آکادمیطبق گزارش SlowMist، نسخه های 1.1 و 1.2 اپلیکیشن FomoPeek دارای ماژول هایی بوده اند که می توانستند داده های مرتبط با برخی اپلیکیشن های کیف پول و یادداشت ها را هدف قرار دهند. نسخه 1.3 بعداً بدون این ماژول ها منتشر شد. اگر از نسخه های تحت تأثیر استفاده کرده اید، صرفاً حذف اپلیکیشن برای اطمینان از امنیت کافی نیست و باید احتمال افشای اطلاعات حساس کیف پول را نیز بررسی کنید.
امنیت رمزارزها معمولاً بر آنچه در داخل کیف پول اتفاق می‌افتد متمرکز است؛ از عبارت‌های بازیابی و کلیدهای خصوصی گرفته تا تأییدیه‌های مشکوک و لینک‌های فیشینگ. FomoPeek یادآور این نکته است که ریسک امنیتی ممکن است حتی یک لایه پیش‌تر و از دستگاهی آغاز شود که همه این اطلاعات را در خود نگهداری می‌کند.
در گزارشی که SlowMist در 20 سپتامبر منتشر کرده، ادعا شده است که FomoPeek، یک اپلیکیشن پایش کیف پول که در App Store عرضه شده بود، در نسخه‌های 1.1 و 1.2 دارای ماژول‌های مخرب بوده است. طبق این گزارش، این ماژول‌ها می‌توانستند از پیکربندی از راه دور استفاده کنند، برای بهره برداری از آسیب‌پذیری‌های سیستم تلاش کنند و داده‌های مربوط به اپلیکیشن‌های کیف پول و یادداشت‌های موردنظر را جمع‌آوری کنند.
FomoPeek بعداً نسخه 1.3 را بدون ماژول‌های مذکور منتشر کرد. این اقدام ممکن است تهدید گزارش‌شده را از نسخه جدید حذف کرده باشد، اما نمی‌تواند اطلاعاتی را که احتمالاً پیش‌تر افشا شده‌اند، بازیابی کند.
این تمایز برای معامله‌گران اهمیت زیادی دارد. اضافه شدن یک اپلیکیشن در یک فروشگاه رسمی می‌تواند حس اعتماد ایجاد کند، به‌ویژه زمانی که محصول ظاهراً قابلیت ساده‌ای مانند پایش فعالیت عمومی کیف پول را ارائه می‌دهد. اما عرضه یک اپلیکیشن از طریق یک فروشگاه شناخته‌شده، به این معنا نیست که پس از نصب روی دستگاه، آن اپلیکیشن قادر به انجام چه اقداماتی یا دسترسی به چه اطلاعاتی خواهد بود.
ریسک فراتر از آدرس کیف پول
FomoPeek خود را به‌عنوان ابزاری برای پایش فعالیت عمومی کیف پول‌ها در شبکه‌های Solana، Ethereum و TRON معرفی می‌کرد. در نگاه اول، چنین قابلیتی نسبتاً بی‌خطر به نظر می‌رسد. آدرس‌های عمومی از قبل روی بلاکچین قابل مشاهده‌اند و صرفاً پایش یک آدرس، به کنترل کیف پول مرتبط با آن نیازی ندارد.
اما نگرانی مطرح‌شده از سوی SlowMist بسیار فراتر از این موضوع بود.
طبق تحلیل این شرکت، نسخه‌های تحت‌تأثیر می‌توانستند اپلیکیشن‌های نصب‌شده را شناسایی کنند، دستورهای جمع‌آوری اطلاعات را از یک سرور راه دور دریافت کنند و داده‌های مرتبط با اپلیکیشن‌های کیف پول و یادداشت‌ها را هدف قرار دهند. این موضوع ماهیت مسئله امنیتی را کاملاً تغییر می‌دهد. ضعف احتمالی نه یک اتصال مشکوک به کیف پول بود و نه یک فرم واضح که از معامله‌گران بخواهد عبارت بازیابی خود را وارد کنند؛ بلکه اطلاعات حساسی بود که در بخش‌های دیگری از همان دستگاه ذخیره شده بود.
