Фальшиві сайти мостів: як користуватися мостом і не втратити кошти
Фальшиві сайти мостів копіюють справжні кросчейн-мости, щоб спустошувати гаманці. Дізнайтеся, як працює ця схема, які є тривожні ознаки та як виглядає безпечний порядок дій під час користування мостом.
Фальшивий сайт мосту — це схожа на оригінал копія справжнього кросчейн-мосту, яка обманом змушує вас підписати транзакцію або дозвіл на токен, що передають ваші кошти зловмиснику. Щоб користуватися мостом і не втратити кошти, відкривайте його лише через перевірену закладку або офіційну документацію, перевіряйте домен і адреси контрактів, читайте кожен запит гаманця перед підписанням і спершу тестуйте переказ на невеликій сумі.
Мости переказують токени з одного блокчейну в інший, наприклад з Ethereum у мережу другого рівня. Оскільки користувачі часто користуються мостами поспіхом, женучись за новою мережею, airdrop чи угодою, інтерфейси мостів — улюблена ціль фішингу. У цьому посібнику пояснюється, як працює схема і який порядок дій її запобігає.
Як працює атака з фальшивим мостом
Більшість схем із фальшивими мостами проходять ті самі кроки:
- 1Копія. Зловмисник клонує фронтенд популярного мосту й розміщує його на домені, що відрізняється однією літерою, дефісом або іншим закінченням.
- 2Приманка. Він просуває посилання через платну пошукову рекламу, відповіді під дописами справжнього проєкту, фальшиві акаунти «підтримки» або оголошення про те, що для нової мережі чи airdrop потрібно скористатися мостом.
- 3Підключення. Ви підключаєте гаманець. Сайт зчитує ваші баланси й тому знає, які токени варто атакувати.
- 4Запит. Ви натискаєте «bridge». Замість виклику справжнього контракту мосту сайт просить вас схвалити токен для контракту зловмисника, підписати офчейн-permit або надіслати кошти безпосередньо на адресу зловмисника.
- 5Спустошення. Щойно дозвіл надано, контракт зловмисника виводить ваші токени. Часто сайт показує фальшиве повідомлення «переказ через міст виконується», щоб виграти час.
Оскільки інтерфейс виглядає ідентично, домен і запит гаманця — ваші єдині надійні підказки. Наші посібники про wallet drainers та фішинг із підписами permit докладно пояснюють трюки з підписами.
Гіпотетичний приклад
Нижче наведено збірний ілюстративний приклад, а не реальний випадок. Уявіть користувача, який хоче переказати стейблкоїни з Ethereum у нову мережу другого рівня, щоб претендувати на airdrop, про який ходять чутки. Він шукає міст цієї мережі, натискає на перший результат — платну рекламу — і потрапляє на сайт, який виглядає точнісінько як офіційний міст.
Він підключає гаманець і вводить суму. Гаманець показує запит на «необмежений» доступ до його стейблкоїнів для контракту, якого він ніколи раніше не бачив. Він вважає, що для мосту це нормально, і підтверджує. Менш ніж за хвилину весь баланс стейблкоїнів виводиться, а сайт і далі показує «очікування підтверджень». На той момент, коли він розуміє, що переказу через міст так і не відбулося, кошти вже обміняно й проведено через кілька адрес.
Втрати стали наслідком трьох спрощень: переходу з пошукової реклами, пропуску перевірки домену та схвалення незнайомого контракту з необмеженим лімітом.
Чек-лист тривожних ознак
| Тривожна ознака | Що це може означати |
|---|---|
| Ви перейшли з реклами, відповіді, особистого повідомлення чи акаунта «підтримки» | Висока ймовірність фішингового посилання |
| Домен трохи відрізняється від офіційного | Схожий домен |
| Гаманець запитує необмежений дозвіл для невідомого контракту | Контракт-дрейнер |
| Вас просять підписати повідомлення зі словом «permit» або довгий запит типізованих даних | Офчейн-дозвіл, за допомогою якого можна забрати токени |
| Сайт запитує сид-фразу або приватний ключ | Це завжди шахрайство |
| Спливне вікно наполягає, що потрібно скористатися мостом просто зараз, щоб отримати винагороди | Тактика тиску |
| Гаманець або розширення браузера показує попередження про фішинг | Не ігноруйте його |
Як безпечно користуватися мостом
Щоразу дотримуйтеся цього порядку дій:
- 1Знайдіть офіційний міст через першоджерело. Відкрийте офіційну документацію цільової мережі та перейдіть за вказаним там посиланням на міст. Наш посібник про те, як переконатися, що сайт є офіційним сайтом проєкту, пояснює, як упевнитися, що ви на правильному домені.
