«Безкоштовне оновлення», що прийшло поштою

Навчальний сценарій: людина отримує офіційно оформлений лист і незамовлений пристрій, який нібито замінює її апаратний гаманець. Додана інструкція просить ввести на пристрої наявні 24 слова «для перенесення коштів». Якщо пристрій або процес налаштування контролює зловмисник, ці слова дають йому змогу підписувати перекази. Дата, місто, клієнт і сума збитку тут вигадані.

Атака через звичайну пошту

Фізичний лист або посилка створює відчуття офіційності, але не доводить походження. Ledger прямо попереджає: поштовий лист, що видає себе за Ledger, слід вважати фішингом, а 24 слова не можна вводити ніде, крім самого пристрою. Перевіряйте актуальні попередження на офіційній сторінці Ledger про фішингові кампанії.

Чотири правила

  • Не ініціалізуйте пристрій, якого ви не замовляли. Зв'яжіться з виробником через самостійно набрану офіційну адресу. Trezor радить купувати в офіційному магазині або в авторизованого продавця, оглядати пакування й проходити перевірки під час налаштування; див. офіційну інструкцію з безпеки пристрою.
  • Витік 2020 року — давня історія. Лист, який раптом посилається на нього, щоб виправдати заміну пристрою, використовує витік як декорацію. Ledger відреагувала на витік повідомленнями й попередженнями для клієнтів, а не програмою розсилки нових пристроїв.
  • Ніколи не відновлюйте seed-фразу на пристрої, якого ви не купували. Відновити фразу на справжньому гаманці, замовленому у виробника, — нормально, і слова вводяться на самому пристрої, а не на комп'ютері чи телефоні. Те саме на пристрої, що просто прийшов поштою, означає віддати фразу тому, хто його зібрав. А якщо ви справді вважаєте, що стара фраза під загрозою, рішення — зовсім нова seed-фраза, а не перенесена стара.
  • Перевіряйте будь-яке «офіційне повідомлення» через сайт виробника. Самі наберіть ledger.com і пошукайте цю програму в офіційних оголошеннях і розділах підтримки Ledger. Не переходьте за посиланнями, QR-кодами й не дзвоніть на номери з листа. Якщо програми там немає — лист фейковий.

Якщо використовували фейковий пристрій

Вважайте введену seed-фразу скомпрометованою. На перевіреному пристрої з офіційного або авторизованого каналу створіть нову seed-фразу й визначте пріоритет переказів за типом активів та ознаками активності зловмисника. Не використовуйте підозрілий пристрій знову; щодо безпечної утилізації зверніться до виробника.