Hamyon, ogohlantirish va zaif nuqtalar

Eng muhimi – asosiy xavfsizlik odatlari.

Muallif: Prathik Desai

Tarjima: Block unicorn

Hammasi bitta xabar bilan boshlanadi. Brend imiji ishonchli ko‘rinadi, logotip ham kutilganidek, LinkedIn profilida esa sizda bir nechta umumiy tanishlar borligi ko‘rsatilgan. Ishga yollovchi sizning GitHub loyihangizni topganini aytadi va sizga moliyaviy jihatdan kuchli, AI va DeFi protokoli birlashgan kompaniyada shartnoma asosida ishlash imkoniyatini taklif qiladi. Siz ularning saytini tezda ko‘zdan kechirasiz. Sayt dizayni silliq va ishonchli, lekin barcha kutilgan joylarda professional terminlar bilan to‘la. Saytda saralash testi bor, test ZIP fayl ko‘rinishida yuboriladi.

Siz faylni ochasiz va o‘rnatish dasturini ishga tushirasiz – ekranda bir zumda wallet ruxsatini so‘raydigan oynacha paydo bo‘ladi. Siz hech o‘ylamasdan tasdiqlaysiz. Lekin hech narsa bo‘lmaydi, kompyuter ham ishdan chiqmaydi. Besh daqiqadan so‘ng, sizning Solana wallet’ingiz bo‘shab qoladi.

Bu o‘ylab topilgan voqea emas. Bu deyarli 2025-yilda blockchain tahlilchilari tomonidan qayd etilgan va Shimoliy Koreya xakerlik guruhlari bilan bog‘liq ko‘plab hujumlarning to‘liq jarayonidir. Ular soxta ishga yollash, trojan bilan zararlangan test fayllari va zararli dasturlar orqali wallet’larni buzishadi.

Bugungi maqolada men sizga 2025-yilda kriptovalyuta hujumlarining evolyutsiyasi va eng ko‘p uchraydigan on-chain hujumlardan o‘zingizni qanday himoya qilish haqida so‘zlab beraman.

Endi asosiy mavzuga o‘tamiz.

2025 Kripto xakerlik hujumlaridagi eng katta o‘zgarish

2025-yil yanvaridan sentabriga qadar Shimoliy Koreya bilan bog‘liq xakerlar tomonidan o‘g‘irlangan kriptovalyuta miqdori 2 milliard dollardan oshdi. Blockchain tahlil kompaniyasi Elliptic’ning ma’lumotlariga ko‘ra, 2025 yil raqamli aktivlar jinoyati bo‘yicha eng yuqori ko‘rsatkichga ega yil bo‘ldi.

Eng katta yo‘qotish fevral oyida Bybit birjasining o‘g‘irlanishi natijasida yuz berdi, bu voqea kriptovalyuta birjasiga 1.4 milliard dollar zarar keltirdi. Shimoliy Koreya rejimi tomonidan o‘g‘irlangan kripto aktivlarining umumiy qiymati hozirda 6 milliard dollardan oshdi.

Hayratlanarli raqamlardan tashqari, Elliptic hisobotidagi eng diqqatga sazovor jihat – kriptovalyuta zaifliklaridan foydalanish usullarining o‘zgarishi. Hisobotda aytilishicha, “2025-yildagi xakerlik hujumlarining aksariyati ijtimoiy muhandislik hujumlari orqali amalga oshirilgan”, bu esa Shimoliy Koreyaning ilgari infratuzilmani buzish orqali katta mablag‘larni o‘g‘irlashidan tubdan farq qiladi. Masalan, 2022 va 2024-yillardagi mashhur Ronin Network xakerlik hujumlari va 2016-yildagi The DAO xakerlik hodisasi.

Bugungi kunda xavfsizlik zaifliklari infratuzilmadan inson omiliga ko‘chdi. Chainalysis hisobotida ham 2024-yilda kriptovalyuta o‘g‘irliklarining eng katta ulushi (43.8%) maxfiy kalitlarning oshkor bo‘lishi bilan bog‘liq ekani qayd etilgan.

