Wallet drainers: hoe kwaadaardige goedkeuringen je crypto stelen

Een wallet drainer is een kwaadaardige website of een script dat je verleidt tot het ondertekenen van transacties of berichten die een aanvaller toestemming geven om je tokens en NFT’s te verplaatsen, en die toestemming vervolgens gebruikt om je wallet leeg te halen. De aanvaller heeft je herstelzin nooit nodig; je eigen handtekening doet het werk.

Drainers zitten achter veel van de verliezen die worden gemeld na nep-airdrops, nep-mints en gehackte socialemedia-accounts van projecten. Ze zijn verkocht als kant-en-klare kits, soms ‘drainer-as-a-service’ genoemd, waardoor zelfs oplichters zonder technische kennis ze kunnen inzetten. Begrijpen wat je ondertekent is de beste verdediging.

Hoe tokengoedkeuringen werken (en waarom drainers er dol op zijn)

Op Ethereum en andere EVM-chains kunnen gedecentraliseerde apps je tokens niet zelf verplaatsen. Eerst geef je een goedkeuring: toestemming voor een specifiek contract om namens jou een specifieke token uit te geven, tot een vastgesteld bedrag. DEX’en en leenprotocollen hebben dit nodig om te werken.

Het probleem is dat veel apps voor het gemak om onbeperkte goedkeuringen vragen, en goedkeuringen blijven actief tot je ze intrekt. Een drainer vraagt je simpelweg zijn contract goed te keuren in plaats van een legitiem contract. Zodra je ondertekent, kan de aanvaller op elk gewenst moment een overboeking uitvoeren.

Voor NFT’s is het equivalent setApprovalForAll, waarmee een operator elke NFT die je in een collectie bezit kan verplaatsen. Marktplaatsen gebruiken dit op legitieme wijze; drainers gebruiken het om hele collecties in één keer weg te halen. Voor meer achtergrond, zie Crypto-oplichting op Instagram en TikTok.

De handtekeningen die drainers gebruiken

Gasloze handtekeningen zijn extra misleidend. Omdat ze niets kosten, denken mensen dat het onschuldige ‘logins’ zijn. Sommige zijn dat ook. Andere zijn permits die uitgaven autoriseren. Ons artikel over ice phishing en permit-handtekeningen legt dit uitgebreid uit.

Zo verloopt een drainer-aanval meestal

1. 1Het lokaas. Een link komt binnen via een nepaankondiging van een airdrop, een reactie op een officiële post, een gehackte Discord-server, een gesponsorde zoekadvertentie of een privébericht dat ‘support’ aanbiedt.
2. 2De overtuigende site. De pagina kopieert het ontwerp van een echt project en vraagt je je wallet te koppelen.
3. 3Bezittingen scannen. Drainer-scripts controleren je saldi en vragen eerst goedkeuringen voor je waardevolste bezittingen.
4. 4De handtekening. Verzoeken worden gepresenteerd als ‘claim’, ‘verify’, ‘mint’ of ‘sync’, met tijdsdruk zoals afteltimers.
5. 5Het leeghalen. De bezittingen worden weggesluisd, vaak binnen enkele seconden, en snel geswapt of via bridges verplaatst om traceren te bemoeilijken.

Waarom drainers ook bij ervaren gebruikers werken

Drainers zijn niet afhankelijk van overduidelijk nepwebsites. Veel aanvallen beginnen vanaf het gecompromitteerde account van een echt project, waardoor de aankondiging echt lijkt omdat ze vanaf het echte account wordt geplaatst. Andere duiken op precies wanneer een echte airdrop of mint populair is, wanneer mensen verwachten transacties te ondertekenen en zich haasten om er vroeg bij te zijn. Gerelateerd: SIM-swapaanvallen. Wil je verder lezen, bekijk dan Oplichting met nep-tokenmigraties en swaps.

Walletverzoeken zien er bovendien vergelijkbaar uit, of je nu een vertrouwde DEX goedkeurt of een drainer-contract. Het verschil zit in de details: het adres van de spender, de token en het bedrag. Ervaren gebruikers trappen erin wanneer de gewoonte het overneemt en ze op ‘bevestigen’ klikken zoals ze al honderd keer eerder deden. We behandelen dit uitgebreider in Kwaadaardige browserextensies die crypto stelen. Gerelateerd: E-mailbeveiliging voor cryptogebruikers.

Waarschuwingssignalen voordat je ondertekent

• Je kwam binnen via een DM, een reactie, een advertentie of een link die je niet zelf hebt opgezocht.
• De site vraagt goedkeuring voor een token die je niet van plan was te verhandelen.
• Het goedkeuringsbedrag is onbeperkt of het spenderadres is onbekend.
• Je wordt gevraagd een bericht te ondertekenen dat je niet kunt lezen, of je wallet waarschuwt voor blind ondertekenen.
• Er is druk: ‘claim verloopt over 10 minuten’, ‘je wallet wordt geblokkeerd’.
• Het domein klopt net niet, is pas geregistreerd of gebruikt een ongebruikelijke extensie. Zie cryptophishingsites.

Zo bescherm je jezelf

1. 1Gebruik een burner wallet voor nieuwe mints, airdrops en onbekende apps, met alleen wat je nodig hebt. Bewaar je langetermijnbezit in een aparte wallet die zelden ergens mee verbindt. Onze gids over burner wallets legt uit hoe je dat inricht.
2. 2Lees elk verzoek. Controleer de actie, token, het bedrag en de spender voordat je ondertekent. Begrijp je het niet, weiger het dan.
3. 3Kies liever beperkte goedkeuringen als je wallet je een eigen bedrag laat instellen.
4. 4Schakel transactievoorbeelden of simulatiefuncties in je wallet in als die er zijn; ze laten zien wat je wallet gaat verlaten.
5. 5Trek regelmatig in. Controleer oude goedkeuringen en verwijder ze. Onze stapsgewijze gids over hoe je tokengoedkeuringen intrekt laat zien hoe.
6. 6Navigeer rechtstreeks. Typ bekende URL’s in of gebruik opgeslagen bladwijzers in plaats van op links te klikken.

Als je denkt dat je wallet is leeggehaald

Handel snel, want aanvallers komen vaak terug voor de resterende bezittingen:

• Trek alle goedkeuringen in die je niet herkent.
• Verplaats het resterende geld naar een gloednieuwe wallet met een nieuwe herstelzin, vooral als je je herstelzin ergens hebt ingevoerd.
• Noteer de transactiehashes, de adressen van de aanvaller en de URL van de site.
• Meld de site en de adressen, bijvoorbeeld via ons formulier om oplichting te melden, en bij het platform waar je de link vond.
• Negeer iedereen die aanbiedt je geld tegen betaling terug te halen; herstel-oplichting richt zich op recente slachtoffers.

Zie ook onze checklist over wat je direct moet doen als je wallet is gecompromitteerd.

Conclusie

Wallet drainers kraken de cryptografie van je wallet niet; ze zorgen ervoor dat jij de diefstal autoriseert. Behandel elke handtekening als een mogelijke overdracht van controle, bewaar waardevolle bezittingen in een wallet die nooit met onbekende sites in aanraking komt en ruim je goedkeuringen regelmatig op. Dertig seconden vertragen voordat je ondertekent is het effectiefste beveiligingsmiddel dat je hebt.