Phishing met nep-WalletConnect en wallet-pop-ups: zo werkt het en zo blijf je veilig

WalletConnect-phishing is een vorm van oplichting waarbij een nepwebsite een vervalst venster ‘wallet verbinden’ of een wallet-pop-up toont om je te verleiden je herstelzin in te typen of een kwaadaardige transactie te ondertekenen. Het echte WalletConnect-protocol vraagt nooit om je herstelzin; het geeft alleen verbindingsverzoeken en transacties door aan je wallet-app, waar jij ze goedkeurt.

Deze oplichting werkt omdat het verbinden van een wallet routine is geworden. Mensen klikken tientallen keren door dezelfde stappen, waardoor een overtuigende imitatie er makkelijk doorheen glipt. Weten hoe de echte stappen eruitzien, is de beste verdediging.

Hoe het echte verbindingsproces van een wallet werkt

Als je het legitieme proces begrijpt, herken je vervalsingen makkelijker:

1. 1Je bezoekt een gedecentraliseerde app en klikt op ‘Wallet verbinden’.
2. 2De app toont een lijst met opties, zoals een browserextensie of WalletConnect.
3. 3Kies je WalletConnect, dan toont de app een QR-code of opent hij op je telefoon je wallet-app via een deeplink.
4. 4Je wallet-app toont de naam en het domein van de site en vraagt je de verbinding goed te keuren.
5. 5Later, wanneer je een actie uitvoert, toont je wallet de transactie of het handtekeningverzoek en keur je die goed of wijs je die af.

Op geen enkel moment heeft de app je herstelzin of privésleutel nodig. Alles wat gevoelig is, blijft in je wallet. Onze gids over wallet-machtigingen en verbonden sites legt uit wat een verbinding wel en niet toestaat. Voor meer verdieping, zie Gemanipuleerde en nep-hardwarewallets.

Hoe de oplichting werkt, stap voor stap

Variant 1: Buitmaken van de herstelzin

1. 1Het lokaas. Het slachtoffer ziet een bericht over een probleem: ‘je wallet is niet gesynchroniseerd’, ‘claim mislukt, valideer je wallet’ of ‘migreer je tokens’. De links komen via reacties op sociale media, nep-supportaccounts, advertenties of e-mails.
2. 2De nepsite. De pagina lijkt een neutrale site voor ‘wallet-tools’ of ‘dapp-rectificatie’, vaak met WalletConnect-branding en een raster van wallet-logo’s.
3. 3De nepstoring. Een klik op een wallet-logo toont een nep-laadicoon en daarna een foutmelding: ‘Automatische verbinding mislukt. Verbind handmatig.’
4. 4De buit. De ‘handmatige’ optie vraagt om je 12 of 24 herstelwoorden, een privésleutel of een keystore-bestand. Wat je ook invoert, gaat naar de oplichter, die de wallet binnen enkele minuten leeghaalt.

Variant 2: Kwaadaardige handtekeningen

Hier maakt de site netjes verbinding met je echte wallet en vraagt je vervolgens iets schadelijks te ondertekenen: een onbeperkte tokengoedkeuring, een permit-handtekening of een transactie die activa overmaakt. De pop-up is echt; het verzoek is kwaadaardig. Onze uitleg over ice phishing en permit-handtekeningen gaat hier uitgebreid op in.

Variant 3: Nep-walletvensters in de pagina

Sommige sites tekenen in de pagina een perfecte imitatie van een populaire extensie-wallet, compleet met logo en wachtwoordveld. Die kan eerst om je wachtwoord vragen en daarna om je herstelzin ‘om de toegang te herstellen’. Gerelateerd: Phishing via zoekadvertenties.

Een hypothetisch voorbeeld

Het volgende is een samengesteld, illustratief scenario, geen echte zaak. Stel je Maya voor, die tokens heeft uit een eerdere airdrop van een project. Ze plaatst op sociale media dat haar claim is mislukt. Binnen enkele minuten reageert een account met het logo van het project: ‘Sorry voor het ongemak! Gebruik ons portaal voor wallet-synchronisatie om openstaande claims op te lossen’, met een link.

De site toont een venster in WalletConnect-stijl. Ze kiest haar wallet, ziet ‘Verbindingsfout, verbind handmatig’ en een veld vraagt om haar herstelzin. Ze typt hem in. Tien minuten later zijn haar tokens en de eigen munt van het netwerk weggesluisd. Het ‘support’-account verwijdert zijn reactie.

Elke stap had een waarschuwingssignaal: ongevraagde hulp, een niet-officiële link en vooral een verzoek om haar herstelzin. Ons artikel Oplichting met cryptoleningen gaat hier verder op in.

Checklist met waarschuwingssignalen

• Een site of venster vraagt om je herstelzin, privésleutel of keystore-bestand. Dat alleen betekent al dat het oplichting is.
• Het ‘walletvenster’ kan niet buiten de browser worden gesleept of verdwijnt als je van tabblad wisselt.
• Je kreeg de link via een reactie, een direct bericht, een advertentie of een ‘supportmedewerker’.
• Het domein is onbekend, verkeerd gespeld of heeft een vreemde extensie, en er wordt niet naar gelinkt vanaf de officiële site van het project.
• De pagina noemt een algemeen probleem zoals ‘synchronisatie’, ‘validatie’, ‘rectificatie’ of ‘whitelist’ dat opgelost moet worden.
• Je wallet toont een verzoek om onbeperkte uitgaven goed te keuren of een onleesbaar bericht te ondertekenen dat je niet verwachtte.
• Er wordt haast gemaakt: ‘je activa worden over 30 minuten bevroren’.

Zo bescherm je jezelf

1. 1Typ je herstelzin nooit op een website in. Je herstelzin hoort alleen in je wallet-app als je die herstelt, op je eigen apparaat.
2. 2Open apps via bladwijzers. Sla officiële links op vanaf de website van het project en gebruik ze elke keer. Zie hoe je controleert of een website de officiële projectsite is.
3. 3Lees het domein in je wallet. Controleer voordat je een verbinding goedkeurt of de sitenaam in de wallet overeenkomt met het officiële domein.
4. 4Lees elk handtekeningverzoek. Als je niet kunt zien wat een verzoek doet, wijs het dan af.
5. 5Gebruik een aparte wallet om te experimenteren. Bewaar langetermijnbezit in een wallet, bij voorkeur een hardwarewallet, die zelden met nieuwe sites verbindt.
6. 6Trek oude goedkeuringen regelmatig in. Onze gids over hoe je tokengoedkeuringen intrekt laat zien hoe.

Wat te doen als het je is overkomen

Volg daarna onze stapsgewijze gids over wat je direct moet doen als je wallet gecompromitteerd is. Bewaar de URL van de site, transactiehashes en screenshots, en meld de site via ons meldformulier voor oplichting zodat anderen gewaarschuwd kunnen worden. Wees op je hoede voor ‘herstelservices’ die daarna contact met je opnemen; vaak zijn ze een tweede vorm van oplichting.

Conclusie

WalletConnect en wallet-pop-ups zijn veilige hulpmiddelen wanneer ze van je echte wallet en een echte app komen. De oplichting zit in imitatievensters die om je herstelzin vragen en in kwaadaardige verzoeken die zijn vermomd als routinestappen. Geen enkele legitieme dienst heeft je herstelwoorden nodig. Vraagt een venster erom, sluit het dan.