Коротка відповідь

Слово «зламати» тут перебільшення. Криптографічно SMS-2FA не зламано: сам шестизначний код бачить лише той, хто його отримує. Атакують SIM-картку: зловмисник умовляє мобільного оператора перенести ваш номер на SIM-картку, яку контролює він, і відтоді SMS-коди приходять йому.

Як відбувається підміна SIM-картки

Зловмисник збирає про вас достатньо персональних даних — ім'я, адресу, паспортні дані, суми останніх платежів — із витоків баз або за допомогою соціальної інженерії. Потім звертається до оператора (Київстар, Vodafone, lifecell), каже, що загубив телефон, і просить перевипустити SIM-картку.

За кілька хвилин ваш телефон втрачає зв'язок. Тепер усі SMS і дзвінки на ваш номер отримує SIM-картка зловмисника. Він іде у ваш банк, на біржу, в пошту, запитує скидання пароля через SMS, отримує код — і захоплює акаунт.

Чому це особливо небезпечно для криптовалюти

Криптобіржі, що покладаються на SMS-2FA, вразливі там, де банки захищені:

  1. Кошти можна вивести на новий гаманець зловмисника — і вони зникнуть миттєво
  2. Транзакції незворотні — немає ні повернення платежу, ні скасування шахрайської операції
  3. За одну атаку можна забрати більше: на одному біржовому акаунті часто лежить уся криптовалюта людини

Урок атаки на «Київстар» 2023 року

У грудні 2023 року масштабна кібератака на «Київстар» на кілька днів залишила абонентів без мобільного зв'язку. Вона показала, наскільки вразлива телекомунікаційна інфраструктура: SMS-2FA під загрозою не лише через підміну SIM-картки, а й через атаки на самого оператора.

Способи захисту за ефективністю

1. Повністю відмовтеся від SMS-2FA. Замініть її на TOTP-коди (Google Authenticator, Authy), ключ доступу (passkey) або апаратний ключ безпеки (YubiKey). Так цей шлях атаки закривається повністю.

2. Захист номера на боці оператора. Дізнайтеся у свого оператора, чи можна встановити пароль або PIN, без якого SIM-картку не перевипустять, і ввімкніть цей захист.

3. Окремий номер для криптовалюти. Другий номер, який ви використовуєте лише для криптоакаунтів і який ніде публічно з вами не пов'язаний.

Підсумок

Не розраховуйте, що оператор захистить ваш номер. Користуйтеся методами 2FA, які взагалі не залежать від номера телефону.

Що почитати далі: Підміна SIM-картки, 2FA, Правда про 2FA.