Oszustwa z fałszywą migracją i wymianą tokenów

Oszustwo na migrację tokenów to przestępstwo, w którym oszuści twierdzą, że token, który posiadasz, trzeba „zaktualizować”, „zmigrować” lub „wymienić” na nową wersję, a potem kierują cię na fałszywy portal, który opróżnia portfel za pomocą złośliwej zgody, podpisu lub prośby o frazę odzyskiwania. Oszustwo działa, ponieważ prawdziwe migracje naprawdę się zdarzają, więc historia brzmi wiarygodnie.

Projekty z uzasadnionych powodów zmieniają kontrakty przy aktualizacjach, rebrandingu lub przenosinach na inny łańcuch. Przejście Polygon z MATIC na POL to dobrze znany przykład prawdziwej zmiany. Każda prawdziwa migracja otwiera okno, w którym posiadacze oczekują instrukcji, a oszuści ścigają się, by wypełnić je fałszywymi.

Dlaczego prawdziwe migracje stwarzają okazję

Istnieją uzasadnione powody, dla których projekt może poprosić posiadaczy o wymianę tokenów:

• Aktualizacje kontraktu. Błąd lub nowa funkcja wymaga nowego kontraktu tokena.
• Rebranding i zmiana tokena. Projekt zastępuje jeden token jego następcą.
• Przenosiny na inny łańcuch. Token przechodzi z jednego blockchaina na inny, na przykład z ERC-20 na własny mainnet projektu.
• Redenominacje. Podaż jest dzielona lub łączona, na przykład 1 stary token staje się 100 nowymi.

Każda z tych sytuacji wywołuje zamieszanie, a zamieszanie jest opłacalne dla oszustów. Wielu posiadaczy nie śledzi uważnie wiadomości o projekcie, więc przekonująca wiadomość, że „stary token jest wycofywany”, może wyglądać na pilną i pomocną informację. Powiązana lektura: Phishing przez reklamy w wyszukiwarkach.

Jak działa oszustwo, krok po kroku

1. 1Wybór celu. Oszuści obserwują ogłoszone migracje albo po prostu wymyślają jedną dla popularnego tokena.
2. 2Budowa portalu. Kopiują wygląd strony projektu na łudząco podobną domenę z przyciskiem „Migruj” lub „Odbierz V2”.
3. 3Rozpowszechnianie linku. Publikują go w odpowiedziach pod oficjalnymi kontami, wykupują reklamy w wyszukiwarkach, wysyłają prywatne wiadomości na Telegramie i Discordzie, rozsyłają przez airdrop bezwartościowe tokeny, których nazwą jest adres URL, lub podszywają się pod pracowników wsparcia.
4. 4Wywołanie pośpiechu. Wiadomości twierdzą, że stary token w ciągu kilku godzin „przestanie działać” lub „straci całą wartość”.
5. 5Przejęcie środków. Portal prosi o połączenie portfela, a następnie o zatwierdzenie nieograniczonych wydatków, podpisanie wiadomości permit lub Permit2, wysłanie tokenów do „kontraktu migracyjnego” albo „zweryfikowanie” portfela przez wpisanie frazy odzyskiwania.
6. 6Opróżnienie i pranie. Gdy tylko podpiszesz, zautomatyzowany drainer wyprowadza twoje tokeny, często w ciągu kilku sekund, i rozdziela je na wiele adresów.

Więcej o stosowanych sztuczkach z podpisami przeczytasz w naszym poradniku o ice phishingu i podpisach permit.

Hipotetyczny przykład

Poniżej znajduje się poglądowy, złożony przykład, a nie prawdziwy przypadek.

Wyobraź sobie posiadacza o imieniu Sam, który ma średniej wielkości token DeFi. Pewnego ranka Sam widzi odpowiedź pod oficjalnym wpisem projektu: „Przypomnienie: tokeny V1 zostaną wycofane o północy UTC. Migruj tutaj”. Link prowadzi do strony wyglądającej identycznie jak strona projektu, ale z jedną zmienioną literą w domenie. Szerzej omawiamy to w artykule Fałszywy WalletConnect i phishing przez wyskakujące okna portfela.

Sam łączy portfel i klika „Migruj”. Portfel wyświetla prośbę o zgodę na token z nieograniczoną kwotą. Sam zakłada, że to normalne przy swapie, i potwierdza. W ciągu minuty całe saldo tokena opuszcza portfel. Następnie druga prośba wzywa Sama do podpisania wiadomości, aby „otrzymać tokeny V2”; to permit dla innego tokena w portfelu. Żadne tokeny V2 nigdy nie przychodzą. Prawdziwy projekt w ogóle nie ogłaszał migracji. Zobacz także: Fałszywe strony mostów.

Lista sygnałów ostrzegawczych

Jak zweryfikować prawdziwą migrację

1. 1Sam dotrzyj do źródła. Wpisz oficjalną domenę projektu lub użyj zakładki. Poszukaj strony o migracji w oficjalnej dokumentacji i na blogu. Nasz poradnik o tym, jak sprawdzić, czy strona jest oficjalną stroną projektu, wyjaśnia, jak to zrobić.
2. 2Porównaj ogłoszenie z innymi źródłami. Upewnij się, że pojawia się na zweryfikowanych kontach projektu w mediach społecznościowych i najlepiej, że informują o nim giełdy notujące token.
3. 3Sprawdź swoją giełdę. Jeśli twoje tokeny są na giełdzie, poszukaj jej oficjalnego komunikatu. Giełdy zwykle przeprowadzają wymianę za klientów.
4. 4Zweryfikuj nowy kontrakt. Porównaj adres nowego tokena w oficjalnej dokumentacji i w eksploratorze bloków, jak opisano w naszym poradniku o weryfikacji oficjalnego adresu kontraktu tokena.
5. 5Przeczytaj transakcję przed podpisaniem. Upewnij się, że zatwierdzany kontrakt jest zgodny z udokumentowanym kontraktem migracyjnym, i w miarę możliwości ogranicz kwotę zgody.
6. 6Poczekaj, jeśli masz wątpliwości. Prawdziwe migracje rzadko karzą posiadaczy za to, że poświęcą dzień na weryfikację.

Co zrobić, jeśli dałeś się nabrać

Działaj szybko, w tej kolejności:

1. 1Cofnij zgody. Użyj renomowanego narzędzia, aby cofnąć każdą zgodę lub permit udzielony kontraktowi oszustów. Zobacz, jak cofnąć zgody na tokeny.
2. 2Zabezpiecz portfel. Jeśli wpisałeś frazę odzyskiwania, uznaj portfel za przejęty i przenieś pozostałe aktywa do zupełnie nowego portfela z nową frazą odzyskiwania. Skorzystaj z naszej listy kontrolnej, co zrobić natychmiast, gdy twój portfel zostanie przejęty.
3. 3Zabezpiecz dowody. Zapisz adres URL, zrzuty ekranu, hashe transakcji i adresy oszustów.
4. 4Zgłoś to. Poinformuj prawdziwy projekt, dostawcę portfela i platformę, na której zobaczyłeś link. Możesz też zgłosić nam stronę i adresy za pomocą naszego formularza zgłaszania oszustw.
5. 5Uważaj na oszustwa „na odzyskanie środków”. Osoby obiecujące odzyskanie twoich pieniędzy za opłatą niemal zawsze prowadzą drugie oszustwo.

Podsumowanie

Oszustwa na migrację tokenów wykorzystują prawdziwy proces: projekty czasami naprawdę wymieniają lub aktualizują tokeny. Obrona jest prosta, ale wymaga dyscypliny. Postępuj wyłącznie według instrukcji migracji, które sam znalazłeś w oficjalnych kanałach, weryfikuj adres nowego kontraktu, nigdy nie udostępniaj frazy odzyskiwania i traktuj pośpiech oraz prywatne wiadomości jako sygnały ostrzegawcze. Jeśli migracja jest prawdziwa, nadal będzie dostępna, gdy już wszystko sprawdzisz.