Фішинг через пошукову рекламу: чому перший результат може виявитися підробкою

Шахраї купують пошукову рекламу за назвами популярних гаманців, бірж і DeFi-застосунків, тож перший «спонсорський» результат може вести на переконливий підроблений сайт, створений для крадіжки вашої сид-фрази, даних для входу чи дозволів гаманця. Найбезпечніша звичка проста: ніколи не заходьте на криптосайт через рекламу, користуйтеся власними закладками.

Ця атака працює, бо б’є в момент довіри. Ви шукаєте знайому назву, натискаєте на перший результат і бачите сторінку, яка виглядає саме так, як має. Ніщо не викликає підозри — у цьому вся суть. Цей посібник пояснює, як влаштована схема, як вона виглядає на практиці та як захиститися.

Як працює фішинг через пошукову рекламу, крок за кроком

1. 1Шахрай реєструє схожий домен. Він може замінити літеру, додати слово на кшталт «app» чи «claim», використати іншу доменну зону або символи, що виглядають точнісінько як латинські літери.
2. 2Копіюється справжній сайт. Скопіювати дизайн гаманця, біржі чи DeFi-застосунку майже нічого не коштує.
3. 3Купується реклама за назвою бренду. Оголошення націлене на запити на кшталт назви гаманця плюс «download» або назви біржі плюс «login».
4. 4Модерація обходиться. Серед хитрощів — показувати модераторам нешкідливу сторінку, а реальним відвідувачам фішингову, або перенаправляти через кілька доменів.
5. 5Жертви натискають і діють. Підроблений сайт запитує сид-фразу, щоб «відновити» гаманець, перехоплює пароль до біржі та код двофакторної автентифікації, пропонує завантажити шкідливий застосунок або просить підключити гаманець і підписати транзакцію.
6. 6Кошти виводяться. Маючи сид-фразу чи дозвіл на витрачання, зловмисник за лічені хвилини виводить активи, часто через міксери або мости.

Підроблена сторінка зазвичай швидко зникає, а на її місце приходить новий домен із новим оголошенням. Докладніше ми пишемо про це в статті Шахрайство з криптопозиками.

Гіпотетичний приклад

Нижче наведено збірний, ілюстративний сценарій — не реальний випадок.

Уявіть, що Сем хоче перевірити свою позицію в DeFi. Сем вводить назву протоколу в пошуковик і натискає на перший результат, позначений дрібним шрифтом як «Реклама». Сторінка виглядає точнісінько як справжній застосунок. Банер повідомляє, що через «міграцію безпеки» користувачам потрібно заново підключити гаманець. Сем підключається, і його просять підписати повідомлення, схоже на звичайний вхід. Див. також: Безпека поштового акаунта для криптокористувачів.

Насправді підпис — це permit на токени, що дає зловмисникові право переміщувати стейблкоїни Сема. За кілька хвилин баланс зникає. Глянувши на адресний рядок, Сем помічає в домені одну зайву літеру. Наша стаття про ice phishing і підписи permit показує, як працюють такі підписи.

Чек-лист тривожних сигналів

Як захиститися

Виробіть безпечні звички доступу

• Додайте офіційні сайти в закладки один раз, після ретельної перевірки, і користуйтеся лише цими закладками. Наш посібник про те, як перевірити, що сайт є офіційним сайтом проєкту, описує ці перевірки.
• Прогортайте рекламу під час будь-якого пошуку, пов’язаного з фінансами чи криптовалютою. А ще краще — взагалі не шукайте сторінки входу через пошук.
• Встановлюйте застосунки-гаманці лише за посиланнями з офіційного сайту або з перевірених сторінок у магазинах застосунків, звіряючи ім’я розробника. Тривожні сигнали описано в статті підроблені застосунки-гаманці.

Зменште шкоду, якщо все ж помилилися

• Використовуйте апаратний гаманець, який показує деталі транзакції на власному екрані, і читайте їх.
• Тримайте більшу частину коштів у гаманці, який рідко підключаєте до застосунків, а для експериментів використовуйте окремий гаманець.
• Регулярно перевіряйте та відкликайте дозволи на токени.
• Використовуйте блокувальник реклами або налаштування браузера, що приховує спонсорські результати, якщо вам це зручно.

Перевіряйте адреси, а не зовнішній вигляд

Прочитайте домен в адресному рядку, перш ніж щось вводити. Сторінка, що виглядає ідеально, нічого не доводить; значення має лише домен. Докладніше — у статті Атаки на ланцюг постачання.

Що робити, якщо це сталося з вами

1. 1Припиніть взаємодію із сайтом і від’єднайте гаманець.
2. 2Якщо ви ввели сид-фразу, створіть зовсім новий гаманець із новою сид-фразою та негайно перенесіть туди решту коштів.
3. 3Якщо ви підписали дозвіл, відкличте його за допомогою надійного сервісу перевірки дозволів, а потім подумайте про переказ коштів на нову адресу.
4. 4Якщо ви ввели дані для входу на біржу, змініть пароль, скиньте двофакторну автентифікацію та зв’яжіться з підтримкою біржі через її офіційний сайт.
5. 5Зафіксуйте докази: оголошення, домен, хеші транзакцій і час.
6. 6Повідомте про це пошукову систему, проєкт, під який маскувалися шахраї, і через нашу форму повідомлення про шахрайство.

Наш покроковий посібник про те, що робити негайно, якщо ваш гаманець скомпрометовано, докладно описує відновлення. Остерігайтеся всіх, хто після цього зв’яжеться з вами й пообіцяє повернути кошти: шахраї з «поверненням коштів» полюють на нещодавніх жертв.

Підсумок

Верхню позицію в пошуку можна купити, і вона не доводить справжності. Шахраї використовують спонсорські результати, щоб підсовувати людям схожі криптосайти саме тоді, коли ті збираються увійти в акаунт або підключити гаманець. Перевірте офіційні сайти один раз, додайте їх у закладки, повністю пропускайте рекламу й ніколи не вводьте сид-фразу на сайті. З такими звичками весь цей клас атак перестає вас стосуватися.