Wallet drainery: jak złośliwe zgody kradną twoje kryptowaluty

Wallet drainer to złośliwa strona lub skrypt, który nakłania cię do podpisania transakcji lub wiadomości dających atakującemu uprawnienia do przenoszenia twoich tokenów i NFT, a następnie wykorzystuje te uprawnienia do opróżnienia portfela. Atakujący nigdy nie potrzebuje twojej frazy odzyskiwania – całą robotę wykonuje twój własny podpis.

Drainery stoją za wieloma stratami zgłaszanymi po fałszywych airdropach, fałszywych mintach i włamaniach na konta projektów w mediach społecznościowych. Sprzedawano je jako gotowe zestawy, czasem nazywane „drainer-as-a-service”, co oznacza, że mogą je wdrożyć nawet oszuści bez umiejętności technicznych. Zrozumienie, co podpisujesz, to najlepsza obrona.

Jak działają zgody na tokeny (i dlaczego drainery je uwielbiają)

Na Ethereum i innych łańcuchach EVM zdecentralizowane aplikacje nie mogą same przenosić twoich tokenów. Najpierw udzielasz zgody: uprawnienia dla konkretnego kontraktu do wydawania konkretnego tokena w twoim imieniu, do określonej kwoty. DEX-y i protokoły pożyczkowe potrzebują tego, aby działać.

Problem polega na tym, że wiele aplikacji dla wygody prosi o zgody nieograniczone, a zgody pozostają aktywne, dopóki ich nie cofniesz. Drainer po prostu prosi cię o zatwierdzenie swojego kontraktu zamiast uczciwego. Gdy podpiszesz, atakujący może wykonać przelew, kiedy tylko zechce.

W przypadku NFT odpowiednikiem jest setApprovalForAll, które pozwala operatorowi przenieść każdy NFT, jaki masz w danej kolekcji. Marketplace’y używają tego legalnie; drainery – by zabrać całe kolekcje naraz. Więcej na ten temat w artykule Oszustwa kryptowalutowe na Instagramie i TikToku.

Podpisy, których używają drainery

Podpisy bez gasu są szczególnie zwodnicze. Ponieważ nic nie kosztują, ludzie zakładają, że to niegroźne „logowania”. Niektóre rzeczywiście nimi są. Inne to permity, które autoryzują wydatki. Nasz artykuł o ice phishingu i podpisach permit wyjaśnia je szczegółowo.

Jak zwykle przebiega atak drainera

1. 1Przynęta. Link przychodzi przez fałszywe ogłoszenie o airdropie, odpowiedź pod oficjalnym postem, zhakowany serwer Discord, sponsorowaną reklamę w wyszukiwarce lub wiadomość prywatną oferującą „wsparcie”.
2. 2Przekonująca strona. Strona kopiuje wygląd prawdziwego projektu i prosi o połączenie portfela.
3. 3Skanowanie aktywów. Skrypty drainera sprawdzają twoje salda i najpierw proszą o zgody na najcenniejsze aktywa.
4. 4Podpis. Żądania są przedstawiane jako „odbierz”, „zweryfikuj”, „mintuj” lub „synchronizuj”, z presją czasu, np. w postaci odliczania.
5. 5Wyczyszczenie portfela. Aktywa są wyprowadzane, często w ciągu kilku sekund, i szybko wymieniane lub przenoszone przez mosty, aby utrudnić śledzenie.

Dlaczego drainery działają także na doświadczonych użytkowników

Drainery nie opierają się na oczywiście fałszywych stronach. Wiele ataków zaczyna się od przejętego konta prawdziwego projektu, więc ogłoszenie wygląda wiarygodnie, bo pochodzi z prawdziwego konta. Inne pojawiają się dokładnie wtedy, gdy prawdziwy airdrop lub mint jest na topie – gdy ludzie spodziewają się podpisywania transakcji i spieszą się, by zdążyć jako pierwsi. Powiązana lektura: Ataki SIM swap. Jeśli chcesz zgłębić temat, przeczytaj Oszustwa z fałszywą migracją tokenów i swapami.