این موضوع از آن جهت اهمیت دارد که عبارت بازیابی یا کلید خصوصی، هسته اصلی نگهداری شخصی دارایی‌ها محسوب می‌شود. ممکن است تلفن قفل باشد، اپلیکیشن کیف پول به رمز عبور نیاز داشته باشد و انجام تراکنش‌ها نیز مستلزم تأیید کاربر باشد. اما اگر فردی به عبارت بازیابی اصلی دسترسی پیدا کند، این لایه‌های حفاظتی ممکن است دیگر کافی نباشند.
در چنین شرایطی، امکان بازیابی کیف پول روی دستگاهی دیگر وجود دارد و مهاجم می‌تواند بدون دسترسی به دستگاه اصلی، تراکنش‌ها را مجاز کند. درک نحوه عملکرد واقعی یک کیف پول Web3 اهمیت این موضوع را بیشتر روشن می‌کند: محافظت از اپلیکیشن کیف پول تنها بخشی از فرایند محافظت از خود کیف پول است.
بنابراین، گزارش FomoPeek به یک مسئله امنیتی گسترده‌تر اشاره دارد. عبارت‌های بازیابی نباید در برنامه‌های یادداشت، اسکرین‌شات‌ها، گالری تصاویر، تاریخچه چت‌ها یا پیش‌نویس‌های ابری، روی همان دستگاهی ذخیره شوند که برای دسترسی به دارایی‌های رمزارزی از آن استفاده می‌شود.
حذف اپلیکیشن به معنای رفع خطر نیست
اگر اطلاعات حساس مربوط به کیف پول احتمالاً افشا شده باشد، حذف اپلیکیشن به‌معنای از بین رفتن تهدید نیست.
معامله‌گرانی که نسخه‌های گزارش‌شده FomoPeek، یعنی 1.1 یا 1.2، را نصب کرده‌اند، باید عبارت‌های بازیابی، کلیدهای خصوصی و سایر اطلاعات حساس دستگاه را که احتمال می‌رود افشا شده باشند، اطلاعاتی در نظر بگیرند که دیگر نمی‌توان محرمانه ماندن آن‌ها را تضمین کرد. حذف اپلیکیشن یا تغییر رمز عبور محلی کیف پول، عبارت بازیابی اصلی را تغییر نمی‌دهد.
این تفاوت بسیار مهم است. رمز عبور کیف پول معمولاً از دسترسی به کیف پول روی یک دستگاه مشخص محافظت می‌کند؛ اما عبارت بازیابی، خود کیف پول را کنترل می‌کند.
اگر دلیلی وجود دارد که نشان می‌دهد عبارت بازیابی ممکن است جمع‌آوری شده باشد، اقدام محتاطانه‌تر این است که دارایی‌های کیف پول تحت‌تأثیر را با استفاده از یک دستگاه مطمئن و پاک، به یک کیف پول کاملاً جدید منتقل کنید که با یک عبارت بازیابی جدید ایجاد شده باشد. استفاده مجدد از عبارت بازیابی قدیمی، همان احتمال افشا را به کیف پول جدید منتقل می‌کند.
این انتقال باید فراتر از بررسی موجودی قابل مشاهده توکن‌ها باشد. معامله‌گران باید دارایی‌های خود را در شبکه‌های مختلف، از جمله توکن‌ها، NFTها و موقعیت‌های نگهداری‌شده در پروتکل‌ها، بررسی کنند و سپس کیف پول قدیمی را کنار بگذارند.
