Краткий ответ

«Взломать» — слишком сильно сказано. Криптографически SMS-коды никто не взламывает: шестизначный код знает только получатель. Атакуют SIM-карту: при подмене SIM (SIM-swap) злоумышленник уговаривает мобильного оператора перевести ваш номер на SIM-карту, которая у него в руках, и дальше SMS-коды приходят уже ему.

Как проходит подмена SIM

Злоумышленник собирает о вас персональные данные — имя, адрес, паспортные данные, суммы последних платежей — из утечек или с помощью социальной инженерии. Затем обращается к оператору, заявляет, что телефон потерян, и просит перевыпустить SIM-карту. Если данных достаточно, оператор соглашается.

Через несколько минут ваш телефон теряет сеть. Все SMS и звонки на ваш номер теперь получает SIM-карта злоумышленника. Он идёт в ваш банк, на биржу, в почту, запрашивает сброс пароля по SMS, получает код и захватывает аккаунт.

Почему для криптовалюты это особенно опасно

Биржи, которые защищают аккаунт SMS-кодами, уязвимы сильнее банков, потому что:

  1. вывести средства можно на новый кошелёк злоумышленника — и деньги исчезают сразу;
  2. транзакции необратимы: ни возврата платежа, ни отмены мошеннической операции;
  3. за одну атаку можно забрать больше: на одном биржевом аккаунте нередко лежит вся криптовалюта человека.

Банки отменяют мошеннические операции; криптобиржи возвращают средства только на своё усмотрение (и редко).

Способы защиты — от самого надёжного

1. Полностью откажитесь от SMS-кодов. Замените их на TOTP-приложение (Google Authenticator, Authy, Яндекс Ключ), ключ доступа (passkey) или аппаратный ключ безопасности (YubiKey). Это полностью закрывает данный способ атаки. Все крупные биржи поддерживают как минимум TOTP.

2. Защита номера у оператора. Узнайте у своего оператора, можно ли установить пароль или PIN-код, без которого SIM-карту не перевыпустят, и включите эту защиту — такими услугами пользуются редко.

3. Отдельный номер для криптовалюты. Второй номер, который используется только для биржевых аккаунтов и нигде публично с вами не связан: не указывайте его в соцсетях, мессенджерах и объявлениях.

Итог: не рассчитывайте, что оператор защитит ваш номер. Пользуйтесь способами двухфакторной защиты, которые вообще не завязаны на номер телефона.

Дополнительное чтение: Подмена SIM-карты, 2FA, Правда о 2FA.