Կրիպտոֆիշինգ՝ խաբեության սխեմաներ և ինչպես պաշտպանվել

Hyperliquid-ի օգտատերերը կորցրին մոտ 550 000 դոլար, և ոչ մի մասնավոր բանալի չի վտանգվել։ Հարձակվողները պարզապես գնեցին որոնողական գովազդ։

Կեղծ հարթակը ներկայացավ որպես թոքենացված ակտիվների առևտրի վայր և կանգնեց իրական նախագծից վեր՝ արդյունքներում։ Arkham Intelligence-ի տվյալներով՝ երեք փոխանցում խոշոր էին՝ 27 501, 82 503 և 440 015 USDC։ Հարձակվողների հասցեները հրապարակեց FlashRescue-ի համահիմնադիրը, ով շղթան հետագծեց on-chain։

Դեպքն այնքան սովորական է, որ գրեթե չքննարկվեց։ Հենց դրա համար էլ արժե անցնել ամբողջությամբ. մարդիկ կրիպտոն ամենից հաճախ կորցնում են հենց այսպես։

Ինչու է կրիպտոֆիշինգը գերազանցում կոտրելուն

Ծածկագրությունը կոտրելը թանկ է և անիմաստ։ Ավելի էժան է ակտիվի տիրոջը հասցնել այն վիճակին, որ նա ինքը ստորագրի գործարքը։

Սա է սահմանագիծը սովորական խարդախության և կրիպտոյում կատարվողի միջև։ Քարտային վճարումը կարելի է վիճարկել, ստորագրված գործողությունը՝ ոչ. չկա քլիրինգային պատուհան և չկա բանկ, ուր զանգել։ Ուստի ողջ նախագիծը կառուցված է ոչ թե գաղտնաբառերի, այլ մեկ սեղմումի շուրջ, որը օգտատերն անում է կամովին։

Երկրորդ տարբերությունը սխալի գինն է։ Փոստի գաղտնաբառի արտահոսքը արժենում է ժամանակ։ Մեկ սխալ ստորագրություն արժենում է ամբողջ մնացորդը, և ոչ մի աջակցության ծառայություն կամ դատարան միջոցները հետ չի բերի։

Երրորդը արագությունն է։ Հարձակվողի կողմի ավտոմատացումը վերցնում է ակտիվները հենց այն վայրկյանին, երբ հայտնվում է թույլտվությունը։ Այստեղ չկան այն քսանչորս ժամը, որ բանկն օգտագործում է վճարումը կանգնեցնելու համար։

Ուստի պաշտպանությունն այստեղ հակավիրուսը չէ, այլ սովորությունների հավաքածու՝ որտեղից ես բացում կայքը, ինչ ես կարդում ստորագրելուց առաջ, և որքան ես պահում ամենօրյա դրամապանակում։

Սխեմա առաջին. կեղծ կայք որոնողական գովազդում

Տարվա ամենատարածված պատմությունը։ Հանցագործները գնում են վճարովի որոնողական գովազդ բորսայի կամ ծառայության անվան վրա, և նրանց էջը դառնում է արդյունքների առաջին տողը՝ օրգանական ցանկից վեր։

Դրանից հետո ամեն ինչ անթերի է թվում՝ պատճենված ձևավորում, նույն լոգոն, ծանոթ կոճակ։ Օգտատերը տեսնում է ծանոթ կայք, հանգիստ միացնում է դրամապանակը և ստորագրում այն, ինչ դրված է իր առջև։ Ոչ մի կոտրում տեղի չի ունենում։ Մարդն ամեն ինչ արել է ինքը՝ իր իսկ բացած էջում։

Hyperliquid-ը միակ դեպքը չէ։ Մայիսին ավելի քան 400 000 դոլար դուրս բերվեց Uniswap-ի ինտերֆեյսի կլոնի միջոցով, որը գովազդվում էր նույն կերպ։ Օգոստոսին սարքերի արտադրող Trezor-ը հայտնեց իր բրենդն օգտագործող կեղծիքների աճի մասին, որոնց մի մասը նույնպես հայտնվում էր որոնման առաջարկություններում։

Վճարովի արդյունքների վտանգն այն է, որ դրանք շրջանցում են դիրքին նայելու սովորությունը։ Օգտատերերն առաջին տողն ընկալում են որպես գլխավոր, մինչդեռ վճարովի տեղը գնում է նրան, ով վճարել է։ Ֆիշինգային էջերն այդպիսի գովազդում ապրում են մի քանի օր, և դա բավական է։

