Фальшивые сайты мостов: как пользоваться мостом и не потерять средства

Фальшивый сайт моста — это похожая на оригинал копия настоящего кроссчейн-моста, которая обманом заставляет вас подписать транзакцию или разрешение на токен, передающие ваши средства злоумышленнику. Чтобы пользоваться мостом и не потерять средства, открывайте его только через проверенную закладку или официальную документацию, проверяйте домен и адреса контрактов, читайте каждый запрос кошелька перед подписью и сначала тестируйте перевод на небольшой сумме.

Мосты переводят токены из одного блокчейна в другой, например из Ethereum в сеть второго уровня. Поскольку пользователи часто пользуются мостами в спешке, гонясь за новой сетью, airdrop или сделкой, интерфейсы мостов — излюбленная цель фишинга. В этом руководстве объясняется, как работает схема и какой порядок действий её предотвращает.

Как работает атака с фальшивым мостом

Большинство схем с фальшивыми мостами следуют одним и тем же шагам:

1. 1Копия. Злоумышленник клонирует фронтенд популярного моста и размещает его на домене, который отличается одной буквой, дефисом или другим окончанием.
2. 2Приманка. Он продвигает ссылку через платную поисковую рекламу, ответы под постами настоящего проекта, фальшивые аккаунты «поддержки» или объявления о том, что для новой сети или airdrop нужно воспользоваться мостом.
3. 3Подключение. Вы подключаете кошелёк. Сайт считывает ваши балансы и поэтому знает, какие токены стоит атаковать.
4. 4Запрос. Вы нажимаете «bridge». Вместо вызова настоящего контракта моста сайт просит вас одобрить токен для контракта злоумышленника, подписать офчейн-permit или отправить средства напрямую на адрес злоумышленника.
5. 5Опустошение. Как только разрешение выдано, контракт злоумышленника выводит ваши токены. Часто сайт показывает фальшивое сообщение «перевод через мост выполняется», чтобы выиграть время.

Поскольку интерфейс выглядит идентично, домен и запрос кошелька — ваши единственные надёжные подсказки. Наши руководства о wallet drainers и фишинге с подписями permit подробно объясняют уловки с подписями.

Гипотетический пример

Ниже приведён собирательный иллюстративный пример, а не реальный случай. Представьте пользователя, который хочет перевести стейблкоины из Ethereum в новую сеть второго уровня, чтобы претендовать на airdrop, о котором ходят слухи. Он ищет мост этой сети, нажимает на первый результат — платную рекламу — и попадает на сайт, который выглядит точно так же, как официальный мост.

Он подключает кошелёк и вводит сумму. Кошелёк показывает запрос на «неограниченный» доступ к его стейблкоинам для контракта, который он никогда раньше не видел. Он считает, что для моста это нормально, и подтверждает. Меньше чем через минуту весь баланс стейблкоинов выводится, а сайт продолжает показывать «ожидание подтверждений». К тому моменту, когда он понимает, что перевод через мост так и не состоялся, средства уже обменяны и проведены через несколько адресов.

Потери стали результатом трёх упрощений: перехода по поисковой рекламе, пропуска проверки домена и одобрения незнакомого контракта с неограниченным лимитом.

Чек-лист тревожных признаков

Как безопасно пользоваться мостом

Каждый раз следуйте этому порядку действий:

1. 1Найдите официальный мост через первоисточник. Откройте официальную документацию целевой сети и перейдите по указанной там ссылке на мост. Наше руководство о том, как убедиться, что сайт является официальным сайтом проекта, объясняет, как удостовериться, что вы на правильном домене.
2. 2Добавьте его в закладки. В дальнейшем пользуйтесь только закладкой. Никогда не ищите мост в поиске, чтобы затем кликнуть по рекламе.
3. 3Проверьте контракт. Если проект публикует адреса контрактов моста, сравните их с тем, что показывает кошелёк, прежде чем давать разрешение.
4. 4Ограничивайте разрешения. Одобряйте только ту сумму, которую переводите, а не неограниченную, если кошелёк это позволяет.
5. 5Отправьте небольшой тест. Сначала переведите небольшую сумму и убедитесь, что она дошла до целевой сети.
6. 6Используйте отдельный кошелёк для экспериментов. Одноразовый кошелёк с ограниченными средствами ограничит потери, если что-то пойдёт не так.
7. 7Отзовите разрешения, когда закончите. Удалите разрешения, которые вам больше не нужны, как описано в нашем руководстве об отзыве разрешений на токены.

О более широких рисках самих мостов, включая ошибки в смарт-контрактах, читайте в статье как безопасно переводить криптовалюту между блокчейнами.

Что делать, если вы воспользовались фальшивым мостом

Действуйте быстро:

1. 1Отключите сайт и закройте вкладку.
2. 2Отзовите разрешения для всех одобренных контрактов с помощью надёжного сервиса проверки разрешений, открытого через закладку.
3. 3Переведите оставшиеся активы в совершенно новый кошелёк с новой сид-фразой, если вы подписали что-то подозрительное или вводили сид-фразу.
4. 4Зафиксируйте детали: домен, хеши транзакций и адреса злоумышленника.
5. 5Сообщите о случившемся настоящему проекту моста, бирже, на которую могут поступить средства, и через нашу форму для жалоб на мошенничество, чтобы предупредить других.

Наше пошаговое руководство о том, что делать немедленно, если ваш кошелёк скомпрометирован, описывает полный порядок действий. Игнорируйте всех, кто связывается с вами и предлагает вернуть средства за плату: мошенники-«спасатели» охотятся на недавних жертв. Подробнее читайте в статье Мошенничество с криптовалютными дебетовыми картами и фальшивые предложения карт.

Итог

Фальшивые сайты мостов срабатывают потому, что выглядят точь-в-точь как настоящие и ловят людей в спешке. Доверяйте домену и запросу кошелька, а не дизайну страницы. Открывайте мосты только через официальную документацию и закладки, одобряйте только необходимое, тестируйте на небольших суммах и потом отзывайте разрешения.