Ataki SIM-swap na konta kryptowalutowe: jak działają i jak się bronić

SIM-swap to sytuacja, w której atakujący przekonuje Twojego operatora komórkowego, aby przeniósł Twój numer telefonu na kartę SIM, którą kontroluje. Gdy numer jest już jego, odbiera Twoje kody SMS i wiadomości resetujące hasło, przejmuje Twoją pocztę i konta na giełdach oraz wyprowadza środki z sald powierniczych. Atak wymierzony jest w konta chronione uwierzytelnianiem SMS 2FA. Portfel z własną kontrolą kluczy i frazą seed nie jest bezpośrednio zagrożony, chyba że seed był przechowywany w jednym z przejętych kont.

To krótka odpowiedź. Reszta tej strony to łańcuch ataku krok po kroku, wykaz zagrożonych kont oraz obrona, która się broni.

---

Jak naprawdę działa SIM-swap

Atak nie dotyka Twojego telefonu. Dotyka Twojego operatora. Łańcuch wygląda tak:

1. Zebranie danych osobowych. Atakujący gromadzi Twoje imię, numer telefonu, datę urodzenia, adres, a często częściową odpowiedź na pytanie zabezpieczające. Wycieki danych, media społecznościowe i phishing dostarczają większości tych informacji.
2. Socjotechnika lub przekupienie operatora. Dzwoni na infolinię, podszywając się pod Ciebie ("zgubiłem telefon"), albo płaci pracownikowi salonu. Wystarczająca ilość wyciekłych szczegółów przechodzi weryfikację tożsamości.
3. Przeniesienie numeru. Operator przenosi Twój numer na kartę SIM atakującego. Twój telefon po cichu traci zasięg — to często pierwszy sygnał, a wtedy jest już za późno.
4. Przechwycenie kodu SMS OTP. Każdy jednorazowy kod SMS i link resetujący trafiają teraz na jego urządzenie.
5. Reset haseł i opróżnienie kont. Atakujący resetuje Twoją pocztę, a następnie za pomocą poczty i kodów SMS włamuje się na giełdy i wyprowadza środki.

Cała sekwencja może zająć poniżej godziny. Słabym punktem nie jest Twoje hasło — to numer telefonu działający jako kanał odzyskiwania.

---

Co jest zagrożone, a co nie

Ekspozycja zależy wyłącznie od tego, czy dane konto ufa Twojemu numerowi telefonu.

Schemat jest prosty: wszystko, co opiera się na Twoim numerze telefonu jako dowodzie tożsamości, jest zagrożone. Wszystko chronione sekretem, który nigdy nie wędruje przez SMS, nie jest.

---

Obrona, która naprawdę działa

• Usuń SMS 2FA. Zastąp je aplikacją uwierzytelniającą (TOTP) lub, lepiej, sprzętowym kluczem bezpieczeństwa w standardzie FIDO2/WebAuthn. Zrób to na każdej giełdzie i najpierw na poczcie, bo to punkt zwrotny całego ataku.
• Ustaw kod PIN blokujący przeniesienie numeru u operatora. Większość operatorów oferuje "blokadę numeru" lub "blokadę przeniesienia", która uniemożliwia transfer, dopóki nie wyłączysz jej osobiście lub osobnym kodem PIN. To zamyka drzwi, którymi wchodzi atakujący.
• Nie przechowuj fraz seed w poczcie ani w chmurze. Zdjęcie słów odzyskiwania w kopii chmurowej zamienia przejęcie poczty w opróżnienie portfela. Trzymaj seed offline. Zobacz podstawy własnej kontroli kluczy.
• Używaj unikalnych adresów e-mail do giełd. Dedykowany adres, niepowiązany z Twoją publiczną tożsamością ani numerem telefonu, nie daje atakującym punktu zaczepienia. Połącz go z 2FA w aplikacji lub kluczu.
• Ogranicz swój publiczny ślad. Im mniej Twojej daty urodzenia, adresu i numeru telefonu jest jawne, tym trudniej sfałszować weryfikację tożsamości.

---

Uczciwe granice

Żaden pojedynczy środek nie jest cudownym lekiem, więc warto wiedzieć, gdzie każdy z nich się kończy.

Sprzętowe klucze bezpieczeństwa (FIDO2) to najmocniejsza opcja, bo logowanie wymaga fizycznego urządzenia, którego nie da się sphishować ani skopiować przez SMS. Aplikacje uwierzytelniające to duży skok w porównaniu z SMS — kod nigdy nie opuszcza Twojego urządzenia — ale przekonująca fałszywa strona logowania wciąż może nakłonić Cię do wpisania aktywnego kodu, więc 2FA w aplikacji można sphishować tam, gdzie klucza sprzętowego nie można.

Własna kontrola kluczy całkowicie zmienia kształt problemu. Jeśli Twoje środki są w portfelu, który kontrolujesz, a seed nigdy nie był przechowywany w przejętym koncie, SIM-swap nie ma giełdy do włamania ani salda do wyprowadzenia. Całkowicie omija ścieżkę przejęcia konta. Kompromisem jest to, że sam bierzesz na siebie cały ciężar zarządzania kluczami. Jeśli trzymasz środki na giełdach, zobacz, jak weryfikacja tożsamości łączy Twoje konta w wyjaśnieniu KYC w krypto, a opcje portfeli przejrzyj w przewodniku po portfelach kryptowalutowych.

---

FAQ

Czym jest atak SIM-swap? To sytuacja, w której atakujący przekonuje Twojego operatora komórkowego — poprzez socjotechnikę lub przekupionego pracownika — aby przeniósł Twój numer telefonu na kartę SIM, którą kontroluje. Odbiera wtedy Twoje połączenia i wiadomości, w tym kody SMS 2FA i linki resetujące hasło, i używa ich do przejęcia Twoich kont.

Czy SMS 2FA jest bezpieczne dla krypto? Nie, nie dla niczego, co ma wartość. SMS 2FA jest lepsze niż brak drugiego składnika, ale numer telefonu to kanał odzyskiwania, który atakujący może przejąć bez dotykania Twojego urządzenia. Używaj co najmniej aplikacji uwierzytelniającej, a tam gdzie to możliwe — sprzętowego klucza bezpieczeństwa.

Czy SIM-swap może ukraść środki z mojego portfela sprzętowego? Nie bezpośrednio. Portfel sprzętowy podpisuje transakcje kluczem, który nigdy nie opuszcza urządzenia, i nie ma konta do zresetowania. Jedyny sposób, w jaki SIM-swap sięga po te środki, to sytuacja, gdy przechowałeś frazę seed w poczcie lub chmurze przejętej przez atakującego. Trzymaj seed offline, a pozostanie poza zasięgiem.

Jak chronić się przed SIM-swap? Usuń SMS 2FA na rzecz aplikacji uwierzytelniającej lub sprzętowego klucza FIDO2, ustaw u operatora PIN lub blokadę przeniesienia numeru, trzymaj frazy seed offline i używaj unikalnego adresu e-mail do kont giełdowych. Zabezpieczenie poczty jest najważniejsze, bo to klucz, który otwiera wszystko inne.

---

Gdy Twoje konta nie zależą już od numeru telefonu, kolejnym słabym ogniwem jest to, jak zatwierdzasz transakcje i gdzie trzymasz klucze. Zacznij od przewodnika po portfelach kryptowalutowych i podstaw własnej kontroli kluczy.