SIM卡劫持（SIM Swap Attack）是一种针对手机号码的高级攻击手法。攻击者通过社会工程手段欺骗运营商，将你的手机号码转移到他们控制的SIM卡上，从而接收你的短信验证码，入侵你的交易所账户、邮箱甚至银行账户。多位加密货币持有者因此损失了数百万美元的资产。了解并防范这种攻击至关重要。建议使用正规平台并开启最强安全设置，可以先币安官网完善安全设置。
SIM卡劫持是怎么发生的？
攻击流程
- 信息收集：攻击者通过社交媒体、数据泄露等渠道收集你的个人信息（姓名、生日、身份证号、手机号等）
- 联系运营商：冒充你联系手机运营商的客服，声称SIM卡丢失或损坏，要求将号码转移到新SIM卡
- 通过验证：利用收集到的个人信息通过运营商的身份验证
- 号码转移：运营商将你的手机号激活到攻击者的SIM卡上
- 你的手机断网：你的手机会突然失去信号，无法打电话或收短信
- 接管账户：攻击者用你的手机号重置交易所密码，接收短信验证码，登录并转走资产
整个过程可能只需要几个小时
从号码被转移到资产被盗，可能只有很短的窗口期。等你发现手机没信号并联系运营商时，资产可能已经被转走了。
为什么加密货币用户是主要目标？
- 高价值目标：加密货币账户可能存有大量资产
- 不可逆转：加密货币转账确认后无法撤销
- 匿名性：被盗资产可以通过混币器等工具洗白
- 依赖短信验证：很多用户将短信作为主要的2FA方式
真实案例
- 2020年，一名美国加密货币投资者因SIM Swap攻击损失了约2400万美元
- 多名NFT知名收藏家因手机号被劫持，价值数百万美元的NFT被盗
- FCC统计显示SIM Swap投诉从2013年到2023年增长了超过400%
如何防范SIM卡劫持？
1. 不要使用短信作为主要2FA
这是最重要的防护措施。将所有账户的2FA从短信改为谷歌验证器或硬件安全密钥。
- 交易所：使用Google Authenticator
- 邮箱：使用验证器APP
- 社交媒体：使用验证器APP
2. 设置运营商PIN码
联系你的手机运营商，为账户设置额外的PIN码或密码。任何人要修改你的账户信息都需要提供这个PIN码。
- 中国移动/联通/电信：前往营业厅设置SIM卡PIN码和服务密码
- 海外运营商：联系客服设置Account PIN
3. 减少个人信息暴露
- 不要在社交媒体上公开你的手机号、生日、地址等信息
- 不要在不信任的网站上注册并提供真实手机号
- 尽量使用专用手机号绑定加密货币账户
4. 使用虚拟号码
Google Voice等虚拟号码服务不存在实体SIM卡，更难被劫持。但并非所有平台都支持虚拟号码注册。
5. 开启运营商的号码锁定
部分运营商提供"号码锁定"功能，锁定后任何人（包括你本人）都无法在线或电话修改号码关联。需要本人携带身份证到营业厅才能解锁。
6. 监控异常信号
如果你的手机突然失去信号或显示"仅限紧急呼叫"，这可能是SIM Swap攻击的迹象。应该立即：
- 使用其他设备联系运营商
- 登录交易所修改密码
- 冻结相关账户
如果已经被攻击了怎么办？
- 立即联系运营商：要求立即冻结号码并恢复到你的SIM卡
- 修改所有密码：用不依赖手机号的方式修改所有重要账户密码
- 联系交易所：告知安全团队你遭到攻击，请求冻结账户
- 报警：向警方报案，提供所有相关信息
- 检查邮箱：确认邮箱账户是否也被入侵
安全提醒
SIM卡劫持是一种严重但可防范的威胁：
- 立即行动：现在就将所有重要账户的2FA从短信改为验证器APP
- 设置运营商PIN：这个简单的步骤可以大幅提高攻击难度
- 使用专用号码：加密货币相关账户使用独立的手机号
- 保护个人信息：减少在公开场合暴露个人身份信息
- 保持警惕：手机信号异常时第一时间排查原因
- 多重安全：不要依赖单一安全措施，多种安全手段叠加使用。可以币安官方APP，苹果用户参考iOS安装教程在平台内使用验证器而非短信验证
SIM卡劫持在中国常见吗？
相对较少见。中国运营商的号码转移流程通常需要本人携带身份证到营业厅办理，比一些西方国家的电话/在线办理更安全。但仍不能完全排除风险。
使用eSIM更安全吗？
eSIM相对传统SIM卡稍微安全一些，因为不存在物理SIM卡被替换的问题。但如果攻击者能说服运营商转移eSIM配置，仍然存在风险。
谷歌验证器能完全替代短信验证吗？
在大部分平台上可以。建议在所有支持的平台上用谷歌验证器替代短信验证。但某些平台（如银行）可能仍需要短信验证，这种情况下需要通过运营商PIN码来保护手机号。
SIM Swap攻击者会被追责吗？
在欧美国家，已有多起SIM Swap攻击者被逮捕和起诉的案例。但由于加密货币的跨境特性和匿名性，很多案件仍难以侦破。预防始终比事后追责更重要。
哪些信号说明我可能正在被SIM Swap攻击？
手机突然无信号、收到来自运营商的异常通知（如SIM卡变更确认）、收到你未发起的密码重置邮件。出现这些情况时应立即采取行动。