Шахрайство з фальшивою міграцією та обміном токенів

Шахрайство з міграцією токенів — це схема, у якій злочинці повідомляють, що ваш токен потрібно «оновити», «мігрувати» або «обміняти» на нову версію, а потім спрямовують вас на фальшивий портал, який спустошує гаманець через шкідливий дозвіл, підпис або запит сид-фрази. Схема працює тому, що справжні міграції дійсно відбуваються, тож історія звучить правдоподібно.

Проєкти цілком законно змінюють контракти під час оновлень, ребрендингу чи переходу на іншу мережу. Перехід Polygon з MATIC на POL — відомий приклад справжньої зміни токена. Кожна справжня міграція відкриває вікно, коли власники чекають інструкцій, і шахраї поспішають заповнити його фальшивими.

Чому справжні міграції відкривають лазівку

Існують законні причини, з яких проєкт може попросити власників обміняти токени:

• Оновлення контракту. Через помилку чи нову функцію потрібен новий контракт токена.
• Ребрендинг і зміна токена. Проєкт замінює один токен його наступником.
• Перехід на іншу мережу. Токен переїжджає з одного блокчейну на інший, наприклад з ERC-20 у власний мейннет проєкту.
• Деномінації. Пропозицію ділять або об’єднують, наприклад 1 старий токен стає 100 новими.

Кожна з цих ситуацій спричиняє плутанину, а плутанина вигідна шахраям. Багато власників не стежать уважно за новинами проєкту, тож переконливе повідомлення про те, що «старий токен виводять з обігу», може здатися терміновою та корисною інформацією. Читайте також: Фішинг через пошукову рекламу.

Як працює схема: крок за кроком

1. 1Вибір цілі. Шахраї стежать за оголошеними міграціями або просто вигадують міграцію для популярного токена.
2. 2Створення порталу. Вони копіюють дизайн сайту проєкту на схожий домен із кнопкою «Мігрувати» або «Отримати V2».
3. 3Поширення посилання. Вони публікують його у відповідях під офіційними акаунтами, запускають пошукову рекламу, надсилають особисті повідомлення в Telegram і Discord, роздають через airdrop нікчемні токени, назва яких — URL, або видають себе за співробітників підтримки.
4. 4Створення поспіху. У повідомленнях стверджується, що старий токен протягом кількох годин «перестане працювати» або «повністю знеціниться».
5. 5Захоплення коштів. Портал просить підключити гаманець, а потім схвалити необмежене витрачання, підписати повідомлення permit або Permit2, надіслати токени на «контракт міграції» або «підтвердити» гаманець, ввівши сид-фразу.
6. 6Виведення та відмивання. Щойно ви підписуєте, автоматичний дрейнер виводить ваші токени, часто за лічені секунди, і розподіляє їх між багатьма адресами.

Докладніше про використовувані трюки з підписами читайте в нашому посібнику про ice phishing і підписи permit.

Гіпотетичний приклад

Нижче наведено збірний ілюстративний приклад, а не реальний випадок.

Уявіть власника на ім’я Сем, який має DeFi-токен середньої капіталізації. Одного ранку Сем бачить відповідь під офіційним дописом проєкту: «Нагадування: токени V1 виводяться з обігу опівночі за UTC. Мігруйте тут». Посилання веде на сайт, який виглядає точнісінько як сайт проєкту, але в домені змінено одну літеру. Детальніше ми розбираємо це у статті Фальшивий WalletConnect і фішинг через спливні вікна гаманця.

Сем підключає гаманець і натискає «Мігрувати». Гаманець показує запит на дозвіл для токена з необмеженою сумою. Сем вважає, що для свопу це нормально, і підтверджує. Менш ніж за хвилину весь баланс токена залишає гаманець. Потім другий запит пропонує Сему підписати повідомлення, щоб «отримати токени V2»; насправді це permit для іншого токена в гаманці. Жодних токенів V2 так і не надходить. Справжній проєкт узагалі не оголошував міграції. Див. також: Фальшиві сайти мостів.

Чек-лист тривожних ознак

Як перевірити справжню міграцію

1. 1Зверніться до першоджерела самостійно. Введіть офіційний домен проєкту вручну або скористайтеся закладкою. Пошукайте сторінку про міграцію в офіційній документації та блозі. Наш посібник про те, як переконатися, що сайт є офіційним сайтом проєкту, пояснює, як це зробити.
2. 2Перевірте оголошення з кількох джерел. Переконайтеся, що воно опубліковане у верифікованих акаунтах проєкту в соцмережах і, в ідеалі, про нього повідомляють біржі, на яких торгується токен.
3. 3Перевірте свою біржу. Якщо ваші токени зберігаються на біржі, знайдіть її офіційне повідомлення. Біржі зазвичай самі проводять обмін для клієнтів.
4. 4Перевірте новий контракт. Порівняйте адресу нового токена в офіційній документації та в оглядачі блоків, як описано в нашому посібнику про перевірку офіційної адреси контракту токена.
5. 5Прочитайте транзакцію перед підписанням. Переконайтеся, що контракт, який ви схвалюєте, збігається із задокументованим контрактом міграції, і за можливості обмежте суму дозволу.
6. 6Зачекайте, якщо сумніваєтеся. Справжні міграції рідко карають власників за те, що вони витратили день на перевірку.

Що робити, якщо ви потрапили на гачок

Дійте швидко й у такому порядку:

1. 1Відкличте дозволи. За допомогою надійного інструмента відкличте всі дозволи та permit, надані контракту шахраїв. Див. як відкликати дозволи на токени.
2. 2Захистіть гаманець. Якщо ви вводили сид-фразу, вважайте гаманець скомпрометованим і перемістіть решту активів у цілком новий гаманець із новою сид-фразою. Скористайтеся нашим чек-листом про те, що робити негайно, якщо ваш гаманець скомпрометовано.
3. 3Збережіть докази. Збережіть URL, знімки екрана, хеші транзакцій та адреси шахраїв.
4. 4Повідомте про шахрайство. Сповістіть справжній проєкт, провайдера гаманця та платформу, де ви побачили посилання. Ви також можете повідомити нам про сайт і адреси через нашу форму для скарг на шахрайство.
5. 5Остерігайтеся шахраїв-«рятувальників». Люди, які обіцяють повернути ваші кошти за плату, майже завжди проводять другу аферу.

Підсумок

Шахрайство з міграцією токенів експлуатує реальний процес: проєкти іноді справді обмінюють або оновлюють токени. Захист простий, але суворий. Виконуйте лише ті інструкції з міграції, які знайшли самі в офіційних каналах, перевіряйте адресу нового контракту, ніколи не повідомляйте сид-фразу та вважайте поспіх і особисті повідомлення тривожними сигналами. Якщо міграція справжня, вона нікуди не подінеться, поки ви все перевіряєте.