Что такое атака SIM-своп: как взламывают владельцев криптовалюты

Атака SIM-своп, или подмена SIM-карты, — это ситуация, при которой злоумышленник добивается переноса вашего номера на SIM-карту, которую он контролирует. В 2024 году пользователи подали 982 жалобы на SIM-своп в Центр жалоб на интернет-преступления ФБР (IC3). Как только номер перенесён, все ваши звонки и СМС уходят атакующему — вместе с каждым кодом входа по СМС и ссылкой для сброса пароля.

В ноябре 2023 года Федеральная комиссия по связи США (FCC) приняла правила, обязывающие американских операторов связи подтверждать личность клиента перед переносом номера на новую SIM-карту или к другому оператору. К середине октября 2026 года, спустя 1 065 дней, операторы по-прежнему не были обязаны их соблюдать. В Federal Register так и не появилась дата соблюдения, а текст обоих правил в eCFR по-прежнему указывал, что соблюдение откладывается до её публикации.

Как работает атака SIM-своп?

Атака SIM-своп строится на том, что сотрудника оператора обманывают или подкупают. В публичном предупреждении ФБР от февраля 2022 года названы эти каналы: преступники выдают себя за жертву, чтобы добиться переноса номера, подкупают сотрудника оператора или обманом вынуждают персонал оператора установить вредоносное ПО, которое выполняет такие переносы.

После того как перенос проходит, звонки и СМС жертвы попадают на телефон преступника. Затем он запрашивает сброс паролей через функцию «Забыли пароль» в почте и финансовых аккаунтах, а одноразовые коды приходят на номер, который жертва уже не контролирует.

Мошенничество с переносом номера (port-out) приводит к тому же результату, но другим путём. Атакующий открывает счёт у другого оператора на имя жертвы и переводит номер туда, поэтому смены SIM-карты у «родного» оператора жертвы вообще не происходит.

Мошенничество со SIM-свопом начинается задолго до звонка оператору — со сбора персональных данных, которые нужны атакующему, чтобы выдать себя за вас. FINRA приводит в пример информацию, которую вы публикуете в соцсетях, чтобы убедить провайдера, что звонящий — это вы.

Трейдеры сталкиваются с тем же фишингом, что и сотрудники операторов, — через поддельные письма и скопированные страницы входа. В Phemex Academy эта тема разобрана в материале фишинг в криптовалютах: как он устроен и как его предотвратить.

Почему злоумышленники выбирают владельцев криптовалюты?

В предупреждении ФБР SIM-свопинг описан как способ хищения средств с «фиатных и виртуальных счетов». FINRA объясняет, почему номер телефона становится точкой входа: мобильные номера «стали ключом к подтверждению личности клиента» при входе в финансовые сервисы. СМС-код может открыть аккаунт, а ссылка для сброса по СМС — почтовый ящик, куда приходят все остальные сбросы.

Перевод в блокчейне также не поддерживает чарджбэк: монеты, выведенные атакующим, исчезают сразу после подтверждения транзакции.

SIM-своп не даёт доступ к приватному ключу в кошельке с самостоятельным хранением (self-custody), потому что ключ живёт в кошельке и никогда не находится на SIM-карте. Материал публичный и приватный ключи Bitcoin объясняет, почему именно этот ключ перемещает монеты. Опасность представляет копия ключа или seed-фразы, сохранённая в почте или облачных заметках, куда угнанный номер попадает через сброс пароля.

Насколько распространён SIM-свопинг?

IC3 начал выделять SIM-свопы в отдельный тип преступления в 2022 году, и годовые отчёты дают такую динамику.

В трёхлетней таблице годового отчёта IC3 за 2024 год число жалоб снизилось на 51,53% от базы в 2 026 обращений 2022 года, а заявленные потери — на 64,24% от $72,65 млн.

Это жалобы, которые люди решили подать, поэтому они представляют нижнюю границу. Атака, так и не попавшая в IC3, в подсчёт не входит.

В предупреждении ФБР 2022 года приводились более ранние цифры, собранные до появления отдельной категории. Там значилось 320 жалоб за 2018–2020 годы со скорректированными потерями около $12 млн, затем 1 611 жалоб в 2021 году более чем на $68 млн. Это отдельный подсчёт, который не стыкуется с годовыми рядами.

