерял около 5000 долларов. Хотя ситуация могла быть намного хуже, этот инцидент вызвал у меня горечь.