По мнению экспертов по кибербезопасности, большинство взломов криптоактивов в наступающем году произойдёт не из-за уязвимостей в коде протоколов, а по вине самих пользователей. 2025 год наглядно показал, что злоумышленники всё реже «взламывают двери» и всё чаще добиваются, чтобы им «их открыли».
«Атакующие не взламывают системы, их приглашают внутрь», — заявил Cointelegraph Ник Перкоко, директор по безопасности криптобиржи Kraken.
Данные Chainalysis свидетельствуют: с января по начало декабря 2025 года в индустрии было похищено более $3,4 млрд. Почти половина этой суммы пришлась на компрометацию Bybit в феврале, когда злоумышленники, используя социальную инженерию, внедрили вредоносный JavaScript-код и перенаправили средства.
Что такое социальная инженерия и почему она так опасна?
Социальная инженерия — это метод кибератаки, основанный на манипуляции людьми с целью получения конфиденциальной информации или совершения действий, нарушающих безопасность.
«Битва за безопасность в криптосфере теперь происходит не в киберпространстве, а в сознании, — считает Перкоко. — Речь уже не о том, чтобы построить более высокие стены, а о том, чтобы научить свой разум распознавать манипуляции. Цель проста: не отдавать ключи от замка только потому, что кто-то говорит, будто имеет на это право, или пытается посеять панику».
Совет 1: Автоматизируйте процессы
Перкоко также указывает на проблему компрометации цепочек поставок, сравнивая её с башней из кубиков Дженга, где важна целостность каждого блока. Он рекомендует сокращать количество точек, где требуется человеческое доверие: автоматизировать защиту там, где это возможно, и проверять каждое цифровое взаимодействие через аутентификацию.
«Будущее безопасности в криптосфере будет определяться более умной верификацией личности и обнаружением угроз на основе ИИ. Мы вступаем в эру, когда системы смогут распознавать аномальное поведение раньше, чем это сделает пользователь или даже обученный аналитик», — отметил эксперт.
Совет 2: Разделяйте инфраструктуру
Лиза, руководитель отдела безопасности SlowMist, отмечает, что в 2025 году злоумышленники активно атаковали экосистемы разработчиков. Утечки облачных учётных данных создавали возможности для внедрения вредоносного кода и кражи секретов.
«В 2026 году самые серьёзные угрозы, вероятно, будут исходить от всё более изощрённых операций по краже учётных данных и социальной инженерии, — прогнозирует она. — Злоумышленники уже используют ИИ-дипфейки, целевой фишинг и даже фейковые тестовые задания для разработчиков, чтобы получить ключи кошельков или токены доступа».
Для защиты она советует организациям внедрять строгий контроль доступа, сегментацию инфраструктуры и мониторинг аномалий. Частным пользователям стоит полагаться на аппаратные кошельки, избегать взаимодействия с непроверенными файлами и перепроверять личность собеседника по независимым каналам.
Совет 3: Используйте «доказательство личности» против дипфейков
Стивен Уолброэл, сооснователь и технический директор компании по блокчейн-безопасности Halborn, предупреждает, что социальная инженерия, усиленная ИИ, займёт важное место в арсенале хакеров. В марте 2025 года как минимум трое основателей криптопроектов сообщили о попытках кражи данных через фейковые Zoom-звонки с дипфейками, предположительно, от северокорейских хакеров.
Для противодействия он предлагает внедрять криптографическое «доказательство личности» для критически важных коммуникаций, аппаратную аутентификацию с привязкой к биометрии и системы обнаружения аномалий в транзакциях.
Совет 4: Не афишируйте своё критобогатство
Физические атаки на владельцев криптовалют («атаки гаечным ключом») также стали заметным трендом 2025 года. Согласно списку на GitHub, который ведёт биткоин-ветеран Джеймсон Лопп, в этом году было зафиксировано не менее 65 таких инцидентов, что почти вдвое превышает пик бычьего рынка 2021 года (36 атак).
Бывший офицер ЦРУ под псевдонимом Beau отметил в X, что такие атаки всё ещё относительно редки, но рекомендует не обсуждать своё богатство и криптохолдинги в сети. Также он советует использовать инструменты для очистки личных данных в интернете и инвестировать в домашние системы безопасности.
Совет 5: Не пренебрегайте проверенными методами безопасности
Дэвид Швед, бывший директор по информационной безопасности Robinhood, призывает пользоваться услугами только проверенных компаний с регулярными сторонними аудитами. Независимо от технологий, его ключевые рекомендации таковы:
- Никогда не используйте один пароль для разных аккаунтов.
- Используйте аппаратный токен для многофакторной аутентификации.
- Надёжно шифруйте сид-фразу или храните её офлайн в безопасном месте.
- Используйте аппаратный кошелёк для значительных сумм и минимизируйте активы на биржах.
- Всегда внимательно проверяйте данные транзакции на экране аппаратного кошелька перед подписанием.
Эксперт из SlowMist Лиза добавляет: используйте только официальное ПО, избегайте непроверенных ссылок и распределяйте средства между «горячими», «тёплыми» и «холодными» кошельками.
Ник Перкоко из Kraken резюмирует: лучшая защита — «радикальный скептицизм». Всегда проверяйте подлинность сообщений и помните, что ни одна легитимная компания никогда не попросит у вас сид-фразу или логин с паролем. «В тот момент, когда это происходит, вы общаетесь с мошенником», — заключил он.
Пока нет обсуждений.