Фальшивый WalletConnect и поддельные всплывающие окна кошелька: как работает фишинг и как защититься

Фишинг через WalletConnect — это мошенничество, при котором поддельный сайт показывает фальшивое окно «подключить кошелёк» или всплывающее окно кошелька, чтобы обманом заставить вас ввести сид-фразу или подписать вредоносную транзакцию. Настоящий протокол WalletConnect никогда не запрашивает сид-фразу; он лишь передаёт запросы на подключение и транзакции в ваше приложение кошелька, где вы их подтверждаете.

Эти схемы работают, потому что подключение кошелька стало рутиной. Люди проходят один и тот же процесс десятки раз, и убедительная имитация легко проскальзывает. Знание того, как выглядит настоящий процесс, — лучшая защита.

Как работает настоящее подключение кошелька

Понимание легитимного процесса помогает распознавать подделки:

1. 1Вы заходите в децентрализованное приложение и нажимаете «Подключить кошелёк».
2. 2Приложение показывает список вариантов, например расширение браузера или WalletConnect.
3. 3Если вы выбираете WalletConnect, приложение показывает QR-код, а на мобильном устройстве открывает приложение кошелька через диплинк.
4. 4Приложение кошелька показывает название и домен сайта и просит подтвердить подключение.
5. 5Позже, когда вы выполняете действие, кошелёк показывает транзакцию или запрос подписи, и вы его подтверждаете или отклоняете.

Ни на одном этапе приложению не нужна ваша сид-фраза или приватный ключ. Всё конфиденциальное остаётся внутри кошелька. Наше руководство о разрешениях кошелька и подключённых сайтах объясняет, что подключение позволяет, а что нет. Подробнее — в статье Вскрытые и поддельные аппаратные кошельки.

Как работает схема, шаг за шагом

Вариант 1: кража сид-фразы

1. 1Приманка. Жертва видит сообщение о проблеме: «ваш кошелёк не синхронизирован», «получение не удалось, подтвердите кошелёк» или «перенесите свои токены». Ссылки приходят через ответы в соцсетях, поддельные аккаунты поддержки, рекламу или электронные письма.
2. 2Поддельный сайт. Страница выглядит как нейтральный сайт «инструментов для кошельков» или «исправления dapp», часто с брендингом WalletConnect и сеткой логотипов кошельков.
3. 3Фальшивый сбой. При нажатии на логотип кошелька появляется поддельный индикатор загрузки, а затем ошибка: «Автоматическое подключение не удалось. Подключитесь вручную».
4. 4Кража. «Ручной» вариант запрашивает 12 или 24 слова восстановления, приватный ключ или keystore-файл. Всё, что вы введёте, отправляется мошеннику, который опустошает кошелёк за считаные минуты.

Вариант 2: вредоносные подписи

Здесь сайт корректно подключается к вашему настоящему кошельку, а затем просит подписать что-то вредное: неограниченное разрешение на токены, подпись permit или транзакцию, переводящую активы. Всплывающее окно настоящее; запрос — вредоносный. Наша статья об ice phishing и подписях permit подробно разбирает эту тему.

Вариант 3: поддельные окна кошелька внутри страницы

Некоторые сайты рисуют внутри страницы идеальную копию популярного кошелька-расширения, с логотипом и полем для пароля. Она может сначала спросить пароль, а затем сид-фразу «для восстановления доступа». Читайте также: Фишинг через поисковую рекламу.

Гипотетический пример

Ниже приведён собирательный, иллюстративный сценарий, а не реальный случай. Представьте Майю, у которой есть токены из прошлого airdrop одного проекта. Она пишет в соцсетях, что получение не удалось. Через несколько минут аккаунт с логотипом проекта отвечает: «Извините за неудобства! Воспользуйтесь нашим порталом синхронизации кошельков, чтобы решить проблему с ожидающими получениями», и добавляет ссылку.

Сайт показывает окно в стиле WalletConnect. Она выбирает свой кошелёк, видит «Ошибка подключения, подключитесь вручную», и поле запрашивает её сид-фразу. Она вводит её. Через десять минут её токены и нативная монета сети выведены. Аккаунт «поддержки» удаляет свой ответ.

На каждом шаге был тревожный сигнал: непрошеная помощь, неофициальная ссылка и, главное, запрос сид-фразы. Наша статья Мошенничество с криптозаймами развивает эту мысль.

Чек-лист тревожных сигналов

• Сайт или окно запрашивает вашу сид-фразу, приватный ключ или keystore-файл. Одно это уже означает мошенничество.
• «Окно кошелька» нельзя вытащить за пределы браузера, или оно исчезает при смене вкладки.
• Ссылку вам прислали в ответе, личном сообщении, рекламе или через «сотрудника поддержки».
• Домен незнакомый, написан с ошибкой или имеет странное окончание, и на него нет ссылки с официального сайта проекта.
• Страница утверждает, что есть общая проблема вроде «синхронизации», «валидации», «исправления» или «whitelist», которую нужно устранить.
• Кошелёк показывает запрос на одобрение неограниченных расходов или подпись нечитаемого сообщения, которого вы не ожидали.
• Вас торопят: «ваши активы будут заморожены через 30 минут».

Как защититься

1. 1Никогда не вводите сид-фразу ни на одном сайте. Сид-фраза вводится только в приложении кошелька при восстановлении, на вашем собственном устройстве.
2. 2Открывайте приложения из закладок. Сохраните официальные ссылки с сайта проекта и используйте их каждый раз. См. как проверить, что сайт является официальным сайтом проекта.
3. 3Читайте домен в кошельке. Перед одобрением подключения убедитесь, что название сайта, показанное в кошельке, совпадает с официальным доменом.
4. 4Читайте каждый запрос подписи. Если вы не можете понять, что делает запрос, отклоните его.
5. 5Используйте отдельный кошелёк для экспериментов. Храните долгосрочные активы в кошельке, в идеале аппаратном, который редко подключается к новым сайтам.
6. 6Регулярно отзывайте старые разрешения. Наше руководство о том, как отозвать разрешения на токены, показывает, как это сделать.

Что делать, если это случилось

Затем следуйте нашему пошаговому руководству о том, что делать сразу, если ваш кошелёк скомпрометирован. Сохраните URL сайта, хеши транзакций и скриншоты и сообщите о сайте через нашу форму сообщения о мошенничестве, чтобы предупредить других. Остерегайтесь «сервисов по восстановлению», которые связываются с вами после этого: часто это вторая афера.

Итог

WalletConnect и всплывающие окна кошелька — безопасные инструменты, если они исходят от вашего настоящего кошелька и настоящего приложения. Мошенничество скрывается в поддельных окнах, запрашивающих сид-фразу, и во вредоносных запросах, замаскированных под рутинные шаги. Ни одному легитимному сервису не нужны ваши слова восстановления. Если окно их запрашивает, закройте его.