导读：一天时间，Coinbase账户里价值10万美元的加密资产飞灰烟灭！Bitgo的工程主管SeanCoonce以为只是因为不小心摔了手机导致SIM故障失去了移动服务，不曾料到这却是一场黑客盗币的信号。
上周三，我丢失了价值10万美元的加密货币。这笔钱在一天内就因为一次“SIM卡转移攻击”从我的Coinbase账户中消失了。
这件事已经过去好几天了，我整个人都非常沮丧。食不知味，夜不能寐，觉得自己被焦虑、懊悔和难堪的感觉浸没。
这是我人生中最昂贵的一课，我想与尽可能多的人分享我从这次事件中得到的经验教训，希望借此提高大家对这类SIM卡攻击的认识，从而加强你们在线身份的安全性。
01攻击的细节
你可能会先问一个问题，究竟什么是“SIM卡转移攻击”？为了讲清楚攻击发生的原由，需要大家先来看一下典型的在线身份验证。对于大多数人来说，下面这张图应该看起来很熟悉：
派币调查实录：用手机 “挖矿”的虚拟货币，靠“画饼”就圈到了近两千万活跃用户:据派币中文布道者网站显示，币友只需要下载派币App就能免费挖矿，不耗电、不费流量，每天只需点击一次，就能挖到派币。据该网站一位工作人员说，派币的全球活跃“矿工”超过1800万，国外易货共识价格大概为100美元/1派币。换句话说，现阶段Pi Network单纯靠“画饼”，就硬生生圈到了近两千万活跃用户。
许多币圈人士看来，派币扩张的模式和很类似。一位资深币圈人士表示，派币组织使用了“庞氏模型”层压式推销派币，上层组织可以不断赚新加入成员的钱。尽管派币是否为“空气币”还未尘埃落定，但记者查阅发现，派币的美国官网并未备案，在GitHub上也找不到开源代码，这并不符合区块链的去中心化特征。
多位数字支付领域人士表示，许多所谓的虚拟货币往往鱼龙混杂，存在着研发者圈钱跑路、非法集资、庄家控制价格等风险。在这个“灰色地带”，监管应尽快建立虚拟货币监督管理系统，制定规范虚拟货币的相关法规。（上海证券报）[2021/5/8 21:37:38]
?我们手机里的SIM卡把手机号码和手机绑定在了一起；?当我们忘记邮箱账号的登录密码时，可以要求邮箱发送一个验证码给你的手机，这个验证码会被用于恢复你的邮箱账号；?我们的邮箱地址与许多在线服务绑定在了一起。
动态 | 罗永浩上“老赖”名单 此前曾称一定会做区块链手机:11月3日，罗永浩发微博表示，虽然过去的10个月一直在跟时间赛跑，而且跑的其实挺好，但还是上了法院的限制消费令名单，即所谓的“老赖”名单，我的创业过程算是相当完整了。据此前消息，罗永浩曾表示，区块链手机，一定会做，详情还不方便说。[2019/11/4]
1、授权的SIM转移
允许用户将SIM卡转移到另一台设备，是移动运营商提供的一项服务。这项服务允许用户将他们的电话号码转移到新设备上。在大多数情况下，当我们有了新手机或者要更换移动运营商时，就会发生这种情况，这是完全合法的要求。
2、SIM卡转移攻击
但是，“SIM转移攻击”是由未经授权的攻击者执行的恶意转移。攻击者把你的SIM卡转移到他们控制的手机上。然后，攻击者在你的电子邮件账户上启动密码重置流程。验证码会从你的电子邮件提供商发送到你的电话号码，攻击者会截获该电话号码，因为他们现在控制了你的SIM卡。
动态 | 支付平台Uquid用户可使用XRP支付电费和为手机充值:据zycrypto报道，支付平台Uquid宣布，其用户现在可以在其平台上使用XRP支付电费、为移动设备充值、支付在线账单、购买食品券、进行无PIN呼叫等。150个国家的600个移动网络的移动用户现可使用XRP对手机进行充值。据悉，Uquid是存放、转移和提取电子货币的平台。[2019/4/11]
下图逐步概述了攻击的流程：
?首先，攻击者会收集你的个人信息，把你锁定为攻击目标；?启动SIM卡转移申请，利用收集到的个人信息向移动服务商证明是你本人发起的申请，并要求移动服务商将你的SIM卡转移到一个由他们控制的设备上；?现在你的SIM被转移到了一个由攻击者控制的设备上；?重置邮箱密码，等待邮箱将验证码发到他们的手机上；?邮箱将验证码通过短信发送至攻击者的手机上；?攻击者获取验证码，开始重置你的邮箱密码，现在他们已经获得了你的手机和电子邮箱的控制权。
针对手机用户的黑客盗币行为悄然流行:IBM研究人员发现，以手机用户作为目标人群来盗取数字货币的黑客行为正在流行。被发现的恶意程序有ExoBot、BankBot、Marcher和Mazar，这些程序一旦被启动，嵌入其中的特洛伊木马会将假冒屏幕覆盖在合法应用程序的屏幕之上，用户会不经意地向恶意软件提交账户信息，黑客得以窃取数字资产。IBM表示，恶意软件针对的数字货币包括BTC、BCH、ETH、LTC、XMR等。[2018/3/6]
