Netikra „MegaETH“ pardavimo apgaulė

Internetas leidžia lengvai atrasti naujus projektus – ir užpuolikams lygiai taip pat lengva kurti įtikinamus apsimetėlių puslapius. Netikra „MegaETH išpardavimo“ schema primena, kad patrauklūs pasiūlymai, nušlifuoti puslapiai ar pažįstami logotipai negarantuoja teisėtumo. Saugus naršymas ir investavimas reiškia, kad į netikėtus išpardavimo puslapius, skubius raginimus „prisijungti prie piniginės“ ar pasiūlymus, kurie skamba per gerai, kad būtų tiesa, reikia žiūrėti labai skeptiškai.

Ką daro sukčiai

Šią kampaniją tyrę tyrėjai rado klonuotų svetainių, kurios imituoja tikrojo „MegaETH“ projekto išvaizdą ir veikimą. Atakos puslapiai, talpinami tokiuose domenuose kaip „sale-megaeth.com“ ir „megaeth-live.xyz“ (ir greičiausiai kituose), apsimeta siūlantys riboto laiko išpardavimą. Kai lankytojas seka masalą ir prijungia savo kriptovaliutų piniginę, svetainė paprašo piniginės patvirtinti arba pasirašyti sutartį. Šis pasirašytas patvirtinimas gali vykdyti „drainer“ – išmaniąją sutartį arba scenarijų, kuris automatiškai perkelia turtą iš prijungtos piniginės.

Šie piniginės ištuštinimo įrankiai tampa vis sudėtingesni. Užuot tiesmukai ištuštinę kiekvieną turtą, kai kurie gali nuskaityti piniginės likučius, įvertinti žetonų vertę ir teikti pirmenybę didelės vertės turtui. Tada jie suaktyvina siunčiamas operacijas, kurios atrodo kaip įprasta blokų grandinės veikla, todėl aukos gali to nepastebėti, kol likučiai nebus prarasti. Kadangi blokų grandinės operacijos yra galutinės, tokiu būdu paimtų lėšų praktiškai neįmanoma atgauti.

Kodėl kriptovaliutų ekosistema yra toks dažnas taikinys

Kriptovaliutų erdvė turi keletą būdingų savybių, kurios daro ją patrauklią sukčiams:

Leidimų nereikalaujantys, negrįžtami sandoriai : blokų grandinės leidžia vykdyti sutartis ir pervedimus be vartininkų. Kai užpuolikas gauna patvirtinimą arba parašą, jis gali perkelti turtą, ir centrinė institucija negali atšaukti šių pervedimų.

„Wallet“ naudotojo patirtis skatina pasirašymą : daugeliui skaitmeninių programėlių (dApp) veikti reikalingi ryšiai su „Wallet“ ir operacijų parašai. Sukčiai lengvai gali piktnaudžiauti šiuo teisėtu srautu – vartotojai yra sąlygojami priimti parašo raginimus, o tai sumažina įtarimą.

Sudėtinga sutarties kalba ir sąsajos : operacijų ir patvirtinimo užklausose dažnai rodomi techniniai duomenys, kurių paprasti vartotojai nesupranta, todėl kenkėjiški patvirtinimai gali būti paslėpti, regis, įprastuose raginimuose.

Pseudoniminiai pervedimai ir maršrutizavimas tarp grandinių : užpuolikai gali greitai perkelti pavogtas lėšas tarp adresų ir grandinių, maišydami jas per kelias paslaugas, kad sutrukdytų sekti ir atkurti duomenis.

Sparčios inovacijos ir ažiotažas : nauji projektai ir žetonų išleidimas sukuria FOMO (baigiasi prarasti savo vertę). Sukčiai tuo pasinaudoja, siūlydami „ankstyvą prieigą“ arba „išskirtinį išpardavimą“.

Platus atakų plotas platinimui : socialinės platformos, reklamos tinklai, naršyklės pranešimai ir pažeistos svetainės suteikia daug kanalų, leidžiančių greitai ir dideliu mastu pasiekti aukas.

