Módulo SSO 4 - Reforçar a segurança online: explorar a 2FA, as suas limitações e a ameaça da troca de SIM

Na web3, garantir medidas de segurança robustas é fundamental.

Uma dessas medidas de segurança é a autenticação de dois fatores (2FA), que acrescenta uma camada extra de proteção às contas e transações dos utilizadores.

Neste curso, aprofundamos o funcionamento da 2FA na web3, examinamos as suas limitações e esclarecemos a ameaça crescente da troca de SIM.

Compreender a 2FA na Web3

A autenticação de dois fatores é um mecanismo de segurança que exige que os utilizadores forneçam dois fatores de autenticação distintos para aceder a uma conta.

O objetivo é proteger ao máximo os seus fundos, reduzindo o risco de algo tão simples como um ladrão de palavras-passe os esvaziar num instante.

Estes fatores de autenticação dividem-se em três categorias:

1. Algo que sabe: inclui uma palavra-passe, PIN ou perguntas de segurança.
2. Algo que possui: um dispositivo físico, como um smartphone ou um token de hardware, que gera códigos sensíveis ao tempo.
3. Algo que é: dados biométricos como impressões digitais ou reconhecimento facial.

No universo web3, a aplicação mais comum da 2FA consiste em combinar uma palavra-passe (algo que sabe) com um código sensível ao tempo gerado por uma aplicação de smartphone (algo que possui).

Fonte: Swoopnow

Este código dinâmico muda a cada poucos segundos, tornando extremamente difícil para os atacantes obterem acesso não autorizado, mesmo que tenham conseguido obter a palavra-passe.

A 2FA é uma prática padrão nas Exchanges Centralizadas (CEXs), um processo obrigatório tão importante como o KYC.

As CEXs desenvolvem frequentemente o seu próprio "autenticador", como o Binance Authenticator, que permite aceder à sua conta através de um código QR e de uma chave de 16 dígitos.

Fonte: Binance

Limites da 2FA

Apesar da sua eficácia, a 2FA tem certas limitações:

1. Ataques de phishing: Se os utilizadores forem induzidos a revelar as suas credenciais através de sites ou e-mails falsos, a 2FA pode não impedir totalmente o acesso não autorizado.
2. Dependência do dispositivo: Depender de um único dispositivo para a 2FA pode criar um ponto único de falha. Perder o dispositivo ou ter problemas técnicos pode bloquear o acesso dos utilizadores às suas contas.
3. Engenharia social: Atacantes experientes podem manipular representantes do apoio ao cliente para transferir a 2FA de um utilizador para um novo dispositivo, obtendo acesso não autorizado. A ameaça da troca de SIM

No espaço web3, a troca de SIM emergiu como uma ameaça significativa.

A troca de SIM envolve um agente malicioso convencer a operadora móvel do utilizador a transferir o seu número de telefone para um novo cartão SIM sob o controlo do atacante.

Assim que isto for conseguido, o atacante pode intercetar códigos 2FA enviados por SMS.

Fonte: SimSwapLaw

As implicações da troca de SIM no contexto da web3 são graves.

Se um atacante obtiver controlo do número de telefone de uma vítima, pode potencialmente contornar a 2FA, obtendo acesso a carteiras de criptomoedas, dApps e outras contas sensíveis.

Isto resultou em perdas financeiras substanciais para muitas pessoas.

Em 2018, o investidor de criptomoedas Michael Terpin foi vítima de um ataque de troca de SIM no valor impressionante de 23,8 milhões de dólares. Em outubro de 2021, a Coinbase revelou que cibercriminosos tinham obtido ilicitamente criptomoedas de um mínimo de 6.000 utilizadores devido a uma falha no seu sistema 2FA, através de sim swapping.

“À medida que a popularidade da Web3 cresce e atrai mais pessoas para o setor, a probabilidade de ataques de sim swapping também aumenta devido aos seus requisitos técnicos relativamente mais baixos”, disse recentemente o CISO da empresa de segurança Blockchain Slowmist ao CoinTelegraph.

Uma série de ataques de sim swapping no espaço cripto nas últimas semanas provou que essas palavras eram verdadeiras.

