ІІ-інструмент для дипфейків ставить під загрозу перевірку особи у криптовалютній сфері
Нещодавно виявлений ІІ-інструмент для створення дипфейків привертає серйозну увагу дослідників у галузі безпеки після того, як з'явилися повідомлення про те, що він здатний обходити системи верифікації особи, які використовуються провідними криптовалютними біржами. Програмне забезпечення, відоме як JINKUSU CAM, за повідомленнями, здатне обходити перевірки «Знай свого клієнта» (KYC) на таких платформах, як Binance, Coinbase, Kraken та OKX. Використовуючи маніпуляції з обличчям і голосом у реальному часі, інструмент здатен підставляти сфабриковану особу під час живих відеосесій верифікації, потенційно обманюючи системи, на які покладаються мільйони користувачів для захисту своїх акаунтів.
Системи KYC існують не без причини. Регулятори в багатьох юрисдикціях зобов'язують криптовалютні біржі перевіряти, чи є користувачі тими, за кого себе видають. Ці перевірки допомагають запобігти шахрайству, відмиванню грошей і використанню вкрадених особистих даних для доступу до фінансових послуг. Якщо такий інструмент, як JINKUSU CAM, може надійно обходити ці перевірки, наслідки виходять далеко за межі окремих бірж.
Як працює JINKUSU CAM
За даними дослідників у галузі безпеки, JINKUSU CAM — це повноцінний пакет для створення дипфейків у реальному часі, розроблений спеціально для обходу процесів верифікації особи. Його основна можливість — прискорена за допомогою GPU заміна облич на основі таких фреймворків, як InsightFace, що забезпечує плавні та реалістичні рухи обличчя під час живих сесій. Програмне забезпечення також містить змінювач голосу з регульованими налаштуваннями тональності та готовими профілями, що дозволяє зловмисникам узгоджувати аудіовихід із візуальною ідентичністю, яка демонструється.
Інструмент підтримує виведення через віртуальну камеру за допомогою такого програмного забезпечення, як OBS, тобто маніпульований відеопотік можна безпосередньо вставляти в браузери та додатки для верифікації так, ніби це справжня камера. Він також працює в емуляторах Android, розширюючи свій потенційний охоплення на мобільні процеси верифікації. Додаткові ІІ-інструменти, зокрема GFPGAN і відстеження лицьової сітки, використовуються для точного відображення міміки, що робить згенеровану особу більш переконливою під час перевірок на живучість.
Визначення живучості — поширений захисний захід у сучасних системах KYC — призначене для підтвердження того, що під час верифікації присутня реальна людина, а не статичне зображення чи заздалегідь записане відео. Комбінація функцій у JINKUSU CAM, схоже, спеціально розроблена для обходу саме такого типу перевірок.
Ризик шахрайства виходить за рамки захоплення акаунтів
Аналітики у сфері безпеки попереджають, що такі інструменти, як JINKUSU CAM, можуть уможливити масштабне шахрайство, а не лише поодинокі інциденти. Одна з проблем пов'язана з використанням зображень, викрадених у результаті минулих витоків даних. Зловмисники потенційно можуть використовувати злиті особисті фотографії для створення реалістичних цифрових особистостей, здатних пройти перевірки верифікації та отримати доступ до фінансових акаунтів.
Існує також занепокоєння щодо шахрайства із синтетичними особистостями — методу, який поєднує реальні та сфабриковані дані для створення абсолютно нових ідентичностей. Ці синтетичні профілі можуть використовуватися для відмивання грошей, шахрайства зі створенням акаунтів та низки інших фінансових злочинів. Оскільки базова особистість не належить реальній людині, їх важко відстежити або позначити за допомогою традиційних методів.
Окрім безпосереднього ризику шахрайства, існування таких інструментів створює ширшу проблему довіри до систем KYC. Біржі та фінансові платформи значно інвестують у інфраструктуру відповідності. Якщо цю інфраструктуру можна обійти за допомогою комерційно доступного ІІ-програмного забезпечення, регуляторам та установам, можливо, доведеться повністю переосмислити поточний підхід до дистанційної верифікації особи.
Що це означає для вас
Для звичайних користувачів криптовалют поява інструментів такого типу є нагадуванням про те, що безпека платформи є настільки надійною, наскільки надійна її найслабша точка верифікації. Якщо зловмисники можуть створювати верифіковані акаунти, використовуючи сфабриковані особистості, законні користувачі можуть зіткнутися з підвищеним ризиком шахрайства та порушенням цілісності платформи.
Ця ситуація також підкреслює, чому важливо, які платформи ви обираєте. Біржі, які інвестують у багаторівневу безпеку, зокрема більш просунуте виявлення шахрайства поза базовими перевірками на живучість, краще підготовлені до реагування на подібні загрози.
Ось кілька практичних кроків, які ви можете вжити для власного захисту:
- Увімкніть багатофакторну автентифікацію (MFA) на всіх своїх криптовалютних акаунтах, використовуючи додаток-автентифікатор, а не SMS там, де це можливо.
- Регулярно перевіряйте свої акаунти на предмет несанкціонованої активності або незнайомих спроб входу.
- Будьте обережні щодо того, де зберігаються ваші особисті дані, і розгляньте можливість перевірки того, чи не з'являлася ваша інформація у відомих витоках даних.
- Використовуйте унікальні надійні паролі для кожної біржі або фінансової платформи, якою ви користуєтеся.
- Залишайтеся поінформованими про практики безпеки платформ, яким ви довіряєте свої активи.
Основна проблема полягає не в тому, що KYC зазнає невдачі як концепція, а в тому, що технології, які використовуються для її обходу, розвиваються швидше, ніж багато платформ зараз передбачають. Біржі знають про ці ризики, і команди безпеки працюють над реагуванням, однак користувачам не слід вважати, що будь-який окремий рівень верифікації робить акаунт повністю захищеним. Серйозне ставлення до власної безпеки залишається одним із найефективніших доступних засобів захисту.