一旦攻击者控制了你的电子邮箱账户，他们就会开始逐步控制你通过该电子邮件管理的任何对他们而言有利可图的在线服务。如果他们再做得过分些，甚至可以锁定你的账户而你却对此无能为力。
这里，我们稍微花点时间整理下你通过一个谷歌账户绑定的大量个人敏感信息：
?你的住址、出生日期和其他私人的个人身份信息；?有机会获取你或者你伴侣的照片；?访问你的日程表和近期的旅行日程；?访问你的私人电子邮件、文档和历史搜索记录；?获取你的联系人列表，这些联系人的私人信息以及你们之间的关系；?获取你用电子邮箱地址作为身份验证来源的所有其他在线服务。
韩国APP应用分析公司wiseapp.co.kr调查显示：安卓手机使用比特币应用程序的月度用户达180万:韩国APP应用分析公司wiseapp.co.kr 9日公布了从去年12月开始对韩国Android智能手机用户使用比特币应用程序和证券应用程序进行调查，调查结果显示使用比特币应用程序进行比特币交易以及查询行情等前10名APP的月度用户数约为180万（不包括重复使用），同期使用证券应用程序的用户数为267万。比特币相关应用程序的用户每天使用时长达26分钟，并执行了67次，这比使用证券应用程序花费的时间多了两倍（13分钟），执行次数多了（15次）四倍以上。此外，使用比特币应用的用户年龄在10~20岁占6.5％，20~30岁占24％，30~40岁占32.7％，40~50岁占21％，50~60岁占15.8％。证券使用者的年龄比例：10~20岁占1.1%，20~30岁占9.9%，30~40岁占23.8%，40~50岁占35.4%，50~60岁占9.8%。[2018/1/9]
02这次攻击事件的时间线
通过上面的铺垫，相信你对攻击者如何进行此类SIM卡转移攻击以及攻击会造成的后果有了一定的了解。
下面，我和大家详细说一下这次攻击发生过程：攻击是如何发起的，攻击过程中我的经历，以及万一你也遇到类似的情况可以做些什么来保护自己。
攻击发生的时间线，可以分为四个部分：
1、我所经历的：在我看来，我所经历的这些事或者如果你遇到类似的事情，都是你可能受到攻击的明确指标。
2、攻击者当时正在做什么：黑客潜入我的Coinbase账户时采用的策略。
3、我感受到的威胁级别：在这些事件发生时，我感受到的威胁级别。
4、我应该拥有的威胁级别：事后想来，在这些事情发生时，我希望自己拥有的威胁级别。
03经验教训和建议
这是我人生中最昂贵的一课。我在一天内永远地失去了这笔对我而言意义重大的净资产。
以下是我的一些如何加强防护措施的建议：
1、使用硬件钱包保护你的密码：无论什么时候，如果你没在交易，就把你的密码保存在硬件钱包/离线钱包/多重签名钱包，而不是把资金闲置在交易平台中。
我把Coinbase当作一个银行账户，一旦遭受攻击，没有任何可以挽回的措施。虽然我比大多数人更了解把钱放在交易平台的风险，但从未想过这种事情会发生在我身上。我现在非常后悔没有对我的加密货币采取更有力的安全措施。
2、基于手机短信服务的二次验证并不够安全：无论你想保护线上资产还是线上身份，请使用一些硬件装备来增强防护措施。这样一来，攻击者为了实施攻击，就必须在现实生活中拿到你储存密码的装备。
谷歌身份验证器和Authy可以将你的移动设备转变为这样的硬件装备，从而提高安全性，但我建议你更进一步：选一个你可以实际控制且不会被攻击者的Yubikey。
3、减少你的上网痕迹：抑制你想要在网上分享个人身份信息的冲动。在发生攻击时，所有这类公开的数据信息都有可能会被用做发起攻击的工具。
4、谷歌的语音二次验证：在某些情况下，在线服务不支持基于硬件的二次验证。这种时候，你最好创建一个谷歌语音电话号码并使用谷歌语音电话作为你二次验证的工具。
4、再创建一个电子邮件地址：不要将所有东西都绑定到同一个电子邮件地址。为一些非常重要的在线身份再创建一个邮件地址。这个邮件地址得保密，不要将它用于任何其他内容，使用基于硬件的二次验证增强这个邮件地址的安全性。
5、离线密码管理器：使用密码管理器输入密码，最好是能使用离线密码的管理器，比如PasswordStore。
04小结
我讲出这次事件始末，目的是让大家知道遭到攻击是多么容易的一件事，希望大家采纳我在上面提出的建议来加强你们的在线身份安全性。
我本可以做一些非常简单、轻松的防护措施来保护自己，我也总忍不住地去想“如果我····”，那事情的发展是不是就会完全不一样了。然而，当我这样想的时候，另外两种想法也向我袭来：懒惰和幸存者偏差。
之前我从未经历过攻击，因此我没有严肃对待我的在线安全问题。虽然我了解自己的风险状况，但我总是懒得以更严谨的态度来保护我的资产。所以，我恳请你们从我的这些错误中吸取教训。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。