Oszustwa związane z walidacją i synchronizacją portfela

Oszustwo na walidację portfela, nazywane też oszustwem na synchronizację portfela, nakłania cię do wpisania frazy seed lub klucza prywatnego na fałszywej stronie albo w formularzu pod pretekstem, że portfel musi zostać „zwalidowany”, „zsynchronizowany”, „naprawiony” lub „dodany do białej listy”, aby usunąć błąd, odebrać airdrop albo odblokować środki. Żaden uczciwy portfel ani aplikacja nigdy nie potrzebuje do tego twojej frazy seed, więc każda taka prośba to kradzież.

Oszustwo działa, bo wykorzystuje prawdziwe słownictwo techniczne i często pojawia się jako „pomoc” dokładnie wtedy, gdy ktoś ma realny problem, na przykład zablokowaną transakcję lub brakujący token. Ten poradnik wyjaśnia, jak to działa, podaje hipotetyczny przykład i pokazuje, co zrobić, jeśli już wpisałeś frazę odzyskiwania.

Jak działa oszustwo krok po kroku

1. 1Wyzwalacz. Ofiara ma prawdziwy lub wyimaginowany problem, np. oczekującą transakcję, brakujący airdrop, nieudany swap albo po prostu jest ciekawa „wymaganej aktualizacji”.
2. 2Pierwszy kontakt. Oszust się odzywa, często jako fałszywe konto wsparcia odpowiadające na publiczne pytanie, przez wiadomość prywatną na Discordzie lub Telegramie albo przez wyskakujące okno na złośliwej stronie.
3. 3Wymyślony problem. Ofiara słyszy, że jej portfel jest „niezsynchronizowany”, „niezwalidowany” lub oflagowany i trzeba go naprawić, zanim będzie można przenieść środki lub odebrać nagrody.
4. 4Fałszywe narzędzie. Link prowadzi do strony o nazwie w rodzaju „wallet rectify”, „DApp sync” lub „node validator”. Pokazuje logo popularnych portfeli i przycisk taki jak „Connect manually”.
5. 5Przechwycenie. Strona prosi o frazę seed, klucz prywatny albo plik kopii zapasowej portfela wraz z hasłem.
6. 6Opróżnienie. Zautomatyzowane skrypty importują portfel i w ciągu kilku minut wyprowadzają aktywa, często w kilku sieciach jednocześnie.

Podstawowa technika jest taka sama jak opisana w naszym poradniku o oszustwach związanych z frazą seed; oszustwa walidacyjne po prostu opakowują ją w język brzmiący technicznie. Powiązana lektura: Oszustwa z kryptowalutowymi kartami debetowymi i fałszywymi ofertami kart.

Hipotetyczny przykład

Poniższy przykład jest złożony w celach ilustracyjnych i nie opisuje prawdziwego przypadku.

Wyobraź sobie, że Leo ma swap tokenów, który od kilku minut czeka na realizację. Pisze na publicznym czacie projektu z prośbą o pomoc. W ciągu kilku sekund konto o nazwie „Support Desk” z logo projektu wysyła mu prywatną wiadomość: „Twój portfel ma błąd synchronizacji z węzłem sieci. Zwaliduj go za pomocą naszego oficjalnego narzędzia DApp”. Nasz artykuł Ryzyko adresów vanity i adresów łudząco podobnych rozwija ten wątek.

Link otwiera profesjonalnie wyglądającą stronę z listą kilku popularnych portfeli. Leo wybiera swój i zostaje poproszony o jego „import”, aby dokończyć synchronizację. Wpisuje frazę z 12 słów. Strona pokazuje kręcący się wskaźnik ładowania, a potem „Walidacja zakończona sukcesem”. Godzinę później jego portfel jest pusty w każdej sieci, z której korzystał.

Sygnały ostrzegawcze, które zdradzają oszustwo

Powiązane sztuczki to m.in. fałszywa obsługa klienta w aplikacjach portfeli i fałszywe okna WalletConnect.

Jak się chronić

• Traktuj frazę seed jak klucze do wszystkiego. Wpisuj ją wyłącznie w aplikacji portfela lub w portfelu sprzętowym podczas prawdziwego przywracania, które sam rozpocząłeś.
• Szukaj pomocy tylko oficjalnymi kanałami. Znajdź wsparcie przez oficjalną stronę portfela, wpisując jej adres samodzielnie.
• Wyłącz wiadomości prywatne od nieznajomych na Discordzie i Telegramie, tam gdzie to możliwe.
• Pytaj publicznie, odpowiadaj publicznie. Jeśli potrzebujesz pomocy na czacie społeczności, prowadź rozmowę na kanale publicznym, gdzie widzą ją moderatorzy, i ignoruj każdego, kto nalega na przejście do wiadomości prywatnych.
• Dodaj oficjalne strony do zakładek. Korzystaj z zapisanych zakładek do strony i stron wsparcia portfela zamiast z wyników wyszukiwania czy linków od obcych.
• Używaj portfela sprzętowego przy większych kwotach; przechowuje klucze offline, ale nie ochroni frazy seed, którą wpiszesz na stronie internetowej.
• Wiedz, jak wyglądają prawdziwe problemy. Zablokowana transakcja zwykle wymaga zmiany opłaty lub cierpliwości, a nie „walidacji”. Nasz poradnik o tym, jak przyspieszyć lub anulować zablokowaną transakcję Ethereum, wyjaśnia prawdziwe rozwiązania.

Co zrobić, jeśli wpisałeś frazę seed

Działaj jak najszybciej:

1. 1Utwórz zupełnie nowy portfel z nową frazą seed, najlepiej na innym, zaufanym urządzeniu.
2. 2Przenieś wszystkie pozostałe aktywa z przejętego portfela do nowego, zaczynając od najcenniejszych. Atakujący mogą obserwować portfel, więc liczy się szybkość.
3. 3Nigdy nie używaj ponownie starej frazy seed i nigdzie jej już nie importuj.
4. 4Sprawdź aktywa w stakingu lub zablokowane, które mogą odblokować się później, i zaplanuj ich wypłatę do nowego portfela, gdy tylko będzie to możliwe.
5. 5Zgłoś stronę i konta platformie, na której je spotkałeś, oraz przez nasz formularz zgłaszania oszustw.

Nasza pełna lista kontrolna, co zrobić natychmiast, gdy portfel zostanie przejęty, obejmuje dodatkowe kroki, takie jak cofanie zatwierdzeń i sprawdzanie połączonych urządzeń. Jeśli chcesz pójść dalej, przeczytaj Jak bezpiecznie przenieść się do nowego portfela.

Podsumowanie

Portfeli nie trzeba walidować ani synchronizować przez stronę internetową. Każda wiadomość, wyskakujące okno czy „pracownik wsparcia” proszący o frazę seed próbuje cię okraść. Szukaj pomocy tylko oficjalnymi kanałami, które sam znajdziesz, a jeśli już wpisałeś frazę, natychmiast przenieś pozostałe środki do nowego portfela.