Shubhasiz, kriptovalyuta va protokollar hamda blockchain darajasidagi xavfsizlik kuchaygani sari, hujumchilar nishonni maxfiy kalit egalariga qaratish osonlashdi.

Bunday hujumlar ham tobora tashkilotli tus olmoqda, endi ular tasodifiy shaxsiy hujumlar emas. Yaqinda AQSh Federal tergov byurosi (FBI) va Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) hamda yangiliklar xabarlarida Shimoliy Koreya bilan bog‘liq hujumlar tasvirlangan, bu hujumlar soxta kripto muhandislarni ishga olish, trojan o‘rnatilgan wallet dasturlari va zararli ochiq manbali hamjamiyatlarni zaharlash orqali amalga oshirilgan. Xakerlar texnik vositalarga tayanishsa-da, hujumning boshlanish nuqtasi inson psixologiyasidir.

Bybit xakerlik hodisasi hozirgacha eng yirik kriptovalyuta o‘g‘irligi bo‘lib, bu kabi muammolar katta hajmdagi tranzaksiyalarda qanday yuzaga kelishini ko‘rsatdi. Taxminan 1.4 milliard dollarlik Ethereum bir wallet klasteridan o‘g‘irlanganda, dastlabki texnik tahlil shuni ko‘rsatdiki, imzo qo‘yuvchi shaxs ruxsat mazmunini diqqat bilan tekshirmagan. Ethereum tarmog‘i o‘zi to‘g‘ri va imzolangan tranzaksiyani bajargan, lekin muammo insoniy omilda bo‘lgan.

Xuddi shunday, Atomic Wallet xakerlik hodisasida ham zararli dastur foydalanuvchi kompyuteridagi maxfiy kalitlarni saqlash usuliga hujum qilgani sababli, 35 milliondan 100 million dollargacha kripto aktivlar yo‘qolgan.

Ko‘p hollarda shuni ko‘rasizki, odamlar wallet manzilini to‘liq tekshirmasdan tranzaksiya qilishadi yoki maxfiy kalitlarni juda past xavfsizlik darajasida saqlashadi, bu holatda protokolning o‘zi deyarli yordam bera olmaydi.

O‘z-o‘zini saqlash har doim ham mukammal emas

“Agar bu sizning maxfiy kalitingiz bo‘lmasa, bu sizning coiningiz emas” qoidasi hali ham amal qiladi, lekin muammo shundaki, odamlar shu yerda o‘ylashni to‘xtatishadi.

So‘nggi uch yil ichida ko‘plab foydalanuvchilar mablag‘larini birjalardan olib chiqishdi, bu FTX kabi qulashlar takrorlanishidan xavotir va mafkuraviy sabablarga ko‘ra amalga oshirildi. O‘tgan uch yil ichida markazlashmagan birjalar (DEX) umumiy savdo hajmi uch baravardan ko‘proqqa oshdi – 3.2 trillion dollardan 11.4 trillion dollargacha.

Tashqi ko‘rinishda xavfsizlik madaniyati yaxshilangandek tuyulsa-da, xavf endi saqlovchi xavfsizlik choralaridan foydalanuvchining o‘zi muammoni hal qiladigan tartibsiz holatga ko‘chdi. Kompyuterdagi brauzer kengaytmalari, telefon chatlari yoki email qoralamalarida saqlanadigan mnemonic frazalar va shifrlanmagan eslatma ilovalarida saqlanadigan maxfiy kalitlar yashirin xavflarga qarshi samarali himoya bera olmaydi.

O‘z-o‘zini saqlash muammosi – bu ishonchga bog‘liqlikni hal qilish: birjalarga, saqlovchilarga, pul yechib olishni muzlatib qo‘yishi yoki to‘g‘ridan-to‘g‘ri bankrot bo‘lishi mumkin bo‘lgan har qanday uchinchi tomonga ishonmaslik. Lekin bu hali “bilim” muammosini hal qilgani yo‘q. Maxfiy kalit sizga nazorat beradi, lekin to‘liq javobgarlik ham yuklaydi.

Xo‘sh, bu muammoni qanday hal qilasiz?

