SSO Módulo 4 - Reforçando a Segurança Online: Explorando o 2FA, suas Limitações e a Ameaça do SIM Swapping

Na web3, garantir medidas de segurança robustas é fundamental.

Uma dessas seguranças é a Autenticação de Dois Fatores (2FA), que adiciona uma camada extra de proteção às contas e transações dos usuários.

Neste curso, exploramos o funcionamento do 2FA na web3, examinamos suas limitações e esclarecemos a ameaça crescente do SIM swapping.

Entendendo o 2FA na Web3

A Autenticação de Dois Fatores é um mecanismo de segurança que exige que os usuários forneçam dois fatores de autenticação distintos para acessar uma conta.

O objetivo é proteger ao máximo seus fundos, reduzindo o risco de algo tão simples quanto um ladrão de senhas esvaziá-los num piscar de olhos.

Esses fatores de autenticação se dividem em três categorias:

1. Algo que Você Sabe: inclui uma senha, PIN ou perguntas de segurança.
2. Algo que Você Tem: um dispositivo físico, como um smartphone ou token de hardware, que gera códigos sensíveis ao tempo.
3. Algo que Você É: dados biométricos como impressões digitais ou reconhecimento facial.

No universo web3, a aplicação mais comum do 2FA envolve combinar uma senha (algo que você sabe) com um código sensível ao tempo gerado por um app de smartphone (algo que você tem).

Fonte: Swoopnow

Esse código dinâmico muda a cada poucos segundos, tornando extremamente difícil para os invasores obterem acesso não autorizado, mesmo que tenham conseguido obter a senha.

A 2FA é uma prática padrão em Exchanges Centralizadas (CEXs), um processo obrigatório tão importante quanto o KYC.

As CEXs costumam desenvolver seu próprio “autenticador”, como o Binance Authenticator, que permite acessar sua conta por meio de um QR code e uma chave de 16 dígitos.

Fonte: Binance

Limitações da 2FA

Apesar de sua eficácia, a 2FA tem certas limitações:

1. Ataques de phishing: Se os usuários forem induzidos a revelar suas credenciais por meio de sites ou e-mails falsos, a 2FA pode não impedir totalmente o acesso não autorizado.
2. Dependência de dispositivo: Depender de um único dispositivo para a 2FA pode criar um ponto único de falha. Perder o dispositivo ou enfrentar problemas técnicos pode bloquear o acesso dos usuários às suas contas.
3. Engenharia social: Atacantes habilidosos podem manipular representantes de atendimento ao cliente para transferir a 2FA de um usuário para um novo dispositivo, obtendo acesso não autorizado. A ameaça do SIM swapping

No espaço web3, o SIM swapping surgiu como uma ameaça significativa.

O SIM swapping envolve um agente malicioso convencendo a operadora móvel do usuário a transferir seu número de telefone para um novo SIM card sob o controle do atacante.

Uma vez conseguido isso, o atacante pode interceptar códigos 2FA enviados por SMS.

Fonte: SimSwapLaw

As implicações do SIM swapping no contexto da web3 são graves.

Se um atacante obtiver controle do número de telefone de uma vítima, ele pode potencialmente contornar o 2FA, obtendo acesso a carteiras de criptomoedas, dApps e outras contas sensíveis.

Isso resultou em perdas financeiras substanciais para muitas pessoas.

Em 2018, o investidor de criptomoedas Michael Terpin foi vítima de um ataque de SIM swap impressionante de US$ 23,8 milhões. Em outubro de 2021, a Coinbase revelou que criminosos cibernéticos haviam tomado criptomoedas ilicitamente de no mínimo 6.000 usuários como resultado de uma brecha em seu sistema 2FA, por meio de sim swapping.

“À medida que a popularidade da Web3 cresce e atrai mais pessoas para o setor, a probabilidade de ataques de SIM swapping também aumenta devido aos seus requisitos técnicos relativamente menores.” disse recentemente o CISO da empresa de segurança blockchain Slowmist ao CoinTelegraph.

Uma série de ataques de sim swapping no espaço cripto nas últimas semanas provou que essas palavras eram verdadeiras.

