Схема «bait and switch»

Что такое фишинговая атака?

Фишинговая атака в Web3 — это совокупность обманных приемов и подделки интерфейса, когда злоумышленники убеждают пользователя самостоятельно “подключиться, подписать или авторизовать” транзакции в кошельке, позволяя мошенникам получить доступ к активам или управлять ими. В отличие от прямого взлома, фишинг строится на социальной инженерии — пользователь сам выполняет критические действия.

Во многих криптосервисах взаимодействие происходит через смарт-контракты. Мошенники создают поддельные сайты, копирующие официальные страницы проектов, и используют личные сообщения и ажиотаж в сообществе, чтобы убедить пользователя в легитимности события. В результате человек может случайно подтвердить ключевое действие в кошельке.

Почему фишинг так распространен в Web3?

Фишинговые атаки получили широкое распространение в Web3 из-за необратимости блокчейн-транзакций, сложных настроек разрешений и низкой информированности пользователей о значении “подписи” и “авторизации”. После отправки транзакции в блокчейн отменить ее невозможно — мошенники используют это для быстрого вывода средств.

За последние полгода резкий рост показали фишинговые схемы, связанные с airdrop, выпуском NFT, кроссчейн-операциями и ботами в личных сообщениях. На ранних этапах новых блокчейн-экосистем появляется много проектов и сильный информационный дисбаланс, что создает идеальные условия для мошенничества.

Основные методы фишинга

Наиболее распространенные методы фишинговых атак:

• Поддельные ссылки на airdrop
• Фейковые страницы минтинга NFT
• Сообщения от поддельной поддержки
• Фальшивые кроссчейн-мосты
• Ложные предложения скачать или обновить расширение
• “Срочные инциденты”, вынуждающие к молниеносной реакции

Например, мошенники размещают “ограниченный по времени airdrop” в социальных сетях. Домен отличается от официального на одну-две буквы, а пользователь должен подключить кошелек и “проверить право на участие”. На экране появляется окно авторизации, выглядящее легитимно; после подтверждения контракт получает возможность перевести ваши токены.

Еще один способ — сообщения от мошенников, выдающих себя за поддержку: “в аккаунте обнаружены аномалии, требуется проверка”, с переходом на поддельный сайт, где запрашивается мнемофраза или подпись в кошельке. Мнемофраза — это человекочитаемый вариант приватного ключа, и ее раскрытие почти всегда ведет к потере активов.

Как фишинг работает на блокчейне?

Суть ончейн-фишинга — злоупотребление “подписью и авторизацией”. Подпись подтверждает сообщения или транзакции в кошельке; авторизация дает контракту или адресу право управлять определенными активами.

Шаг 1. Мошенник убеждает пользователя подключить кошелек и подписать действие, делая процесс похожим на стандартную регистрацию. Шаг 2. Появляется запрос на авторизацию, якобы для “проверки права на участие”, но на деле предоставляющий контракту доступ к токенам. Шаг 3. Контракт использует эти разрешения в фоновом режиме, переводя активы — часто небольшими транзакциями, чтобы скрыть движение средств.

Смарт-контракты работают по заданным правилам. Получив разрешения, они действуют строго по коду, без дальнейшего согласия пользователя. Поэтому даже “безобидная авторизация” может привести к потере средств.

Как распознать фишинговую атаку

Ключевые шаги для выявления фишинга — проверка источников и разрешений.

• Проверьте доменные имена и официальные каналы на совпадение. Обратите внимание на подмену символов и ошибки в адресах.
• Оцените, использует ли сайт срочные призывы (“только сейчас”, “успейте”) — это стандартная тактика давления.
• Внимательно изучайте всплывающие окна кошелька. Если требуется “разрешить контракту управлять токенами” или дать широкие права, проявляйте максимальную осторожность. Хотя подпись — стандартная операция, нечитабельные или чрезмерно длинные сообщения — повод насторожиться.

Как защититься от фишинга

Эффективная защита от фишинга начинается с грамотного управления аккаунтами и соблюдения безопасных привычек.

1. Многоуровневое управление активами: используйте кошельки с небольшими суммами для повседневных операций, а крупные средства храните в защищенных средах с многофакторной аутентификацией.
2. Не переходите по неизвестным ссылкам: получайте информацию только на официальных сайтах проектов или по закрепленным ссылкам в проверенных социальных сетях. Не переходите по ссылкам из рекламы или нежелательных сообщений.
3. Минимизируйте авторизации: в кошельке или DApp давайте разрешения только на необходимые токены и суммы, избегайте “безлимитных” прав. Регулярно проверяйте и отзывайте разрешения у неиспользуемых контрактов.
4. Используйте функции безопасности биржи: на платформах вроде Gate включайте белый список адресов для вывода и подтверждение операций, чтобы вывод был возможен только на заранее одобренные адреса. Всегда проверяйте уведомления о необычных входах или выводах, при подозрении приостанавливайте действия.
5. Пауза перед действием: если вас просят срочно подписать или перевести средства, остановитесь и проверьте запрос в сообществе или через официальные каналы.