Люди в возрасте 60 лет и старше подали 205 из 982 жалоб в 2024 году и заявили потери на $6,342 млн — 24,41% от общего годового показателя в $25,98 млн.

Обязаны ли операторы США блокировать SIM-свопы?

Нет, по состоянию на середину октября 2026 года не обязаны, хотя FCC приняла правила по SIM-свопу и port-out для американских операторов связи 15 ноября 2023 года. На бумаге правило Federal Register требует от операторов использовать надёжные способы подтверждения личности клиента до смены SIM-карты или переноса номера и немедленно уведомлять клиентов о любом таком запросе.

Освобождение объясняет этот разрыв. 5 июля 2024 года Бюро проводной конкуренции FCC освободило от соблюдения «правил в полном объёме», пока OMB завершит рассмотрение и «Комиссия опубликует в Federal Register уведомление с датой соблюдения». OMB согласовало сбор информации по смене SIM-карты и аналогичный сбор по port-out 15 января 2025 года, поэтому уведомление осталось недостающим шагом.

К середине октября 2026 года с момента согласования прошло 638 дней, примерно 21 месяц. Текст правила о смене SIM-карты в eCFR по-прежнему гласит, что соблюдение «не требуется, пока этот пункт не будет удалён или пока в нём не появится дата соблюдения», и правило о port-out содержит ту же строку. Шесть защитных положений по смене SIM-карты и четыре по port-out остаются пустыми пометками "[Reserved]".

Ни один документ FCC, опубликованный в Federal Register начиная с 2024 года, эту дату не устанавливает, а постановление об освобождении указывает Federal Register как место, где она должна появиться. Запись FCC в Едином регламенте правительства, опубликованная в августе 2026 года, помечена как «следующее действие не определено».

Пока дата соблюдения не появилась, реально работающая защита — та, которую вы настраиваете самостоятельно.

Законен ли SIM-свопинг?

Нет, это преступление, и федеральное дело 2025 года показывает, как его квалифицируют обвинители. 9 января 2024 года кто-то захватил аккаунт SEC в X и опубликовал сообщение о том, что ведомство одобрило спотовые биткоин-ETF, хотя это было не так.

22 января 2024 года SEC заявила, что неуполномоченная сторона «получила контроль над номером мобильного телефона SEC, привязанным к аккаунту, в результате предполагаемой атаки "SIM swap"». Многофакторная аутентификация была отключена «по просьбе сотрудников в июле 2023 года», поэтому контроль над номером позволил атакующему сбросить пароль аккаунта.

Министерство юстиции сообщило в мае 2025 года, что житель Алабамы получил 14 месяцев лишения свободы за свою роль в этом эпизоде. Он признал вину в сговоре с целью совершения тяжкой кражи личных данных и мошенничества со средствами доступа.

Чтобы получить номер, он использовал принтер для изготовления поддельного удостоверения личности на имя жертвы и выдавал себя за неё. По данным ведомства, курс биткоина вырос более чем на $1 000 сразу после ложного сообщения и снизился более чем на $2 000 после опровержения.

Как понять, что вас подвергли SIM-свопу?

Потеря сети на телефоне — обычно первая зацепка. В постановлении FCC 2023 года говорится, что телефон «гаснет или позволяет звонить только на 911» — как правило, это первый признак совершённого SIM-свопа или мошенничества с port-out.

FINRA перечисляет и другие тревожные сигналы, начиная с уведомления о том, что в вашем аккаунте активировано новое устройство или номер, которых вы не добавляли. Сюда же относятся внезапно неработающие входы и поток неожиданных звонков или СМС.

Сообщение с просьбой продиктовать код или seed-фразу — отдельный предупреждающий знак. В обзоре Phemex Safety Hub о четырёх проверках аккаунта указано, что сотрудники Phemex никогда не запрашивают ваш код 2FA или seed-фразу.

Как предотвратить атаку SIM-своп

Четыре шага не дают SIM-свопу превратить украденный номер в обнулённый аккаунт.

