I watched hackers drain $45,000 from my wallets — what I did wrong and what crypto must get right

DL News · 2024-06-07T09:17:52.000Z

At midday on May 13, there was $45,000 worth of tokens in my MetaMask crypto wallets. One hour later, it was all gone. Sitting at my desk in my home in Lagos, Nigeria, I stared blankly at my computer screen, struggling to register the impact of what had happened. On multiple open browser tabs on my computer, I could see several outgoing crypto transactions from my wallet to unfamiliar addresses. I was confused. I looked at the timestamps displayed on several of the transactions, and I knew I could not have initiated them. That’s because I had been busy working on a different computer for three hours. My shock soon gave way to dismay as I realised I’d somehow been hacked. But how? Pain and guilt I’ve been a crypto reporter for seven years, and in that time I’ve covered many cases of token owners losing their funds to hackers. Now, the same thing had just happened to me. I felt pangs of pain and guilt as I remembered that the bulk of the funds belonged not to me but to my family. They began amassing these crypto tokens — Ether, Tether’s USDT stablecoin, and Jasmy, an altcoin — in 2020 after the Covid-19 lockdowns sparked economic volatility. As the resident expert in the family, it had fallen to me to take care of their assets, to keep them safe. I was their crypto custodian and my record was unblemished. Until now. As painful as the theft was, it was nothing compared to the anguish I felt as I informed my family about what had happened. The grief I saw etched on their faces reminded me of my late father’s passing in 2017. My ordeal casts the transparency of public blockchains in a different light. In a few computer strokes, I can see my stolen crypto in someone else’s wallet, and yet I can’t recover my assets. It is a macabre reminder of my ordeal. The reality is that a similar fate has befallen many crypto users ranging from professionals to novices. ‘It’s easy to lose your crypto if you make a mistake. In my case, it all started with a game.’ Billionaire Mark Cuban lost $870,000 to a hacker last year after he said he downloaded a MetaMask wallet “with some shit in it.” In 2023, crypto investors lost $1.7 billion to thieves, according to Chainalysis, the blockchain forensics company. It’s easy to lose your crypto if you make a mistake such as downloading tainted software that exposes your wallet details. Sometimes, you can lose your funds if a watchful hacker poisons your wallet address by creating a fake wallet that closely matches the victim’s. In my case, it all started with a game. Keylogger I had promised to help a younger relative of mine download a game called “Dave The Driver.” He grew impatient and tried to do it himself. The problem was he used the computer with the browser wallet that held my family’s crypto assets. He downloaded a version of the game embedded with malware and it immediately infected my laptop. The malware probably installed a keylogger — a programme that records keystrokes — and exposed my MetaMask wallet details, which allowed the hacker to syphon out the crypto. Many online wallets, including MetaMask, don’t use proven safeguards to prevent theft, such as fraud alerts and two-factor authentication. If this was an account at my bank, I’d would have received a fraud alert as soon as the first transaction was initiated. The bank would have paused the transaction and given me enough time to confirm whether I had indeed initiated the fund transfer. Virtually no such preventive features exist for crypto wallets. Staked funds safe Indeed, the one warning I received from from a centralised exchange where I held some tokens. The hacker was apparently trying to access my assets and the exchange asked them for a two-factor authentication code. That attempt was unsuccessful and I managed to hold on to those assets, but it was a small amount. Still, here was a situation where two-factor authentication, or 2FA, worked nicely. The hacker also tried to steal funds from other wallets I used that had staked crypto but they were unsuccessful. ‘Unless the hacker forgets, I’d be in a race with the thief to secure those staked assets in a new wallet.’ That’s because blockchains like Cosmos typically require users to wait 14 to 21 days to withdraw staked assets after they are unstaked. The hacker initiated the unstaking process, but was unable to transfer the tokens to their wallet. I’ve since restaked those crypto tokens, but that hardly solves the problem. (Staking is a process of permitting your tokens to be used in validating transactions on a blockchain network.) Unless the hacker forgets about my assets, I’ll be in a race with the thief to secure those staked assets in a new wallet when they become available for withdrawal, but that’s a problem for another day. As for the immediate fallout, I am grateful my family didn’t blame me or my young relative for exposing their assets. Reflecting on the stories I had written about similar cases, I realised I hadn’t given much thought to the families of people who’d lost crypto funds to hackers. My focus had been on explaining how the hacks happened, where the funds went and possible recovery efforts. I can see the assets What was especially frustrating was the fact I can still see my stolen assets three weeks after the crime. The bulk of the stolen crypto sits in the two addresses belonging to the hacker. They can be seen here and here. In any event, I contacted a blockchain security firm to try to block the hacker from being able to trade the stolen crypto for cash via a centralised exchange. They told me it would cost $2,000 for them to try and block the hacker’s wallet addresses. Recovering stolen crypto is usually a long process that involves law enforcement action and the cooperation of crypto exchanges. My family members decided it was better to absorb the loss. They were not enthused at the prospect of spending more money in pursuit of the hacker when the chances of recovery were slim to none. Better safeguards needed I’ve had time to reflect on what happened, and there are lessons to be learned from my experience. First, keep your computers that hold valuable crypto wallets away from little kids! On a more serious note, crypto wallets need better safeguards. If broad-based crypto adoption is the goal, then safely storing these digital assets needs to become simpler, especially for those who prefer self-custody. Self-custody comes with the expectation that the user is responsible for keeping their assets safe. But users need more help ― perhaps in the form of real-time alerts and two-factor authentication. There are smart contract solutions like Safe’s multi-signature wallet where more than one signer is required to complete a transaction. While multi-sig wallets help improve security, the individual signers must protect their keys ― again, with self-custody, the onus is on the user to ensure the security of the wallet. Multi-sig to the rescue? Assuming I’d set up a multi-sig arrangement with the compromised wallets, the hacker would have still been able to steal the funds. They would have used each compromised address to sign the transactions needed to move the funds. That process would have been slower, but they’d have gotten away with my family money. However, it’s poor practice to set up a multi-sig controlled by one entity. Ideally, each signer would have been a different family member whose wallets were on separate devices. And that’s what we’ve done. Some may point to the mistake of keeping the funds in an online wallet that is prone to hacking. Or say the tokens should have been safely ensconced in an offline wallet, such as the type offered by hardware wallet makers. That was the plan, albeit I’d been slow to make the move. And now I’ve been hit with a $45,000 lesson for my lethargy. Osato Avan-Nomayo is our Nigeria-based DeFi correspondent. He covers DeFi and tech. To share tips or information about stories, please contact him at osato@dlnews.com.

13. maija pusdienlaikā manos MetaMask kriptonauda makos bija žetoni 45 000 USD vērtībā.
Pēc stundas tas viss bija pazudis.
Sēžot pie rakstāmgalda savās mājās Lagosā, Nigērijā, es tukši skatījos savā datora ekrānā, cenšoties uztvert notikušā ietekmi.
Vairākās atvērtās pārlūkprogrammas cilnēs datorā es varēju redzēt vairākus izejošos kriptovalūtu darījumus no sava maka uz nepazīstamām adresēm.
ES biju apmulsis.
Es paskatījos uz vairāku darījumu laika zīmogiem un zināju, ka nevarēju tos uzsākt.
Tas ir tāpēc, ka trīs stundas biju aizņemts, strādājot pie cita datora.
Mans šoks drīz pārgāja satraukumā, jo es sapratu, ka esmu kaut kādā veidā uzlauzts. Bet kā?
Sāpes un vainas sajūta
Es esmu bijis kriptoreportieris septiņus gadus, un šajā laikā esmu apskatījis daudzus gadījumus, kad marķieru īpašnieki zaudējuši savus līdzekļus hakeriem.
Tagad tas pats bija noticis ar mani.
Es jutu sāpes un vainas apziņu, atceroties, ka lielākā daļa līdzekļu pieder nevis man, bet manai ģimenei.
Viņi sāka uzkrāt šos kriptogrāfijas marķierus — Ether, Tether USDT stabilo monētu un Jasmy, altkoinu — 2020. gadā pēc tam, kad Covid-19 bloķēšana izraisīja ekonomikas nestabilitāti.
Man kā ģimenes ekspertam bija jārūpējas par viņu īpašumiem, lai tie būtu drošībā. Es biju viņu kriptovalūtu glabātājs, un mans ieraksts bija nevainojams.
Līdz šim brīdim.
Lai arī cik sāpīga bija zādzība, tas nebija nekas, salīdzinot ar ciešanām, kuras es jutu, kad informēju savu ģimeni par notikušo.
Bēdas, ko redzēju iegravētas viņu sejās, man atgādināja par mana nelaiķa tēva aiziešanu 2017. gadā. Mans pārbaudījums parāda publisko blokķēžu caurspīdīgumu citā gaismā.
Dažu datora sitienu laikā es redzu savu nozagto kriptovalūtu kāda cita makā, taču es nevaru atgūt savus līdzekļus. Tas ir drausmīgs atgādinājums par manu pārbaudījumu.
