Фишинг через поисковую рекламу: почему первый результат может оказаться подделкой

Мошенники покупают поисковую рекламу по названиям популярных кошельков, бирж и DeFi-приложений, поэтому первый «спонсорский» результат может вести на убедительный поддельный сайт, созданный для кражи вашей сид-фразы, данных для входа или разрешений кошелька. Самая безопасная привычка проста: никогда не заходите на криптосайт через рекламу, пользуйтесь собственными закладками.

Эта атака работает, потому что бьёт в момент доверия. Вы ищете знакомое название, нажимаете на первый результат и видите страницу, которая выглядит в точности как надо. Ничто не вызывает подозрений — в этом весь смысл. В этом руководстве объясняется, как устроена схема, как она выглядит на практике и как защититься.

Как работает фишинг через поисковую рекламу, шаг за шагом

1. 1Мошенник регистрирует похожий домен. Он может заменить букву, добавить слово вроде «app» или «claim», использовать другую доменную зону или символы, которые выглядят точно так же, как латинские буквы.
2. 2Копируется настоящий сайт. Скопировать дизайн кошелька, биржи или DeFi-приложения почти ничего не стоит.
3. 3Покупается реклама по названию бренда. Объявление нацелено на запросы вроде названия кошелька плюс «download» или названия биржи плюс «login».
4. 4Модерация обходится. Среди уловок — показывать модераторам безобидную страницу, а реальным посетителям фишинговую, или перенаправлять через несколько доменов.
5. 5Жертвы нажимают и действуют. Поддельный сайт запрашивает сид-фразу, чтобы «восстановить» кошелёк, перехватывает пароль от биржи и код двухфакторной аутентификации, предлагает скачать вредоносное приложение или просит подключить кошелёк и подписать транзакцию.
6. 6Средства выводятся. Имея сид-фразу или разрешение на расходование, злоумышленник за считаные минуты выводит активы, часто через миксеры или мосты.

Поддельная страница обычно быстро исчезает, а на её место приходит новый домен с новым объявлением. Подробнее мы пишем об этом в статье Мошенничество с криптозаймами.

Гипотетический пример

Ниже приведён собирательный, иллюстративный сценарий — не реальный случай.

Представьте, что Сэм хочет проверить свою позицию в DeFi. Сэм вводит название протокола в поисковик и нажимает на первый результат, помеченный мелким шрифтом как «Реклама». Страница выглядит точь-в-точь как настоящее приложение. Баннер сообщает, что из-за «миграции безопасности» пользователям нужно заново подключить кошелёк. Сэм подключается, и его просят подписать сообщение, похожее на обычный вход. См. также: Безопасность почтового аккаунта для криптопользователей.

На самом деле подпись — это permit на токены, дающий злоумышленнику право перемещать стейблкоины Сэма. Через несколько минут баланс исчезает. Взглянув на адресную строку, Сэм замечает в домене одну лишнюю букву. Наша статья об ice phishing и подписях permit показывает, как работают такие подписи.

Чек-лист тревожных сигналов

Как защититься

Выработайте безопасные привычки доступа

• Добавьте официальные сайты в закладки один раз, после тщательной проверки, и пользуйтесь только этими закладками. Наше руководство о том, как проверить, что сайт является официальным сайтом проекта, описывает эти проверки.
• Пролистывайте рекламу при любом поиске, связанном с финансами или криптовалютой. А ещё лучше — вообще не ищите страницы входа через поиск.
• Устанавливайте приложения-кошельки только по ссылкам с официального сайта или из проверенных страниц в магазинах приложений, сверяя имя разработчика. Тревожные сигналы описаны в статье поддельные приложения-кошельки.

Сократите ущерб, если всё же ошиблись

• Используйте аппаратный кошелёк, который показывает детали транзакции на собственном экране, и читайте их.
• Держите большую часть средств в кошельке, который редко подключаете к приложениям, а для экспериментов используйте отдельный кошелёк.
• Регулярно проверяйте и отзывайте разрешения на токены.
• Используйте блокировщик рекламы или настройку браузера, скрывающую спонсорские результаты, если вам это удобно.

Проверяйте адреса, а не внешний вид

Прочитайте домен в адресной строке, прежде чем что-либо вводить. Идеально выглядящая страница ничего не доказывает; значение имеет только домен. Подробнее — в статье Атаки на цепочку поставок.

Что делать, если это случилось с вами

1. 1Прекратите взаимодействие с сайтом и отключите кошелёк.
2. 2Если вы ввели сид-фразу, создайте совершенно новый кошелёк с новой сид-фразой и немедленно переведите туда оставшиеся средства.
3. 3Если вы подписали разрешение, отзовите его с помощью надёжного сервиса проверки разрешений, а затем подумайте о переводе средств на новый адрес.
4. 4Если вы ввели данные для входа на биржу, смените пароль, сбросьте двухфакторную аутентификацию и свяжитесь с поддержкой биржи через её официальный сайт.
5. 5Зафиксируйте доказательства: объявление, домен, хеши транзакций и время.
6. 6Сообщите об этом поисковой системе, проекту, под который маскировались мошенники, и через нашу форму сообщения о мошенничестве.

Наше пошаговое руководство о том, что делать сразу, если ваш кошелёк скомпрометирован, подробно описывает восстановление. Остерегайтесь всех, кто после этого свяжется с вами и пообещает вернуть средства: мошенники с «возвратом средств» охотятся на недавних жертв.

Итог

Верхнюю позицию в поиске можно купить, и она не доказывает подлинность. Мошенники используют спонсорские результаты, чтобы подсовывать людям похожие криптосайты именно в тот момент, когда те собираются войти в аккаунт или подключить кошелёк. Проверьте официальные сайты один раз, добавьте их в закладки, полностью пропускайте рекламу и никогда не вводите сид-фразу на сайте. С такими привычками весь этот класс атак перестаёт вас касаться.