2 月 22 日，巨鲸用户币印创始人潘志彪丢失了 1500 个比特币（价值 1500 万美金）和接近 6 万个比特币现金（价值 3000 万美金），目前价值 2.6 亿元。其比特币地址为：1Edu4yBtfAKwGGsQSa45euTSAG6A2Zbone；BCH 地址为：1Hw8dtVC9bdxDz1su9Jx3GXTgjR75FJcMK。
慢雾安全团队目前推测：该大户私钥自己可以控制，他在 Reddit 上发了 BTC 签名，已验证是对的，且猜测是使用了一款很知名的去中心化钱包服务，而且这种去中心化钱包居然还需要 SIM 卡认证，也就是说有用户系统，可以开启基于 SIM 卡的短信双因素认证，猜测可能是 Blockchain.info。
目前，针对数字货币市场的 SIM 卡交换攻击正在兴起，本文介绍了一些遭遇 SIM 交换攻击的案例，并且介绍了许多实用的方法来保护你的数字账号。
使用电话号码进行身份验证是一种不安全的做法。将比特币交给加密货币交易所或者借贷服务之类的第三方也降低了安全性：”不是你的私钥，就不是你的币“是一条安全性建议，这句话在 Twitter 和比特币圈子里比较流行。
一个其如其分的例子：在过去十年的大部分时间里，很多用户都把数字货币放在交易所或者中心化借贷服务中致使 SIM 交换攻击越来越频繁，最终导致用户的比特币和其他加密货币被盗。
对于攻击者来说，SIM 交换攻击是一种低成本、低技术门槛的窃取用户手机账户的手段。发起攻击的方式是，攻击者需要知道电信运营商是如何验证身份的以及有关被攻击者的某些个人信息。但是通常情况下，仅仅需要受害者的电话号码就可以发起攻击。
目前，有明确的证据表明，美国多数拥有电信运营商号码的用户都极易受到 SIM 交换的攻击。如果你不想丢失持有的比特币，知道这一事实可能更会让你感到不安。
SIM 交换攻击的兴起
由哈佛大学计算机科学系和普林斯顿大学信息技术中心的教授以及博士生组成的联合研究小组在 2020 年 1 月发表的一项实证研究中证明了 SIM 交换攻击潜在风险的增加。
普林斯顿大学副教授，该论文作者之一的 Arvind Narayanan 在推特上总结道：”攻击者冒充你的身份给你的运营商打电话，并要求将服务转移到攻击者控制的一张新 SIM 卡上。“他还说道：”这本身已经够糟糕了，更别提你有数百个网站都使用的手机短信来进行两步验证，SIM 交换攻击使你的帐户处于危险之中。“
这项研究测试了美国五大无线电信运营商的身份验证协议：AT＆T、T-Mobile、Tracfone、US Mobile 以及 Verizon。在每个运营商都尝试在 10 个不同的预付费帐户进行 SIM 交换攻击之后，作者发现所有五个运营商都使用了被认为不安全的身份验证方法。
Narayanan 表示：“综合来讲，这些研究发现有助于解释 SIM 交换攻击为什么长久以来一直都存在。”
更麻烦的是，SIM 交换攻击还带来一个问题。Narayanan 承认在研究期间他遭遇了的 SIM 卡交换攻击。当他给运营商打电话报告这一欺诈行为时，其运营商的客户服务部门由于之前已经通过了对攻击者的验证，就无法对 Narayanan 进行验证了。但是，Narayanan 通过运用他的研究成果，利用了运营商的协议漏洞，最终重新获得了对自己账户的控制。
对于 Narayanan 来说，他是幸运的，因为他立刻就意识到了这一攻击，并且重新找回了自己的账户。一旦攻击者控制了受害者的电信帐户，他们就可以进行各种破坏。正如研究中所述，这在很大程度上是由于用户为在线访问数字资产时使用了不安全的身份验证方法。比如，使用基于手机短信或基于手机通话的两步认证（2FA）方法（一旦攻击者可以访问您的电信帐户，这些方法就都不安全了）或者使用极易获得到答案的问题答案验证方法（比如，设置的问题是妈妈的婚前姓氏是什么）。此外，该研究还发现了 17 个网站，仅凭 SIM 交换攻击就可以破坏用户帐户（此方法的基础数据来自 twofactorauth.org 网站的数据集）。该研究报告发布后不久，T-Mobile 就告知了作者，在对其研究结果进行审查后，他们已停止支持使用 “最近拨打的号码” 来进行客户身份验证。