Realitāte ir tāda, ka līdzīgs liktenis ir piemeklējis daudzus kriptovalūtu lietotājus, sākot no profesionāļiem līdz iesācējiem.
“Ir viegli pazaudēt savu kriptovalūtu, ja pieļaujat kļūdu. Manā gadījumā viss sākās ar spēli.
Miljardieris Marks Kubans pagājušajā gadā kādam hakeram zaudēja 870 000 USD pēc tam, kad viņš teica, ka lejupielādējis MetaMask maku, "kurā ir sūdi".
Saskaņā ar blokķēdes kriminālistikas uzņēmuma Chainalysis datiem 2023. gadā kriptovalūtu investori zagļiem zaudēja 1,7 miljardus USD.
Ir viegli pazaudēt kriptovalūtu, ja pieļaujat kļūdu, piemēram, lejupielādējat bojātu programmatūru, kas atklāj jūsu maka informāciju.
Dažreiz jūs varat zaudēt savus līdzekļus, ja uzmanīgs hakeris saindē jūsu maka adresi, izveidojot viltotu maku, kas ļoti atbilst upura maku.
Manā gadījumā viss sākās ar spēli.
Keylogger
Es biju apsolījis palīdzēt savam jaunākam radiniekam lejupielādēt spēli ar nosaukumu “Dave The Driver”.
Viņš kļuva nepacietīgs un mēģināja to izdarīt pats. Problēma bija tā, ka viņš izmantoja datoru ar pārlūkprogrammas maku, kurā bija manas ģimenes kriptovalūtas aktīvi.
Viņš lejupielādēja spēles versiju, kurā bija iegulta ļaunprātīga programmatūra, un tā nekavējoties inficēja manu klēpjdatoru.
Ļaunprātīga programmatūra, iespējams, instalēja taustiņu bloķētāju — programmu, kas reģistrē taustiņsitienus — un atklāja manu MetaMask maka informāciju, kas ļāva hakeram izsūknēt kriptovalūtu.
Daudzi tiešsaistes maki, tostarp MetaMask, neizmanto pārbaudītus aizsardzības līdzekļus, lai novērstu zādzību, piemēram, brīdinājumus par krāpšanu un divu faktoru autentifikāciju.
Ja tas būtu konts manā bankā, es būtu saņēmis brīdinājumu par krāpšanu, tiklīdz būtu uzsākts pirmais darījums.
Banka būtu apturējusi darījumu un devusi man pietiekami daudz laika, lai pārliecinātos, vai tiešām esmu sācis līdzekļu pārskaitījumu.
Kripto makiem šādas preventīvas funkcijas praktiski nepastāv.
Salikti līdzekļi droši
Patiešām, viens brīdinājums, ko saņēmu no centralizētas biržas, kurā man bija daži žetoni. Hakeris acīmredzot mēģināja piekļūt maniem īpašumiem, un birža viņiem prasīja divu faktoru autentifikācijas kodu.
Šis mēģinājums bija neveiksmīgs, un man izdevās noturēt šos līdzekļus, taču tā bija neliela summa. Tomēr šeit bija situācija, kad divu faktoru autentifikācija jeb 2FA darbojās labi.
Hakeris arī mēģināja nozagt līdzekļus no citiem manis izmantotajiem makiem, kuros bija iemaksātas kriptovalūtas, taču tas neizdevās.
"Ja vien hakeris neaizmirsīs, es sacenšoties ar zagli, lai nodrošinātu šos iemaksātos līdzekļus jaunā makā."
Tas ir tāpēc, ka blokķēdes, piemēram, Cosmos, lietotājiem parasti ir jāgaida 14–21 diena, lai izņemtu iemaksātos līdzekļus pēc tam, kad tie ir izņemti.
Hakeris uzsāka izņemšanas procesu, taču nevarēja pārsūtīt žetonus uz savu maku. Kopš tā laika esmu pārlicis šos kriptovalūtus, taču tas gandrīz neatrisina problēmu.
(Staking ir process, kurā tiek atļauts izmantot jūsu marķierus, lai apstiprinātu darījumus blokķēdes tīklā.)
Ja vien hakeris neaizmirsīs par maniem īpašumiem, es sacenšos ar zagli, lai nodrošinātu šos iemaksātos līdzekļus jaunā makā, kad tie būs pieejami izņemšanai, taču tā ir problēma kādu citu dienu.
Kas attiecas uz tūlītējām nokrišņiem, esmu pateicīgs, ka mana ģimene nav vainojusi mani vai manu jauno radinieku par savu īpašumu atklāšanu.
