Паролевые игры: из криптофонда утекло 10 тыс. записей о россиянах

В Сеть утекла база данных с информацией о клиентах международного криптовалютного фонда Trident Crypto Fund, в которой содержится около 10 тыс. записей о россиянах, сообщил "Известиям" технический директор DeviceLock Ашот Оганесян.

По его словам, это крупнейшая утечка данных о криптовкладчиках из РФ. В базе содержатся электронные почты и пароли клиентов, с помощью которых мошенники могут зайти в личный кабинет и вывести вложенные деньги на свои электронные кошельки.

Криптосливатели

В свободном доступе оказалась база с информацией о 266 тыс. пользователей криптовалютного фонда Trident Crypto Fund — ее можно скачать по ссылке в нескольких файлообменниках, пояснил "Известиям" Ашот Оганесян. Данные, по его словам, выгружены в 20-х числах февраля 2020 года — сделать это позволила уязвимость на сайте фонда, информацию о которой также разместили в Сети.

"Известия" ознакомились с базой. В ней содержатся адреса электронной почты, пароли в зашифрованном виде, имена и фамилии пользователей, мобильные телефоны (лишь в 3 тыс. записей), страны проживания и IP-адреса. Более 9,8 тыс. записей принадлежат клиентам из России

Уже во вторник, 3 марта, в интернете появилась расшифровка половины содержащихся в базе паролей (120 тыс.), сообщил Ашот Оганесян. Он подчеркнул, что более 90% пар логин–пароль оказались уникальными и никогда ранее не встречались в утечках.

"Известиям" удалось дозвониться до одного из пользователей, информация о котором содержится в базе. Он подтвердил, что регистрировался на сайте Trident Crypto Fund для участия в обучающем семинаре, но деньги не вкладывал. Он также сказал, что администрация сайта не предупредила его о возможной компрометации паролей для входа в личный кабинет.

По информации на сайте фонда, Trident Crypto Fund действует по принципу управляющей компании. В личном кабинете можно внести на счет деньги, которые будут вложены в топ-10 базовых криптоактивов с самой высокой рыночной капитализацией, сказано на портале. Там отмечается, что инвестиции через Trident имеют высокую отдачу — индекс фонда вырос на 1400% в 2017 году, тогда как биткоин в этот период подорожал только на 800%.

"Известия" направили в криптофонд (по общей форме на сайте) и в техподдержку портала запрос о том, как база могла оказаться в открытом доступе и как планируется защищать клиентов от потенциальных мошенников. В Роскомнадзоре в ответ на запрос "Известий" сообщили, что будут подавать иск в отношении владельца сайта по факту распространения персональных данных.

— Утечки и различные атаки на криптовалютные обменники, биржи и фонды происходят достаточно часто. Возможно, среди раскрытых данных уже присутствовали сведения о гражданах нашей страны. Однако раньше отдельно их никто не учитывал, и эти 10 тыс. записей из Trident Crypto Fund можно назвать первой крупной утечкой информации о криптовалютных вкладчиках-россиянах, — рассказал Ашот Оганесян.

По его словам, используемый Trident Crypto Fund алгоритм шифрования довольно старый, поэтому раскрыть пароли удалось сравнительно быстро.

Вывести деньги

Получив доступ к личному кабинету пользователя, злоумышленник может попытаться вывести криптовалюту, например, в другой электронный кошелек, пояснил Ашот Оганесян. Он добавил, что в ряде случаев для этого требуется двухфакторная авторизация, но и ее часто можно обойти с помощью, например, социальной инженерии или троянских программ.

Более 200 тыс. скомпрометированных записей делают эту утечку в целом рядовой на фоне новостей о "сливах" миллионов данных, считает генеральный директор IT-компании Brizo Дмитрий Иваночек. С другой стороны, речь идет о доступе к финансовому инструменту, пусть и не в классическом формате, а это может быть гораздо болезненнее, чем раскрытый номер телефона или доступ к социальной сети. Так злоумышленник может напрямую увести деньги, подтвердил он.

Криптовалютные вкладчики не всегда оперируют крупными суммами: хотя один биткоин стоит более $8 тыс. (свыше 500 тыс. рублей), он делится на "сатоши", каждая из которых оценивается менее чем в копейку, пояснил руководитель аналитического центра компании по кибербезопасности Zecurion Владимир Ульянов. Тем не менее во многих фондах есть минимальный порог для инвестиций, чтобы исключить случайных вкладчиков, знает он.

— В 2017 году, когда был всплеск интереса к криптовалютам, граждане зачастую даже брали кредит, чтобы вложиться в этот актив. Однако сейчас участники криптофондов и бирж инвестируют туда для диверсификации активов и держат небольшие суммы, поскольку рынок высоко волатилен, — отметил Владимир Ульянов.

По его словам, на некоторых порталах существуют ограничения на вывод средств — их можно получить только на те счета, с которых перечислялись деньги. Но процедуру привязки нового кошелька обычно легко провести, если есть доступ к личному кабинету, отметил эксперт.

Существует порядка 900 криптовалютных фондов, и тот, из которого произошла утечка, не входит в топ-20, говорит эксперт Академии управления финансами и инвестициями Алексей Кричевский. Он добавил, что инфраструктура как сайтов, так и защиты криптовалютных фондов проще, чем, например, банков и других финансовых компаний. Поэтому в дальнейшем можно ожидать новых утечек.