Фишинговые атаки в крипте: как они работают и как защититься

Фишинг — это мошенничество, при котором злоумышленник выдаёт себя за компанию или человека, которым вы доверяете, и убеждает вас собственными руками передать данные или подтвердить операцию. В криптовалютах целью обычно становятся логин от биржи, фраза восстановления (сид-фраза) кошелька или подпись из кошелька; если что-то из этого попадёт в чужие руки, средства могут вывести за несколько минут.

В банке ошибочный перевод иногда удаётся отменить. Подтверждённый перевод в блокчейне отменить нельзя. Поэтому лучшая защита от фишинга — привычки, которые срабатывают ещё до момента действия.

Как устроен фишинг

Любая фишинговая атака состоит из трёх частей:

1. Приманка: сообщение, которое подталкивает к действию. «Обнаружен подозрительный вход», «ваш вывод заморожен» или «срок получения награды истекает через 24 часа».
2. Крючок: страница, форма или экран приложения, почти неотличимые от настоящих.
3. Улов: пароль, код подтверждения или сид-фраза, которые вы вводите, либо подпись, которую вы одобряете. Злоумышленник использует их немедленно.

Такие сообщения строятся на психологическом давлении. Четыре самых распространённых рычага — срочность (сделайте сейчас, иначе потеряете), страх (ваш аккаунт заблокируют), награда (бесплатные токены, бонус) и авторитет (служба безопасности биржи, официальное ведомство). Если в сообщении сразу два таких рычага, это уже достаточный повод остановиться и подумать.

Показательна и экономика атаки. Допустим, письмо разослали 100 000 людям. Если по ссылке перейдёт лишь 1%, а 5% из них введут свои данные, в ловушку попадут 50 человек. Рассылка почти ничего не стоит, поэтому злоумышленнику не важно, что большинство получателей не поверит.

Лица фишинга в мире криптовалют

Атаки приходят по разным каналам:

• Электронная почта и SMS: уведомления, которые выглядят так, будто пришли от биржи или разработчика кошелька. SMS-вариант иногда называют смишингом.
• Реклама в поисковиках: если искать биржу или кошелёк по названию, платная ссылка в самом верху может вести на поддельный сайт.
• Соцсети и чаты: «объявление» публикуется со взломанного аккаунта проекта, или кто-то предлагает «поддержку» в личных сообщениях.
• Похожие домены: адреса, в которых изменены одна-две буквы, например «pr1merbirzha.com» или «primerbrizha.com» вместо «primerbirzha.com».
• Поддельные страницы подключения кошелька: они просят не пароль, а подпись операции вашим кошельком.

Последний вид характерен именно для криптовалют и особенно коварен. Некоторые подписи дают смарт-контракту разрешение тратить ваши токены. Смарт-контракт — это программа, которая сама выполняется в блокчейне, и выданное ей разрешение продолжает действовать после того, как вы ушли с сайта. Если вы не понимаете, что именно предлагает одобрить окно подписи, безопаснее всего отказаться.

Поддельные аккаунты поддержки, отравление адресов и вредоносные программы, подменяющие скопированный адрес, — близкие родственники фишинга; каждая из этих тем достаточно широка для отдельной статьи.

Как правильно читать адрес

Большинство поддельных сайтов рассчитывает на то, что мы читаем доменные имена бегло. Помогают несколько правил:

• Настоящий домен — часть прямо перед доменной зоной. В адресе «primerbirzha.com.vhod-proverka.net» сайт на самом деле «vhod-proverka.net», а «primerbirzha.com» в начале — всего лишь поддомен.
• Следите за похожими символами. Сочетание «rn» при беглом взгляде легко принять за «m», а во многих шрифтах заглавную «I» не отличить от строчной «l».
• Могут использоваться буквы других алфавитов. Кириллическая «а» выглядит точно так же, как латинская «a». Браузеры иногда показывают такие адреса в виде, начинающемся с «xn--»; увидев такой адрес, будьте осторожны.
• Замок в адресной строке — не знак доверия. Он лишь показывает, что соединение зашифровано, но не говорит, кому принадлежит сайт. Поддельные сайты тоже без труда используют шифрование.

Самый надёжный способ — один раз проверить страницы бирж и кошельков, которыми вы пользуетесь, сохранить их в закладках браузера и всегда заходить только через эти закладки. Если никогда не переходить по ссылкам из сообщений, проверять адреса почти не придётся.

Привычки, которые защищают

Сид-фразу вводят только в саму программу или устройство кошелька при его восстановлении. У веб-страницы нет ни одной законной причины её запрашивать.

Двухфакторная аутентификация (2FA) — важный уровень защиты, но она останавливает не всякий фишинг. Если поддельная страница в реальном времени передаёт введённый вами код на настоящий сайт, злоумышленник может открыть сессию. Аппаратные ключи безопасности, которые проверяют домен, лучше противостоят такой пересылке, потому что не работают на поддельном домене.

Разделение средств тоже ограничивает ущерб. Если в кошельке для повседневных операций хранится только необходимое, одна ошибочная подпись не уничтожит все сбережения.

Если вы попались

Действуйте быстро и по порядку:

1. Если вы сообщили сид-фразу, считайте этот кошелёк потерянным. Создайте новый кошелёк и сразу переведите туда оставшиеся средства.
2. Если вы ввели пароль от биржи, смените его и 2FA, завершите все открытые сессии и проверьте список адресов для вывода.
3. Если вы одобрили подпись, отзовите выданные разрешения на расходование в разделе управления разрешениями кошелька.
4. Связывайтесь с биржей только через официальное приложение или сайт из своих закладок.
5. Не отправляйте деньги тем, кто обещает «вернуть ваши потери». Такие предложения обычно оказываются вторым мошенничеством.

Главное

• Фишинг выдаёт себя за организацию, которой вы доверяете, чтобы получить пароль, сид-фразу или подпись.
• Срочность, страх, награда и авторитет — самые частые инструменты давления.
• Настоящий домен — часть прямо перед доменной зоной; замок не доказывает подлинность сайта.
• Самые действенные привычки: заходить через закладки, никогда не вводить сид-фразу на сайтах и отклонять непонятные подписи.
• Если вы попались, первым делом переведите средства в новый кошелёк и отзовите разрешения.