Wallet drainers: как вредоносные разрешения крадут вашу криптовалюту

Wallet drainer (дрейнер) — это вредоносный сайт или скрипт, который обманом заставляет вас подписать транзакции или сообщения, дающие злоумышленнику право перемещать ваши токены и NFT, а затем использует это право, чтобы опустошить кошелёк. Злоумышленнику вообще не нужна ваша сид-фраза: всю работу делает ваша собственная подпись.

Дрейнеры стоят за многими потерями, о которых сообщают после фальшивых аирдропов, фальшивых минтов и взломов аккаунтов проектов в соцсетях. Их продают как готовые наборы, иногда под названием «drainer-as-a-service», поэтому их могут использовать даже мошенники без технических навыков. Понимание того, что вы подписываете, — лучшая защита.

Как работают разрешения на токены (и почему дрейнеры их обожают)

В Ethereum и других EVM-сетях децентрализованные приложения не могут сами перемещать ваши токены. Сначала вы выдаёте разрешение (approval): право конкретного контракта тратить конкретный токен от вашего имени в пределах заданной суммы. DEX и протоколы кредитования без этого не работают.

Проблема в том, что многие приложения ради удобства запрашивают неограниченные разрешения, а разрешения действуют, пока вы их не отзовёте. Дрейнер просто просит вас одобрить его контракт вместо легитимного. Как только вы подпишете, злоумышленник сможет сделать перевод в любой момент.

Для NFT аналогом служит setApprovalForAll — функция, позволяющая оператору перемещать все ваши NFT из коллекции. Маркетплейсы используют её легитимно, а дрейнеры — чтобы забрать целые коллекции за раз. Подробнее см. Криптомошенничество в Instagram и TikTok.

Какие подписи используют дрейнеры

Подписи без газа особенно обманчивы. Раз за них не нужно платить, люди считают их безобидными «входами в систему». Некоторые такими и являются. Другие — это permit, разрешающие траты. Наша статья об ice phishing и подписях permit подробно объясняет их.

Как обычно проходит атака дрейнера

1. 1Приманка. Ссылка приходит через фальшивое объявление об аирдропе, ответ под официальным постом, взломанный Discord-сервер, спонсорскую рекламу в поиске или личное сообщение с предложением «поддержки».
2. 2Убедительный сайт. Страница копирует дизайн настоящего проекта и просит подключить кошелёк.
3. 3Сканирование активов. Скрипты дрейнера проверяют ваши балансы и в первую очередь запрашивают разрешения на самые ценные активы.
4. 4Подпись. Запросы оформляют как «получить», «подтвердить», «минт» или «синхронизировать», создавая спешку, например таймерами обратного отсчёта.
5. 5Вывод. Активы выводятся, часто за секунды, и быстро обмениваются или переводятся через мосты, чтобы затруднить отслеживание.

Почему дрейнеры срабатывают и на опытных пользователях

Дрейнеры не полагаются на откровенно фальшивые сайты. Многие атаки начинаются со взломанного аккаунта настоящего проекта, поэтому объявление выглядит подлинным — оно опубликовано с настоящего аккаунта. Другие появляются ровно тогда, когда в тренде настоящий аирдроп или минт: люди ожидают подписывать транзакции и торопятся успеть первыми. Читайте также: Атаки с подменой SIM-карты. Если хотите узнать больше, прочитайте Мошенничество с фальшивой миграцией токенов и свопами.

Кроме того, запросы кошелька выглядят похоже, одобряете ли вы надёжный DEX или контракт дрейнера. Разница — в деталях: адресе получателя разрешения, токене и сумме. Опытные пользователи попадаются, когда срабатывает привычка и они нажимают «подтвердить», как делали это уже сотни раз. Подробнее об этом — в статье Вредоносные расширения браузера, которые крадут криптовалюту. Читайте также: Безопасность почтового аккаунта для криптопользователей.

Тревожные признаки перед подписью

• Вы попали на сайт через личное сообщение, ответ, рекламу или ссылку, которую не искали сами.
• Сайт запрашивает разрешение на токен, которым вы не собирались торговать.
• Сумма разрешения не ограничена или адрес получателя разрешения вам незнаком.
• Вас просят подписать сообщение, которое невозможно прочитать, или кошелёк предупреждает о слепой подписи.
• На вас давят: «получение истекает через 10 минут», «ваш кошелёк будет заблокирован».
• Домен немного отличается, зарегистрирован недавно или использует необычную доменную зону. См. фишинговые криптосайты.

Как защититься

1. 1Используйте одноразовый кошелёк для новых минтов, аирдропов и незнакомых приложений и держите на нём только необходимое. Долгосрочные активы храните в отдельном кошельке, который редко куда-либо подключается. Наше руководство по одноразовым кошелькам объясняет, как его настроить.
2. 2Читайте каждый запрос. Перед подписью проверяйте действие, токен, сумму и получателя разрешения. Если не понимаете — отклоняйте.
3. 3Выбирайте ограниченные разрешения, если кошелёк позволяет задать свою сумму.
4. 4Включите предпросмотр транзакций или функции симуляции в кошельке, если они есть: они показывают, что уйдёт из кошелька.
5. 5Регулярно отзывайте разрешения. Проверяйте и удаляйте старые разрешения. Наше пошаговое руководство о том, как отозвать разрешения на токены, покажет, как это сделать.
6. 6Переходите напрямую. Вводите знакомые адреса вручную или пользуйтесь сохранёнными закладками вместо перехода по ссылкам.

Если вы думаете, что ваш кошелёк опустошили

Действуйте быстро: злоумышленники часто возвращаются за оставшимися активами.

• Отзовите все разрешения, которые вы не узнаёте.
• Переведите оставшиеся средства в совершенно новый кошелёк с новой сид-фразой, особенно если вы где-либо вводили свою сид-фразу.
• Запишите хеши транзакций, адреса злоумышленника и URL сайта.
• Сообщите о сайте и адресах, например через нашу форму для сообщений о мошенничестве, а также платформе, где вы нашли ссылку.
• Игнорируйте всех, кто предлагает вернуть средства за плату: мошенники с «возвратом средств» охотятся на недавних жертв.

См. также наш чек-лист о том, что делать немедленно, если ваш кошелёк скомпрометирован.

Итог

Wallet drainers не взламывают криптографию кошелька — они заставляют вас самих разрешить кражу. Относитесь к каждой подписи как к возможной передаче контроля, храните ценные активы в кошельке, который никогда не подключается к незнакомым сайтам, и регулярно чистите разрешения. Тридцать секунд паузы перед подписью — самый эффективный инструмент безопасности, который у вас есть.