SSO 模組 4－強化線上安全：探討 2FA、其限制與 SIM 卡交換的威脅

在 web3 中，確保穩健的安全措施至關重要。

其中一項安全措施是雙因素驗證（2FA），它為使用者帳戶與交易增添一層額外保護。

在本課程中，我們將深入探討 2FA 在 web3 中的運作方式、檢視其限制，並說明日益嚴重的 SIM 卡交換威脅。

瞭解 Web3 中的 2FA

雙重驗證是一種安全機制，要求使用者提供兩種不同的驗證因素才能存取帳戶。

其目的是盡可能保障你的資金安全，降低因密碼被竊取而在瞬間被盜空的風險。

這些驗證因素分為三類：

1. 你知道的資訊：包括密碼、PIN 或安全問題。
2. 你擁有的物品：實體裝置，例如智慧型手機或硬體權杖，可產生有時效性的驗證碼。
3. 你的生物特徵：指紋或臉部辨識等生物辨識資料。

在 web3 領域，最常見的雙重驗證應用方式是結合密碼（你知道的資訊）與智慧型手機應用程式產生的有時效性驗證碼（你擁有的物品）。

來源：Swoopnow

此動態驗證碼每隔幾秒就會變更，使攻擊者極難取得未經授權的存取權，即使他們已成功取得密碼。

2FA 是中心化交易所（CEX）的標準做法，是與 KYC 認證同等重要的必經流程。

CEX 經常開發自家的「驗證器」，例如 Binance Authenticator，讓你透過 QR 碼和 16 位數金鑰存取帳戶。

來源：Binance

2FA 的限制

儘管 2FA 相當有效，它確實仍有某些限制：

1. 網路釣魚攻擊： 若使用者受騙，透過假網站或電子郵件洩露憑證，雙重驗證（2FA）可能無法完全阻止未經授權的存取。
2. 裝置依賴： 僅依賴單一裝置進行雙重驗證（2FA）可能導致單點故障。遺失裝置或遇到技術問題，可能使用戶無法登入帳戶。
3. 社交工程： 熟練的攻擊者可能操縱客服人員，將使用者的雙重驗證（2FA）轉移至新裝置，從而取得未經授權的存取權限。 SIM 卡交換的威脅

在 web3 領域，SIM 卡交換已成為重大威脅。

SIM 卡交換是指惡意行為者說服使用者的行動電信業者，將其電話號碼轉移至由攻擊者控制的新 SIM 卡。

一旦達成此目的，攻擊者就能攔截透過 SMS 傳送的 2FA 驗證碼。

來源：SimSwapLaw

SIM 卡交換在 web3 情境下的影響十分嚴重。

如果攻擊者取得受害者手機號碼的控制權，他們可能得以繞過 2FA，進而存取加密貨幣錢包、dApp 及其他敏感帳戶。

這已對許多人造成重大財務損失。

2018 年，加密貨幣投資人 Michael Terpin 成為一起金額高達 2,380 萬美元的 SIM 卡交換攻擊受害者。2021 年 10 月，Coinbase 揭露 網路犯罪分子透過 SIM 卡交換攻擊，利用其 2FA 系統的漏洞，非法從至少 6,000 名使用者手中取得加密貨幣。

「隨著 Web3 日益普及並吸引更多人投入這個產業，由於 SIM 卡交換攻擊的技術門檻相對較低，此類攻擊發生的可能性也隨之增加。」區塊鏈安全公司 Slowmist 的 CISO 近日向 CoinTelegraph.

過去幾週加密領域發生的一連串 SIM 卡交換攻擊，證實了這番話所言不虛。

自 2023 年 6 月起， 超過 30 個加密專案 遭到 SIM 卡交換攻擊鎖定，此類攻擊被用來控制 Twitter 帳號並發布錢包盜取連結。在單一次攻擊中，至少有價值 765,000 美元的 NFT 被盜， Gutter Cat Gang 的 Twitter 帳號遭駭 透過 SIM 卡交換。

來源：Matt Medev，NFT Now 共同創辦人、執行長暨總編輯

降低威脅

為了因應 SIM 卡交換的相關風險並提升 web3 的安全性，可以採取以下幾項措施：

1. 驗證器應用程式：使用 Google Authenticator 或 Authy 等專用的 2FA 應用程式可離線產生驗證碼，降低遭受 SIM 卡交換攻擊的風險。
2. 如果你不想使用手機號碼以外的驗證器系統：

• 你至少應盡可能減少向他人透露手機號碼，且絕不要在社群媒體上公開，包括 LinkedIn。同時也要保護姓名、地址和出生日期等個人資料，因為這些資料可能被用來取得你的手機號碼。
• 你能採取的最佳策略是擁有一張專門用於驗證你身分的 SIM 卡，其對應的手機號碼只向你本人披露。

3. 硬體權杖：YubiKey 等硬體裝置提供產生 2FA 驗證碼的實體方式，且不受 SIM 卡交換攻擊影響。

4. 多重簽名錢包：採用多重簽名錢包可增加額外的安全層級，需要多個裝置或各方授權交易。

5. 交易雙重驗證：在 Nefture，我們開發了一套交易雙重驗證系統，會提醒您每一筆交易、要求您驗證，並告知與該交易相關的潛在風險。

透過先進演算法即時監控交易並識別潛在風險，分析交易模式、區塊鏈資料與歷史資料，以偵測異常、詐欺活動與可疑行為，讓使用者事先獲知其欲進行之每筆交易的相關風險，並能即時採取適當行動。

總結來說，雖然雙重驗證大幅提升了 web3 領域的安全性，但其限制與 SIM 卡交換的潛在威脅仍不容忽視。

為確保最大程度的保護，使用者必須採取最佳實務，例如使用驗證器應用程式與硬體權杖。

隨著 web3 持續演進，我們的安全措施也必須隨之演進，以因應新興的威脅與弱點。

摘要

恭喜！您已完成模組 4——強化 Web3 安全：探索雙重驗證、其限制與 SIM 卡交換的威脅

讓我們回顧你的學習內容：

Web3 中的 2FA： 雙因素驗證（2FA）是一種使用兩種不同驗證因素來存取帳戶的安全方法。

• 類型：
• 知識（例如密碼）
• 持有（例如產生時效性驗證碼的智慧型手機）
• 固有特徵（例如指紋）。
• 應用：在 web3 中，密碼結合智慧型手機產生的動態驗證碼很常見。

中心化交易所（CEX）與 2FA： CEX 廣泛使用 2FA。例如，Binance 有自己的「驗證器」，使用 QR 碼與金鑰。

2FA 限制：

• 易受網路釣魚攻擊。
• 裝置依賴：裝置遺失或故障可能導致使用者無法登入。
• 社交工程：攻擊者可能透過操縱手法繞過 2FA。

SIM 卡交換：

• 威脅：攻擊者欺騙電信業者轉移受害者的電話號碼，從而攔截透過 SMS 傳送的 2FA 驗證碼。
• 影響：繞過 2FA 可讓未經授權者存取錢包、dApp 和敏感帳戶。
• 重大事件：2018 年投資者 Michael Terpin 被盜 2,380 萬美元，以及 2021 年 Coinbase 的 2FA 系統遭入侵，影響 6,000 名使用者。

本文由以下單位提供：