Социальная инженерия и мошенничество с умными контрактами

Распространённые тактики

• • Создание убедительных копий сайтов легитимных DeFi-платформ, таких как Uniswap или OpenSea, с украденным брендингом и почти идентичными URL-адресами (например, 'uniswap-swap.net' вместо 'uniswap.org'), с внедрением вредоносного кода умного контракта в интерфейс.
• • Отправка целевых сообщений в Discord или Telegram от имени модераторов проектов с предложениями эксклюзивных токенов или раннего доступа к предпродажам, требующих подключения кошелька через поддельное dApp, автоматически вызывающее подписи одобрения контракта.
• • Создание видео на YouTube или эфиров в Twitter с помощью ИИ с дипфейками криптоинфлюенсеров, продвигающих фальшивые стратегии доходного фермерства с доходностью более 500 % годовых, направляющих зрителей к мошенническим контрактам в течение нескольких минут.
• • Использование контрактов-ловушек (honeypot), которые на тестовых транзакциях показывают прибыль (маленькие выигрыши от 10 до 50 долларов), прежде чем жертва подпишет настоящий контракт для слива средств, используя психологическую уверенность в проверенности возможности.
• • Внедрение вредоносного кода в казалось бы легитимные страницы чеканки NFT, где пользователи разрешают лимиты на расход токенов (часто неограниченные), полагая, что оплачивают только комиссию за газ, а затем их кошельки опустошаются через несколько недель.
• • Проведение обратной социальной инженерии путем взлома официальных аккаунтов проектов в соцсетях и публикации объявлений о выводе средств или обмене токенов с ссылками на мошеннические контракты, используя доверие сообщества.

Как распознать

• В подключенном кошельке появляются транзакции, которые вы не инициировали, или вы получаете уведомления об одобрениях токенов, которые не помните, что разрешали, что указывает на выполнение контракта с скрытыми функциями слива средств.
• Появляется новая «возможность» через нежелательное сообщение от человека, который представляется менеджером проекта и предлагает эксклюзивный доступ, обходящий обычные публичные каналы, такие как официальный сайт.
• URL сайта содержит небольшие опечатки или использует похожие, но отличающиеся доменные расширения (.net вместо .org или с дефисами в необычных местах) по сравнению с официальным сайтом проекта.
• При просмотре контракта в блокчейн-эксплорерах, таких как Etherscan, исходный код не верифицирован, или функции контракта включают подозрительные разрешения, например 'transferFrom' с неограниченными лимитами, несмотря на заявления о работе только с обменом токенов.
• Предлагаемая возможность обещает доходность, математически невозможную или значительно превышающую рыночные ставки (до 400 % годовых и выше), при этом действует сильное давление по времени с указанием, что предложение истекает через несколько часов.
• Баланс вашего кошелька уменьшается на неожиданные суммы вскоре после того, как вы разрешили, казалось бы, безобидное взаимодействие с контрактом, при этом блокчейн-записи показывают переводы токенов на незнакомые адреса.

Как защитить себя

• Всегда заходите на DeFi-платформы, вводя полный официальный URL напрямую в браузере или используя закладки, никогда не переходите по ссылкам из соцсетей, писем или сообщений, независимо от источника.
• Перед подключением кошелька к любому dApp или подписанием взаимодействия с контрактом проверьте адрес контракта на Etherscan или PolygonScan, убедитесь, что он совпадает с официальной документацией проекта, и проверьте исходный код на наличие переводов на неизвестные адреса.
• Используйте инструменты управления одобрениями контрактов, такие как Revoke.cash или страницу одобрений токенов на Etherscan, чтобы ограничивать разрешения на расход токенов конкретными суммами или количеством транзакций, а не предоставлять неограниченные права.
• Создавайте отдельные криптокошельки, предназначенные исключительно для взаимодействия с DeFi, с ограниченными средствами, а основную часть активов храните в безопасных аппаратных кошельках или специальных хранилищах, которые никогда не подключаются к dApp.
• Включайте инструменты симуляции транзакций, доступные через функции безопасности MetaMask или отдельные сервисы, такие как Tenderly, чтобы заранее увидеть, что именно сделает умный контракт перед подписанием, обращая внимание на несанкционированные переводы токенов.
• Проверяйте любые важные объявления через официальные каналы проекта (основной сайт, верифицированные аккаунты Twitter с синей галочкой, официальные Discord/Telegram) перед любыми действиями и сверяйте информацию на независимых сайтах по безопасности блокчейна, таких как CertiK или Trail of Bits.

Реальные примеры

Частые вопросы

Куда сообщить — Россия

Официальные каналы в вашем регионе для сообщения о мошенничестве.