Эффект «грязного Wi-Fi»: почему нельзя менять крипту в аэропорту

Публичный Wi-Fi давно перестал быть просто «интернетом для всех». Сегодня это агрессивная среда, где атакуют не пароли от соцсетей, а непосредственно финансовые потоки. В криптовалюте, где транзакции необратимы, цена ошибки в публичной сети может измеряться сотнями тысяч долларов.

Многие слышали про «эффект грязного Wi-Fi», но неверно понимают механику. Пользователи думают: «У меня же iPhone, вирусов нет, а сайт биржи защищен HTTPS». Но в аэропорту и других местах с публичным WiFi хакерам часто и не нужно взламывать ваше устройство. Им достаточно манипулировать тем, что вы видите, или заставить вас добровольно открыть дверь для вредоносных программ.

Разберем два реальных сценария атаки, которые могут украсть крипту с ваших кошельков   за 30 секунд.

Сценарий №1. Атака на канал (Man-in-the-Middle)

Хакер не трогает ваш телефон, он контролирует то, что вы видите в браузере. Пошагово это выглядит так.

1. Злоумышленник создает точку доступа Free_Airport_WiFi (клон официальной). Ваш телефон подключается к ней автоматически или вы выбираете её сами.

2. Вы заходите на сайт обменника или DEX-биржи. Хакер, контролируя трафик, может совершить атаку SSL Stripping (понизить соединение до незащищенного HTTP) или через подмену DNS перенаправить вас на точную копию сайта.

3. На этой копии сайта адрес кошелька для депозита уже подменен на кошелек хакера. QR-код тоже заменен на поддельный.

4. Вы добросовестно копируете адрес с экрана (или сканируете QR), сверяете его (он совпадает с тем, что на экране!), отправляете деньги и они уходят злоумышленнику.

Почему это работает

Вы уверены, что копируете правильный адрес, потому что «взяли его с сайта биржи». Вы не заметили, что в адресной строке нет замочка, или домен отличается на одну букву.

Сценарий №2. Атака на устройство (Clipboard Hijacking)

Wi-Fi используется как транспорт для доставки вируса-клиппера, который остается с вами и после отключения от сети. Вот как это выглядит.

1. При подключении к Wi-Fi открывается страница авторизации («Captive Portal»). Она выглядит официально, но настойчиво просит: «Для работы интернета установите сертификат безопасности» или «Обновите Flash Player / приложение авиакомпании».

2. Соглашаясь, вы своими руками устанавливаете вредоносный профиль конфигурации (на iOS) или APK с трояном (на Android).

3. Вредносная программа может спать неделями. Но его скрипт (клиппер) постоянно мониторит буфер обмена.

4. Как только вы копируете строку, похожую на криптоадрес (начинается на 0x, bc1, T), клиппер за доли секунды подменяет её на адрес хакера.

5. Вы нажимаете «Вставить» в кошельке. Адрес подменился в момент переноса. Если вы проверили только первые и последние 4 символа (а хакеры генерируют адреса-двойники, где эти символы совпадают),   вы потеряли деньги.

Почему аэропорт — зона идеального шторма

Мы использовали пример с аэропортом, потому что техническая уязвимость здесь накладывается на человеческий фактор:

1. Стресс и спешка. Пассажир на регистрации проверяет адрес не так тщательно, как дома в кресле.

2. Потребность в срочных сделках. Оплата перевеса, бронь отеля, покупка e-SIM — часто это нужно делать «прямо сейчас».

3. Низкая бдительность к Wi-Fi. Мы привыкли нажимать «ОК» на любые запросы портала авторизации, лишь бы получить интернет.

Как защититься от такого вида скама

Несколько базовых советов, которые уберегут вашу криптовалюту.

Уровень «База» (Для всех)

● Используйте мобильный интернет. Раздайте интернет с телефона на ноутбук (Hotspot). Это всегда безопаснее публичного Wi-Fi, даже в роуминге.

● Никаких сертификатов. Если Wi-Fi просит что-то скачать или установить «профиль» для доступа — немедленно отключайтесь. Вероятность того, что это атака очень высока.

● VPN — это минимум. Качественный платный VPN создает зашифрованный туннель. Он защитит от подмены сайта (Сценарий №1), но не спасет, если вы уже установили вирус (Сценарий №2).

Уровень «Параноик» (для крупных сумм)

● Адресная книга (Whitelist). Никогда не копируйте адреса вручную при крупных переводах. Сохраните доверенные адреса в «Белый список» биржи или кошелька заранее.

● QR-код с оговоркой. Сканируйте QR только с доверенного источника (бумага, экран второго устройства, работающего через сотовую сеть). Сканировать QR с сайта, открытого в том же публичном Wi-Fi — небезопасно (см. Сценарий №1).

● Посимвольная сверка. Проверяйте не только начало и конец адреса, но и середину. Генераторы адресов (vanity address generators) легко подбирают 0xABCD...EF01, но не могут подобрать полное совпадение.

«Красные флаги»: когда нажимать СТОП

Если вы заметили любой из этих признаков, немедленно прервите операцию:

1. Адрес при вставке отличается от скопированного. Даже если отличие всего в одном символе.

2. Сайт перегрузился или выглядит странно. Исчезло шифрование (нет https://), поехал дизайн.

3. Телефон «тормозит» при копировании. Это может означать работу скрипта-клиппера.

4. При вставке появляется старый текст. Буфер ведет себя непредсказуемо.

Что делать, если вы подозреваете атаку

1. Авиарежим. Мгновенно отключите все сети.

2. Удаление профилей.

○ iOS: Настройки → Основные → VPN и управление устройством. Удалите все незнакомые профили.

○ Android: Настройки → Безопасность → Администраторы устройства / Сертификаты.

3. Сброс. Если вы устанавливали какие-то приложения из Wi-Fi портала — сброс до заводских настроек является единственным надежным способом вычистить систему.

Главный вывод: В публичном месте ваш смартфон перестает быть вашей крепостью. Относитесь к любой сети Wi-Fi как к скомпрометированной по умолчанию. Финансы требуют тишины и личного канала связи.