Żądania portfela wyglądają też podobnie niezależnie od tego, czy zatwierdzasz zaufany DEX, czy kontrakt drainera. Różnica tkwi w szczegółach: adresie wydającego, tokenie i kwocie. Doświadczeni użytkownicy wpadają, gdy przejmuje kontrolę nawyk i klikają „potwierdź” tak jak już setki razy wcześniej. Piszemy o tym szerzej w artykule Złośliwe rozszerzenia przeglądarki kradnące kryptowaluty. Powiązana lektura: Bezpieczeństwo konta e-mail dla użytkowników kryptowalut.

Sygnały ostrzegawcze przed podpisaniem

• Trafiłeś na stronę przez wiadomość prywatną, odpowiedź, reklamę lub link, którego sam nie wyszukałeś.
• Strona prosi o zgodę na token, którym nie zamierzałeś handlować.
• Kwota zgody jest nieograniczona albo adres wydającego jest nieznany.
• Masz podpisać wiadomość, której nie potrafisz odczytać, albo portfel ostrzega przed podpisywaniem na ślepo.
• Ktoś wywiera presję: „odbiór wygasa za 10 minut”, „twój portfel zostanie zawieszony”.
• Domena jest lekko zmieniona, świeżo zarejestrowana lub ma nietypowe rozszerzenie. Zobacz kryptowalutowe strony phishingowe.

Jak się chronić

1. 1Używaj portfela jednorazowego do nowych mintów, airdropów i nieznanych aplikacji i trzymaj w nim tylko to, czego potrzebujesz. Długoterminowe aktywa przechowuj w osobnym portfelu, który rzadko się z czymkolwiek łączy. Nasz poradnik o portfelach jednorazowych wyjaśnia, jak go skonfigurować.
2. 2Czytaj każde żądanie. Przed podpisaniem sprawdź akcję, token, kwotę i wydającego. Jeśli czegoś nie rozumiesz, odrzuć.
3. 3Wybieraj ograniczone zgody, gdy portfel pozwala ustawić własną kwotę.
4. 4Włącz podgląd transakcji lub funkcje symulacji w portfelu, jeśli są dostępne; pokazują, co opuści twój portfel.
5. 5Regularnie cofaj zgody. Przeglądaj i usuwaj stare zgody. Nasz poradnik krok po kroku o tym, jak cofnąć zgody na tokeny, pokazuje, jak to zrobić.
6. 6Wchodź na strony bezpośrednio. Wpisuj znane adresy URL lub korzystaj z zapisanych zakładek zamiast klikać w linki.

Jeśli uważasz, że twój portfel został opróżniony

Działaj szybko, bo atakujący często wracają po pozostałe aktywa:

• Cofnij wszystkie zgody, których nie rozpoznajesz.
• Przenieś pozostałe środki do zupełnie nowego portfela z nową frazą odzyskiwania, zwłaszcza jeśli gdziekolwiek wpisałeś swoją frazę odzyskiwania.
• Zapisz hashe transakcji, adresy atakującego i adres URL strony.
• Zgłoś stronę i adresy, na przykład przez nasz formularz zgłaszania oszustw, a także platformie, na której znalazłeś link.
• Ignoruj każdego, kto oferuje odzyskanie środków za opłatą; oszustwa „na odzyskanie” są wymierzone w świeże ofiary.

Zobacz też naszą listę kontrolną: co zrobić natychmiast, jeśli twój portfel został przejęty.

Podsumowanie

Wallet drainery nie łamią kryptografii twojego portfela; sprawiają, że to ty autoryzujesz kradzież. Traktuj każdy podpis jako potencjalne przekazanie kontroli, trzymaj cenne aktywa w portfelu, który nigdy nie łączy się z nieznanymi stronami, i regularnie porządkuj zgody. Zatrzymanie się na trzydzieści sekund przed podpisaniem to najskuteczniejsze narzędzie bezpieczeństwa, jakie masz.