Pārdomājot stāstus, ko biju rakstījis par līdzīgiem gadījumiem, es sapratu, ka neesmu īpaši domājis par to cilvēku ģimenēm, kuri bija zaudējuši kriptovalūtu līdzekļus hakeriem.
Mana uzmanība tika pievērsta tam, lai izskaidrotu, kā notika uzlaušana, kur aizgāja līdzekļi un iespējamie atgūšanas pasākumi.
Es varu redzēt īpašumus
Īpaši nomākta bija fakts, ka es joprojām redzu savus nozagtos īpašumus trīs nedēļas pēc nozieguma.
Lielākā daļa nozagto kriptovalūtu atrodas abās adresēs, kas pieder hakeram. Tos var redzēt šeit un šeit.
Jebkurā gadījumā es sazinājos ar blokķēdes drošības firmu, lai mēģinātu bloķēt, lai hakeris nevarētu tirgot nozagto kriptovalūtu pret skaidru naudu, izmantojot centralizētu biržu.
Viņi man teica, ka tas maksās 2000 USD, lai mēģinātu bloķēt hakeru maka adreses.
Nozagtu kriptovalūtu atgūšana parasti ir ilgs process, kas ietver tiesībaizsardzības pasākumus un kriptovalūtu biržu sadarbību.
Mani ģimenes locekļi nolēma, ka labāk ir uzņemties zaudējumus.
Viņi nebija sajūsmā par iespēju tērēt vairāk naudas, lai vajātu hakeru, jo izredzes atgūties bija niecīgas.
Nepieciešami labāki aizsardzības līdzekļi
Man ir bijis laiks pārdomāt notikušo, un no manas pieredzes ir jāmācās.
Pirmkārt, turiet savus datorus, kuros ir vērtīgi kriptovalūtu maki, prom no maziem bērniem!
Runājot par nopietnāku piezīmi, kriptovalūtu makiem ir nepieciešama labāka aizsardzība.
Ja mērķis ir plaša mēroga kriptovalūtu ieviešana, tad šo digitālo līdzekļu drošai glabāšanai ir jākļūst vienkāršākai, jo īpaši tiem, kas dod priekšroku pašpārvaldībai.
Pašapgādībā ir paredzēts, ka lietotājs ir atbildīgs par savu aktīvu drošību.
Taču lietotājiem ir vajadzīga papildu palīdzība, iespējams, reāllaika brīdinājumu un divu faktoru autentifikācijas veidā.
Ir viedie līgumu risinājumi, piemēram, Safe vairāku parakstu maciņš, kur darījuma pabeigšanai ir nepieciešams vairāk nekā viens parakstītājs.
Lai gan vairāku parakstu maki palīdz uzlabot drošību, atsevišķiem parakstītājiem ir jāaizsargā savas atslēgas — atkal, izmantojot pašpārvaldi, lietotāja pienākums ir nodrošināt maka drošību.
Vairāki paraksti uz glābšanu?
Pieņemot, ka es būtu izveidojis vairāku parakstu vienošanos ar apdraudētajiem makiem, hakeris joprojām būtu varējis nozagt līdzekļus. Viņi būtu izmantojuši katru apdraudēto adresi, lai parakstītu darījumus, kas nepieciešami līdzekļu pārvietošanai.
Šis process būtu bijis lēnāks, bet viņi būtu tikuši prom ar manu ģimenes naudu.
Tomēr ir slikta prakse izveidot vairāku zīmi, ko kontrolē viena entītija.
Ideālā gadījumā katrs parakstītājs būtu bijis cits ģimenes loceklis, kura maki būtu atsevišķās ierīcēs.
Un tas ir tas, ko mēs esam izdarījuši.
Daži var norādīt uz kļūdu, glabājot līdzekļus tiešsaistes makā, kas ir pakļauts uzlaušanai. Vai arī sakiet, ka marķieriem vajadzēja būt droši ievietotiem bezsaistes makā, piemēram, tādā veidā, kādu piedāvā aparatūras maku ražotāji.
Tāds bija plāns, lai gan es to izdarīju lēni.
Un tagad man ir dota 45 000 USD nodarbība par manu letarģiju.
Osato Avan-Nomayo ir mūsu DeFi korespondents Nigērijā. Viņš aptver DeFi un tehnoloģiju. Lai dalītos ar padomiem vai informāciju par stāstiem, lūdzu, sazinieties ar viņu pa e-pastu osato@dlnews.com.

Apskati vairāk satura no autora

Jaunākās ziņas