Desde junho de 2023, mais de 30 projetos cripto foram alvo de ataques de SIM swap, que são usados para assumir o controlo de contas do Twitter e publicar drenadores de carteiras. Num único ataque, pelo menos $765K em NFTs foram roubados, a conta do Twitter da Gutter Cat Gang foi hackeada através de SIM swapping.

Fonte: Matt Medev, Co-Founder, CEO & EIC of NFT Now

Mitigar a ameaça

Para contrariar os riscos associados ao SIM swapping e reforçar a segurança na web3, podem ser tomadas várias medidas:

1. Aplicações autenticadoras: usar aplicações 2FA dedicadas como o Google Authenticator ou o Authy gera códigos offline, reduzindo a vulnerabilidade ao SIM swapping.
2. Se não quiser usar um sistema autenticador fora do seu número de telefone:

• Deve, no mínimo, divulgar o seu número de telefone ao menor número de pessoas possível e nunca nas redes sociais, incluindo o Linkedin. Proteja também dados pessoais como nome, morada e data de nascimento, que podem ser usados para obter o seu número de telefone.
• A melhor estratégia que pode implementar é ter um SIM dedicado exclusivamente à sua autenticação, cujo número de telefone correspondente não é divulgado a ninguém além de si.

3. Tokens de hardware: dispositivos físicos como o YubiKey proporcionam um meio físico de gerar códigos 2FA e são imunes à troca de SIM.

4. Carteiras multiassinatura: A utilização de carteiras multiassinatura acrescenta uma camada adicional de segurança, exigindo vários dispositivos ou partes para autorizar transações.

5. 2FA de transações: Na Nefture, desenvolvemos um sistema de 2FA de transações que te alerta sobre cada transação que efetuas, pede a tua validação e informa-te dos potenciais riscos associados.

Através de algoritmos avançados que monitorizam transações e identificam potenciais riscos em tempo real, analisa padrões de transações, dados da blockchain e dados históricos para detetar anomalias, atividades fraudulentas e comportamentos suspeitos, o utilizador é previamente alertado dos riscos envolvidos em cada transação que pretende realizar e pode tomar medidas adequadas em tempo real.

Em conclusão, embora o 2FA reforce consideravelmente a segurança no panorama web3, as suas limitações e a ameaça iminente de SIM swapping não podem ser ignoradas.

Para garantir a máxima proteção, os utilizadores devem adotar boas práticas, como usar aplicações autenticadoras e tokens de hardware.

À medida que a web3 continua a evoluir, também as nossas medidas de segurança têm de evoluir para contrariar ameaças e vulnerabilidades emergentes.

Resumo

Parabéns! Concluíste o Módulo 4 - Reforçar a segurança na Web3: Explorar o 2FA, as suas limitações e a ameaça do SIM swapping

Vamos rever o que aprendeste:

2FA na Web3: A autenticação de dois fatores (2FA) é um método de segurança que utiliza dois fatores de verificação distintos para aceder à conta.

• Tipos:
• Conhecimento (por exemplo, palavra-passe)
• Posse (por exemplo, smartphone que gera códigos temporários)
• Inerência (por exemplo, impressões digitais).
• Aplicação: na web3, é comum uma palavra-passe combinada com um código dinâmico gerado pelo smartphone.

Exchanges Centralizadas (CEXs) e 2FA: As CEXs usam 2FA amplamente. Por exemplo, a Binance tem o seu próprio “autenticador” que usa um código QR e uma chave.

Limitações do 2FA:

• Vulnerável a ataques de phishing.
• Dependência do dispositivo: um dispositivo perdido ou avariado pode bloquear o acesso aos utilizadores.
• Engenharia social: os atacantes podem contornar o 2FA através de táticas manipuladoras.

SIM Swapping:

• Ameaça: os atacantes enganam as operadoras móveis para transferir o número de telefone de uma vítima, intercetando assim os códigos 2FA enviados por SMS.
• Impacto: contornar a 2FA permite acesso não autorizado a carteiras, dApps e contas sensíveis.
• Incidentes notáveis: 23,8 milhões de dólares roubados ao investidor Michael Terpin em 2018 e uma violação do sistema 2FA da Coinbase em 2021 que afetou 6.000 utilizadores.

Este artigo foi-lhe trazido por: