Alerto sa Seguridad ng Web3 – Mga Pekeng App

Sa espasyo ng crypto, ang mga scammer ay patuloy na nagbabago ng kanilang mga taktika. Isang mataas na panganib na banta ang bumabalik: pekeng Bitget app. Ang mga nakakahamak na app na ito ay matalinong nagkukunwari upang magmukhang katulad ng opisyal na Bitget app — mula sa logo hanggang sa paglalarawan ng app — na ginagawang halos imposibleng paghiwalayin ang mga ito. Gumagamit ang mga cybercriminal ng iba't ibang trick para akitin ang mga user na i-download ang mga lookalikes na ito, na naglalayong magnakaw ng personal na impormasyon at mga digital na asset.

Ano ang mga pekeng app?

Ang mga pekeng app (kilala rin bilang mga phishing app o malisyosong copycat na app) ay mga hindi lehitimong application na ginawa upang malapit na gayahin ang mga sikat, lehitimong platform — gaya ng mga crypto exchange, wallet, o social network. Ginagaya nila ang mga pangalan, logo, interface, at maging ang mga functionality para lumabas na tunay. Kapag na-install na, ang mga app na ito ay kadalasang humahantong sa mga paglabag sa privacy o pagkawala ng pananalapi.

Key features

● Mga kamukhang visual: Ang mga pangalan, logo, at layout ng app ay halos kamukha ng opisyal na bersyon, na may kaunting pagkakaiba lamang (hal., mga scheme ng kulay ng logo o mga detalye ng font).

● Mga naka-clone na feature: Maaaring kopyahin ng mga pekeng app ang mga pangunahing function ng totoong app o i-redirect lang ang mga user sa mga pekeng page.

● Mga nakakahamak na pahintulot: Kadalasan ay humihiling ng access sa mga sobrang function ng telepono tulad ng mga contact, SMS, camera, o mikropono — higit pa sa kung ano ang kinakailangan — upang subaybayan ang gawi ng user o magnakaw ng data.

● Hindi opisyal na pamamahagi: Karaniwang makikita sa mga third-party na app store, phishing site, mga link na ipinadala sa pamamagitan ng SMS o mga email, o ibinahagi sa mga online na komunidad.

● Kakulangan ng mga opisyal na kredensyal: Ang impormasyon ng developer ay malabo o nawawala, at ang mga detalye sa pakikipag-ugnayan o mga patakaran sa privacy ay kadalasang peke o wala.

● Mga error sa spelling, grammar, o paglalarawan: Ang mga phishing app ay kadalasang naglalaman ng mga pangunahing pagkakamali, dahil karaniwang sinusuri nang mabuti ng mga lehitimong developer ang teksto bago i-publish.

● Mga kahina-hinalang review: Mababang mga numero ng pag-download, mga polarized na rating (lahat ng 5-star o lahat ng 1-star), at isang hindi pagkakatugma sa pagitan ng petsa ng paglabas at bilang ng mga review.

Mga karaniwang senaryo ng pag-atake

1. Wallet address replacement:

● Sinusubukan ng mga user na magdeposito o mag-withdraw ng mga pondo gamit ang pekeng exchange app.

● Lihim na pinapalitan ng app ang address ng tatanggap ng isa na kinokontrol ng umaatake.

● Ang mga pondo ay hindi sinasadyang ipinadala sa wallet ng scammer at hindi na mababawi.

2. Pagnanakaw ng kredensyal:

● Ilalagay ng mga user ang kanilang mga kredensyal sa pag-log in at 2FA code sa pekeng app.

● Ginagamit ng mga scammer ang data na ito para ma-access ang totoong platform.

● Ang mga asset ay mabilis na inililipat o nagagamit sa maling paraan.

3. SMS phishing:

● Ang mga biktima ay tumatanggap ng mga SMS alert gaya ng "apurahang babala sa seguridad" o "hindi pangkaraniwang aktibidad ng account" na may mga link para i-download ang pekeng app.

● Nakaramdam ng pressure, ini-install ng mga user ang app at nagbibigay ng mga pahintulot.

● Pagkatapos ay magnanakaw ang app ng sensitibong impormasyon, kabilang ang mga seed na parirala o humarang sa mga SMS verification code, na nagbibigay-daan sa hindi awtorisadong pag-access.

4. Malware injection:

● Nag-i-install ang pekeng app ng karagdagang nakakahamak na software sa background.

● Maaari itong mag-deploy ng mga keylogger upang kumuha ng input mula sa iba pang mga app.

● Ang mga file gaya ng mga pribadong key o seed na parirala ay maaaring tahimik na ma-access at ma-upload.

5. Patuloy na pagsubaybay:

● Gumagana ang app sa background, sinusubaybayan ang aktibidad ng user.

● Kinukuha nito ang content ng screen, lalo na kapag ginagamit ang mga financial app.

● Ang mga umaatake ay naghihintay ng ilang sandali upang maharang o baguhin ang data ng transaksyon.

Paano gumagana ang mga pekeng app?

Pinagsasama ng mga pekeng app ang teknikal na panlilinlang sa social engineering:

1. Teknikal na panlilinlang

○ Interface at pagdoble ng code:

■ I-clone ang interface, functionality, o kahit source code ng opisyal na app, na ginagawang pareho ang hitsura at paggana ng pekeng app.

■ Baguhin ang mga lehitimong APK file sa pamamagitan ng pag-iniksyon ng malisyosong code o pagpapalit ng mga address sa paglilipat upang lumikha ng mga binagong bersyon.

○ Pag-abuso sa pahintulot:

■ Humiling ng labis na mga pahintulot (hal., basahin ang SMS, i-access ang mga contact, subaybayan ang lokasyon) upang paganahin ang pagnanakaw ng data o remote control.

○ Pagharang at pag-encrypt ng komunikasyon:

■ Ang API interception ay ginagamit upang maharang at baguhin ang data ng komunikasyon sa pagitan ng app at server nito.

■ Magpadala ng sensitibong impormasyon, tulad ng mga address ng transaksyon o password sa pamamagitan ng mga naka-encrypt na channel.

○ Detection evasion:

■ Code obfuscation: Baguhin ang code upang gawin itong hindi nababasa o mas mahirap pag-aralan, na tinutulungan itong maiwasan ang awtomatikong pagtuklas.

■ Naantalang pag-activate: Ang malisyosong code ay nagti-trigger lamang pagkatapos ng pag-install o sa ilalim ng ilang mga kundisyon.

■ Dynamic na paglo-load: Ang nakakahamak na code ay dina-download pagkatapos ng pag-install sa halip na kasama ng app.

■ Staggered na mga kahilingan sa pahintulot: Ang mga sensitibong pahintulot ay hinihiling nang paunti-unti, na nagpapababa sa pagbabantay ng gumagamit.

2. Social engineering

○ Pag-abuso sa tiwala:

■ Sa pamamagitan ng paggaya sa mga pinagkakatiwalaang platform (hal., Bitget), ang mga phishing na app ay nagmamana ng tiwala ng user at nagiging sanhi ng pagbagsak ng mga user sa kanilang mga depensa.

○ Creating urgency:

■ Gumamit ng mga taktika ng pananakot (hal., "Nasa panganib ang iyong account" o "Natukoy ang pagkawala ng asset") sa pamamagitan ng SMS o mga push notification upang mapababa ang pagbabantay ng user at mag-trigger ng mabilis, hindi na-verify na mga aksyon.

○ Visual na panlilinlang:

■ Samantalahin ang kawalan ng kakayahan ng mga gumagamit na mapansin ang maliliit na pagkakaiba sa paningin, gamit ang mga katulad na visual na elemento upang manlinlang.

■ Palakihin ang pagiging lehitimo gamit ang mga pekeng review at manipulahin na bilang ng pag-download.

○ Naka-target na pamamahagi:

■ Mag-target ng mga partikular na grupo, gaya ng mga komunidad ng mamumuhunan ng crypto, upang mapataas ang rate ng tagumpay ng mga pag-atake.

○ Frequent rebranding:

■ Patuloy na baguhin ang mga pangalan, icon, at paglalarawan ng app upang maiwasan ang pagtuklas at pahabain ang habang-buhay ng scam.

Paano makita ang isang pekeng app

Mag-ingat sa mga pulang bandilang ito:

● Abnormal na icon: Bahagyang ngunit kapansin-pansing mga pagkakaiba kumpara sa opisyal na icon ng app.

● Labis na kahilingan sa pahintulot: Na-prompt ang hindi kinakailangang pahintulot pagkatapos ng pag-install.

● Mga kahina-hinalang review: Alinman sa sobrang positibo o labis na negatibo.

● Mga error sa grammar at spelling: Mga halatang pagkakamali sa pangalan o paglalarawan ng app.

● Hindi pangkaraniwang dami ng pag-download: Ang lehitimong Bitget app ay dapat magkaroon ng malaking bilang ng mga pag-download.

● Kahina-hinalang impormasyon ng developer: Nawawala o mapanlinlang na mga detalye ng kumpanya.

● Kaduda-dudang tiyempo ng pagpapalabas: Maging maingat sa mga bagong lunsad na app na may hindi pangkaraniwang mataas na bilang ng mga review.

● Mga hindi pinagkakatiwalaang pinagmulan: Mga link ng app na ibinahagi sa pamamagitan ng social media, SMS, o email sa halip na mga opisyal na channel.

Mga proteksyon sa seguridad ng Bitget

Nakatuon ang Bitget na panatilihin kang isang hakbang sa unahan at ganap na kaalaman tungkol sa kung ano ang nangyayari sa iyong account.

Email alerts

Kung na-link mo ang iyong email, makakatanggap ka ng email sa tuwing mag-log in ka mula sa isang bagong device. Kasama sa mga email na ito ang iyong anti-phishing code, verification code, lokasyon sa pag-log in, IP address, at mga detalye ng device. Palaging maglaan ng ilang sandali upang i-verify na tumutugma ang impormasyong ito sa iyong aktibidad.

Kung na-access ang iyong account mula sa ibang lokasyon, makakatanggap ka ng follow-up na email na nag-aabiso sa iyo ng pag-login. Paki-verify ang access na ito.

Kapag nag-withdraw, makakatanggap ka ng email na naglalaman ng verification code at buong detalye ng transaksyon. Palaging kumpirmahin na ang lahat ay tumutugma sa iyong nilalayong pag-withdraw.

Panahon ng paglamig (1 oras o 24 na oras)

Upang maiwasan ang mga mapusok na pagkilos na dulot ng mga scam, nagpatupad ang Bitget ng panahon ng paglamig — isang pansamantalang pag-iingat na na-trigger kapag nakita ng system ang mga potensyal na panganib sa account (tulad ng mga hindi pangkaraniwang lokasyon ng pag-log in, kahina-hinalang transaksyon, o pinaghihinalaang panloloko):

Panahon ng paglamig: Depende sa antas ng panganib (1 oras o 24 na oras).

● 1 oras na panahon: Para sa mga sitwasyong mas mababa ang panganib (hal., malayuang pag-log in), ang maikling pagkaantala na ito ay nagpo-pause ng mga withdrawal upang ma-verify ng mga user ang aktibidad ng account.

● 24 na oras: Para sa mga sitwasyong may mataas na peligro (hal., mga pagbabago sa paraan ng pag-verify o mga panganib sa phishing), sinuspinde ang lahat ng pag-withdraw, na nagbibigay ng oras sa mga user na suriing muli ang kaligtasan ng account.

Opisyal na mga channel sa pag-verify

Kung hindi ka sigurado tungkol sa pagkakakilanlan ng isang tao, maaari mo itong i-verify anumang oras sa pamamagitan ng opisyal na channel ng pag-verify ng Bitget.

Pinakamahuhusay na kagawian para sa seguridad ng account

Paganahin ang maramihang 2FA na pamamaraan

Ang two-factor authentication (2FA) ay isang kritikal na layer ng proteksyon na nangangailangan ng dalawang magkahiwalay na paraan ng pag-verify ng pagkakakilanlan. Maaaring kabilang dito ang mga kumbinasyon ng email, password, SMS, Google Authenticator, mga security key, o iba pang paraan. Ang paggamit ng maramihang mga opsyon sa 2FA ay lubos na nagpapalakas ng seguridad at pagiging maaasahan ng iyong account.

I-set ang Anti-phishing Code

Ang isang anti-phishing code ay isang tampok na panseguridad na ibinigay ng Bitget upang matulungan ang mga user na matukoy ang mga website ng phishing. Kapag pinagana, lahat ng opisyal na email at SMS mula sa Bitget (hindi kasama ang mga SMS verification code) ay isasama ang iyong natatanging anti-phishing code. Ang mga email at SMS ng phishing ay hindi maglalaman ng mga anti-phishing na code, na ginagawang madali para sa mga user na matukoy kung sila ay mula sa mga opisyal na channel ng Bitget.

Para i-set up ito, pumunta sa Profile > Security > Anti-phishing code and follow the instructions.

Bisitahin itong link na para sa higit pang mga detalye tungkol sa mga anti-phishing code.

I-enable ang kumpirmasyon ng withdrawal address

Kapag nag-withdraw ng mga pondo sa pamamagitan ng website ng Bitget, may panganib ng mga malisyosong aktibidad tulad ng traffic hijacking, na maaaring pakialaman ang iyong withdrawal address. Para maiwasan ito, nag-aalok ang Bitget ng cross-device verification switch. Kakailanganin mong mag-scan ng QR code gamit ang Bitget mobile app para kumpirmahin ang withdrawal address bago matuloy ang kahilingan.

Magsanay ng mahusay na kalinisan ng account

Install antivirus software. Palaging mag-download ng mga application at software mula sa mga pinagkakatiwalaang opisyal na mapagkukunan, at iwasang mag-click sa mga link na natanggap sa pamamagitan ng SMS. Upang higit pang mapahusay ang seguridad ng iyong account, isaalang-alang ang paggamit ng nakalaang device para sa pag-access ng mga sensitibo o kumpidensyal na account. Huwag kailanman ilagay ang lahat ng iyong mga itlog sa isang basket. Iwasang mag-log in sa iyong email, maglagay ng SIM card, at mag-imbak ng Google Authenticator sa parehong telepono. Kung nawala o nakompromiso ang iyong device, ang pagkakaroon ng lahat sa isang device ay maaaring mangahulugan ng pagkawala ng lahat. Ang pagpapakalat ng iyong panganib ay maaaring makabuluhang bawasan ang mga potensyal na pagkalugi.

Konklusyon: Ang seguridad ay nagsisimula sa kamalayan — at ito ay nagsisimula sa iyo

Ang teknolohiya ay maaaring bumuo ng mga depensa sa larangan ng seguridad ng network, ngunit ang iyong kamalayan at pagbabantay ay ang pinakahuling mga pananggalang. Ang mga scammer ay umuunlad sa pagkalito at pagkaapurahan, ngunit kapag alam mo na, maaari mong makita ang mga bitag at tumugon nang may kumpiyansa. Nagbibigay ang Bitget ng multi-layered na balangkas ng seguridad upang protektahan ang mga user, ngunit ang pinakamakapangyarihang pag-iingat ay ang iyong sariling pag-unawa sa panganib. Ang bawat kaunting kaalaman sa scam na makukuha mo ay isa pang kalasag na nagpoprotekta sa iyong mga asset.

Knowledge is power. Ang aksyon ay proteksyon. Patuloy na ia-update ng Bitget ang mga mapagkukunang anti-scam at mga alerto sa panganib. Sa bawat oras na i-double check mo ang isang detalye o gumawa ng isang maingat na desisyon, isinasara mo ang pinto sa mga scammer. Magtulungan tayo upang gawing ating pinagsasaluhang pundasyon ang kaligtasan.

Learn more: Bitget's security best practices

Mga kaugnay na artikulo:

Web3 Security Alert - SMS Spoofing

Web3 Security Alert - Payzero

Web3 Security Alert - High-risk Tokens

Web3 Security Alert - Fake Apps

Web3 Security Alert - Malicious Approvals