Aqlli wallet’lar muammolarni kamaytiradi

Sovuq saqlash muammoning bir qismini hal qiladi. Bu sizning aktivlaringizni oflayn rejimda, seyfga o‘xshash joyda saqlaydi.

Muammo butunlay hal bo‘ldimi? Faqat bir qismi.

Maxfiy kalitlarni umumiy qurilmalardan olib tashlash orqali, hardware wallet’lar brauzer kengaytmalari yoki “bitta tugma bilan tranzaksiyani tasdiqlash” muammosidan xalos qiladi. Ular jismoniy tasdiqlash mexanizmini kiritadi, bu esa foydalanuvchini himoya qilishga yordam beradi.

Lekin hardware wallet baribir faqat vosita xolos.

Ko‘plab wallet provayderlarining xavfsizlik jamoalari bu haqda ochiq gapirishadi. Ledger hisobotida ularning brendi orqali fishing hujumlari ko‘p bor qayd etilgan, xakerlar soxta brauzer kengaytmalari va Ledger Live’ning klon versiyalaridan foydalanishadi. Bu interfeyslar yetarlicha tanish ko‘rinadi va odamlarni hushyorlikdan chiqaradi, lekin foydalanuvchi bir bosqichda mnemonic frazani kiritishi so‘raladi. Mnemonic fraza oshkor bo‘lsa, oqibatlari juda og‘ir bo‘ladi.

Yana odamlar soxta firmware yangilash sahifalarida mnemonic frazani kiritishga ham aldanishi mumkin.

Shu sababli, hardware wallet’ning haqiqiy roli – hujum yuzasini o‘zgartirish, to‘siqlarni oshirish va hujum ehtimolini kamaytirishdir. Lekin u xavfni butunlay yo‘q qilmaydi.

Ajratish – asosiy omil

Hardware wallet maksimal samaradorlikka erishishi uchun: uni faqat rasmiy yoki ishonchli manbalardan sotib olish va mnemonic frazani to‘liq oflayn va xavfsiz saqlash kerak.

Ushbu sohada uzoq yillar ishlaganlar, jumladan hodisalarga javob beruvchilar, on-chain tergovchilar va wallet muhandislari, xavfni ajratish va tarqatishni tavsiya qilishadi.

Bitta wallet kundalik foydalanish uchun, boshqa wallet esa deyarli hech qachon internetga ulanmaydi. Kichik mablag‘lar tajriba va DeFi mining uchun, katta mablag‘lar esa seyfda, ko‘p bosqichli jarayon orqali kiriladigan joyda saqlanadi.

Bundan tashqari, eng muhimi – asosiy xavfsizlik odatlari.

Ba’zi zerikarli ko‘ringan odatlar ko‘p yordam beradi. Qancha shoshilinch bo‘lmasin, hech qachon saytga mnemonic frazani kiritmang. Nusxa ko‘chirgandan so‘ng, hardware ekranida manzilni to‘liq tekshiring. O‘zingiz boshlamagan har qanday tranzaksiyani tasdiqlashdan oldin yaxshilab o‘ylab ko‘ring. Noma’lum havolalar va “mijozlarga xizmat ko‘rsatish” xabarlariga ishonmasdan oldin, ularni tekshirib ko‘ring.

Bu choralar mutlaq xavfsizlikni kafolatlamaydi, xavf har doim mavjud. Lekin har bir qo‘shimcha qadam xavfni yana bir oz kamaytiradi.

Hozirgi vaqtda, ko‘pchilik foydalanuvchilar uchun eng katta tahdid nol kunlik zaifliklar emas, balki ular tekshirmagan ma’lumotlar, yaxshi ish imkoniyati deb o‘ylab darhol yuklab olib ishga tushirilgan o‘rnatish dasturlari va supermarket ro‘yxati bilan birga yozilgan mnemonic frazalar bo‘lib qolmoqda.

Qachonki milliardlab dollarlarni boshqaradigan odamlar bu xavflarni fon shovqini deb qabul qila boshlasa, ular oxir-oqibat “zaiflik” yorlig‘i bilan tadqiqot ishi sifatida qayd etiladi.