Посібник з запобігання шахрайству з NFT: розкриття поширених шахрайських методів

Криптовалютна індустрія сповнена ризиків і приховує різноманітні пастки. Інциденти з крадіжкою активів відбуваються часто, навіть популярні NFT проекти та відомі особистості не можуть уникнути цього. Наприклад, засновник проекту Moonbirds Кевін Роуз 25 січня підтвердив, що його особистий гаманець зазнав атаки хакерів, у результаті якої було втрачено 25 Chromie Squiggles та інші NFT.

З ростом випадків крадіжки NFT та збільшенням сум, залучених до них, у цій статті детально розглядаються поширені типи замилювання очей та методи їх запобігання.

NFT замилювання очей видів багато

З розширенням ринку NFT, випадки крадіжки "нульових покупок" стають дедалі частішими, а методи атак безперервно змінюються.

1. Фальшиві рекламні вікна

Нещодавно відомий лідер думок у сфері криптовалют зазнав хакерської атаки, що призвело до контролю над його обліковими записами в соціальних мережах, електронній пошті та гаманці, внаслідок чого він втратив всі свої криптоактиви та NFT. Хакери також використали вкрадені акаунти для публікації шахрайських посилань. Ця подія сталася через неправильну конфігурацію апаратного гаманця на новому пристрої, де його використовували як гарячий гаманець, і імпортували мнемонічну фразу на комп'ютер, підключений до Інтернету. Після цього було клікнуто на спонсорське посилання у результатах пошуку під час завантаження програмного забезпечення для відеотрансляцій, що призвело до ненавмисного завантаження шкідливого програмного забезпечення. Варто зазначити, що рекламна система пошукових систем дозволяє будь-кому обходити ранжування та займати перше місце в результатах пошуку, що надає шахраям більше можливостей.

2. замилювання очей

Новий вид шахрайства полягає в купівлі NFT, що були роздані безкоштовно, за високою ціною. Жертви отримують деякі невідомі NFT в аеропорту, після чого шахраї пропонують високу ціну для їх придбання. Коли інвестори намагаються провести угоду з цим NFT, угода зазнає невдачі через так звані особливі причини, після чого їх перенаправляють на фальшивий фішинговий сайт для авторизації, що в кінцевому рахунку призводить до крадіжки активів.

3. Підробка NFT

У березні 2022 року одна галерея в Токіо, Японія, опублікувала оголошення, в якому застерегла від неофіційних осіб, які під виглядом її імені продають NFT роботи відомих художників. Насправді на ринку існує безліч шахраїв, які крадуть роботи художників і виставляють підроблені версії на NFT ринку, внаслідок чого багато людей купують абсолютно безвартісні підроблені NFT. Крім того, деякі замилювання очей завантажують на NFT торгові платформи проекти з подібними назвами, навіть створюючи фальшиві угоди, щоб збити з пантелику користувачів, що особливо легко піддаються обману для тих, хто звик використовувати функцію пошуку.

4. Фальшиві електронні листи

У лютому 2022 року одна відома платформа торгівлі NFT провела оновлення смарт-контракту, вимагавши від користувачів перенести список NFT з Ethereum на новий смарт-контракт. Зловмисники скористалися цим і маскувалися під офіційні повідомлення про оновлення, надіславши електронні листи, багато користувачів з низьким рівнем обізнаності про безпеку надали дозвіл на фішингові посилання, внаслідок чого активи NFT були вкрадені, що торкнулося кількох відомих NFT проектів.

Оскільки багато NFT проектів вимагають від користувачів прив'язки електронної пошти для своєчасного отримання новин, це також дає змогу зловмисникам видавати себе за офіційних представників, надсилаючи користувачам фішингові посилання під приводом зміни адреси контракту, повторної перевірки гаманця тощо. Електронна пошта таким чином стає зоною високого ризику для шахрайства.

5. Офіційний акаунт був зламаний або підроблений

Офіційні акаунти NFT проектів також часто стають мішенню для хакерських атак, можливо, через фішингові атаки на співробітників, завантаження шкідливого програмного забезпечення або неналаштовану двофакторну аутентифікацію. У квітні 2022 року офіційний обліковий запис соціальних медіа відомого NFT проекту був зламаний, хакери використали цей обліковий запис для розповсюдження шахрайського посилання на підроблений сайт, спокушаючи користувачів підключити гаманці для участі у фальшивому аірдропі, в результаті чого було вкрадено NFT на суму понад 2,8 мільйона доларів. Того ж року в червні сервери соціальної платформи ще одного відомого проекту були зламані, зловмисники отримали прибуток, використовуючи цей обліковий запис для публікації фішингових посилань на офіційних каналах.

Крім того, шахраї створюють підроблені офіційні акаунти NFT-проєктів і, здобувши довіру користувачів, надсилають фішингові сайти для підпису, стверджуючи, що для покупки NFT на рахунку не потрібно сплачувати жодних зборів. Більшості користувачів важко розпізнати проблеми в підписі, що складається з ряду цифр та літер. Приватні повідомлення з посиланнями також є поширеним способом шахрайства, шахраї зазвичай надсилають масові приватні повідомлення учасникам спільноти на різних соціальних платформах, навіть видаючи себе за адміністраторів, щоб викрасти приватні ключі гаманців користувачів.

