SIM卡交换盗贼的故事

企业家和投资者迈克尔·特平（Michael Terpin）是高净值加密货币所有者，他与人共同创立了第一个针对比特币爱好者的天使基金，即Bitangels基金，他们都非常清楚这一宗旨。

“正义之轮转得很慢，”特平在接受《比特币杂志》采访时说。

关于Terpin案的司法纠纷卷入了他于2018年8月针对AT＆T进行的2.24亿美元持续诉讼中。两次有组织的黑客交换了Terpin的T-Mobile和AT＆T帐户相关的SIM卡。据他介绍，第一次SIM交换后，一群攻击者“在波士顿的两家商店里互相殴打，以使我放弃这两个帐户的凭据。”

在进行了这些交换之后，黑客在Terpin开设的交换帐户中抢了一半多一点的比特币，“当时比特币大约是100美元。”

第一次SIM交换后，Terpin要求两个运营商提供更高的安全性。事实证明，AT＆T和T-Mobile各自提供了“高级配置保护选项”。但是，就像Terpin说的一样，当T-Mobile的店内验证“无端口”选项和AT＆T添加的六位数帐户密码都被证明无用时，2018年1月，一名新泽西AT＆T零售店的19岁员工出卖了Terpin的账户密码，以换取100美元的贿赂。

作为回报，这组攻击者盗窃了2400万美元的山寨币。

“是的，” Terpin说，“他们唯一能得到的就是山寨币，但那天它们恰好具有很高的价值。”

与比特币不同，Terpin被盗的山寨币（TRIG，SKY和STEEM）没有可用的钱包私钥硬件备份选项。

尽管Terpin的上一次SIM交换发生在两年多以前，但他说，每周都有一名新的SIM交换受害者与他联系，以寻求帮助。如果他们真想解决的话，他会将他们指向他的法律团队和加利福尼亚州的REACT工作组。

Terpin还参与了针对Nicholas Truglia的民事诉讼，Nicholas Truglia是一名21岁的纽约市居民，被控通过SIM卡互换窃取2400万美元。Truglia最初被指控从硅谷高管兼StopSIMCrime.org的创建者Ross White 窃取了100万美元的加密货币。

Terpin 声称，在Truglia的另一次SIM欺诈保释听证会上的证据（一个iCloud备份文件）表明Truglia可能也是他2400万美元攻击背后的SIM卡交换者。在Terpin袭击的同一天，Truglia向家人和朋友发送了邮件，表明他从钱包中窃取了价值超过2000万美元的加密货币，并将其转换为比特币，他的生活永远改变了。尽管调查仍在进行中，但Terpin声称Truglia是由26人组成的分散式SIM卡交换小组的成员之一。

调查记者布莱恩·克雷布斯（Brian Krebs）将Truglia的案子与盗窃SIM卡交换者的其他几项逮捕，指控和刑罚结合在一起，对这些角色进行详细的描述。据克雷布斯说，他们都是男性，年龄在25岁以下。

2020年1月，一份报告指责18岁的加拿大居民Samy Bensaci对区块链研究小组负责人Don Tapscott实施SIM交换，所幸的是这未能成功。这个故事将加密货币社区中的许多SIM交换目标与其在纽约市举行的年度共识会议的出席联系起来。它还证实了Krebs的报告，该报告将SIM交换加密货币盗窃行为与名为OGUsers.com的在线论坛的用户相联系。

比特币和隐私专家Matt Odell说：“我认为每个人总是对年轻一代采用新技术感到措手不及。”他参与了多个项目，例如共同主持“地窖故事”播客。

就像大规模采用本身一样，比特币和相关的SIM卡交换盗窃的现象似乎是由年轻一代针对较原始系统的受害者发起的。

选择安全而不是方便

Webroot的安全分析师泰勒·莫菲特（Tyler Moffitt）表示：“围绕这项技术创造的法律总是落后的。”他指的是比特币所有者由于其无线运营商而处于独特的危险境地。“我看不出在未来五年内会出现[更严格的运营商消费者保护法]，到那时，黑客已经从SIM交换盗窃加密货币中赚了一大笔钱。”

莫菲特（Moffitt）是众多认为在权衡便利性和安全性时，人们将始终倾向于便利性的人之一。这正是无线运营商账户和整个美国社会被设计成的方式。

但是响亮的声音开始发出。2020年1月9日，美国六位议员签署了致美国联邦通信委员会（FCC）主席阿吉特·派（Ajit Pai）的一封信，他此前曾担任Verizon的总顾问。该信提倡加强针对无线客户的SIM交换欺诈保护，并指出了调查人员与REACT工作组就SIM交换总损失的声明：“他们已经知道3000多名SIM交换受害者，这造成了7000万美元的损失。“

这封信还解决了SIM卡交换黑客行为变得更加复杂的指控问题。现在，攻击者还通过欺骗或强迫零售员工在其计算机上以远程桌面协议的形式运行恶意软件，从而直接入侵无线运营商计算机中，而不仅仅是行贿。

信中写道：“你是否曾看到有关违规的报道……涉及对无线运营商的入侵，包括零售商店中的计算机以及客户服务代理商使用的计算机？”

更加严重的是，这封信的立法者和作者认识到，SIM卡交换盗窃对国家安全构成了非常现实的威胁。据称许多政府机构雇员使用不同级别的2FA。在这种假设下，有组织的黑客或民族国家行为者团体可以访问公共官员的电子邮件帐户，然后以几种严重的破坏性方式利用该访问权，例如从联邦紧急事务管理局的警报和警告中发出虚假的紧急警报。

Terpin在2019年秋季向FCC发送了类似的信，其中有更具体的要求。

他写道：“我建议FCC让所有美国运营商都收回其私密密码。”

这是无线运营商的核心安全故障–与银行，航空公司和酒店不同，这些机构的无线帐户的密码访问权限是基于是否具有密码而“通过”或“失败”，但运营商员工可以使用整个无线帐户的密码。主要是为了方便客户，当客户摔坏或丢失手机，然后急需返回我们的以移动设备为中心的世界时。但是，鉴于许多运营商商店，甚至以最大运营商名称冠名的商店，实际上都是第三方拥有和经营的，因此这种核心安全漏洞显得更加糟糕。

“不仅仅是电信公司的员工，” Yubico的首席产品官Guido Appenzeller说。Yubico是一家以发明YubiKey闻名的硬件安全公司。“每个第三方零售雇员都可以访问这些数据库。”

在某些地区，第三方零售运营商的最低时薪每小时低至10美元，很明显，这就是为什么零售零售商会以每100美元的价格泄露数千个帐户密码的原因。

—-

编译者/作者：月明风清

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。