SIM 换卡攻击与加密资产：硬件钱包如何降低风险
SIM卡交换攻击可以绕过短信安全机制，暴露交易所账户。了解硬件钱包在哪些情况下有效，在哪些情况下无效，以及如何降低风险。
作者： Damon Salvatore · Senior Content Marketer SIM卡交换攻击的目标是您的手机号码，而不是直接针对您的区块链私钥。攻击者会说服或欺骗移动运营商，将您的号码转移到他们控制的SIM卡上。
一旦他们控制了手机号码，他们就可以拦截短信验证码、重置电子邮件帐户、访问交易所帐户，或者绕过薄弱的帐户恢复流程。这就是为什么即使钱包本身不在手机上，SIM 卡交换对加密货币用户来说仍然很重要的原因。
实际的解决方法是减少手机号码可以重置的范围，然后将长期持有的资产从依赖短信的账户系统中转移出去。
简答：为什么SIM卡交换对加密货币很重要？
SIM卡交换至关重要，因为控制您手机号码的攻击者可以拦截短信验证码，并重置与交易所、电子邮件、云存储或钱包服务关联的账户。硬件钱包有助于保护私钥签名，但用户仍然需要更强大的账户安全措施来保护交易所和恢复渠道。
美国联邦贸易委员会(FTC) 的 SIM 卡交换警告称，短信验证可能无法阻止 SIM 卡交换，并建议对敏感帐户采用更强的身份验证。
FBI IC3 SIM 卡交换公共服务公告特别指出，SIM 卡交换骗局与法币和虚拟货币账户盗窃有关，因此加密货币用户应该加强交易所登录和恢复渠道的安全防护。
要点总结
- SIM卡交换攻击的目标是控制电话号码和恢复帐户。
- 基于短信的双因素认证比身份验证器应用程序、密码或硬件安全密钥要弱。
- 硬件钱包有助于保护链上签名密钥，但不能保护交易所登录信息。
- 电子邮件和云账户很重要，因为它们通常控制密码重置。
- 将长期持有的资金从主要依赖电话号码找回的账户中转移出去。
SIM卡交换攻击的工作原理
攻击者不需要你的手机，他们需要的是绑定到他们SIM卡上的你的手机号码。
在SIM卡交换攻击中，攻击者会诱使移动运营商将受害者的号码转移到攻击者控制的SIM卡或eSIM卡上。转移完成后，攻击者的设备就可以接收来电和短信验证码。
加密货币攻击的影响通常体现在账户恢复方面。如果交易所、电子邮件服务商或云账户接受短信作为重置密码的方式，攻击者可能利用手机号码获取账户访问权限，然后提取资金或查找钱包备份。
自行保管私钥会改变风险。如果私钥离线且未存储在云端，仅靠更换SIM卡应该不会泄露私钥。但与手机绑定的交易所账户和热钱包仍然可能被泄露。
| 信号 | 更安全的应对措施 |
|---|---|
| Exchange 帐户使用短信双因素身份验证 | 如果支持，请改用身份验证器应用程序、密码密钥或硬件安全密钥。 |
| 电子邮件帐户可以重置 Exchange 登录 | 首先要加强电子邮件的安全性；它通常是主恢复帐户。 |
| 存储在云笔记中的助记词 | 立即将回收材料离线转移。 |
| 用于客户支持恢复的电话号码 | 添加运营商账户密码，减少个人信息的公开泄露。 |
| 长期资金留在交易所 | 对于不需要频繁交易的持仓，可以使用自行托管的方式。 |
如何降低SIM卡更换风险
降低你的电话号码的影响力。
如果可用，请使用身份验证器应用、密码或硬件安全密钥代替短信验证码来登录 Exchange 和电子邮件帐户。如果您的运营商支持，请添加运营商帐户 PIN 码或携号转网保护。
审核账户恢复路径。如果关联的电子邮件账户可以通过短信重置，进而用于重置 Exchange 账户，那么即使设置了强密码也无济于事。
从云存储中移除恢复短语、私钥和钱包截图。如果SIM卡交换导致存储恢复资料的电子邮件或云账户被打开，则可能导致钱包被盗。
SIM卡互换预防检查清单
- 在支持的地区，将 Exchange 和电子邮件帐户上的短信双因素身份验证替换为身份验证器应用程序、密码或硬件安全密钥。
- 如果您的运营商提供运营商账户 PIN 码、携号转网锁定或号码转移保护等服务，请添加这些功能。
- 加强用于控制交易所和钱包服务密码重置的电子邮件帐户的安全防护。
- 从云存储中删除助记词、私钥、钱包截图和备份文件。
- 查看交易所提现设置、已保存地址、API密钥和登录历史记录。
- 当长期持有的股票不再需要留在交易所时，应将其转移到自保账户。
SIM卡更换期间应该做什么
立即联系您的移动运营商，重新获得号码控制权。然后使用可信设备更改电子邮件、Exchange、云服务和金融账户的密码。
如有可能，冻结或禁用交易所提现。检查登录历史记录、API密钥、已保存的提现地址和待处理的提现。
如果您将助记词或私钥存储在可能已被访问的帐户中，请将这些钱包视为已泄露，并将剩余资金转移到使用全新设置创建的新钱包中。
UKey 的适用范围
UKey 将链上签名与电话号码恢复分开。
UKey硬件钱包可以提供帮助，因为私钥不依赖于手机号码。即使手机账户遭到攻击，链上签名仍然需要硬件钱包及其授权流程。
如果恢复短语被拍照、输入到云存储或保存在电子邮件帐户中，则这种保护作用有限。应将硬件签名与离线种子备份和强化的 Exchange/电子邮件安全措施相结合。
要更全面地了解手机入侵、电子邮件恢复、活跃会话和提款控制如何结合起来，请阅读我们的交易所账户接管安全分析。
有关连接密钥保护、恢复、交易审查、批准和网络钓鱼防御的更广泛的防御框架，请参阅如何保护加密资产。
相关资源
继续阅读这些 UKey 指南，将此威胁模型与更安全的钱包设置、审批和自托管习惯联系起来。
本文仅供教育用途，不构成财务、法律、税务、网络安全事件响应或投资建议。威胁、钱包界面和支持的安全功能可能会发生变化。在签署交易或转移资金之前，请务必核实官方来源和最新的钱包说明。