Gratis interactieve demo
Klembordmalware hackt je portemonnee niet. Het bewerkt wat je plakt. Kopieer het fictieve adres hieronder, zet de duidelijk gelabelde aanvalsschakelaar om, plak, en zie de omwisseling bij jezelf gebeuren. Het één keer voelen is beter dan er tien keer over lezen.
Alleen fictieve adressen. Je klembord wordt alleen aangeraakt door je eigen kopiëren en plakken.
Stel je voor dat een vriend je zojuist dit adres heeft gestuurd om te betalen. Het is fictief en met opzet ongeldig, maar je klembord behandelt het als elke andere tekst. Dat is het punt.
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealUIT: Kopiëren is eerlijk en zet precies wat je ziet op het klembord
Dit verzendformulier is een decor. De knop verzendt nooit iets, naar niemand, nooit. Plak het adres dat je zojuist hebt gekopieerd en kijk goed voordat je “verzendt”.
Wat je zag (en dacht te kopiëren)
Wat je klembord daadwerkelijk afleverde
De eerste 8 en laatste 8 tekens zijn identiek. Aanvallers genereren vanity-adressen die overeenkomen met de uiteinden, omdat de uiteinden alles zijn wat de meeste mensen controleren.
In deze demo overleefde de omwisseling een blik op beide uiteinden. Dit is wat ze niet overleeft:
Niet twee of drie. Vergelijk een flinke reeks aan elk uiteinde (acht of meer) en steekproef het midden. Vergiftigingskits matchen korte uiteinden goedkoop. Elk extra teken dat je controleert vermenigvuldigt hun kosten. Lees het af van het scherm van de ontvanger, niet uit je geheugen.
Voor elke overdracht die pijn zou doen, stuur eerst een klein bedrag. Bevestig met de ontvanger, via een ander kanaal, dat het is aangekomen. Een omgewisseld adres steelt het kleine testbedrag, niet het saldo. Stuur pas daarna het echte bedrag, naar het adres dat de test bewees.
Een hardware-portemonnee toont de echte bestemming op zijn eigen scherm, buiten het bereik van de malware. Als het adres op het schermpje van het apparaat niet overeenkomt met wie je wilde betalen, liegt de computer tegen je. Dat scherm bestaat precies voor deze aanval.
Waarom een paar tekens controleren faalt: een adres genereren waarvan de eerste en laatste paar tekens overeenkomen met een doel is gewoon brute kracht. Het is goedkoop bij 3 tekens per uiteinde, duur bij 8, en het midden komt nooit overeen. De look-alike van de demo komt met opzet overeen op 8 + 8.
De malware die je klembord herschrijft, draait op dezelfde machine waar mensen seed-zinnen in notitie-apps bewaren, privésleutels in tekstbestanden en 2FA-back-upcodes in schermafbeeldingen. Een klembordbewaker wisselt niet alleen adressen om. Hij doorzoekt alles wat erdoorheen gaat op alles wat op een sleutel lijkt. Onversleutelde tekst op een geïnfecteerde machine is al verloren. De adresomwisseling is gewoon de versie die je mag zien gebeuren. Dat is het argument om sleutels en codes in een versleutelde kluis op je apparaat te bewaren, en om een echte seed-zin nooit een klembord te laten raken.
Beide demostrings zijn fictief ÉN aantoonbaar ongeldig. Ze bevatten de letter “o”, een van de vier tekens (1, b, i, o) die het bc1-adresformaat met opzet uitsluit om verkeerd lezen te voorkomen. Dus geen enkele portemonnee accepteert ze, en ze kunnen niet botsen met iemands geld. Echte klembordmalware bewaakt en herschrijft je klembord continu, op de achtergrond, voor altijd. Deze demo voert de omwisseling alleen uit op het moment dat je op Kopiëren drukt terwijl de aanvalsschakelaar zichtbaar aan staat. De pagina roept nooit een klembord-lees-API aan. De enige tekst die ze ooit ziet, is wat je in haar ene veld plakt, en dat wordt lokaal met de twee demostrings vergeleken en weggegooid. Er wordt niets opgeslagen, niets verzonden, en herladen zet alles terug.
Sealby bewaart seed-zinnen, sleutels en codes versleuteld op je iPhone. Ze worden alleen binnen de kluis ontsleuteld, nooit achtergelaten als leesbare tekst waar een klembordbewaker zoekt. Geen account om te kapen, ontkenbaar als het ertoe doet.
iPhone & iPad · iOS 17+ · Gratis