Oplichting met nep-tokenmigraties en swaps

Oplichting met tokenmigratie is fraude waarbij criminelen je vertellen dat een token die je bezit moet worden „geüpgraded”, „gemigreerd” of „geswapt” naar een nieuwe versie, en je vervolgens naar een nepportaal sturen dat je wallet leeghaalt via een kwaadaardige goedkeuring, een handtekening of een verzoek om je herstelzin. De oplichting werkt omdat echte migraties wel degelijk voorkomen, waardoor het verhaal geloofwaardig klinkt.

Projecten wisselen om legitieme redenen van contract, bijvoorbeeld bij upgrades, rebrands of een overstap naar een andere chain. De overstap van Polygon van MATIC naar POL is een bekend voorbeeld van een echte overgang. Elke echte migratie creëert een periode waarin houders instructies verwachten, en oplichters haasten zich om die periode met nep-instructies te vullen.

Waarom echte migraties een opening bieden

Er zijn legitieme redenen waarom een project houders kan vragen tokens te swappen:

• Contractupgrades. Een bug of nieuwe functie vereist een nieuw tokencontract.
• Rebrands en tokenwissels. Een project vervangt een token door een opvolger.
• Chainverhuizingen. Een token verhuist van de ene blockchain naar de andere, bijvoorbeeld van een ERC-20 naar het eigen mainnet van een project.
• Herdenominaties. Het aanbod wordt gesplitst of samengevoegd, zodat bijvoorbeeld 1 oude token 100 nieuwe wordt.

Elk van deze situaties zorgt voor verwarring, en verwarring is winstgevend voor oplichters. Veel houders volgen het projectnieuws niet op de voet, dus een overtuigend bericht dat „de oude token wordt uitgefaseerd” kan aanvoelen als dringende, nuttige informatie. Gerelateerd: Phishing via zoekadvertenties.

Zo werkt de oplichting, stap voor stap

1. 1Een doelwit kiezen. Oplichters houden aangekondigde migraties in de gaten of verzinnen er gewoon een voor een populaire token.
2. 2Het portaal bouwen. Ze kopiëren het websiteontwerp van het project naar een sterk gelijkend domein met een knop „Migreren” of „V2 claimen”.
3. 3De link verspreiden. Ze plaatsen hem in reacties op officiële accounts, kopen zoekadvertenties, sturen directe berichten op Telegram en Discord, airdroppen waardeloze tokens waarvan de naam een URL is of doen zich voor als supportmedewerkers.
4. 4Haast creëren. De berichten beweren dat de oude token binnen enkele uren „niet meer werkt” of „al zijn waarde verliest”.
5. 5Het geld nemen. Het portaal vraagt je je wallet te verbinden en daarna onbeperkte uitgaven goed te keuren, een permit- of Permit2-bericht te ondertekenen, tokens naar een „migratiecontract” te sturen of je wallet te „valideren” door je herstelzin in te voeren.
6. 6Leeghalen en witwassen. Zodra je ondertekent, haalt een geautomatiseerde drainer je tokens weg, vaak binnen enkele seconden, en verdeelt ze over veel adressen.

Meer over de gebruikte ondertekeningstrucs lees je in onze gids over ice phishing en permit-handtekeningen.

Een hypothetisch voorbeeld

Het volgende is een illustratief, samengesteld voorbeeld, geen echte zaak.

Stel je een houder voor die Sam heet en een middelgrote DeFi-token bezit. Op een ochtend ziet Sam een reactie onder het officiële bericht van het project: „Herinnering: V1-tokens worden om middernacht UTC uitgefaseerd. Migreer hier.” De link leidt naar een site die er precies zo uitziet als die van het project, met één letter anders in het domein. We gaan hier dieper op in in Nep-WalletConnect en phishing via wallet-pop-ups.

Sam verbindt een wallet en klikt op „Migreren”. De wallet toont een goedkeuringsverzoek voor de token met een onbeperkt bedrag. Sam neemt aan dat dit normaal is bij een swap en bevestigt. Binnen een minuut verlaat het volledige tokensaldo de wallet. Een tweede verzoek vraagt Sam vervolgens een bericht te ondertekenen om „V2-tokens te ontvangen”; het is een permit voor een andere token in de wallet. Er komen nooit V2-tokens binnen. Het echte project had helemaal geen migratie aangekondigd. Zie ook: Nep-bridgewebsites.

Checklist met waarschuwingssignalen

Zo controleer je een echte migratie

1. 1Ga zelf naar de bron. Typ het officiële domein van het project in of gebruik een bladwijzer. Zoek in de officiële documentatie en blog naar een migratiepagina. Onze gids over hoe je controleert of een website de officiële projectsite is legt uit hoe.
2. 2Controleer de aankondiging via meerdere bronnen. Ga na of die op de geverifieerde socialemedia-accounts van het project staat en idealiter wordt gemeld door exchanges die de token noteren.
3. 3Kijk bij je exchange. Staan je tokens op een exchange, zoek dan naar de officiële mededeling daarvan. Exchanges regelen de swap meestal voor hun klanten.
4. 4Controleer het nieuwe contract. Vergelijk het adres van de nieuwe token in de officiële documentatie en in een blockexplorer, zoals beschreven in onze gids over het controleren van het officiële contractadres van een token.
5. 5Lees de transactie voordat je ondertekent. Controleer of het contract dat je goedkeurt overeenkomt met het gedocumenteerde migratiecontract en beperk het goedkeuringsbedrag waar mogelijk.
6. 6Wacht als je twijfelt. Echte migraties straffen houders zelden af omdat ze een dag de tijd nemen om te controleren.

Wat te doen als je erin bent getrapt

Handel snel, in deze volgorde:

1. 1Trek goedkeuringen in. Gebruik een betrouwbare goedkeuringstool om elke goedkeuring of permit aan het oplichterscontract in te trekken. Zie hoe je tokengoedkeuringen intrekt.
2. 2Beveilig de wallet. Heb je je herstelzin ingevoerd, beschouw de wallet dan als gecompromitteerd en verplaats resterende tegoeden naar een gloednieuwe wallet met een nieuwe herstelzin. Volg onze checklist over wat je direct moet doen als je wallet gecompromitteerd is.
3. 3Leg bewijs vast. Bewaar de URL, screenshots, transactiehashes en de adressen van de oplichter.
4. 4Meld het. Licht het echte project, je walletprovider en het platform waar je de link zag in. Je kunt de site en adressen ook bij ons melden via ons meldformulier voor oplichting.
5. 5Pas op voor herstel-oplichting. Mensen die beloven je geld tegen betaling terug te halen, voeren bijna altijd een tweede oplichting uit.

Conclusie

Oplichting met tokenmigratie misbruikt een echt proces: projecten swappen of upgraden soms echt tokens. De verdediging is eenvoudig maar streng. Volg alleen migratie-instructies die je zelf via officiële kanalen hebt gevonden, controleer het nieuwe contractadres, deel nooit een herstelzin en beschouw haast en privéberichten als rode vlaggen. Als een migratie echt is, is die er nog steeds nadat je alles hebt gecontroleerd.