通过 SIM 交换攻击来盗取比特币
SIM 交换攻击已经进行了很多年。许多 SIM 交换攻击的目标可以归为以下两个类别：拥有珍贵社交媒体帐户的名人，例如 Twitter 的首席执行官 Jack Dorsey；或者拥有不菲数量加密货币的持有者。去年，在比特币牛市鼎盛时期，几位加密货币持有者都遭遇了 SIM 交换攻击。
2019 年 12 月，加密货币专栏记者和播客主 Laura Shin 发布了一个播客，其中讲述了她作为最近的 SIM 交换攻击受害者的经历。 Shin 的账号并未遭受财产损失，但她的经历值得注意，因为据她透露，尽管她之前曾在 2016 年报道过该主题，并在几年中一直积极保护自己的账号，但是她的账号仍然很脆弱。
最终，使比特币持有者比起其他人更容易成为 SIM 交换攻击目标的原因是，比特币交易记录在区块链上，因此它们不能被撤销。与其他的线上帐户不同，当局想要抓住盗取比特币的人要困难得多（尽管可以通过区块链分析来追踪被盗的币）。
此外，与大多数在线银行账户不同，只有少数加密货币交易所（如 Coinbase、Gemini、ItBit 和 Binance）由 FDIC 保险提供担保，该保险为会员银行中的存款提供最高 25 万美元的保险。当将比特币的价值视为一种去中心化的、不变的资产时，这是很合理的。但是，这也意味着安全永远不应被视为一种理所当然的服务。
正义之轮
高净值加密货币所有者都熟知此事，比如 Michael Terpin，他是一名企业家，与他人共同创立了首个针对比特币爱好者的天使基金——Bitangels 基金。
Terpin 在接受《比特币杂志》采访时谈到：“正义之轮转得很慢。”
在 Terpin 案中，大法官卷入了他于 2018 年 8 月针对 AT＆T 进行的 2.24 亿美元的诉讼中。有组织的黑客进行了两次攻击，交换了 Terpin 的 T-Mobile 和 AT＆T 手机帐户的 SIM 卡。据 Terpin 称，第一次攻击时，一群攻击者“在一个小时内欺骗了波士顿这两家运营商营业厅中的员工，使运营商更换了我的 SIM 卡，让攻击者接管了我的认证凭证。”
在进行了 SIM 卡交换之后，黑客在 Terpin 开设的数字货币交易所帐户中盗取了半个多比特币，“当时比特币的价格大约是 100 美元。”
在第一次遭遇 SIM 交换攻击之后，Terpin 要求这两个运营商提供更高的安全性。于是，AT＆T 和 T-Mobile 各自提供了“高级配置保护选项”。但是，正如 Terpin 声称的那样，在 2018 年 1 月，T-Mobile 的“店内验证才能换卡服务”和 AT＆T 提供的的“六位数帐号密码服务”都被证明是毫无作用的。新泽西州 AT＆T 营业厅的一名 19 岁员工在接受了 100 美金的贿赂之后，向攻击者透露了 Terpin 的帐户密码。
最终，这波攻击者盗取了价值 2400 万美元的山寨币。
“是的，” Terpin 说，“那些攻击者们拿到的都是些垃圾币，但是恰好那天那些垃圾币的价格都很高。”
与比特币不同，Turpin 被盗的山寨币（TRIG，SKY 和 STEAM）都没有支持的硬件钱包来备份他的私钥。
即便距离 Terpin 的上一次遭遇 SIM 交换攻击已经过去两年多了，Terpin 说，每周都有新的 SIM 交换攻击的受害者联系他寻求帮助。如果这些受害者是美国人，Terpin 就会把他的法律团队介绍给他们，或者让他们去联系加州的 REACT 行动小组。
年轻的攻击者们
Terpin 还参与了针对 Nicholas Truglia 的民事诉讼，Nicholas Truglia 是一名 21 岁的纽约居民，被指控通过 SIM 卡交换攻击窃取了 2400 万美元。Truglia 最初被指控从 Ross White 的账号窃取了价值 100 万美元的加密货币，Ross White 是一名硅谷高管，创立了 StopSIMCrime.org（译者注，该网站致力于阻止 SIM 卡犯罪）。
Terpin 声称，根据 Truglia 在其他 SIM 卡欺诈保释听证会上的证据（一个 iCloud 备份文件）表明，Truglia 可能也是窃取他 2400 万美元案件背后的 SIM 卡交换攻击者。在 Terpin 遭遇攻击的同一天，Truglia 向他的家人和朋友们发送了一封邮件，他写道，他从数字钱包中窃取了价值超过 2000 万美元的加密货币，并且已经将其转换为比特币。他在邮件中说，他的生活彻底改变了。尽管调查仍在进行中，但 Terpin 声称，Truglia 是由 26 人组成的无中心 SIM 卡交换攻击小组的成员之一。
调查记者 Brian Krebs 将 Truglia 的案子与其他几起 SIM 卡交换案件所逮捕、指控以及宣判的对象结合起来，对这些人物进行了详细描述。根据 Krebs 的描述，这些犯罪者都是男性，年龄普遍在 25 岁以下。
2020 年 1 月，一份报告指出，一名 18 岁的加拿大居民 Samy Bensaci 未能成功攻击 Don Tapscott 的 SIM 卡，后者是区块链研究小组的负责人。这个案例将加密货币社区中的许多 SIM 攻击目标与其在纽约市举行的年度共识会议的出席者联系起来了。它还证实了 Krebs 的报告，该报告中将 SIM 盗窃行为的目标与一个名为 OGUsers.com 的论坛中的用户联系在了一起。
比特币和隐私专家 Matt Odell 称：“我认为，每个人总是对年轻一代采用的新技术感到措手不及。” Matt Odell 参与过多个项目，其中包括共同主持《密界奇谈（Tales From the Crypt）》播客。
就像比特币本身被大规模使用一样，比特币和相关的 SIM 卡 交换盗窃手段似乎是一种由年轻一代发起的、剥削较原始系统的受害者的现象。
放弃便利，选择安全
Webroot 的安全分析师 Tyler Moffitt 表示：“法律总是落后于新技术的创造。”他的这一番言论指的是比特币持有者正处于由于其无线运营商造成的危险境地。“我并不觉得在未来五年内会出现更严格的无线运营商消费者保护法，恐怕到那时候，黑客已经通过基于 SIM 交换攻击来盗取了大量加密货币，从而赚到了一大笔钱。”
许多人在便利性和安全性时都会选择便利性，Moffitt 也是其中之一。这正是无线运营商账户的设计理念和整个美国社会的运行方式。
但是有人开始发声了。 2020 年 1 月 9 日，六位美国议员签署了一封联名信，这封信是致美国联邦通信委员会（FCC）主席 Ajit Pai 的一封信，Ajit Pai 曾担任 Verizon 的总顾问。该信提倡加强针对无线运营商客户的 SIM 交换欺诈保护，并且信中还指出，据 REACT 行动工作组就 SIM 交换造成的总损失的调查声明称：“他们了解到全国有 3000 多名遭受 SIM 交换攻击的受害者，造成了总计 7000 万美元的损失。
这封信还提到了，针对 SIM 卡交换黑客行为的指控变得更加复杂的问题。目前，攻击者还可以通过欺骗或强迫运营商员工在其计算机上以远程桌面协议的形式运行恶意软件，从而直接入侵无线运营商的计算机中，而不仅仅是通过行贿的手段。