- 2Додайте його в закладки. Надалі користуйтеся лише закладкою. Ніколи не шукайте міст у пошуку, щоб потім клікнути на рекламу.
- 3Перевірте контракт. Якщо проєкт публікує адреси контрактів мосту, порівняйте їх із тим, що показує гаманець, перш ніж надавати дозвіл.
- 4Обмежуйте дозволи. Схвалюйте лише ту суму, яку переказуєте, а не необмежену, якщо гаманець це дозволяє.
- 5Надішліть невеликий тест. Спочатку переказуйте невелику суму й переконайтеся, що вона дійшла до цільової мережі.
- 6Використовуйте окремий гаманець для експериментів. Одноразовий гаманець з обмеженими коштами обмежить втрати, якщо щось піде не так.
- 7Відкличте дозволи, коли закінчите. Видаліть дозволи, які вам більше не потрібні, як описано в нашому посібнику про відкликання дозволів на токени.
Про ширші ризики самих мостів, зокрема помилки в смарт-контрактах, читайте у статті як безпечно переказувати криптовалюту між блокчейнами.
Що робити, якщо ви скористалися фальшивим мостом
Дійте швидко:
- 1Від’єднайте сайт і закрийте вкладку.
- 2Відкличте дозволи для всіх схвалених контрактів за допомогою надійного сервісу перевірки дозволів, відкритого через закладку.
- 3Перемістіть решту активів у цілком новий гаманець із новою сид-фразою, якщо ви підписали щось підозріле або вводили сид-фразу.
- 4Зафіксуйте подробиці: домен, хеші транзакцій та адреси зловмисника.
- 5Повідомте про це справжньому проєкту мосту, біржі, на яку можуть надійти кошти, і через нашу форму для скарг на шахрайство, щоб попередити інших.
Наш покроковий посібник про те, що робити негайно, якщо ваш гаманець скомпрометовано, описує повний порядок дій. Ігноруйте всіх, хто зв’язується з вами й пропонує повернути кошти за плату: шахраї-«рятувальники» полюють на нещодавніх жертв. Докладніше читайте у статті Шахрайство з криптовалютними дебетовими картками та фальшиві пропозиції карток.
Підсумок
Фальшиві сайти мостів спрацьовують тому, що виглядають точнісінько як справжні та ловлять людей у поспіху. Довіряйте домену й запиту гаманця, а не дизайну сторінки. Відкривайте мости лише через офіційну документацію та закладки, схвалюйте лише необхідне, тестуйте на невеликих сумах і потім відкликайте дозволи.
Поширені запитання
Що таке фальшивий сайт мосту?
Фальшивий сайт мосту — це копія інтерфейсу справжнього кросчейн-мосту, створена, щоб обманом змусити вас підписати транзакції чи дозволи, які надсилають ваші токени зловмиснику. Він може виглядати ідентично справжньому сайту, але працює на схожому домені та під’єднується до шкідливих контрактів замість справжніх контрактів мосту.
Як люди потрапляють на фальшиві сайти мостів?
Зазвичай через платну пошукову рекламу, посилання у відповідях у соцмережах, фальшиві акаунти підтримки, повідомлення в Discord чи Telegram або анонси airdrop, які просять спершу скористатися мостом. Якщо вводити домен вручну або користуватися закладкою, можна уникнути більшості цих пасток.
Чи можна повернути кошти після використання фальшивого мосту?
Як правило, ні. Перекази в блокчейні незворотні, а зловмисники швидко переміщують кошти. Ви можете обмежити подальші збитки, відкликавши дозволи та перемістивши решту активів у новий гаманець, а також повідомити про сайт, щоб попередити інших. Остерігайтеся всіх, хто пропонує повернути кошти за плату.
Чи завжди офіційний міст безпечніший за сторонній?
Офіційний міст самої мережі прибирає один рівень довіри, але він не позбавлений ризиків. І офіційні, і сторонні мости можуть мати помилки або скомпрометовані ключі. Серйозніший і поширеніший ризик для окремих користувачів — потрапити на фальшиву копію будь-якого з них.