вектор атаки и защита в пареattack vector paired with its defense

Топ-атаки: биржи и частные лицаTop attacks: exchanges & individuals

На биржи: hot wallet breach, insider threat, утечка API-ключей, эксплойты смарт-контрактов. На частных лиц: SIM swap, фишинг под вход на биржу, вредоносные расширения браузера, clipboard hijacking, fake support/recovery scam — и защита от каждого вектора. Каркас: 9 карточек, страницы ещё не написаны.Against exchanges: hot-wallet breaches, insider threats, API-key leaks, smart-contract exploits. Against individuals: SIM swap, exchange-login phishing, malicious browser extensions, clipboard hijacking, fake support/recovery scams — and the defense for each vector. Skeleton: 9 cards, pages not yet written.

Атаки на биржиAttacks on exchanges

инфраструктура и организация как поверхность атакиinfrastructure and organization as attack surface

Hot wallet breachКомпрометация онлайн-кошелька через взлом инфраструктуры или кражу ключей; защита — минимальный горячий баланс и возможность мгновенной заморозки вывода.Compromising the online wallet by breaching infrastructure or stealing keys; the defense is a minimal hot balance plus the ability to freeze withdrawals instantly.interview Инсайдерская угрозаInsider threatСотрудник с легитимным доступом выводит средства или сливает данные; защита — разделение обязанностей и аудиторские следы (см. exchange-security).An employee with legitimate access drains funds or leaks data; the defense is separation of duties and audit trails (see exchange-security). API key leakageКлюч API утекает через логи, публичный репозиторий или скомпрометированный сервер и используется для несанкционированной торговли/вывода; защита — скоупинг ключей, ротация, IP allowlisting.An API key leaks via logs, a public repo, or a compromised server and gets used for unauthorized trading/withdrawal; the defense is key scoping, rotation, and IP allowlisting. Эксплойты смарт-контрактовSmart-contract exploitsБаг в логике контракта (reentrancy, integer overflow, неверная проверка прав) выкачивает средства из пула; защита — аудиты, bug bounty, timelock на критичные изменения.A bug in contract logic (reentrancy, integer overflow, missing authorization checks) drains a pool; the defense is audits, bug bounties, and a timelock on critical changes.

Атаки на частных лицAttacks on individuals

человек как самое слабое звеноthe human as the weakest link

SIM swapАтакующий переносит номер жертвы на свою SIM через социнженерию оператора и перехватывает SMS-коды; защита — отказ от SMS-2FA и port-out PIN у оператора.An attacker ports the victim's number to their own SIM via social engineering of the carrier and intercepts SMS codes; the defense is dropping SMS 2FA and setting a port-out PIN with the carrier.interview Фишинг под вход на биржуExchange-login phishingПоддельная страница логина ворует пароль и код 2FA в реальном времени; защита — вход только с сохранённой закладки и аппаратный ключ FIDO2 (см. hardware-keys).A fake login page steals the password and the 2FA code in real time; the defense is logging in only via a bookmarked URL and a hardware FIDO2 key (see hardware-keys). Вредоносные расширения браузераMalicious browser extensionsРасширение с широкими правами читает страницы биржи/кошелька или подменяет транзакции; защита — минимум расширений и отдельный браузерный профиль для крипты.An extension with broad permissions reads exchange/wallet pages or swaps transaction data; the defense is minimizing extensions and using a dedicated browser profile for crypto. Clipboard hijackingМалварь в фоне подменяет скопированный адрес кошелька на адрес атакующего перед вставкой; защита — всегда сверять вставленный адрес посимвольно.Malware running in the background swaps a copied wallet address for the attacker's before paste; the defense is always verifying the pasted address character-by-character. Fake support / recovery scamАтакующий пишет первым от имени поддержки и просит seed-фразу или удалённый доступ якобы для помощи; защита — реальная поддержка никогда не пишет первой и не спрашивает seed-фразу.The attacker messages first pretending to be support and asks for the seed phrase or remote access to "help"; the defense is that real support never DMs first or asks for the seed phrase.

статусstatus

Это каркас: 9 карточки зафиксированы, страницы ещё не написаны. Архитектура защиты биржи как домена разобрана отдельно в exchange-security, аппаратные ключи — в hardware-keys, хранение seed-фраз — в seed-key-protection.This is a skeleton: 9 cards are locked in, pages not yet written. Exchange defense architecture as a domain is covered separately in exchange-security, hardware keys in hardware-keys, seed-phrase storage in seed-key-protection.