Fałszywe strony mostów: jak korzystać z mostu, nie tracąc środków
Fałszywe strony mostów kopiują prawdziwe mosty cross-chain, aby opróżniać portfele. Dowiedz się, jak działa to oszustwo, jakie są sygnały ostrzegawcze i jak wygląda bezpieczna procedura korzystania z mostu.
Fałszywa strona mostu to łudząco podobna kopia prawdziwego mostu cross-chain, która nakłania cię do podpisania transakcji lub zgody na token, przekazującej twoje środki atakującemu. Aby korzystać z mostu bez utraty środków, otwieraj go wyłącznie przez zweryfikowaną zakładkę lub oficjalną dokumentację, sprawdzaj domenę i adresy kontraktów, czytaj każde żądanie portfela przed podpisaniem i najpierw wykonaj test z małą kwotą.
Mosty przenoszą tokeny z jednego blockchaina na inny, na przykład z Ethereum do sieci warstwy 2. Ponieważ użytkownicy często korzystają z mostów w pośpiechu, goniąc za nową siecią, airdropem lub transakcją, interfejsy mostów są ulubionym celem phishingu. Ten poradnik wyjaśnia, jak działa to oszustwo i jaka procedura mu zapobiega.
Jak działa atak z użyciem fałszywego mostu
Większość oszustw z fałszywymi mostami przebiega według tych samych kroków:
- 1Kopia. Atakujący klonuje front-end popularnego mostu i umieszcza go na domenie różniącej się jedną literą, myślnikiem lub inną końcówką.
- 2Przynęta. Promuje link przez płatne reklamy w wyszukiwarkach, odpowiedzi pod wpisami prawdziwego projektu, fałszywe konta „wsparcia” lub ogłoszenia, że nowa sieć albo airdrop wymaga skorzystania z mostu.
- 3Połączenie. Łączysz portfel. Strona odczytuje twoje salda, więc wie, które tokeny warto zaatakować.
- 4Żądanie. Klikasz „bridge”. Zamiast wywołać prawdziwy kontrakt mostu, strona prosi o zatwierdzenie tokena dla kontraktu atakującego, podpisanie permitu poza łańcuchem lub wysłanie środków bezpośrednio na adres atakującego.
- 5Opróżnienie. Po udzieleniu zgody kontrakt atakującego wyciąga twoje tokeny. Strona często wyświetla fałszywy komunikat „transfer w toku”, aby zyskać na czasie.
Ponieważ interfejs wygląda identycznie, domena i żądanie portfela to twoje jedyne wiarygodne wskazówki. Nasze poradniki o wallet drainerach i phishingu z użyciem podpisów permit szczegółowo wyjaśniają sztuczki z podpisami.
Hipotetyczny przykład
Poniżej znajduje się poglądowy, złożony przykład, a nie prawdziwy przypadek. Wyobraź sobie użytkownika, który chce przenieść stablecoiny z Ethereum do nowej sieci warstwy 2, aby zakwalifikować się do airdropu, o którym krążą plotki. Wyszukuje most tej sieci, klika pierwszy wynik, czyli płatną reklamę, i trafia na stronę wyglądającą dokładnie jak oficjalny most.
Łączy portfel i wpisuje kwotę. Portfel wyświetla prośbę o zgodę na „nieograniczony” dostęp do jego stablecoinów dla kontraktu, którego nigdy wcześniej nie widział. Zakłada, że przy korzystaniu z mostu to normalne, i zatwierdza. W ciągu minuty całe saldo stablecoinów zostaje wytransferowane, a strona nadal wyświetla „oczekiwanie na potwierdzenia”. Zanim zorientuje się, że transfer przez most nigdy nie nastąpił, środki zostały już wymienione i przeprowadzone przez kilka adresów.
Straty wynikły z trzech skrótów: skorzystania z reklamy w wyszukiwarce, pominięcia sprawdzenia domeny i zatwierdzenia nieznanego kontraktu z nieograniczonym limitem.
Lista sygnałów ostrzegawczych
| Sygnał ostrzegawczy | Co może oznaczać |
|---|---|
| Trafiłeś na stronę z reklamy, odpowiedzi, prywatnej wiadomości lub konta „wsparcia” | Wysokie prawdopodobieństwo linku phishingowego |
| Domena nieznacznie różni się od oficjalnej | Łudząco podobna domena |
| Portfel prosi o nieograniczoną zgodę dla nieznanego kontraktu | Kontrakt drainera |
| Jesteś proszony o podpisanie wiadomości z „permit” lub długiego żądania danych typowanych | Zgoda poza łańcuchem, której można użyć do zabrania tokenów |
| Strona prosi o frazę odzyskiwania lub klucz prywatny | Zawsze oszustwo |
| Wyskakujące okno nalega, że musisz teraz skorzystać z mostu, aby odebrać nagrody | Taktyka presji |
| Portfel lub rozszerzenie przeglądarki wyświetla ostrzeżenie o phishingu | Nie ignoruj go |
Jak bezpiecznie korzystać z mostu
Stosuj tę procedurę za każdym razem:
- 1Znajdź oficjalny most u źródła. Wejdź do oficjalnej dokumentacji sieci docelowej i skorzystaj z umieszczonego tam linku do mostu. Nasz poradnik o tym, jak sprawdzić, czy strona jest oficjalną stroną projektu, wyjaśnia, jak potwierdzić, że jesteś na właściwej domenie.
- 2Dodaj go do zakładek. Od tej pory korzystaj z zakładki. Nigdy nie wyszukuj mostu, by potem kliknąć reklamę.
- 3Sprawdź kontrakt. Jeśli projekt publikuje adresy kontraktów mostu, porównaj je z tym, co pokazuje portfel, zanim udzielisz zgody.
- 4Ograniczaj zgody. Zatwierdzaj tylko kwotę, którą przenosisz, a nie nieograniczoną, jeśli portfel na to pozwala.
- 5Wyślij mały test. Najpierw przenieś małą kwotę i sprawdź, czy dotarła do sieci docelowej.
- 6Używaj osobnego portfela do eksperymentów. Portfel jednorazowy z ograniczonymi środkami ogranicza straty, jeśli coś pójdzie nie tak.
- 7Cofnij zgody po zakończeniu. Usuń zgody, których już nie potrzebujesz, zgodnie z naszym poradnikiem o cofaniu zgód na tokeny.
O szerszych zagrożeniach związanych z samymi mostami, w tym o błędach w smart kontraktach, przeczytasz w artykule jak bezpiecznie przenosić kryptowaluty między blockchainami.
Co zrobić, jeśli skorzystałeś z fałszywego mostu
Działaj szybko:
- 1Odłącz stronę i zamknij kartę.
- 2Cofnij zgody dla wszystkich zatwierdzonych kontraktów za pomocą renomowanego narzędzia do sprawdzania zgód, otwartego przez zakładkę.
- 3Przenieś pozostałe aktywa do zupełnie nowego portfela z nową frazą odzyskiwania, jeśli podpisałeś coś podejrzanego lub wpisałeś frazę odzyskiwania.
- 4Zapisz szczegóły: domenę, hashe transakcji i adresy atakującego.
- 5Zgłoś to prawdziwemu projektowi mostu, giełdzie, na którą mogą trafić środki, oraz za pomocą naszego formularza zgłaszania oszustw, aby ostrzec innych.
Nasz poradnik krok po kroku o tym, co zrobić natychmiast, gdy twój portfel zostanie przejęty, opisuje pełną procedurę. Ignoruj każdego, kto kontaktuje się z tobą, oferując odzyskanie środków za opłatą; oszuści „od odzyskiwania środków” celują w niedawne ofiary. Więcej na ten temat znajdziesz w artykule Oszustwa z kryptowalutowymi kartami debetowymi i fałszywe oferty kart.
Podsumowanie
Fałszywe strony mostów odnoszą sukces, ponieważ wyglądają dokładnie jak oryginał i łapią ludzi w pośpiechu. Ufaj domenie i żądaniu portfela, a nie wyglądowi strony. Korzystaj z mostów wyłącznie przez oficjalną dokumentację i zakładki, zatwierdzaj tylko to, czego potrzebujesz, testuj na małych kwotach i cofaj zgody po zakończeniu.
Najczęściej zadawane pytania
Czym jest fałszywa strona mostu?
Fałszywa strona mostu to kopia interfejsu prawdziwego mostu cross-chain, stworzona po to, by nakłonić cię do podpisania transakcji lub zgód, które wysyłają twoje tokeny atakującemu. Może wyglądać identycznie jak prawdziwa strona, ale działa na łudząco podobnej domenie i łączy się ze złośliwymi kontraktami zamiast z prawdziwymi kontraktami mostu.
W jaki sposób ludzie trafiają na fałszywe strony mostów?
Zwykle przez płatne reklamy w wyszukiwarkach, linki w odpowiedziach w mediach społecznościowych, fałszywe konta wsparcia, wiadomości na Discordzie lub Telegramie albo ogłoszenia o airdropach, które każą najpierw przenieść środki przez most. Samodzielne wpisanie domeny lub użycie zakładki pozwala uniknąć większości tych pułapek.
Czy mogę odzyskać środki po skorzystaniu z fałszywego mostu?
Zazwyczaj nie. Transfery w blockchainie są ostateczne, a atakujący szybko przenoszą środki. Możesz ograniczyć dalsze szkody, cofając zgody i przenosząc pozostałe aktywa do nowego portfela, a także zgłosić stronę, aby ostrzec innych. Uważaj na każdego, kto oferuje odzyskanie środków za opłatą.
Czy oficjalny most jest zawsze bezpieczniejszy niż most zewnętrzny?
Oficjalny most udostępniany przez samą sieć usuwa jedną warstwę zaufania, ale nie jest wolny od ryzyka. Zarówno oficjalne, jak i zewnętrzne mosty mogą mieć błędy lub przejęte klucze. Większym i częstszym ryzykiem dla indywidualnych użytkowników jest trafienie na fałszywą kopię któregokolwiek z nich.