InfoSec Context

💰 Уроки крупнейшего взлома Binance
Про данный взлом уже не написал только ленивый ✍️, и пока весь криптомир обсуждает шокирующие новости о масштабной атаке на Binance, где под удар попало около $6,3 млрд в десяти блокчейнах, давайте отойдем от сенсаций и подойдем к вопросу прагматично.

По предварительным данным аналитиков и расследованиям, атака началась с банального уязвимого звена — скомпрометированного ноутбука DevOps-инженера. Через него злоумышленники смогли проникнуть во внутреннюю инфраструктуру подписания транзакций компании.

Binance пообещала компенсировать потери клиентов из собственных резервов, но этот инцидент в очередной раз доказывает: абсолютной безопасности в централизованных системах не существует, а гиганты индустрии остаются лакомым кусочком для хакеров любого уровня.

«Not your keys, not your coins» («Не твои ключи, не твои монеты»)
— это фундаментальный принцип в мире криптовалют, который подчёркивает, что истинный контроль над цифровыми активами возможен только тогда, когда вы сами владеете приватными ключами. И он звучит банально ровно до того момента, пока биржа не останавливает вывод средств 💸.

Что же делать обычному пользователю, чтобы не стать заложником чужих инфраструктурных проколов? Давайте попробуем перечислить основные правила риск-менеджмента.

Как пользователю хеджировать риски подобных взломов?
⏺ Биржа — для торговли, а не для сейфа: Держите на бирже только тот объём средств, который непосредственно задействован в текущей торговле, арбитраже или краткосрочных ордерах. Остальные средства должны лежать в вашем личном контролируемом пространстве.
⏺ Используйте для хранения также холодные решения (Ledger, Trezor, Keystone и др.). Даже если биржа, мост или протокол подвергнутся масштабной атаке, ваши активы на аппаратном устройстве останутся в безопасности, так как закрытые ключи изолированы от сети. Тут возникает другой риск — утрата/поломка устройства, и его тоже нужно учитывать.
⏺ Периодически проверяйте и отзывайте выданные разрешения для смарт-контрактов через проверенные сервисы (например, Revoke.cash). Не оставляйте бесконечные лимиты одобрения токенов.
Не храните весь рабочий капитал на одной площадке. Если ваша деятельность связана с активным трейдингом, то распределяйте активы между несколькими надежными биржами.
⏺ Максимизируйте защиту личных аккаунтов. Хотя атака на Binance затронула внутреннюю инфраструктуру, а не пароли пользователей, базовая защита вашего личного кабинета обязана быть железобетонной. Используйте аппаратные ключи безопасности вместо SMS и уязвимых приложений-аутентификаторов, чтобы исключить риски фишинга и SIM-swapping.

💬 Старое правило «Не держи все яйца в одной корзине» работает со всеми активами, которые вам ценны — не пренебрегайте им. И хотя криптовалюты дают нам некоторую финансовую свободу, но она сопряжена с рисками безопасности.

📖 InfoSec Context
| TG | Max | Web

🚗 Сбор данных современными автомобилями
Глава комитета Госдумы по цифровому развитию и искусственному интеллекту Александр Сидякин предложил распространить принципы «закона Яровой» на иностранные автомобили. Инициатива предполагает проверку того, какую информацию современные машины отправляют производителям и сторонним сервисам🔎: от точных координат, записей с микрофонов и видео с видеорегистраторов до детальной телематики электронных систем. И хотя поводом стали риски при использовании таких машин госслужащими, технически эта проблема касается каждого владельца подключенного автомобиля.

Давайте сначала посмотрим, как с безопасностью и сбором данных автомобилями следят в других странах, и какой практический вывод можем сделать мы.

🌍 Мировой опыт
Тема безопасности автомобилей уже давно вышла на уровень национальной безопасности и защиты приватности во всех ведущих юрисдикциях:
⏺ Европейский Союз применяет GDPR и EU Data Act, которые регулируют сбор данных строго регламентирован. Передача автомобильной телеметрии за пределы ЕС без жестких гарантий и согласия пользователя запрещена. Согласно требований UNECE WP.29 (CSMS) автопроизводители обязаны внедрять официальные системы управления кибербезопасностью транспортных средств, проходить аудит и защищать цепочки обновлений "по воздуху".
⏺ Соединенные Штаты Министерство торговли США (BIS) и профильный закон Connected Vehicle Security Act вводят ограничения на использование зарубежного ПО и аппаратного обеспечения в подключенных авто.
⏺ Китай Стандарты Министерства промышленности и информатизации требуют, чтобы все данные, собираемые автомобилями на территории страны, хранились исключительно на локальных серверах без права беспрепятственного трансграничного экспорта.

Соответственно, тренд очевиден, и государства больше не смотрят на автомобиль просто как на средство передвижения — это полноценный IoT-компьютер на колесах, генерирующий гигабайты конфиденциальной телеметрии 🤖.

При этом отсутствие трансграничной передачи и обеспечение безопасной передачи данных вендору не исключают возможность внутренних злоупотреблений данными, как, например, старый случай с когда работники Tesla сливали в групповой чат «избранные» записи с камер электромобилей 🤬.

Какие практические выводы из этого можно сделать? Мы вряд ли сможем управлять разрешениями, которые имеет наш автомобиль, ну по крайней мере до выпуска для них кастомных прошивок, но для себя нужно:
⏺ Учитывать, что связка «смартфон + приложение производителя авто» часто сливает рекламным трекерам VIN-номер, e-mail, телефон и точные координаты перемещений. Предлагаю минимизировать доступы и разрешения у приложений в вашей ОС.
⏺ Загляните в дебри меню бортового компьютера. Отключите опции «улучшения качества сервиса», маркетинговой телеметрии и передачи аналитических отчетов производителю, если они есть и включены по умолчанию.

💬 Относитесь к современному автомобилю как к смартфону на колесах. Помните, что каждый сервис мультимедиа или подключенный по Bluetooth гаджет расширяет вашу цифровую поверхность атаки.

📖 InfoSec Context
| TG | Max | Web