Nätfiske via sökannonser: därför kan toppresultatet vara falskt

Bedragare köper sökannonser på namnen på populära wallets, börser och DeFi-appar, så det första ”sponsrade” resultatet kan leda till en övertygande falsk sida byggd för att stjäla din återställningsfras, din inloggning eller dina wallet-godkännanden. Den säkraste vanan är enkel: gå aldrig till en kryptosida via en annons, och använd dina egna bokmärken i stället.

Attacken fungerar eftersom den riktar sig mot ett ögonblick av förtroende. Du söker på ett namn du känner till, klickar på första resultatet och ser en sida som ser helt rätt ut. Inget känns misstänkt – och det är hela poängen. Den här guiden förklarar hur upplägget fungerar, hur det ser ut i praktiken och hur du skyddar dig.

Så fungerar nätfiske via sökannonser, steg för steg

1. 1Bedragaren registrerar en förväxlingsbar domän. Den kan byta ut en bokstav, lägga till ett ord som ”app” eller ”claim”, använda en annan domänändelse eller använda tecken som ser identiska ut med latinska bokstäver.
2. 2De klonar den riktiga sidan. Att kopiera designen på en wallet, börs eller DeFi-app kräver lite arbete.
3. 3De köper annonser på varumärkesnamnet. Annonsen riktar sig mot sökningar som walletens namn plus ”download” eller börsens namn plus ”login”.
4. 4De undviker granskningen. Knepen inkluderar att visa en ofarlig sida för granskare och nätfiskesidan för riktiga besökare, eller att omdirigera via flera domäner.
5. 5Offren klickar och agerar. Den falska sidan ber om en återställningsfras för att ”återställa” en wallet, fångar upp ett börslösenord och en tvåfaktorskod, erbjuder nedladdning av en skadlig app eller ber dig ansluta en wallet och signera en transaktion.
6. 6Medlen töms. Med en återställningsfras eller ett utgiftsgodkännande flyttar angriparen ut tillgångarna inom några minuter, ofta via mixers eller bryggor.

Den falska sidan försvinner oftast snabbt, och en ny domän med en ny annons ersätter den. Vi går igenom detta mer i detalj i Bedrägerier med kryptolån.

Ett hypotetiskt exempel

Följande är ett sammansatt, illustrativt scenario – inte ett verkligt fall.

Tänk dig att Sam vill kolla en DeFi-position. Sam skriver protokollets namn i en sökmotor och klickar på toppresultatet, som är märkt ”Sponsrad” med liten text. Sidan ser identisk ut med den riktiga appen. En banner säger att en ”säkerhetsmigrering” kräver att användarna ansluter sin wallet igen. Sam ansluter och ombeds signera ett meddelande som ser ut som en rutinmässig inloggning. Se även: E-postkontosäkerhet för kryptoanvändare.

I själva verket är signaturen en token-permit som ger angriparen tillåtelse att flytta Sams stablecoins. Några minuter senare är saldot borta. När Sam tittar i adressfältet har domänen en extra bokstav. Vår förklaring om ice phishing och permit-signaturer visar hur sådana signaturer fungerar.

Checklista med varningssignaler

Så skyddar du dig

Bygg säkra vanor för åtkomst

• Bokmärk officiella sidor en gång, efter att noggrant ha verifierat dem, och använd bara de bokmärkena. Vår guide om hur du kontrollerar att en webbplats är projektets officiella sida går igenom kontrollerna.
• Scrolla förbi annonser vid alla sökningar som gäller ekonomi eller krypto. Ännu bättre: undvik att söka efter inloggningssidor över huvud taget.
• Installera wallet-appar endast via länkar på den officiella webbplatsen eller verifierade listningar i appbutiker, och kontrollera utvecklarens namn. Se falska wallet-appar för varningssignaler.

Minska skadan om du gör ett misstag

• Använd en hårdvaruplånbok som visar transaktionsdetaljerna på sin egen skärm, och läs dem.
• Förvara de flesta medel i en wallet som du sällan ansluter till appar, och använd en separat wallet för experiment.
• Gå igenom och återkalla tokengodkännanden regelbundet.
• Använd en annonsblockerare eller en webbläsarinställning som döljer sponsrade resultat, om du känner dig bekväm med det.

Kontrollera adresser, inte utseende

Läs domänen i adressfältet innan du skriver något. En sida som ser perfekt ut bevisar ingenting; det är domänen som räknas. För en djupare genomgång, se Leveranskedjeattacker.

Vad du gör om det har hänt dig

1. 1Sluta interagera med sidan och koppla från din wallet.
2. 2Om du skrev in en återställningsfras, skapa en helt ny wallet med en ny återställningsfras och flytta omedelbart alla kvarvarande medel.
3. 3Om du signerade ett godkännande, återkalla det med en välrenommerad godkännandekontroll och överväg sedan att flytta medlen till en ny adress.
4. 4Om du skrev in en börsinloggning, byt lösenord, återställ tvåfaktorsautentiseringen och kontakta börsens support via dess officiella webbplats.
5. 5Spara bevis: annonsen, domänen, transaktionshashar och tidsstämplar.
6. 6Rapportera det till sökmotorn, till det projekt som utges för och via vårt formulär för att rapportera bedrägerier.

Vår steg-för-steg-guide om vad du ska göra direkt om din wallet har komprometterats går igenom återhämtningen i detalj. Var försiktig med alla som sedan kontaktar dig och lovar att få tillbaka pengarna – återställningsbedrägerier riktar in sig på nyligen drabbade.

Sammanfattning

En topplacering i sökresultaten är något som går att köpa, inte ett bevis på äkthet. Bedragare använder sponsrade resultat för att placera förväxlingsbara kryptosidor framför människor i exakt det ögonblick då de ska logga in eller ansluta en wallet. Verifiera officiella sidor en gång, bokmärk dem, hoppa helt över annonser och skriv aldrig in en återställningsfras på en webbplats. De vanorna gör hela den här typen av attacker irrelevanta för dig.