Սխեմա երկրորդ. ստորագրել թույլտվություն՝ բանալին գողանալու փոխարեն

Ամենաթերագնահատվածը։ Սերմնային արտահայտություն այլևս գրեթե ոչ ոք չի խնդրում. բոլորը սովորել են այն չթելադրել։

Փոխարենը խնդրում են ստորագրել թույլտվություն, որը թույլ է տալիս ծախսել ձեր մնացորդից։ Ձևականորեն սա սովորական գործողություն է, և ոչ մի բորսայի ինտերֆեյս առանց դրա չի աշխատում։ Բայց կեղծ տարբերակում սահմանաչափն անսահման է, իսկ ստացողը՝ հարձակվողի հասցեն։ Բանալիները երբեք դուրս չեն գալիս, իսկ թոքենները կարելի է վերցնել ցանկացած պահի՝ նույնիսկ մեկ ամիս անց, երբ էջը վաղուց մոռացված է։

Հուլիսին մեկ ներդրող կորցրեց 999 999 USDT՝ ստորագրելով հենց այդպիսի մեկ գործողություն Ethereum-ում։ Հարձակվողների ավտոմատացումը փորձեց վերցնել մոտ մեկ միլիոն և ճշգրտեց գումարը առաջին անհաջող փորձից հետո։

Այդ պահին օգտատերը կարծում է, որ հաստատում է մուտքը։ Իրականում նա տալիս է լիազորագիր իր ակտիվների վրա։ Տարբերությունը տեսանելի է միայն ստորագրման պատուհանում, և հենց դա է, ինչ մարդկանց մեծ մասը սահեցնում է առանց կարդալու։

Սխեմա երրորդ. ֆիշինգային հաղորդագրություններ աջակցությունից

Հաճախորդների բազայի ցանկացած արտահոսքից հետո սկսվում է երկրորդ ալիքը։ Օգտատիրոջը զանգում կամ գրում են աջակցության ծառայության անունից, ասում են իր գնման ճիշտ մանրամասները և առաջարկում օգնություն՝ ազատել կախված միջոցները, շտապ թարմացնել որոնվածը, անցնել ինքնության ստուգում։

Իրական աջակցությունն առաջինը չի գրում, սերմնային արտահայտություն չի խնդրում և վերականգնման ձևի հղում չի ուղարկում։ Ցանկացած հաղորդագրություն, որը ժամանակի ճնշում է կիրառում, ըստ լռելյայնի պետք է համարվի խաբեության մաս։

Առանձին տեսակ է նամականիշը՝ ձեր հաշվի մեջ կասկածելի մուտքի մասին։ Հաշվարկն այն է, որ օգտատերը խուճապի մեջ հետևի հղմանը՝ առանց ուղարկողին ստուգելու։ Այս տեսակի ֆիշինգային նամակները պատճենում են բորսայի ձևավորումը մինչև ստորագրությունն ու իրավաբանական հասցեն, իսկ դոմենը տարբերվում է մեկ տառով։

Սխեմա չորրորդ. փոխանցումների պատմության թունավորում

Հարձակվողներն ուղարկում են փոշի այն հասցեից, որի առաջին և վերջին նիշերը համընկնում են այն հասցեի հետ, որի հետ օգտատերը մշտապես աշխատում է։ Խաղադրույքը պատմությունից պատճենելու վրա է. մարդը ցուցակից վերցնում է իր հասցեն, իսկ այն ուրիշինն է։

Սխեման ընդհանրապես մուտք չի պահանջում և աշխատում է անուշադրության վրա։ Պաշտպանությունը մեկն է. ստացողի հասցեն վերցվում է հասցեագրքից կամ ստուգվում ամբողջությամբ, երբեք՝ չորս նիշով։

Սխեմա հինգերորդ. կեղծ հավելվածներ և ընդլայնումներ

Կեղծ բջջային հավելվածները հասնում են նույնիսկ պաշտոնական խանութներ, իսկ բրաուզերի ընդլայնումները՝ հավելումների կատալոգներ։ Ներսում սովորական սերմնային արտահայտության ձև է՝ ներմուծման էկրանի տեսքով։