信中问道：“您是否看到过类似的入侵无线运营商的报道，包括对营业厅的计算机以及客户服务代理商的计算机进行入侵的报道？”
让该问题更进一步的是，立法者们和这封信的作者们意识到，SIM 卡交换攻击对国家安全构成了非常现实的威胁。据称，许多政府机构员工都在使用不同级别的 2FA 认证手段。假设一群有组织的黑客或某些国家的民族主义者可以通过该手段访问政府官员的电子邮件帐户，然后利用了该访问权限进行了严重的破坏行为，例如从联邦紧急事务管理局的系统中发出虚假的紧急警报。
Terpin 在 2019 年秋季向 FCC 也发了一封类似的信，其中包含更具体的请求。
他写道：“我建议 FCC 让所有美国运营商都要使用密码。”
这是无线运营商的核心安全策略的失败之处，与银行、航空公司和酒店不同，无线运营商判断无线帐户的访问权限不是完全基于密码的，运营商员工也可以获知用户的无线帐户密码。这一设计主要是为了在客户摔坏或丢失手机，然后急需使用无线账号时，为客户提供便利服务。然而，鉴于许多运营商营业厅，甚至以最大运营商名称冠名的营业厅，实际上都是第三方运营的店，因此这种核心安全漏洞则显得更加严峻。
硬件安全公司 Yubico 的首席产品官 Guido Appenzeller 说：“不仅仅是电信公司的员工，每个第三方营业厅的雇员都可以访问这些数据库。”Yubico 是发明著名的 YubiKey 的公司。
除了在某些地区，第三方运营商的员工最低时薪每小时低至 10 美元，基于这一情况，其实不难理解，为什么这些运营商的雇员会以每个账号 100 美元的价格泄露用户的账号密码。
保护自己不受 SIM 交换攻击应是比特币安全的一部分
比特币文化从一开始就达成了一个共识，那就是：要获得真正的自由就意味着，自己要为自己的个人身份、资产以及技术负责。比特币圈子的人们通常不会为了便利性而牺牲隐私性和安全性，但是人们会因为可以从交易以及借贷服务中牟利而牺牲它们。总体而言，造成的损失越多，提升比特币安全性的动力也就越强。但是不要以为你的币不多就不会成为被攻击的对象。
比特币与传统业务之间的差异是无线运营商未针对比特币用户进行优化的原因之一。大多数的用户并不会成为 SIM 交换攻击的目标。但是，根据 Appenzeller 的说法，如果有人“号称有价值超过 10,000 美元的比特币钱包，使用 SIM 交换进行攻击无疑在经济上对黑客具有很强的吸引力”。
还有一些更复杂、更容易成功的恶意攻击案例，它们绕过了基于应用程序的 2FA 验证，因此都无需使用 SIM 交换攻击。这些攻击手段包括使用冒名的钓鱼网站（例如上次 Binance 黑客攻击中所使用的钓鱼网站）或者使用危害更大的 DNS 劫持或 DNS 污染行为（例如海龟行动），但是这种攻击手段通常都是由其他国家从事间谍活动的攻击者发起的。
好消息是，技术上已经可以防止 SIM 交换攻击和更复杂的网络钓鱼攻击。大众消费者市场上最强大的 2FA 方法是 U2F，即利用 USB 进行两因素身份验证。Appenzeller 表示，使用 U2F 可以消除基于 SIM 卡进行攻击的风险，并消除了“网络钓鱼和其他中间人攻击以及其他恶意软件攻击等攻击方式”。
Appenzeller 的公司 Yubico 与 Google 共同创造了 U2F，并在其旗舰产品 YubiKey 进行了应用。这样，YubiKey 相当于一个 2FA 验证的硬件钱包。截止撰写本文时，还没有一个使用该产品的用户遭受 SIM 交换的相关攻击。
如何避免 SIM 交换攻击
为了编纂本文，我们与几位安全专家和比特币社区的成员进行了交流。根据这些信息，列出了以下避免遭受 SIM 卡交换攻击的“要做”和“不要做”的列表：
对于初学者以及普通的比特币用户
要将比特币保存在硬件钱包中，不要使用基于手机的 2FA 认证。