1. Уберите СМС из процесса входа: переключите двухфакторную аутентификацию на приложение-аутентификатор или аппаратный ключ безопасности везде, где аккаунт это позволяет. В предупреждении ФБР рекомендуются «биометрия, физические токены безопасности или отдельные приложения аутентификации». Руководство NIST по цифровой идентификации от июля 2025 года относит коды, отправляемые по телефонной сети, к «единственному ограниченному аутентификатору», который допустим только если организация принимает дополнительный риск.

2. Заблокируйте номер у оператора: установите PIN или пароль на аккаунт сотовой связи, как советует FINRA, и попросите включить блокировку смены SIM-карты или переноса номера, если оператор такое предлагает. Правила FCC обязали бы операторов предоставлять такую блокировку, но до появления даты соблюдения остаётся только запросить её.

3. Не публикуйте сведения о своих активах в соцсетях — первый совет в предупреждении ФБР, потому что публичная похвальба подсказывает атакующему, чей номер брать на прицел.

4. Храните seed-фразу офлайн — на бумаге или металле, вдали от почты и облачных заметок, куда угнанный номер может попасть через сброс пароля. Страница академии seed-фразы и резервное копирование криптокошелька описывает безопасные способы такого хранения.

Phemex требует 2FA для критических действий с аккаунтом, и код поступает из приложения-аутентификатора на вашем устройстве, как описано в материале о том, как Phemex реализует продвинутую защиту аккаунта. Та же проверка входа действует и для фьючерсов Phemex, где бессрочный контракт BTCUSDT доступен с плечом до 150x. Фьючерсы используют кредитное плечо, а позиция с плечом автоматически закрывается, если убытки достигают маржи.

Что делать после SIM-свопа?

Действовать быстро, потому что пока номер находится у атакующего, он проходит по цепочке сбросов паролей. Предупреждение ФБР и рекомендации FINRA указывают на одни и те же шаги.

5. Позвоните оператору с другого телефона и верните номер.

6. Смените пароли, начав с почты, затем биржевые и банковские аккаунты, привязанные к этому номеру.

7. Попросите банки и биржи отметить ваши аккаунты для контроля подозрительных входов и выводов.

8. Сообщите об атаке в IC3 и в местные правоохранительные органы, а также подайте заявление в FTC, как рекомендует FINRA.

Кошелёк, чья seed-фраза хранилась в вашей почте или облачном хранилище, следует считать скомпрометированным, поэтому переведите его монеты на новый кошелёк со свежей фразой. Каждое ваше обращение в IC3 также попадает в годовой подсчёт, отслеживающий масштаб проблемы.

Часто задаваемые вопросы

Что такое SIM-свопинг?

SIM-свопинг — это другое название атаки SIM-своп. Преступник уговаривает оператора или платит ему за перенос вашего номера на SIM-карту, которая у него, а затем использует входящие СМС для сброса паролей и прохождения проверок входа по СМС.

SIM-свопинг всё ещё актуален?

Да. В 2024 году IC3 получил 982 жалобы на SIM-своп с заявленными потерями на $25,98 млн. Эти цифры охватывают только тех жертв, кто подал жалобу, поэтому они являются нижней границей числа атак.

Законен ли SIM-свопинг?

Нет. Мужчина, осуществивший SIM-своп, стоявший за захватом аккаунта SEC в X в январе 2024 года, в мае 2025 года получил 14 месяцев федерального заключения, признав вину в сговоре с целью тяжкой кражи личных данных и мошенничества со средствами доступа.

Возможен ли SIM-своп с eSIM?

Да. Правила FCC определяют SIM как «физическую или виртуальную карту», а FINRA предупреждает: атакующий, убедивший вашего провайдера, что он — это вы, может перевести вашу eSIM на своё устройство.

Итог

Любая защита от атаки SIM-своп либо усложняет перенос номера, либо обесценивает его. Усложнение — задача операторов, и приведённый выше календарь показывает, сколько эта задача ждёт. Обесценивание — ваша зона ответственности. На это уходит один день: нужно убрать входы из СМС. После этого украденный номер даёт атакующему лишь телефонную линию и почти ничего больше.

Дисклеймер: эта статья носит исключительно информационный характер и не является финансовой рекомендацией. Торговля криптовалютами сопряжена с существенным риском. Перед принятием инвестиционных решений всегда проводите собственное исследование.