Dažni apgaulingų pasiūlymų požymiai

• Neatitinkantis domenas, nedidelės rašybos klaidos arba neįprasti aukščiausio lygio domenai (pavyzdžiui, svetainė, kuri vizualiai atitinka „MegaETH“, bet naudoja kitą domeną).
• Skubi kalba arba „riboto laiko“ pasiūlymai verčia jus nedelsiant susisiekti.
• Prašymai pasirašyti patvirtinimus, suteikiančius plačius, neribotus leidimus perkelti žetonus
• Prasta arba neįprasta socialinių tinklų reklamos kilmė – tiesioginės žinutės ar įrašai iš naujai sukurtų paskyrų arba žinutės iš pažeistų tikrų paskyrų.
• Iššokantys langai, kuriuose prašoma prisijungti prie piniginės arba pasirašyti be aiškios, patikrinamos priežasties.

Kaip šie puslapiai plinta

Užpuolikai skleidžia netikrus puslapius įvairiais kanalais: nesąžiningais reklamos tinklais ir kenkėjiška reklama, šlamšto el. laiškais ir SMS žinutėmis, spausdinimo klaidomis skleidamais URL adresais, įkyriais naršyklės pranešimais, reklaminėmis programomis, nulaužtomis teisėtomis svetainėmis, kurios rodo kenkėjiškus iššokančius langus, ir socialinių tinklų šlamštu (įskaitant pranešimus iš pavogtų ar apsimestinių paskyrų). Pačiuose įkyriuose iššokančiuose languose kartais gali būti visiškai funkcionalių svetainių nutekinimo programų.

Neatidėliotini veiksmai, jei prijungėte savo piniginę

Atšaukti patvirtinimus: Norėdami rasti ir atšaukti visus neseniai su jūsų adresu susietus neribotus ar įtartinus patvirtinimus, naudokitės patikimomis paslaugomis (pvz., grandinės žetonų patvirtinimo peržiūros priemone).

Perkelkite likusias lėšas : jei įmanoma, atšaukę patvirtinimus, perkelkite nepaveiktą turtą į naują saugią piniginę (pageidautina aparatinės įrangos piniginę).

Susisiekite su saugojimo tarnybomis : jei pavogtos lėšos buvo išsiųstos į biržą, nedelsdami praneškite tai biržai – kai kurios platformos gali įšaldyti turtą, jei apie tai pranešama greitai.

Dokumentiniai įrodymai : įrašykite operacijų maišos kodus, ekrano kopijas ir domenų vardus; tai padės teikti ataskaitas biržoms ar teisėsaugos institucijoms.

Pakeiskite prieigą prie susietų paslaugų : jei tą patį el. pašto adresą ar kredencialus naudojote kitur, atnaujinkite slaptažodžius ir įjunkite daugiafaktorinį autentifikavimą (MFA).

Geriausi prevencijos metodai

Pasitikėjimo mažinimas ir įpročiai yra svarbesni nei vien tik priemonės. Geros apsaugos priemonės apima daugumos lėšų laikymą šaltose/aparatinės įrangos piniginėse ir karštųjų piniginių prijungimą tik prie patikimų, audituotų skaitmeninių programėlių (dApp); kiekvieno parašo prašymo tikrinimą (ieškokite leidimų sumų ir gavėjų adresų); neriboto žetonų patvirtinimo vengimą; naujų svetainių su mažomis, mažos vertės operacijomis testavimą; oficialių projekto domenų pridėjimą prie žymių ir socialinių tinklų vartotojo vardų tikrinimą iš projekto dokumentacijos; patikimų reklamos blokavimo ir kenkėjiškų programų prevencijos plėtinių diegimą; ir įtariai vertinant nepageidaujamas nuorodas ar tiesiogines žinutes.

Baigiamoji pastaba

Sukčiai vis dažniau kuria aukštos kokybės apgaulingus puslapius, kurie vizualiai niekuo nesiskiria nuo teisėtų svetainių. Profesionali išvaizda negarantuoja. Įpraskite tikrinti domenus, dar kartą patikrinti sutarčių patvirtinimus, naudoti minimalius ir atšaukiamus leidimus ir neleisti didelėms sumoms patekti į pinigines, kurias naudojate sąveikai internete. Budrumas, o ne pasitikėjimas, yra geriausia apsauga.