خود دستگاه نیز باید مورد بررسی قرار گیرد. تراکنش‌های مشکوک، تاریخ نصب و نسخه اپلیکیشن را ثبت کنید تا در صورت نیاز به بررسی توسط صرافی، پلتفرم یا تیم امنیتی، اطلاعات لازم در دسترس باشد. همچنین نشست‌های فعال ورود به حساب‌ها را بررسی کنید؛ به‌ویژه حساب‌های صرافی و ایمیلی که از همان دستگاه به آن‌ها دسترسی داشته‌اید و در صورت لزوم، رمزهای عبور را تغییر دهید.
حساب‌های متمرکز لایه امنیتی متفاوتی را وارد این معادله می‌کنند. اقداماتی مانند احراز هویت دو مرحله‌ای و محافظت از هویت می‌توانند استفاده مهاجم از اطلاعات سرقت‌شده را دشوارتر کنند؛ به‌ویژه زمانی که از یک دستگاه هم برای دسترسی به کیف پول‌ها و هم برای ورود به حساب‌های صرافی استفاده شده باشد.
یک دستگاه نباید تمام ریسک ها را در خود جای دهد
ماجرای FomoPeek یک پرسش عملی مهم‌تر را نیز مطرح می‌کند که فراتر از یک اپلیکیشن خاص است: معامله‌گران تا چه اندازه باید به یک دستگاه واحد اعتماد کنند؟
تلفنی که برای نگهداری دارایی‌های بلندمدت، آزمایش اپلیکیشن‌های رمزارزی، شرکت در کمپین‌های تبلیغاتی، استفاده از شبکه‌های اجتماعی، ایمیل و وب‌گردی روزمره به کار می‌رود، چندین نوع ریسک امنیتی را در یک نقطه متمرکز می‌کند. هر یک از این فعالیت‌ها ممکن است به‌تنهایی قابل مدیریت به نظر برسد، اما با قرار گرفتن در کنار یکدیگر، ریسک‌ها می‌توانند با هم تداخل پیدا کنند.
تفکیک این فعالیت‌ها می‌تواند این هم‌پوشانی را کاهش دهد.
می‌توان یک دستگاه پاک یا یک پروفایل اختصاصی مرورگر را به کیف پول‌های با ارزش بالاتر اختصاص داد و در مقابل، از یک کیف پول با موجودی پایین‌تر برای آزمایش اپلیکیشن‌ها، کمپین‌ها یا سرویس‌های ناآشنا استفاده کرد. سیستم‌عامل‌ها باید همواره به‌روز باشند و اپلیکیشن‌ها نیز تنها پس از بررسی هدف و ناشر آن‌ها نصب شوند. پیشنهادهای پاداشی که برای نصب نرم‌افزارهای ناآشنا یا اعطای مجوزهای غیرمعمول حس فوریت ایجاد می‌کنند، به بررسی و احتیاط بیشتری نیاز دارند.
امنیت کیف پول نیز از چندین لایه تشکیل شده است. نگهداری آفلاین عبارت بازیابی به محافظت در برابر تصاحب حساب کمک می‌کند، در حالی که بررسی مجوزهای توکن و قراردادهای هوشمند می‌تواند نوع دیگری از ریسک را محدود کند. هیچ‌یک جایگزین دیگری نیست.
همین اصل در عادت‌های روزمره نیز کاربرد دارد. ارتقای امنیت در فعالیت‌های رمزارزی می‌تواند به اقداماتی ساده مانند بررسی یک لینک پیش از باز کردن آن، زیر سوال بردن درخواست‌های غیرمنتظره و خودداری از ارائه اطلاعات بازیابی صرفاً به دلیل ایجاد حس فوریت محدود شود.
یک اصل همچنان کاملاً روشن است: هیچ تیم پشتیبانی معتبر و قانونی به عبارت بازیابی یا کلید خصوصی معامله‌گر نیاز ندارد.
فهرست شدن در یک فروشگاه رسمی، تضمین امنیت نیست
بخش قابل‌تأمل گزارش FomoPeek صرفاً این نیست که ادعا شده یک اپلیکیشن مرتبط با رمزارزها دارای قابلیت‌های مخرب بوده است. معامله‌گران رمزارزها از قبل می‌دانند که نرم‌افزارهای مخرب وجود دارند.
