Wallet drainers: як шкідливі дозволи крадуть вашу криптовалюту

Wallet drainer (дрейнер) — це шкідливий сайт або скрипт, який обманом змушує вас підписати транзакції чи повідомлення, що дають зловмиснику право переміщувати ваші токени та NFT, а потім використовує це право, щоб спустошити гаманець. Зловмиснику взагалі не потрібна ваша сид-фраза: усю роботу виконує ваш власний підпис.

Дрейнери стоять за багатьма втратами, про які повідомляють після фальшивих аірдропів, фальшивих мінтів і зламів акаунтів проєктів у соцмережах. Їх продають як готові набори, іноді під назвою «drainer-as-a-service», тож ними можуть скористатися навіть шахраї без технічних навичок. Розуміння того, що ви підписуєте, — найкращий захист.

Як працюють дозволи на токени (і чому дрейнери їх обожнюють)

В Ethereum та інших EVM-мережах децентралізовані застосунки не можуть самі переміщувати ваші токени. Спершу ви надаєте дозвіл (approval): право конкретного контракту витрачати конкретний токен від вашого імені в межах визначеної суми. DEX і протоколи кредитування без цього не працюють.

Проблема в тому, що багато застосунків заради зручності просять необмежені дозволи, а дозволи діють, доки ви їх не відкличете. Дрейнер просто просить вас схвалити його контракт замість легітимного. Щойно ви підпишете, зловмисник зможе зробити переказ будь-коли.

Для NFT аналогом є setApprovalForAll — функція, що дозволяє оператору переміщувати всі ваші NFT з колекції. Маркетплейси використовують її легітимно, а дрейнери — щоб забрати цілі колекції за один раз. Докладніше див. Криптошахрайство в Instagram і TikTok.

Які підписи використовують дрейнери

Підписи без газу особливо оманливі. Оскільки за них не треба платити, люди вважають їх нешкідливими «входами в систему». Деякі такими і є. Інші — це permit, що дозволяють витрати. Наша стаття про ice phishing і підписи permit детально їх пояснює.

Як зазвичай відбувається атака дрейнера

1. 1Приманка. Посилання надходить через фальшиве оголошення про аірдроп, відповідь під офіційним дописом, зламаний Discord-сервер, спонсоровану рекламу в пошуку або особисте повідомлення з пропозицією «підтримки».
2. 2Переконливий сайт. Сторінка копіює дизайн справжнього проєкту й просить підключити гаманець.
3. 3Сканування активів. Скрипти дрейнера перевіряють ваші баланси й насамперед запитують дозволи на найцінніші активи.
4. 4Підпис. Запити подають як «отримати», «підтвердити», «мінт» чи «синхронізувати», створюючи поспіх, наприклад таймерами зворотного відліку.
5. 5Виведення. Активи виводять, часто за лічені секунди, і швидко обмінюють або переказують через мости, щоб ускладнити відстеження.

Чому дрейнери спрацьовують і на досвідчених користувачах

Дрейнери не покладаються на відверто фальшиві сайти. Багато атак починаються зі зламаного акаунта справжнього проєкту, тож оголошення виглядає справжнім — його опубліковано зі справжнього акаунта. Інші з’являються саме тоді, коли в тренді справжній аірдроп чи мінт: люди очікують підписувати транзакції й поспішають встигнути першими. Читайте також: Атаки з підміною SIM-картки. Якщо хочете дізнатися більше, прочитайте Шахрайство з фальшивою міграцією токенів і свопами.

Крім того, запити гаманця виглядають схоже, схвалюєте ви надійний DEX чи контракт дрейнера. Різниця — у деталях: адресі отримувача дозволу, токені та сумі. Досвідчені користувачі потрапляють у пастку, коли спрацьовує звичка і вони натискають «підтвердити», як робили вже сотні разів. Докладніше про це — у статті Шкідливі розширення браузера, які крадуть криптовалюту. Читайте також: Безпека поштового акаунта для криптокористувачів.

Тривожні ознаки перед підписом

• Ви потрапили на сайт через особисте повідомлення, відповідь, рекламу чи посилання, якого не шукали самі.
• Сайт запитує дозвіл на токен, яким ви не збиралися торгувати.
• Сума дозволу не обмежена або адреса отримувача дозволу вам незнайома.
• Вас просять підписати повідомлення, яке неможливо прочитати, або гаманець попереджає про сліпий підпис.
• На вас тиснуть: «отримання спливає через 10 хвилин», «ваш гаманець буде заблоковано».
• Домен трохи відрізняється, зареєстрований нещодавно або має незвичну доменну зону. Див. фішингові криптосайти.

Як захиститися

1. 1Використовуйте одноразовий гаманець для нових мінтів, аірдропів і незнайомих застосунків і тримайте на ньому лише необхідне. Довгострокові активи зберігайте в окремому гаманці, який рідко кудись підключається. Наш посібник з одноразових гаманців пояснює, як його налаштувати.
2. 2Читайте кожен запит. Перед підписом перевіряйте дію, токен, суму й отримувача дозволу. Якщо не розумієте — відхиляйте.
3. 3Обирайте обмежені дозволи, якщо гаманець дає змогу задати власну суму.
4. 4Увімкніть попередній перегляд транзакцій або функції симуляції в гаманці, якщо вони є: вони показують, що піде з гаманця.
5. 5Регулярно відкликайте дозволи. Перевіряйте й видаляйте старі дозволи. Наш покроковий посібник про те, як відкликати дозволи на токени, покаже, як це зробити.
6. 6Переходьте напряму. Вводьте знайомі адреси вручну або користуйтеся збереженими закладками замість переходу за посиланнями.

Якщо ви вважаєте, що ваш гаманець спустошили

Дійте швидко: зловмисники часто повертаються по решту активів.

• Відкличте всі дозволи, яких ви не впізнаєте.
• Перемістіть решту коштів у зовсім новий гаманець з новою сид-фразою, особливо якщо ви десь вводили свою сид-фразу.
• Запишіть хеші транзакцій, адреси зловмисника та URL сайту.
• Повідомте про сайт і адреси, наприклад через нашу форму для повідомлень про шахрайство, а також платформі, де ви знайшли посилання.
• Ігноруйте всіх, хто пропонує повернути кошти за плату: шахраї з «поверненням коштів» полюють на нещодавніх жертв.

Див. також наш чек-лист про те, що робити негайно, якщо ваш гаманець скомпрометовано.

Підсумок

Wallet drainers не зламують криптографію гаманця — вони змушують вас самих дозволити крадіжку. Ставтеся до кожного підпису як до можливої передачі контролю, зберігайте цінні активи в гаманці, який ніколи не підключається до незнайомих сайтів, і регулярно чистьте дозволи. Тридцять секунд паузи перед підписом — найефективніший інструмент безпеки, який у вас є.