Как выделить отдельное устройство под криптооперации и проверить каждый шаг

Выделить устройство под криптооперации — не купить второй телефон, а оформить его приёмку. Устройство считается выделенным после того, как проверено и записано его исходное состояние: сброс выполнен, профили конфигурации отсутствуют, список приложений пуст, кошелёк установлен из штатного магазина, пробный перевод прошёл. Проверить каждый шаг — пройти этот лист по пунктам и зафиксировать результат. Без записи приёмки нет: через месяц вы не вспомните, что именно проверяли.

Как выглядит схема со стороны жертвы

Телефон под операции берут из того, что под рукой. Старый личный аппарат, аппарат родственника, покупка с маркетплейса подешевле. Сброс делают, кошелёк ставят, средства переводят. Через полтора месяца баланс уходит на незнакомый адрес, а в настройках обнаруживается управляющий профиль, установленный прежним владельцем и переживший сброс пользовательских данных, потому что сброс стирает содержимое памяти, а не конфигурацию управления. Профиль не искали. Его и не видно.

Второй сюжет без чужих рук. Устройство новое, сброс не нужен, но кошелёк поставили по первой ссылке из поисковой выдачи, где верхние позиции заняты рекламой. Приложение запустилось, адрес сгенерировало, резервную фразу показало. Фразу оно же и отправило. Собрано приложение было не разработчиком кошелька, а тем, кто оплатил рекламную выдачу по его названию и выложил сборку с тем же значком, тем же оформлением и почти тем же именем в магазине.

Третий вариант приходит в обращениях читателей чаще прочих и выглядит безобиднее всех. Аппарат чистый, кошелёк настоящий, но на устройстве остался включённым доступ к специальным возможностям у приложения, поставленного год назад для чтения купонов. Такой доступ читает содержимое экрана целиком. Фразу показали один раз. Этого хватило.

Признаки, по которым распознаётся подмена

• В настройках есть профиль конфигурации, профиль VPN или управляющий профиль организации.
• Включена установка приложений из неизвестных источников.
• Какому-либо приложению выданы специальные возможности или запись экрана.
• Включена синхронизация буфера обмена, снимков экрана или заметок с облаком.
• Загрузчик разблокирован либо система показывает признаки вмешательства в целостность.
• Магазин приложений не штатный, а доустановленный, либо кошелёк поставлен из файла.
• В аккаунте устройства уже есть чужая почта или остался чужой вход в сервисы.

Проверка за 60 секунд: что открыть и на что смотреть

Нужны настройки устройства и лист для записи. Порядок повторяемый. Запись обязательна.

1. Откройте раздел с профилями и управлением устройством. Запишите, что список пуст, либо удалите найденное.
2. Просмотрите полный перечень установленных приложений и удалите всё, кроме системного и кошелька.
3. Пройдите разрешения по категориям: специальные возможности, наложение поверх окон, запись экрана, уведомления.
4. Отключите облачную синхронизацию буфера обмена, снимков экрана и заметок.
5. Проверьте источник установки кошелька: штатный магазин, имя разработчика, число установок, дата обновления.
6. Сделайте пробный перевод на малую сумму и убедитесь, что адрес получателя на экране совпал с ожидаемым.

Третий шаг недооценивают сильнее остальных. Специальные возможности задумывались для доступности интерфейса и дают приложению право читать всё, что нарисовано на экране, включая окно подтверждения перевода и экран с резервной фразой. Наложение поверх окон добавляет к этому возможность подменить то, что вы видите. Ни одна из двух возможностей не нужна кошельку и не нужна ничему, что стоит на выделенном устройстве. Отдельный разбор того, как кошелёк показывает содержание операции, собран в материале про вредоносную подпись транзакции.

Доля упала, а число случаев осталось шестизначным. Снижение доли объясняется не тем, что личные кошельки стали защищённее, а тем, что за год сильно вырос средний размер атак на крупные сервисы, и знаменатель отраслевой пропорции сместился сам собой. Для отдельного держателя значим знаменатель его собственного баланса. Отсюда и смысл выделенного устройства: сократить число программ, которые имеют доступ к экрану в момент подписи, до одной.

Четыре источника устройства и что о каждом известно

Таблица сравнивает четыре варианта по двум признакам: что именно вы знаете об истории аппарата до момента приёмки и какой риск остаётся на нём даже после того, как приёмочный лист пройден целиком и результат записан.

Пошаговые действия, если деньги уже ушли

Возврат не гарантирован никем. Порядок ниже сохраняет доказательства и ограничивает ущерб. Начинайте с первого пункта.

1. Отключите устройство от сети, не стирая его: оно само является доказательством.
2. С другого, заведомо чистого устройства снимите действующие разрешения на расходование токенов.
3. Переведите остаток на адрес, ключ которого никогда не вводился на скомпрометированном аппарате.
4. Выпишите хеши транзакций, адреса и время по UTC; снимок экрана без хеша доказательством не служит.
5. Подайте заявление через интернет-приёмную МВД либо в отделение по месту жительства, приложив распечатку операций и расчёт суммы в рублях на дату события.
6. Сохраните список приложений и профилей с устройства до того, как что-либо удалите.

Как закрыть дыру, чтобы не повторилось

Режим эксплуатации держится на четырёх запретах и одной привычке. Запреты важнее настроек.

1. Никаких установок, кроме кошелька и обновлений системы. Каждое новое приложение — повторная приёмка.
2. Никакой почты, мессенджеров и браузерного сёрфинга. Ссылки открываются на другом аппарате.
3. Никакого облачного бэкапа кошелька. Резерв хранится вне устройства и вне облака.
4. Вход в учётную запись устройства защищён ключом, устойчивым к фишингу, а не кодом из сообщения.
5. Раз в месяц приёмочный лист проходится заново, а результат сверяется с прошлой записью.

Последний пункт отличает выделенное устройство от второго телефона. Стандарт NIST SP 800-63B в редакции четвёртой версии относит одноразовый код в сообщении к ограниченным способам подтверждения и не допускает его на высшем уровне доверия, где требуется устойчивый к фишингу аутентификатор с неизвлекаемым ключом. Применительно к телефону под операции это означает конкретное: привязка к номеру заменяется аппаратным ключом. Как настроить оповещения о расходе на таком аппарате, разобрано в материале про отдельное устройство и уведомления.

Чек-лист

• Список профилей управления проверен и пуст, результат записан с датой.
• Перечень приложений сокращён до системного набора и кошелька.
• Специальные возможности, наложение поверх окон и запись экрана никому не выданы.
• Облачная синхронизация буфера обмена и снимков экрана отключена.
• Кошелёк установлен из штатного магазина, имя разработчика сверено.
• Пробный перевод прошёл, адрес на экране совпал с ожидаемым.
• Вход в учётную запись устройства защищён аппаратным ключом.
• Дата приёмки и состав проверки записаны вне устройства.

Частые вопросы