SIM卡劫持（SIM Swap Attack）是一種針對手機號碼的高階攻擊手法。攻擊者透過社會工程手段欺騙運營商，將你的手機號碼轉移到他們控制的SIM卡上，從而接收你的簡訊驗證碼，入侵你的交易所賬戶、郵箱甚至銀行賬戶。多位加密貨幣持有者因此損失了數百萬美元的資產。瞭解並防範這種攻擊至關重要。建議使用正規平臺並開啟最強安全設定，可以先幣安官網完善安全設定。
SIM卡劫持是怎麼發生的？
攻擊流程
- 資訊收集：攻擊者透過社交媒體、資料洩露等渠道收集你的個人資訊（姓名、生日、身份證號、手機號等）
- 聯絡運營商：冒充你聯絡手機運營商的客服，聲稱SIM卡丟失或損壞，要求將號碼轉移到新SIM卡
- 透過驗證：利用收集到的個人資訊透過運營商的身份驗證
- 號碼轉移：運營商將你的手機號啟用到攻擊者的SIM卡上
- 你的手機斷網：你的手機會突然失去訊號，無法打電話或收簡訊
- 接管賬戶：攻擊者用你的手機號重置交易所密碼，接收簡訊驗證碼，登入並轉走資產
整個過程可能只需要幾個小時
從號碼被轉移到資產被盜，可能只有很短的視窗期。等你發現手機沒訊號並聯系運營商時，資產可能已經被轉走了。
為什麼加密貨幣使用者是主要目標？
- 高價值目標：加密貨幣賬戶可能存有大量資產
- 不可逆轉：加密貨幣轉賬確認後無法撤銷
- 匿名性：被盜資產可以透過混幣器等工具洗白
- 依賴簡訊驗證：很多使用者將簡訊作為主要的2FA方式
真實案例
- 2020年，一名美國加密貨幣投資者因SIM Swap攻擊損失了約2400萬美元
- 多名NFT知名收藏家因手機號被劫持，價值數百萬美元的NFT被盜
- FCC統計顯示SIM Swap投訴從2013年到2023年增長了超過400%
如何防範SIM卡劫持？
1. 不要使用簡訊作為主要2FA
這是最重要的防護措施。將所有賬戶的2FA從簡訊改為谷歌驗證器或硬體安全金鑰。
- 交易所：使用Google Authenticator
- 郵箱：使用驗證器APP
- 社交媒體：使用驗證器APP
2. 設定運營商PIN碼
聯絡你的手機運營商，為賬戶設定額外的PIN碼或密碼。任何人要修改你的賬戶資訊都需要提供這個PIN碼。
- 中國移動/聯通/電信：前往營業廳設定SIM卡PIN碼和服務密碼
- 海外運營商：聯絡客服設定Account PIN
3. 減少個人資訊暴露
- 不要在社交媒體上公開你的手機號、生日、地址等資訊
- 不要在不信任的網站上註冊並提供真實手機號
- 儘量使用專用手機號繫結加密貨幣賬戶
4. 使用虛擬號碼
Google Voice等虛擬號碼服務不存在實體SIM卡，更難被劫持。但並非所有平臺都支援虛擬號碼註冊。
5. 開啟運營商的號碼鎖定
部分運營商提供"號碼鎖定"功能，鎖定後任何人（包括你本人）都無法線上或電話修改號碼關聯。需要本人攜帶身份證到營業廳才能解鎖。
6. 監控異常訊號
如果你的手機突然失去訊號或顯示"僅限緊急呼叫"，這可能是SIM Swap攻擊的跡象。應該立即：
- 使用其他裝置聯絡運營商
- 登入交易所修改密碼
- 凍結相關賬戶
如果已經被攻擊了怎麼辦？
- 立即聯絡運營商：要求立即凍結號碼並恢復到你的SIM卡
- 修改所有密碼：用不依賴手機號的方式修改所有重要賬戶密碼
- 聯絡交易所：告知安全團隊你遭到攻擊，請求凍結賬戶
- 報警：向警方報案，提供所有相關資訊
- 檢查郵箱：確認郵箱賬戶是否也被入侵
安全提醒
SIM卡劫持是一種嚴重但可防範的威脅：
- 立即行動：現在就將所有重要賬戶的2FA從簡訊改為驗證器APP
- 設定運營商PIN：這個簡單的步驟可以大幅提高攻擊難度
- 使用專用號碼：加密貨幣相關賬戶使用獨立的手機號
- 保護個人資訊：減少在公開場合暴露個人身份資訊
- 保持警惕：手機訊號異常時第一時間排查原因
- 多重安全：不要依賴單一安全措施，多種安全手段疊加使用。可以幣安官方APP，蘋果使用者參考iOS安裝教程在平臺內使用驗證器而非簡訊驗證
SIM卡劫持在中國常見嗎？
相對較少見。中國運營商的號碼轉移流程通常需要本人攜帶身份證到營業廳辦理，比一些西方國家的電話/線上辦理更安全。但仍不能完全排除風險。
使用eSIM更安全嗎？
eSIM相對傳統SIM卡稍微安全一些，因為不存在物理SIM卡被替換的問題。但如果攻擊者能說服運營商轉移eSIM配置，仍然存在風險。
谷歌驗證器能完全替代簡訊驗證嗎？
在大部分平臺上可以。建議在所有支援的平臺上用谷歌驗證器替代簡訊驗證。但某些平臺（如銀行）可能仍需要簡訊驗證，這種情況下需要透過運營商PIN碼來保護手機號。
SIM Swap攻擊者會被追責嗎？
在歐美國家，已有多起SIM Swap攻擊者被逮捕和起訴的案例。但由於加密貨幣的跨境特性和匿名性，很多案件仍難以偵破。預防始終比事後追責更重要。
哪些訊號說明我可能正在被SIM Swap攻擊？
手機突然無訊號、收到來自運營商的異常通知（如SIM卡變更確認）、收到你未發起的密碼重置郵件。出現這些情況時應立即採取行動。