作者：Sean Coonce / 譯：戴老板 / 來源： 白話區塊鏈學堂
上周三我丟失了價值10萬美元的加密貨幣。這筆錢在一天內就因為一次“SIM卡轉移攻擊”從我的Coinbase帳戶中消失了。這件事已經過去了四天，我整個人都非常沮喪。食不知味，夜不能寐，覺得自己被焦慮，懊悔和難堪的感覺浸沒。
這是我人生中最昂貴的一課，我想與盡可能多的人分享我從這次事件中得到的經驗教訓。希望借此提高大家對這類SIM卡攻擊的認識，從而加強你們在線身份的安全性。
另外，我從此次攻擊事件中得出的經驗教訓仍不太成熟（我還沒有把這件事情告訴我的家人），請大家口下留情，保留對本文所提出的仍顯幼稚的安全措施的評論。
攻擊的細節
你可能會先問一個問題，究竟什么是“SIM卡轉移攻擊”？為了講清楚攻擊發生的原由，需要大家先來看一下典型的在線身份驗證。對于大多數人來說，下面這張圖應該看起來很熟悉。
•我們手機里的SIM卡把手機號碼和手機綁定在了一起
•當我們忘記郵箱賬號的登錄密碼時，可以要求郵箱發送一個驗證碼給你的手 機，這個驗證碼會被用于恢復你的郵箱賬號
•我們的郵箱地址與許多在線服務綁定在了一起
授權的SIM轉移
允許用戶將SIM卡轉移到另一臺設備是移動運營商提供的一項服務。這項服務允許用戶將他們的電話號碼轉移到新設備上。在大多數情況下，當我們有了新手機或者要更換移動運營商時就會發生這種情況，這是完全合法的要求，
SIM卡轉移攻擊
但是，“SIM轉移攻擊”是由未經授權的攻擊者執行的惡意轉移。攻擊者把你的SIM卡轉移到他們控制的手機上。然后，攻擊者在你的電子郵件帳戶上啟動密碼重置流程。驗證碼會從你的電子郵件提供商發送到你的電話號碼 - 攻擊者會截獲該電話號碼，因為他們現在控制了你的SIM卡。下圖逐步概述了攻擊的流程。
•首先攻擊者會收集你的個人信息，把你鎖定為攻擊目標
•啟動SIM卡轉移申請，利用收集到的個人信息向移動服務商證明是你本人發起的申請，并要求移動服務商將你的SIM卡轉移到一個由他們控制的設備上
•現在你的SIM被轉移到了一個由攻擊者控制的設備上
•重置郵箱密碼，等待郵箱將驗證碼發到他們的手機上
•郵箱將驗證碼通過短信發送至攻擊者的手機上
•攻擊者獲取驗證碼，開始重置你的郵箱密碼，現在他們已經獲得了你的手機和電子郵箱的控制權
一旦攻擊者控制了你的電子郵箱帳戶，他們就會開始橫向移動你通過該電子郵件管理的任何對他們而言有利可圖的在線服務（銀行帳戶，社交媒體帳戶等）。如果他們再做得過分些，甚至可以鎖定你的帳戶而你卻對此無能為力。
這里我們稍微花點時間整理下你通過一個谷歌帳戶綁定的大量個人敏感信息：
•你的住址，出生日期和其他私人的個人身份信息
•有機會獲取你或者你伴侶的照片
•訪問你的日程表和近期的旅行日程
•訪問你的私人電子郵件，文檔和歷史搜索記錄
•獲取你的聯系人列表、這些聯系人的私人信息以及你們之間的關系
•獲取你用電子郵箱地址作為身份驗證來源的所有其他在線服務
這次攻擊事件的時間線
通過上面的鋪墊，相信你們對攻擊者如何進行此類SIM卡轉移攻擊以及攻擊會造成的后果已經有了一定的了解，下面和大家詳細說一下我受到的這次攻擊發生過程、攻擊是如何發起的、攻擊過程中我的經歷，以及萬一你也遇到類似的情況，可以做些什么來保護自己。
攻擊發生的時間線可以分為四個部分：
•我所經歷的：從我的觀點來看所經歷的事件——如果你遇到類似的事情，這些 都是你可能受到攻擊的明確指標。
•攻擊者當時正在做什么：黑客潛入我的Coinbase帳戶時采用的策略。
•我感受到的威脅級別：在這些事件發生時我感受到的威脅級別。
•我應該擁有的威脅級別：事后想來，在這些事情發生時我希望自己擁有的威脅級別。
經驗教訓+建議
這是我人生中最昂貴的一課。我在1天內永遠的失去了這筆對我而言意義重大的凈資產。以下是我的一些如何加強防護措施的建議：
•使用硬件錢包保護你的密碼：無論什么時候，如果你沒在交易，就把你的密碼保存在硬件錢包/離線錢包/多重簽名錢包，而不是把資金閑置在交易平臺。
我把Coinbase當作一個銀行賬戶，一旦遭受攻擊是沒有任何可以挽回的措施的。雖然我比大多數人更了解把錢放在交易平臺的風險，但從未想過這種事情會發生在我身上。我現在非常后悔沒有對我的加密貨幣采取更有力的安全措施。
•基于手機短信服務的二次驗證并不夠安全：無論你想保護的是你的線上資產還是線上身份，請使用一些硬件裝備來增強防護措施（比如說攻擊者為了實施攻擊就必須在現實生活中拿到你儲存密碼的裝備）。
谷歌身份驗證器和Authy可以將你的移動設備轉變為這樣的硬件裝備從而提高安全性，但我建議你更進一步：選一個你可以實際控制且不會被攻擊者欺騙的Yubikey（一個小型USB設備）。
•減少你的上網痕跡：抑制你想要在網上分享個人身份信息的沖動（比如你的出生日期，住址，帶有地理位置信息的圖片等）。在發生攻擊時，所有這類公開的數據信息都會被用做發起攻擊的工具。
•谷歌的語音二次驗證：在某些情況下，在線服務不支持基于硬件的二次驗證（它們依賴于安全性較弱的短信服務二次驗證）。這種時候，你最好是創建一個谷歌語音電話號碼（它無法通過SIM卡轉移）并使用谷歌語音電話作為你二次驗證的工具。
•再創建一個電子郵件地址：不要將所有東西都綁定到同一個電子郵件地址。為一些非常重要的在線身份（銀行帳戶，社交媒體帳戶，加密貨幣交易平臺等）再創建一個郵件地址。這個郵件地址得保密，不要將它用于任何其他內容并使用基于硬件的2次驗證增強這個郵件地址的安全性。
•離線密碼管理器：使用密碼管理器輸入密碼。最好是能使用離線密碼管理器，比如Password Store（一個用于管理密碼的軟件）。
關于讀者們的評論……
鑒于我極為不成熟的安全防護措施，我也許活該被黑客攻擊，我已經學到這點了，雖然這并不會讓我受到的傷害少一些。
我講出這次事件始末的目的是：
•讓大家知道遭到攻擊是多么容易的一件事
•采納我在上面提出的建議來加強你們的在線身份安全性
我本可以做一些非常簡單輕松的防護措施來保護自己。我總忍不住想“如果我····”，那事情的發展是不是就會完全不一樣了。
然而，當我這樣想的時候，另外兩種想法也向我襲來：懶惰和幸存者偏差。
我從未經歷過攻擊，因此我沒有嚴肅對待我的在線安全問題，雖然我了解自己的風險狀況，但我總是懶得以更嚴謹的態度來保護我的資產。
我懇請你們從我的這些錯誤中吸取教訓。
