來源：Cointelegraph；編譯：吳說區塊鏈
7 月21 日Uniswap 創始人Hayden Adams 的Twitter 賬號被黑並發布了包含釣魚鏈接的推文。據悉此次被黑可能是一種SIM 卡盜竊，即攻擊者接管受害者的電話號碼，使他們能夠訪問銀行賬戶、信用卡或賬戶。
7 月23 日，Coinlist 的帳戶也被黑客入侵，並發布了釣魚鏈接。以及此前7 月5 日LayerZero 的推特賬戶被盜，6 月份DEX 交易聚合平台Slingshot 官方推特賬戶被盜和BitBoy 創始人Ben Armstrong 推特賬戶被盜等等。為什麼大量加密賬號遭到盜取？用戶應如何防範？
以下是Cointelegraph 一文的全文翻譯：
由於SIM 卡置換攻擊通常被視為對技術技能要求不高，用戶必須對自己的身份安全保持警惕。儘管網絡安全基礎設施在不斷提升，但在線身份仍面臨許多風險，包括與用戶電話號碼被黑客攻擊相關的風險。
在7 月初，LayerZero 的首席執行官Bryan Pellegrino 就成為最新的SIM 卡置換攻擊的受害者之一，這使黑客短暫地接管了他的Twitter 賬號。 Pellegrino 在重新取回Twitter 賬號後很快寫道：“我猜，有人從垃圾桶裡拿走了我的證件，並且在我離開Collision 的時候，以某種方式欺騙代理商，將其作為SIM卡置換的身份證明。” Pellegrino 向Cointelegraph 表示：“那隻是一張’Bryan Pellegrino —— 演講者’的普通紙質會議證件。”
Pellegrino 的這次遭遇可能會讓用戶認為，執行SIM 卡置換攻擊就像拿別人的證件一樣簡單。 Cointelegraph 已聯繫到一些加密貨幣安全公司，以了解這是否是事實。
什麼是SIM 卡置換攻擊
SIM 卡置換攻擊是一種身份盜竊的形式，攻擊者接管受害者的電話號碼，從而能夠訪問其銀行賬戶、信用卡或加密貨幣賬戶。
2021 年，美國聯邦調查局收到了超過1600 起涉及超過6800 萬美元損失的SIM 卡置換投訴。與之前三年收到的投訴相比，這表示投訴量增長了400%，這表明SIM 卡置換攻擊“肯定在上升”，CertiK 的安全運營主管Hugh Brooks 告訴Cointelegraph。 Brooks 表示：“如果不從依賴短信的兩步驗證中脫離出來，且電信供應商不提高他們的安全標準，我們可能會看到攻擊的數量繼續增長。”
據慢霧安全公司首席信息安全官23pds 表示，SIM 卡置換攻擊現在並不十分普遍，但在不久的將來有顯著的增長潛力。他說：“隨著Web3 的受歡迎程度增加，吸引更多人進入這個行業，由於其相對較低的技術要求，SIM 卡置換攻擊的可能性也會增加。”
23pds 提到了過去幾年中涉及加密貨幣的SIM卡置換黑客攻擊的一些案例。 2021 年10 月，Coinbase 官方披露，由於兩步驗證（2FA）的漏洞，黑客至少從6000 名客戶那裡竊取了加密貨幣。此前，英國黑客Joseph O’Connor 在2019 年因通過多次SIM 卡置換攻擊竊取大約80 萬美元的加密貨幣而被起訴。
執行SIM 卡置換攻擊的難度有多大
根據CertiK 的高管，SIM 卡置換攻擊通常可以利用公開的信息或通過社會工程技術獲取的信息來完成。 CertiK 的Brooks 說：“總的來說，與技術要求更高的攻擊，如智能合約利用或交易所黑客攻擊相比，SIM 卡置換可能被視為攻擊者的入門門檻較低。”
SlowMist 的23pds 同意SIM 卡置換不需要高級的技術技能。他還指出，這種SIM 卡置換在Web2 世界中“普遍存在”，因此在Web3 環境中出現也“並不奇怪”。他說：“執行起來通常更容易，通過社會工程技巧來欺騙相關運營商或客戶服務人員。”
如何防止SIM 卡置換攻擊
由於SIM 卡置換攻擊通常在黑客的技術技能方面不需要太高的要求，用戶必須對他們的身份安全保持警惕，以防止此類攻擊。
防止SIM 卡置換攻擊的核心保護措施是限制使用基於SIM 卡的二次驗證方法。 Hacken 的Budorin 指出，與其依賴SMS 等方法，不如更好地使用Google Authenticator 或Authy 這樣的應用。
SlowMist 的23pds 也提到了更多的策略，如多因素認證和增強的賬戶驗證，比如額外的密碼。他還強烈建議用戶為SIM 卡或手機賬戶設置強密碼或PIN 碼。
避免SIM 卡置換的另一種方法是保護個人數據，如姓名、地址、電話號碼和出生日期。 SlowMist 的23pds 還建議仔細審查在線賬戶是否有任何異常活動。
CertiK 的Brooks 強調，平台也應負責推廣安全的二次驗證實踐。例如，公司可以在允許更改賬戶信息前要求額外的驗證，並教育用戶了解SIM 卡置換的風險。