Desde junho de 2023, mais de 30+ projetos cripto foram alvo de ataques de SIM swap, que são usados para assumir o controle de contas do Twitter e publicar drenadores de carteira. Em um único ataque, pelo menos US$ 765 mil em NFTs foram roubados da conta do Twitter do Gutter Cat Gang foi hackeada por meio de sim swapping.

Fonte: Matt Medev, Co-Founder, CEO & EIC of NFT Now

Mitigando a Ameaça

Para combater os riscos associados ao SIM swapping e aumentar a segurança na web3, várias medidas podem ser tomadas:

1. Aplicativos Autenticadores: Usar aplicativos dedicados de 2FA como Google Authenticator ou Authy gera códigos offline, reduzindo a vulnerabilidade ao SIM swapping.
2. Se você não quiser usar um sistema autenticador além do seu número de telefone:

• Você deve, no mínimo, divulgar seu número de telefone ao menor número de pessoas possível e nunca em redes sociais, incluindo o Linkedin. Além de proteger dados pessoais como nome, endereço e data de nascimento, que podem ser usados para recuperar seu número de telefone.
• A melhor estratégia que você pode implementar é ter um chip dedicado exclusivamente à sua autenticação, cujo número de telefone correspondente não seja divulgado a ninguém além de você.

3. Tokens de hardware: dispositivos físicos como o YubiKey oferecem um meio físico de gerar códigos 2FA e são imunes à troca de SIM.

4. Carteiras Multi-Signature: O uso de carteiras multi-signature adiciona uma camada extra de segurança, exigindo vários dispositivos ou partes para autorizar transações.

5. 2FA de Transações: Na Nefture, desenvolvemos um sistema de 2FA para transações que alerta você sobre cada transação realizada, solicita sua validação e informa os potenciais riscos associados a ela.

Por meio de algoritmos avançados que monitoram transações e identificam riscos potenciais em tempo real, analisam padrões de transações, dados da blockchain e dados históricos para detectar anomalias, atividades fraudulentas e comportamentos suspeitos, o usuário é**** ****previamente alertado sobre os riscos envolvidos em cada transação que deseja realizar e pode tomar as ações adequadas em tempo real.

Em conclusão, embora o 2FA aumente consideravelmente a segurança no cenário web3, suas limitações e a ameaça iminente do SIM swapping não podem ser ignoradas.

Para garantir a máxima proteção, os usuários devem adotar boas práticas, como usar aplicativos autenticadores e tokens de hardware.

À medida que a web3 continua a evoluir, nossas medidas de segurança também devem evoluir para combater ameaças e vulnerabilidades emergentes.

Resumo

Parabéns! Você concluiu o Módulo 4 - Aprimorando a Segurança na Web3: Explorando o 2FA, suas Limitações e a Ameaça do SIM Swapping

Vamos revisar o que você aprendeu:

2FA na Web3: A Autenticação de Dois Fatores (2FA) é um método de segurança que usa dois fatores de verificação distintos para acessar a conta.

• Tipos:
• Conhecimento (ex.: senha)
• Posse (ex.: smartphone gerando códigos temporários)
• Inerência (ex.: impressões digitais).
• Aplicação: na web3, é comum usar uma senha combinada com um código dinâmico gerado pelo smartphone.

Exchanges Centralizadas (CEXs) e 2FA: As CEXs usam 2FA amplamente. Por exemplo, a Binance tem seu próprio “autenticador” usando um código QR e uma chave.

Limitações do 2FA:

• Vulnerável a ataques de phishing.
• Dependência do dispositivo: um dispositivo perdido ou com defeito pode bloquear o acesso dos usuários.
• Engenharia social: os atacantes podem contornar o 2FA por meio de táticas manipulativas.

Troca de SIM:

• Ameaça: os atacantes enganam as operadoras de celular para transferir o número de telefone da vítima, interceptando assim os códigos 2FA enviados por SMS.
• Impacto: contornar o 2FA permite acesso não autorizado a carteiras, dApps e contas sensíveis.
• Incidentes notáveis: US$ 23,8 milhões roubados do investidor Michael Terpin em 2018 e uma violação do sistema 2FA da Coinbase em 2021 que afetou 6.000 usuários.

Este artigo foi trazido a você por: