Zhakowane konta społecznościowe projektów: jak unikać fałszywych ogłoszeń

Gdy konto projektu kryptowalutowego w mediach społecznościowych zostaje zhakowane, atakujący wykorzystują je do publikowania fałszywych ogłoszeń, zwykle o niespodziewanym airdropie, mincie lub migracji tokena, które kierują obserwujących na stronę opróżniającą portfele. Najlepsza ochrona jest prosta: nigdy nie działaj na podstawie jednego posta; potwierdź każde ogłoszenie dotyczące twojego portfela w co najmniej jednym innym oficjalnym kanale, takim jak strona internetowa lub dokumentacja projektu.

Te ataki działają, bo pożyczają prawdziwe zaufanie. Konto jest prawdziwe, znaczek jest prawdziwy i obserwujący są prawdziwi. Fałszywy jest tylko post, a atakujący wiedzą, że potrzebują jedynie krótkiego okna czasowego, zanim zespół odzyska kontrolę.

Jak dochodzi do przejęcia kont

Atakujący rzadko „hakują” samą platformę. Biorą na cel ludzi i połączone usługi:

• Phishing wymierzony w członków zespołu. Fałszywe wiadomości o zgłoszeniu naruszenia praw autorskich, problemie z weryfikacją lub propozycji partnerstwa skłaniają pracowników do zalogowania się na fałszywej stronie.
• SIM swapy. Jeśli konto opiera się na kodach SMS, atakujący, który przejmie numer telefonu, może zresetować hasło. Zobacz nasz przewodnik po atakach SIM swap.
• Przejęte narzędzia zewnętrzne. Aplikacje do planowania postów lub analityki z uprawnieniem do publikowania mogą stać się tylnymi drzwiami.
• Słabe lub ponownie używane hasła. Hasło, które wyciekło z innej strony, może otworzyć konto.
• Osoby z wewnątrz lub byli współpracownicy, którzy zachowali dostęp po odejściu.

Serwery Discord i Telegram są narażone na podobne ryzyko przez przejęte konta moderatorów lub złośliwe boty publikujące w kanałach ogłoszeń.

Jak przebiega oszustwo krok po kroku

1. 1Przejęcie. Atakujący uzyskuje dostęp i często zmienia e-mail oraz numer telefonu do odzyskiwania, aby odciąć zespół.
2. 2Przygotowanie. Stawia przekonującą stronę w domenie łudząco podobnej do oryginalnej, zwykle podłączoną do wallet drainera.
3. 3Post. Pojawia się fałszywe ogłoszenie: „Niespodziewany airdrop dla posiadaczy”, „Nasz token przechodzi migrację; wymień go teraz” albo „Ograniczony darmowy mint, tylko 30 minut”.
4. 4Wzmocnienie. Odpowiedzi zostają ograniczone, by zablokować ostrzeżenia, post może zostać przypięty, a inne przejęte konta lub boty go udostępniają.
5. 5Opróżnienie. Ofiary łączą portfele i podpisują zgody lub transakcje, które przekazują ich aktywa. Nasz artykuł o wallet drainerach pokazuje, jak działają te kontrakty.
6. 6Sprzątanie. Zespół odzyskuje dostęp kilka godzin później, usuwa posty i ostrzega użytkowników, ale podpisanych transakcji nie da się cofnąć.

Hipotetyczny przykład

Ten scenariusz to ilustracyjne połączenie wielu przypadków, a nie prawdziwa sprawa. Wyobraź sobie średniej wielkości projekt DeFi ze znanym kontem. W niedzielny wieczór publikuje ono: „Z okazji naszej rocznicy wszyscy posiadacze mogą odebrać bonus. Claim zamyka się za dwie godziny”, z linkiem do domeny różniącej się od oficjalnej jedną literą. Odpowiedzi są ograniczone. Szerzej omawiamy to w artykule Jak znaleźć oficjalne konta społecznościowe projektu kryptowalutowego.

Wielu obserwujących klika. Strona prosi o połączenie portfela i podpisanie żądania „claim”. W rzeczywistości podpis daje drainerowi uprawnienie do przenoszenia ich tokenów. Dwie godziny później pozostałe kanały projektu publikują ostrzeżenie, że konto zostało przejęte. Szkoda jest już wtedy wyrządzona. Zobacz także: Kryptowalutowe aplikacje społecznościowe i sieci w stylu Farcaster – wyjaśnienie.

Sygnały zdradzające oszustwo: niezapowiedziana nagroda, krótki termin, minimalnie błędna domena, ograniczone odpowiedzi i brak odpowiadającego wpisu na stronie projektu. Powiązana lektura: Fałszywe kursy tradingu kryptowalut i guru.

Lista sygnałów ostrzegawczych

Jak zweryfikować ogłoszenie

1. 1Sprawdź oficjalną stronę. Czy wspomina o tym strona z aktualnościami, blog lub baner na stronie? Wpisz adres samodzielnie; nie korzystaj z linku w poście.
2. 2Sprawdź inne oficjalne kanały. Zajrzyj do dokumentacji projektu, innych kont społecznościowych lub na oficjalne forum. Zespoły zwykle szybko publikują tam ostrzeżenie, gdy konto zostanie przejęte.
3. 3Porównaj domenę. Upewnij się, że link zgadza się znak po znaku z domeną podaną w oficjalnej dokumentacji. Nasz przewodnik o tym, jak sprawdzić, czy strona jest oficjalną stroną projektu, zawiera metodę krok po kroku.
4. 4Odczekaj. Prawdziwe claimy i migracje rzadko wymagają działania w ciągu kilku minut. Godzina czekania kosztuje niewiele; pośpiech może kosztować wszystko.
5. 5Szukaj podpisanych wiadomości. Niektóre projekty publikują oświadczenia podpisane kryptograficznie. Przeczytaj, jak zweryfikować podpisaną wiadomość od projektu.

Jak chronić się na dłuższą metę

• Dodaj oficjalne strony i aplikacje do zakładek i korzystaj tylko z tych zakładek.
• Używaj osobnego portfela „burner” z niewielkimi saldami do claimów i mintów.
• Włącz symulację transakcji lub clear signing, jeśli twój portfel to oferuje.
• Regularnie cofaj nieużywane zgody.
• Obserwuj projekty w więcej niż jednym kanale, aby móc szybko sprawdzić informacje.

Co zrobić, jeśli dałeś się złapać

• Tylko odwiedziłeś stronę: zamknij ją i nie pobieraj niczego, co oferowała.
• Połączyłeś portfel i podpisałeś: cofnij zgody i przenieś aktywa do bezpiecznego portfela.
• Wpisałeś frazę seed: utwórz nowy portfel i natychmiast przelej pozostałe środki.

Nasz przewodnik o tym, co zrobić natychmiast, gdy twój portfel zostanie przejęty, omawia każdy krok. Zachowaj post, link i hashe transakcji, a fałszywą stronę zgłoś przez nasz formularz zgłaszania oszustw. O dalszych krokach wobec platform i organów przeczytasz w artykule jak zgłosić oszustwo kryptowalutowe i co dzieje się potem.

Podsumowanie

Zhakowane kryptokonto na Twitterze wygląda dokładnie jak prawdziwe, bo jest prawdziwe – tylko chwilowo w niewłaściwych rękach. Traktuj każdy post, który prosi o połączenie portfela, jako niezweryfikowany, dopóki nie potwierdzisz go na oficjalnej stronie lub w innym oficjalnym kanale. Kilka minut sprawdzania zatrzymuje najczęstszy sposób, w jaki takie przejęcia kończą się stratami.