Фальшивий WalletConnect і підроблені спливні вікна гаманця: як працює фішинг і як захиститися

Фішинг через WalletConnect — це шахрайство, за якого підроблений сайт показує фальшиве вікно «підключити гаманець» або спливне вікно гаманця, щоб обманом змусити вас ввести сид-фразу чи підписати шкідливу транзакцію. Справжній протокол WalletConnect ніколи не запитує сид-фразу; він лише передає запити на підключення та транзакції у ваш застосунок гаманця, де ви їх підтверджуєте.

Ці схеми працюють, бо підключення гаманця стало рутиною. Люди проходять той самий процес десятки разів, тож переконлива імітація легко прослизає. Знати, як виглядає справжній процес, — найкращий захист.

Як працює справжнє підключення гаманця

Розуміння легітимного процесу допомагає розпізнавати підробки:

1. 1Ви заходите в децентралізований застосунок і натискаєте «Підключити гаманець».
2. 2Застосунок показує список варіантів, наприклад розширення браузера або WalletConnect.
3. 3Якщо ви обираєте WalletConnect, застосунок показує QR-код, а на мобільному пристрої відкриває застосунок гаманця через діплінк.
4. 4Застосунок гаманця показує назву й домен сайту та просить підтвердити підключення.
5. 5Пізніше, коли ви виконуєте дію, гаманець показує транзакцію або запит підпису, і ви її підтверджуєте чи відхиляєте.

На жодному етапі застосунку не потрібна ваша сид-фраза чи приватний ключ. Усе конфіденційне залишається всередині гаманця. Наш посібник про дозволи гаманця та підключені сайти пояснює, що підключення дозволяє, а що ні. Докладніше — у статті Розкриті та підроблені апаратні гаманці.

Як працює схема, крок за кроком

Варіант 1: викрадення сид-фрази

1. 1Приманка. Жертва бачить повідомлення про проблему: «ваш гаманець не синхронізовано», «отримання не вдалося, підтвердьте гаманець» або «перенесіть свої токени». Посилання надходять через відповіді в соцмережах, підроблені акаунти підтримки, рекламу чи електронні листи.
2. 2Підроблений сайт. Сторінка виглядає як нейтральний сайт «інструментів для гаманців» або «виправлення dapp», часто з брендингом WalletConnect і сіткою логотипів гаманців.
3. 3Фальшивий збій. Натискання на логотип гаманця показує підроблений індикатор завантаження, а потім помилку: «Автоматичне підключення не вдалося. Підключіться вручну».
4. 4Викрадення. «Ручний» варіант запитує 12 або 24 слова відновлення, приватний ключ або keystore-файл. Усе, що ви введете, надсилається шахраєві, який спустошує гаманець за лічені хвилини.

Варіант 2: шкідливі підписи

Тут сайт коректно підключається до вашого справжнього гаманця, а потім просить підписати щось шкідливе: необмежений дозвіл на токени, підпис permit або транзакцію, що переказує активи. Спливне вікно справжнє; запит — шкідливий. Наша стаття про ice phishing і підписи permit докладно розбирає цю тему.

Варіант 3: підроблені вікна гаманця всередині сторінки

Деякі сайти малюють усередині сторінки ідеальну копію популярного гаманця-розширення, з логотипом і полем для пароля. Вона може спершу запитати пароль, а потім сид-фразу «для відновлення доступу». Читайте також: Фішинг через пошукову рекламу.

Гіпотетичний приклад

Нижче наведено збірний, ілюстративний сценарій, а не реальний випадок. Уявіть Маю, яка має токени з минулого airdrop одного проєкту. Вона пише в соцмережах, що отримання не вдалося. За кілька хвилин акаунт із логотипом проєкту відповідає: «Перепрошуємо за незручності! Скористайтеся нашим порталом синхронізації гаманців, щоб розв’язати проблему з очікуваними отриманнями», і додає посилання.

Сайт показує вікно в стилі WalletConnect. Вона обирає свій гаманець, бачить «Помилка підключення, підключіться вручну», і поле запитує її сид-фразу. Вона вводить її. Через десять хвилин її токени та нативну монету мережі виведено. Акаунт «підтримки» видаляє свою відповідь.

На кожному кроці був тривожний сигнал: непрохана допомога, неофіційне посилання і, головне, запит сид-фрази. Наша стаття Шахрайство з криптопозиками розвиває цю думку.

Чек-лист тривожних сигналів

• Сайт або вікно запитує вашу сид-фразу, приватний ключ чи keystore-файл. Уже одне це означає шахрайство.
• «Вікно гаманця» не можна витягнути за межі браузера, або воно зникає під час зміни вкладки.
• Посилання вам надіслали у відповіді, особистому повідомленні, рекламі чи через «працівника підтримки».
• Домен незнайомий, написаний з помилкою або має дивне закінчення, і на нього немає посилання з офіційного сайту проєкту.
• Сторінка стверджує, що є загальна проблема на кшталт «синхронізації», «валідації», «виправлення» чи «whitelist», яку треба усунути.
• Гаманець показує запит на схвалення необмежених витрат або підпис нечитабельного повідомлення, якого ви не очікували.
• Вас кваплять: «ваші активи буде заморожено через 30 хвилин».

Як захиститися

1. 1Ніколи не вводьте сид-фразу на жодному сайті. Сид-фраза вводиться лише в застосунку гаманця під час відновлення, на вашому власному пристрої.
2. 2Відкривайте застосунки із закладок. Збережіть офіційні посилання із сайту проєкту та користуйтеся ними щоразу. Див. як перевірити, що сайт є офіційним сайтом проєкту.
3. 3Читайте домен у гаманці. Перед схваленням підключення переконайтеся, що назва сайту, показана в гаманці, збігається з офіційним доменом.
4. 4Читайте кожен запит підпису. Якщо ви не можете зрозуміти, що робить запит, відхиліть його.
5. 5Використовуйте окремий гаманець для експериментів. Зберігайте довгострокові активи в гаманці, в ідеалі апаратному, який рідко підключається до нових сайтів.
6. 6Регулярно відкликайте старі дозволи. Наш посібник про те, як відкликати дозволи на токени, показує, як це зробити.

Що робити, якщо це сталося

Потім скористайтеся нашим покроковим посібником про те, що робити негайно, якщо ваш гаманець скомпрометовано. Збережіть URL сайту, хеші транзакцій і скриншоти та повідомте про сайт через нашу форму повідомлення про шахрайство, щоб попередити інших. Остерігайтеся «сервісів відновлення», які зв’язуються з вами після цього: часто це друга афера.

Підсумок

WalletConnect і спливні вікна гаманця — безпечні інструменти, якщо вони походять від вашого справжнього гаманця та справжнього застосунку. Шахрайство ховається в підроблених вікнах, що запитують сид-фразу, і в шкідливих запитах, замаскованих під рутинні кроки. Жодному легітимному сервісу не потрібні ваші слова відновлення. Якщо вікно їх запитує, закрийте його.