6. Генерація адрес з однаковим закінченням

Більшість користувачів звикли перевіряти правильність адреси, спостерігаючи за кількома цифрами на початку та в кінці адреси, що дає можливість зловмисникам. Вони можуть скористатися звичкою користувачів копіювати адреси з історії транзакцій, підробляючи контрактну адресу з однаковими початковими та кінцевими цифрами, і постійно розподіляючи невеликі токени. Якщо користувачі не перевіряють повну адресу уважно, їхні активи можуть бути легко вкрадені. Окрім схеми з однаковими кінцевими цифрами, також варто бути обережними з атаками на адреси з нульовими транзакціями, адже багато користувачів можуть помилково вважати ці адреси надійними для взаємодії.

Правильний метод захисту активів

Операції на блокчейні є незворотними. Як тільки активи вкрадені, більшості людей важко їх повернути, особливо звичайним користувачам без технічного досвіду. Отже, як уникнути шахрайства з вашими активами?

1. Належно зберігайте приватний ключ або мнемонічну фразу

На відміну від паролів до акаунтів Web2, які можна змінити після витоку електронної пошти, соціальних платформ тощо, приватні ключі та мнемонічні фрази, як "ключі" гаманця, не можна змінити або відновити. Як тільки вони потрапляють до рук зловмисників, активи будуть вкрадені. Зловмисники часто спокушають користувачів наданням приватних ключів або мнемонічних фраз через NFT аірдропи, лотереї, безкоштовне карбування тощо, або навіть маскуються під офіційних адміністраторів або створюють підроблені вебсайти, щоб зменшити пильність користувачів.

2. Зберігайте улюблені сайти та розпізнавайте офіційні облікові записи в соціальних мережах

Хоча фішингові сайти є найбільш легко впізнаваними, вони все ще є однією з основних причин крадіжки NFT активів. Такі сайти, незалежно від того, наскільки красиво вони упаковані (можна визначити, перевіряючи домен, орфографію URL тощо), мають на меті взаємодію з гаманцем користувача. Користувачі повинні дотримуватися обережності, зберігати офіційні сайти, які часто використовуються, переходити на соціальні акаунти з офіційного сайту (можна оцінити за кількістю підписників, активністю акаунта, участю в коментарях тощо) і уникати легкого натискання на посилання, які надсилаються в приватних повідомленнях або електронній пошті. Це може значно знизити ризик крадіжки активів. Крім того, хоча більшість користувачів не мають можливості оцінити ризики контрактів, установка розширення проти фішингу також може ефективно виявити деякі фішингові сайти.

3. Ізоляція активів та регулярна перевірка

Рекомендується використовувати кілька гаманців для участі в торгівлі та карбуванні NFT, а також забезпечити ізоляцію зберігання активів та гаманців для взаємодії з додатками, особливо гаманці з великими сумами коштів повинні уникати будь-якої взаємодії. Крім того, користувачам слід регулярно перевіряти, чи є у гаманця взаємодії з аномальними контрактами, і вчасно скасовувати авторизацію.

4. Перехресна перевірка інформації з кількох джерел

Перед участю в та виготовлення NFT дуже важливо провести належну перевірку. Користувачі можуть оцінити надійність проекту, перевіряючи, чи підтверджені соціальні акаунти, а також перехресно перевіряючи інформацію про проект через кілька каналів.

5. Уважно перевірте адресу

Для будь-яких трансакцій користувачі повинні ретельно перевіряти повну адресу контракту. Також можна використовувати функцію переказу з адресної книги гаманця, вибравши збережену адресу для переказу. Крім того, для деяких проектів, адреси контрактів яких потрібно взяти участь, користувачі повинні отримувати адреси з офіційних джерел, щоб уникнути модифікації зловмисниками.

З розвитком технологій методи крадіжки активів також вдосконалюються. Як тільки користувач виявляє, що його активи були вкрадені, потрібно терміново вжити такі заходи:

1. В перший час ізолювати залишкові активи
2. Змінити пароль соціального акаунта та іншу особисту інформацію
3. Повідомити про іншу можливу інформацію щодо рахунків, що можуть бути обмануті
4. Якщо є підозра на вірусну атаку, слід негайно відключити комп'ютер та інші пристрої від мережі.
5. Розгляньте можливість звернення до професійної безпекової компанії за допомогою, спробуйте відстежити напрямок коштів, щоб максимально компенсувати втрати

Отже, у сфері NFT та криптовалют підтримка високої обізнаності та постійне навчання є ключем до захисту активів. Розуміючи поширені методи шахрайства та вживаючи відповідних запобіжних заходів, користувачі можуть значно знизити ризик крадіжки і забезпечити безпеку своїх цифрових активів.