Охотники за дропами: как получить токены и не потерять кошелек

Популярность аирдропов продолжает расти вместе с числом пользователей, желающих получить бесплатные токены. Но там, где возникает доверие и потенциальная выгода, неизбежно появляются мошенники. О главных рисках, причинах не взаимодействовать с неизвестными токенами и мерах предосторожности рассказал IT Speaker аналитик по расследованиям AML/KYT провайдера «Шард» Дмитрий Пойда. 

От эйфории к разорению: один шаг

Люди любят объединяться вокруг перспективных идей и чувствовать сопричастность к сообществу. Полученный токен – это символ участия в новом проекте. Чем активнее экосистема, тем сильнее желание рассказывать о ней другим. Так аирдропы создают мощный информационный эффект без больших рекламных бюджетов.

Но у медали есть обратная сторона. Успешный и вызывающий доверие проект становится мишенью для злоумышленников. Они создают поддельные сайты, фальшивые токены и «эксклюзивные» пресейлы до официального запуска, играя на страхе упустить возможность.

Как смарт-контракт опустошает кошелек

Наибольшему риску пользователь подвергает свои активы не в момент получения аирдропа, а на этапе взаимодействия с неизвестными сайтами и смарт-контрактами. Само по себе получение токена обычно не ведет к потере средств, однако может быть частью схемы, рассчитанной на дальнейшее взаимодействие пользователя с поддельным сайтом, контрактом или сервисом.

«Подарок» превращается в угрозу в тот момент, когда пользователю предлагают подключить криптокошелек к стороннему сервису, подписать транзакцию или предоставить разрешение на управление своими токенами. Многие ошибочно полагают, что отсутствие прямого перевода средств гарантирует безопасность. На практике подписание вредоносного смарт-контракта может предоставить злоумышленникам доступ к активам, находящимся в кошельке. Получив необходимые разрешения, мошенники способны вывести токены без каких-либо дополнительных действий со стороны владельца.

Еще один источник риска связан с ростом популярности самого проекта. Как упоминалось выше, чем больше внимания привлекает аирдроп и чем сильнее доверие аудитории к бренду, тем активнее этим пользуются злоумышленники.

Особое внимание – к seed-фразе и приватным ключам. Легитимные проекты никогда их не запрашивают, ведь эти данные дают полный контроль над активами. Передача такой информации почти всегда ведет к полной потере средств.

Крошечная сумма vs огромная угроза

Пылевая атака – это схема, при которой на криптокошелек приходят неизвестные токены или крошечные суммы криптовалюты. Расчет на любопытство – пользователь пытается разобраться, продать или получить награду, и в этот момент попадает в ловушку.

Блокчейн публичен, поэтому злоумышленники отслеживают движение этих «пылевых» активов, чтобы установить связи между адресами и вычислять владельцев крупных кошельков. Собранные данные используют для точечных фишинговых атак.

Специалисты советуют игнорировать токены с неподтвержденным происхождением. Не спешить продавать, обменивать или использовать их в сторонних сервисах. Часто такой токен – не подарок, а лишь повод подтолкнуть вас к небезопасным действиям.

Три главных правила безопасности в мире дропов

Главное правило: долгосрочные сбережения не смешивать с экспериментами. Для участия в новых проектах и аирдропах лучше использовать отдельный кошелек без значительных активов. Даже при случайном подключении к мошенническому сайту или подписи вредоносной транзакции потери ограничатся средствами на этом кошельке – основной капитал останется защищенным.

Скептицизм – важный принцип. Чем привлекательнее предложение и чем активнее торопят с решением, тем тщательнее следует проверять информацию.

Особое внимание – к запросам на подключение кошелька и подтверждение операций. Перед подписью транзакции необходимо понимать, какие разрешения запрашивает смарт-контракт. Полезно регулярно пересматривать ранее выданные разрешения: пользователи часто забывают, каким сервисам открывали доступ к активам.

Признаки мошеннического сайта:

1. HTTPS – не гарантия. Фишинговые сайты тоже используют шифрование.

2. Не переходите по ссылкам из рекламы и соцсетей. Ищите официальный сайт проекта сами через проверенные источники.

3. Seed-фразу и приватный ключ не вводите нигде. Их запрос – стопроцентный признак мошенников.

4. Проверяйте историю. Если команда заявляет о многолетней работе, а сайт зарегистрирован вчера – это повод насторожиться.

5. Ищите реальные отзывы. У надежных проектов есть история обсуждений. Однотипные восторженные комментарии без деталей – признак накрутки.

Илон Маск не при делах: анатомия фейкового розыгрыша

Одним из наиболее показательных примеров мошенничества стала массовая NFT-раздача в сети Polygon, в результате которой пользователи потеряли более 1,2 млн долларов. Злоумышленники создали свыше 1,3 тысячи поддельных NFT, которые внешне выглядели как официальные аирдропы от популярных проектов, включая ApeCoin, Polygon и Uniswap. Затем эти токены были автоматически отправлены более чем на 500 тысяч криптокошельков.

Получив неизвестный NFT, многие люди пытались выяснить его происхождение или получить обещанное вознаграждение. При взаимодействии с токеном они переходили на поддельный сайт, где им предлагалось подключить кошелек и подтвердить несколько операций. Под видом получения бесплатного аирдропа пользователи подписывали вредоносные транзакции, которые предоставляли злоумышленникам доступ к активам.

Еще одна распространенная схема строится на использовании имен известных компаний и публичных личностей. Например, мошенники неоднократно проводили фальшивые розыгрыши криптовалюты от имени SpaceX и Илона Маска. Пользователям обещали вознаграждение в BTC, однако для его получения требовалось сначала перевести небольшую сумму якобы для подтверждения адреса кошелька или оплаты комиссии сети.

В качестве адреса для перевода использовался кошелек 1MuskTy5E3RPfhvxuxpcWuAeAwpNjAyzma, название которого было специально подобрано таким образом, чтобы ассоциироваться с Илоном Маском и вызывать дополнительное доверие у людей. После отправки средств обещанное вознаграждение никто не получил.

В цифровой среде бесплатные токены не всегда являются подарком, а известное название проекта не всегда гарантирует безопасность. Чем привлекательнее выглядит предложение, тем важнее уделить время его проверке. Участие в аирдропах может быть полезным инструментом знакомства с новыми экосистемами, однако подходить к таким возможностям следует с тем же уровнем осторожности, что и к любому финансовому решению. В конечном итоге главным инструментом защиты остается осознанный подход к управлению собственными активами.