آنچه این پرونده را به یک درس امنیتی مهم‌تر تبدیل می‌کند، محل عرضه گزارش‌شده این نرم‌افزار و ماهیت ظاهری عملکرد محصول است.
اضافه شدن یک اپلیکیشن در App Store نوعی حس آشنایی و اعتماد ایجاد می‌کند. یک ابزار پایش کیف پول که با آدرس‌های عمومی کار می‌کند نیز ممکن است در مقایسه با خود کیف پول، کم‌خطرتر به نظر برسد. ترکیب این 2 تصور می‌تواند باعث شود معامله‌گران پیش از بررسی اینکه اپلیکیشن به چه اطلاعات دیگری روی دستگاه دسترسی دارد، سطح احتیاط خود را کاهش دهند.
به همین دلیل، در دسترس بودن یک اپلیکیشن در فروشگاه رسمی، کیفیت رابط کاربری یا حتی محدود به نظر رسیدن قابلیت‌های آن باید صرفاً به‌عنوان نشانه‌هایی از اعتماد در نظر گرفته شوند، نه تضمین امنیت. پرسش‌های مهم‌تر این هستند که اپلیکیشن چه مجوزهایی دریافت می‌کند، چه اطلاعاتی در بخش‌های دیگر دستگاه وجود دارد و در صورت افشای آن اطلاعات چه پیامدهایی ممکن است ایجاد شود.
براساس گزارش‌ها، FomoPeek در نسخه 1.3 ماژول‌های شناسایی‌شده توسط SlowMist را حذف کرده است. بااین‌حال، برای افرادی که ممکن است از نسخه‌های قبلی استفاده کرده باشند، پرسش امنیتی اصلی تنها این نیست که نسخه فعلی اپلیکیشن ایمن‌تر است یا خیر؛ بلکه این است که آیا می‌توان همچنان به اطلاعاتی که پیش از به‌روزرسانی احتمالاً افشا شده‌اند، اعتماد کرد یا خیر.
عبارت بازیابی، مرز نهایی کنترل است
در نهایت، ماجرای FomoPeek بیش از آنکه صرفاً درباره یک اپلیکیشن پایش کیف پول باشد، به این موضوع مربوط می‌شود که معامله‌گران مرز امنیتی نگهداری شخصی دارایی‌های خود را کجا تعریف می‌کنند.
یک کیف پول می‌تواند به‌خوبی طراحی شده باشد، اما روی دستگاهی قرار داشته باشد که امنیت آن به خطر افتاده است. یک عبارت بازیابی می‌تواند به‌درستی وارد شود، اما پس از آن در محلی ناامن ذخیره شود. یک اپلیکیشن ممکن است فقط یک آدرس عمومی از کاربر درخواست کند، اما اطلاعات دیگری که روی همان تلفن وجود دارد، می‌تواند سطح بسیار بزرگ‌تری از ریسک را ایجاد کند.
برای معامله‌گرانی که از نسخه‌های تحت‌تأثیر FomoPeek استفاده کرده‌اند، اولویت باید شناسایی اطلاعاتی باشد که ممکن است افشا شده باشند و سپس اتخاذ اقدام متناسب با میزان حساسیت آن اطلاعات. برای سایر کاربران نیز این گزارش فرصتی است تا بررسی کنند اطلاعات بازیابی خود را کجا نگهداری می‌کنند، چه اپلیکیشن‌هایی روی همان دستگاه به این اطلاعات دسترسی دارند و چه میزان دارایی پشت یک عبارت بازیابی واحد قرار گرفته است.
نگهداری شخصی دارایی‌ها به معامله‌گران کنترل مستقیم بر دارایی‌هایشان می‌دهد؛ اما در عین حال، عبارت بازیابی را به آخرین لایه کنترل تبدیل می‌کند.
از این مرز محافظت کنید تا کنترل کیف پول همچنان در اختیار شما باقی بماند.