Что делать, если вы стали жертвой фишинга

В случае фишинга действуйте максимально быстро, чтобы минимизировать потери:

1. Сразу отключите кошелек от подозрительных сайтов и прекратите любые подписи или авторизации.
2. Отзовите разрешения через настройки кошелька или сторонние сервисы, чтобы ограничить доступ подозрительных контрактов.
3. Переведите оставшиеся активы на безопасный адрес или временно разместите их на бирже, например, Gate.
4. Сохраните переписку, хэши транзакций, скриншоты и сообщите о случившемся платформе и в правоохранительные органы. При необходимости обратитесь к профессионалам по блокчейн-безопасности.
5. Предупредите сообщество, разместив уведомление о риске в группах проекта или соцсетях, чтобы другие не стали жертвами.

В чем отличие фишинга от классических мошенничеств?

Главное отличие — автоматизация разрешений и необратимость. Ончейн-авторизации позволяют смарт-контрактам автоматически выполнять действия без дальнейших контактов с мошенниками. В классических схемах требуется постоянное общение и инструкции по переводу.

Кроме того, фишинговые атаки более глобальны и мультиплатформенны, быстро распространяются и отличаются высоким уровнем подделки. После атаки украденные средства быстро распределяются по разным сетям и через миксеры, что затрудняет отслеживание.

Сценарии высокого риска для фишинга

К последним случаям высокого риска относятся:

• Фейковые airdrop от новых проектов
• Поддельные сайты популярных минтингов NFT
• Ссылки от ботов в Telegram-группах
• Сообщения от мошенников, выдающих себя за поддержку в соцсетях
• Рекламные объявления, ведущие на фейковые кроссчейн-мосты
• Фейковые предложения обновить расширение браузера или кошелек
• Поддельные страницы управления, вынуждающие к срочным подписям для “чрезвычайного голосования”

В этих случаях мошенники используют сценарии “ограниченное время, высокая награда, простота действий”, а также схожие домены и оформление под официальный сайт, поэтому пользователи не проверяют разрешения и источник.

Главное о фишинге

Ключевое правило: никогда не относитесь к “подписи и авторизации” как к безопасному действию. Любая непроверенная ссылка или всплывающее окно могут дать контракту доступ к вашим активам. Проверяйте источники, минимизируйте авторизации, регулярно отзывайте неиспользуемые разрешения, управляйте средствами по уровням и используйте такие функции безопасности, как белый список адресов для вывода и второе подтверждение (например, на Gate), чтобы существенно снизить риск. Безопасность активов всегда должна быть приоритетом, а привычка “пауза перед действием” поможет избежать большинства потерь.

FAQ

Как мошенники получают приватный ключ или мнемофразу при фишинге?

Мошенники часто представляются официальной поддержкой или техническими специалистами либо создают ощущение срочности (например, проблемы с аккаунтом, требующие проверки), чтобы обманом заставить раскрыть конфиденциальные данные. Они могут утверждать, что нужен приватный ключ для “восстановления аккаунта” или “разблокировки средств”, однако легитимные команды никогда не запросят эту информацию. Получив данные, злоумышленники получают полный контроль над кошельком.

Если я сообщил мошеннику адрес кошелька, под угрозой ли мои средства?

Передача только адреса кошелька несет относительно низкий риск, так как адреса являются публичной информацией в блокчейне. Но если вы раскрыли приватный ключ, мнемофразу или ответы на контрольные вопросы, ваши активы под серьезной угрозой. Проверьте историю транзакций: если замечена подозрительная активность, сразу обратитесь в сервисы блокчейн-безопасности и сохраните доказательства для расследования.

Что такое “передача авторизации” при фишинге и чем она опасна?

Передача авторизации — это ситуация, когда пользователя обманом заставляют подписать разрешение смарт-контракту, которое выглядит безобидно (например, разрешение на запросы), но фактически дает злоумышленнику право переводить ваши активы. Такой способ более скрытый, чем прямой запрос приватного ключа, потому что интерфейс выглядит легитимно. Всегда проверяйте адрес контракта через блок-обозреватель перед подписанием — не подтверждайте неясные запросы.

Можно ли вернуть активы после вывода в результате фишинга?

После подтверждения транзакции в блокчейне отменить ее невозможно, но если средства попали на биржу, восстановление возможно. Обратитесь сразу (например, в Gate) и запросите заморозку счета. Сохраните всю переписку и хэши транзакций, подайте заявление в полицию и обратитесь к компаниям по блокчейн-безопасности для отслеживания средств. Чем быстрее вы действуете, тем выше шанс вернуть активы.

Как проверить легитимность команды проекта или адреса кошелька и избежать фишинга?

Легитимные проекты предоставляют несколько способов проверки: официальные сайты, аккаунты в соцсетях и метки контрактов в блок-обозревателях. Любые неожиданные контакты перепроверяйте через официальные источники — не доверяйте ссылкам от незнакомцев. Используйте функции маркировки на платформах вроде Gate: отмечайте подозрительные адреса как “мошеннические”, добавляйте их в черный список и не взаимодействуйте с ними.