“要使用硬件设备以及多重签名机制来保护你的私钥；要使用基于硬件的 2FA 验证设备来访问 Web 应用；不要使用短信 2FA 验证方式；不要启用能够通过手机号码重置或找回账号的服务”
—— Jameson Lopp，Bitcoin Core 的工程师
如果您不交易比特币，请不要将比特币保留在交易所账号中。请参阅此交易所清单，其中涵盖了因黑客攻击以及其他恶意行为而导致用户损失的交易所。
与您的电信运营商联系，加强其服务的安全性，并使用基于应用程序的身份验证器，比如 Google 的身份验证器或者 Authy。
—— Tyler Moffit
对于使用手机帐户共享身份的用户（我们绝大多数人）
重新检查您的电信运营商和其他在线帐户的安全策略。您可以尝试入侵自己的帐户来进行测试。 可以从 Twofactorauth.org 开始。
从长远来看，我认为真正的问题是为什么我们仍然使用电话号码？检查您是否安全的最简单方法是尝试使用您的电话号码进入所有帐户，如果可以的话，您可能就会遇到 SIM 卡交换漏洞。
—— Matt Odell
对于那些认为仅使用硬件钱包就能保证比特币安全的用户
将密码管理器和您的比特币钱包结合起来使用。定期测试您的程序，尽管这一程序十分简单。
“我就正在使用密码管理器，这是一个很棒的实践。每个和我共事的人都在使用密码管理器。”Guido Appenzeller 说道。
“就密码管理器或者密钥管理器而言，我使用了一个支持多个加密 USB 备份的可靠密码管理器。一旦我离开家，我总是带一份备份出门。我的大部分数字资产都放在硬件钱包上，然后我会在 Bitcoin Core 开发的钱包中存入适量的钱，这笔钱用来为我的 Casa、移动应用、闪电支付、测试阶段的客户端等提供支付资金。”
—— Guy Swann，播客 Cryptoconomy 的主播
对于既希望对消费者友好，又希望获得最高安全性的用户
去买一个 YubiKey 吧，它真的不算贵。
“多买几个 YubiKey 吧（用于冗余），并尽可能将其用于 2FA 认证。许多密码管理器都支持 YubiKey 2FA 认证。现在许多 Web 应用程序都支持 U2F 2FA，新款的 YubiKeys 也支持。如果网络应用仅支持 TOTP（基于时间的一次性密码），您仍然可以使用 Yubico 身份验证器将数据安全地保存在 YubiKey 上。”
—— Jameson Lopp
对于希望抵御更复杂攻击的用户
将敏感帐户网页加入浏览器的书签。
“Binance 被攻击是基于应用程序的 2FA 认证何时可能失去其安全性的一个很好的例子。在这个案例下，用户在 Google 的搜索结果中找到 Binance 并选择打开了排名第一的网页，然而这是一个钓鱼网站。该网站通过一天的付费促销竞价排名活动把自己的网页推到了 Google 搜索的顶部。您应该把敏感网页添加到浏览器的书签中，因为黑客很可能会尝试伪造这些网页。”
—— Tyler Moffitt
积极改善你的 OPSEC（操作安全）
为“SIM 卡交换”或“黑客”和“法院诉讼”设置 Google 警报。
对于（守法）公民，很难将 OPSEC 视为一种重要的事物。在现实世界中，永远不乏好的 OPSEC 以及糟糕的 OPSEC 的例子。很多案例都是从详细描述犯罪组织的法庭文件中提取出来的。也有其他优秀的例子，它们通常来自于情报机构或者军事领域，而这不太适用于普通人。
—— @5auth，数字货币市场以及暗网市场研究员
有关如何保护您的比特币免受 SIM 交换攻击以及如果发生意外时如何处理的更多信息，请参阅《SIM 交换攻击圣经》。SIM 交换以及其他类型的攻击通常发生在比特币的牛市时期。
延伸阅读：
分布式云行业实践指南（2023）
业内首个分布式云行业实践方法论、工具箱。
评论