Սա ստուգելը ձանձրալի է, բայց հուսալի. հրապարակողը, տեղադրումների քանակը, հրապարակման ամսաթիվը, և խանութ հասնելը նախագծի պաշտոնական էջից, ոչ թե անունը որոնելով։ Թարմ հավելված հարյուր ներբեռնումով և հայտնի լոգոյով կեղծիք է, ոչ թե բախտավոր գտածո։

Ում են թիրախավորում

Տարածված է կարծիքը, թե կրիպտոֆիշինգը որսում է խոշոր տերերին։ Գործնականում թիրախն ընտրվում է ըստ վարքի, ոչ թե պորտֆելի չափի։

Առաջինը տուժում են նորեկները. նրանք հասցեն կրկնակի ստուգելու սովորություն չունեն, բայց ունեն շատ անհանգստություն՝ ինչ-որ բան սխալ անելու։ Հաջորդը էյրդրոփի և թեստցանցի մասնակիցներն են, ովքեր սովոր են անընդմեջ միանալ տասնյակ անծանոթ ինտերֆեյսների, ուստի այդ հոսքում մեկ վնասաբեր էջն ընդհանրապես չի առանձնանում։

Երրորդ խումբը ակտիվ թրեյդերներն են։ Նրանք շտապում են, աշխատում են միանգամից մի քանի ներդիրով և գործողությունները հաստատում ավտոպիլոտով։ Հենց դրա համար ֆիշինգային էջերն ավելի հաճախ ընդօրինակում են առևտրային ինտերֆեյսներ, քան պահպանման հավելվածներ. առևտրում օգտատերն ըստ սահմանման շտապում է։

Խնդրի մասշտաբը

Առանձին դեպքերը գումարվում են վիճակագրության, որը բացատրում է, թե ինչու այս հարձակումները չեն դադարում։ Մեկ ներդրող տասնհինգ րոպեում կորցրեց 25,6 միլիոն դոլար՝ թիրախային հարձակումից։ Հարյուր հազարների կորուստները, ինչպես Hyperliquid-ի դեպքում, անցնում են որպես սովորական դրվագներ և նույնիսկ ոլորտային ամփոփումներ չեն ընկնում։

Տնտեսությունը հօգուտ հարձակվողի է. գովազդն արժե տասնյակ դոլար, կայքի պատճենը կառուցվում է մեկ ժամում, իսկ հարձակումն ավտոմատ մասշտաբավորվում է միանգամից հազարավոր օգտատերերի։

Կրիպտոյում կա առանձին խնդիր. չկա ոլորտային մարմին, որտեղ կուտակվեն բողոքները։ Վնասաբեր ռեսուրսը արգելափակվում է, երբ բավականաչափ տուժածներ հաղորդում են դրա մասին, իսկ մինչ այդ այն ապրում է իր կյանքով և հավաքում ստորագրություններ։ Այդպիսի էջի միջին կյանքը չափվում է օրերով, բայց այդ օրերին դրա միջով անցնում են հարյուրավոր մարդիկ։

Ինչ ստուգել դրամապանակը միացնելուց առաջ

Առաջին կանոն. հարթակ չեն հասնում գովազդից և չեն հետևում նամակների հղումներին։ Էջանիշ կամ ձեռքով մուտքագրված հասցե, ուրիշ ոչինչ։ Այս մեկ կանոնը փակում է դատարկ մնացորդով ավարտվող պատմությունների մեծ մասը։

Երկրորդ. ստուգել դոմենն ամբողջությամբ՝ նիշ առ նիշ։ Կեղծիքները կառուցված են հայացքից փրկվելու, ոչ թե ուշադիր ընթերցումից, ուստի փնտրեք ավելորդ տառ, գծիկ, այլ վերին մակարդակի դոմեն։

Երրորդ. անծանոթ ծառայության միանալուց առաջ ստուգեք, թե կոնկրետ ինչ են խնդրում ստորագրել։ Ինտերֆեյսը ցույց է տալիս գործողության տեսակը և սահմանաչափը. անծանոթ կայքում ձեր թոքենները ծախսելու անսահման իրավունքը ներդիրը փակելու պատճառ է։

Չորրորդ. փորձերի համար պահեք առանձին դրամապանակ։ Փոքր գումարը կորուստ չէ, իսկ ձեր հիմնական մնացորդն ընդհանրապես երբեք չի միանում անծանոթ ինտերֆեյսների։

Հինգերորդ. ստուգված կայքերը պահեք էջանիշերում և ինքներդ վարեք այդ ցանկը։ Որոնման արդյունքները փոխվում են ամեն օր, ձեր էջանիշերը՝ ոչ։ Կրիպտոյի հետ կապված ցանկացած նոր կայք էջանիշ է դառնում միայն այն բանից հետո, երբ գտել եք այն նախագծի պաշտոնական ալիքով։

Վեցերորդ. ամսական առնվազն մեկ անգամ վերանայեք նախկինում տրված թույլտվությունները։ Հին ծախսային թույլտվությունը կենդանի է մնում մինչև չեղարկելը, իսկ մարդիկ սովորաբար հիշում են դրա մասին այն բանից հետո, երբ փողը գնացել է։

Ինչ անել, եթե արդեն ստորագրել եք

Չեղարկեք գործող թույլտվությունները։ Դա արվում է դրամապանակի ինտերֆեյսում կամ թույլտվությունների ստուգիչի միջոցով։ Քանի դեռ թույլտվությունը կենդանի է, միջոցները կարող են հեռանալ ցանկացած պահի՝ նույնիսկ եթե վնասաբեր էջը վաղուց փակված է։

Մնացած մնացորդը տեղափոխեք նոր հասցե։ Եթե ստորագրությունը վերաբերում էր կոնկրետ թոքենի, առաջինը տեղափոխեք հենց այն. դրա համար ամենաշուտ կգան։

Միացրեք երկգործոն նույնականացումը, եթե խոսքը բորսայի հաշվի մասին է, ոչ թե ինքնապահպանման։ Այն չի փրկի ստորագրված գործարքից, բայց փակում է պարագծի մյուս կեսը։

Եվ մի վճարեք այն «միջոցների վերադարձի ծառայություններին», որոնք կհայտնվեն ձեր բողոքի տակ մեկնաբանություններում։ Դա նույն խումբն է՝ վերադարձած երկրորդ անցումի. արդեն կորցրած մարդուն խաբելն ավելի հեշտ է, քան նոր զոհ գտնելը։

Կարճ ստուգաթերթ

Հարթակներ մտնել միայն էջանիշերից։ Ստուգել դոմենն ամբողջությամբ։ Կարդալ, թե ինչ եք ստորագրում։ Հիմնական մնացորդը չպահել այն դրամապանակում, որով միանում եք անծանոթ ինտերֆեյսների։ Հնացած թույլտվությունները չեղարկել ամսական առնվազն մեկ անգամ։

Հաճախակի հարցեր

Կարելի՞ է վերադարձնել կրիպտոն ֆիշինգային հարձակումից հետո

Գրեթե երբեք։ Գործարքն անշրջելի է, իսկ ինքնապահպանման դեպքում չկա միջնորդ, ով կարող էր չեղարկել այն։ Միակ աշխատող քայլը թույլտվությունը չեղարկելն է և մնացորդը տեղափոխելը՝ նախքան ավտոմատացումը կգործի։

Սարքային դրամապանակն օգնո՞ւմ է

Բանալիների գողությունից՝ այո։ Ֆիշինգից՝ միայն մասամբ։ Սարքը ցույց կտա, թե ինչ է ստորագրվում, բայց եթե օգտատերը հաստատում է առանց նայելու, արդյունքը նույնն է։

Ինչպե՞ս տարբերել կեղծ կայքը, եթե այն նույնական է թվում

Ըստ հասցեի և ըստ այն բանի, թե ինչպես եք այնտեղ հայտնվել։ Արտաքինը պատճենվում է կատարյալ, դոմենը՝ ոչ։ Ուստի ստուգեք հասցեագոտին և հարթակ մտեք էջանիշերից։

Ի՞նչն է ավելի վտանգավոր՝ ֆիշինգային նամակնե՞րը, թե՞ որոնողական գովազդը

Գովազդը։ Նամակն ինքնին կասկած է առաջացնում, մինչդեռ որոնման արդյունքների առաջին տողն ընկալվում է որպես որոնողական համակարգի ընտրություն և ավելի շատ վստահություն է ստանում։

Արժե՞ հաղորդել ֆիշինգային կայքի մասին

Այո, և անմիջապես՝ պաշտոնական նախագծին, որի բրենդը պատճենվել է, և որոնողական համակարգին՝ գովազդի բողոքի ձևի միջոցով։ Այդ էջերն ապրում են ուղիղ այնքան, որքան պահանջվում է դրանք արգելափակելու համար, և յուրաքանչյուր հաղորդում կրճատում է այդ ժամկետը։