Kriptovalyutalar
Torrent Gear
Kriptovalyuta əməliyyatlarını fişinqdən necə qorumaq olar
Fishing kriptovalyutada itkilərin əsas səbəbidir. Hücumlar daha ağıllı oldu: saxta cüzdan saytları, DApp-də «drenerlər», saxta airdrop 'lar, sonsuz silinmələrə abunələr (approve/permit), dəyişdirilmiş QR kodları və «address poisoning». Yaxşı xəbər: sadə əməliyyat intizamı bu vektorları demək olar ki, tamamilə bağlayır. Aşağıda «Send/Sign» düyməsindən əvvəl və sonra əməliyyatları qoruyan praktik sistemdir.
1) Üç balina qorunması: ünvan → şəbəkə → imza
1. Alıcının ünvanı: ən azı ilk və son 4-6 simvolu yoxlayın, yalnız şəxsi kabinetinizdəki QR/rekvizitlərdən istifadə edin, çat/axtarış deyil.
2. Şəbəkə/aktiv: token şəbəkəsi (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON və s.) göndərən və alıcı ilə üst-üstə düşməlidir. XRP/XLM/BNB/EOS üçün Memo/Tag-i yoxlayın.
3. İmza/əməliyyat: tam olaraq nəyi imzaladığınızı oxuyun: 'transfer', 'approve', 'permit', 'setApprovalForAll', 'swap', 'bridge', 'mint'. Anlamırsınızsa, imzalamayın.
2) Əsas fişinq vektorları (və onları necə bağlamaq olar)
Saxta saytlar və homoqrafik domenlər. Yalnız öz nişanlarınızdan çalışın; reklam və «dəstək» messencerlərə keçməyin.
Klipbord stilləri və QR dəyişdirilməsi. Rəsmi səhifədən QR skan edin, ünvan simvollarını yoxlayın. Hər hansı bir uyğunsuzluq ləğv edilir.
Address poisoning. Giriş tarixçəsindən ünvanları köçürməyin. Ünvan kitabından/vayt siyahısından istifadə edin.
DApp-də Drainer skriptləri. Heç vaxt saytlarda seed idxal etməyin. İmzalamadan əvvəl DApp hansı hüquqları tələb edir (limit, token, müddət).
Saxta airdrop/NFT. «Hədiyyə» NFT/linkləri ilə qarşılıqlı əlaqədə olmayın. Etibarlı mənbələrdən kənar hər hansı bir «claim» düyməsi qadağandır.
Sosial mühəndislik (poçt, Telegram/Discord). «Sapport» heç vaxt seed/xüsusi açar/açar ixrac tələb etmir. Birjalarda antifişinq ifadəsi daxil edilməlidir.
WalletConnect inteqrasiyası. DApp adını və domenini seans sorğusunda yoxlayın. Açıq saytla üst-üstə düşmürsə, rədd edin.
Körpülər/körpülər. Yalnız rəsmi istifadə edin; hədəf şəbəkəsini və token müqaviləsini yoxlayın.
Lightning/QR invoys. Invoys birdəfəlik, bir dəqiqə yaşayır. Vaxtı keçmiş - yenisini yaradın, köhnəsini «yeniləməyin».
3) Aparat cüzdanı və «ekranda təsdiqləmə»
Cihaz cüzdanı fişinq riskini kəskin şəkildə azaldır: əlinizdə real imza məlumatlarını göstərir. Vərdişlər:- Ünvan/məbləğ/metodu cihazın ekranında təsdiqləyin.
- PC/telefon/saytda heç vaxt seed daxil etməyin - yalnız cihazın özündə.
- Böyük məbləğlər üçün - «dörd göz» siyasəti: ikinci şəxs/multisiqada ikinci açar.
4) EVM şəbəkələrində təhlükəsiz imzalar (ETH, BSC, Polygon və s.)
Approve/Permit:- Yalnız lazımi tokenə giriş verin, «∞» deyil, minimum limit qoyun.
- Etibarlı cüzdan revok xidmətləri/DApp vasitəsilə köhnə icazələri vaxtaşırı geri götürün.
- Qazsız imzalar (EIP-2612/Permit2/Off-chain orders): mətni oxuyun. «Pulsuz imza» xərclərə uzunmüddətli çıxış imkanı verə bilər.
- Əməliyyat simulyasiyası: cüzdan/uzantılardan istifadə edin, bu da yerinə yetirildikdən sonra nə dəyişəcəyini göstərir (tokenlər haradan/hara gedəcək).
5) Brauzer gigiyenası və cihaz
Kriptovalyuta üçün ayrı brauzer profili, minimum uzantılar.
Cüzdanın avtomatik yenilənməsi - yalnız rəsmi mənbələrdən; Masaüstü binalarının imzasını/hash hesabını yoxlayın.
birjalarda 2FA TOTP/U2F; ehtiyat kodları və ikinci açar tokenini yükləyin.
İctimai Wi-Fi-da böyük əməliyyatlar aparmayın.
Əməliyyat jurnalını saxlayın: tarix, şəbəkə, ünvan, məbləğ, TxID.
6) Göndərmədən/imzalamadan əvvəl yoxlama siyahısı (1 dəqiqə)
- Ünvan, ilk/son 4-6 simvol üst-üstə düşən/rəsmi tətbiqetmədən götürülmüşdür.
- Şəbəkə/aktiv və (lazım olduqda) Memo/Tag yoxlanılır.
- Əməliyyat növünü başa düşürəm: 'transfer '/' approve '/' permit '/' swap '/' bridge'.
- Icazə limiti «∞» deyil, əməliyyat məbləği ilə məhdudlaşır.
- Məbləğ üçün> $200 - test əməliyyatı və ödəniş gözləmə.
- Aparat cüzdanı: ünvan/məbləğ/müqavilə cihaz ekranında təsdiqlənir.
7) Fişinq şübhəsi olduqda protokol (dəqiqələrlə hərəkət)
0-5 dəqiqə:- Dərhal internet/uzantı söndürün, sonrakı imzaları dayandırın.
- Birjalarda - nəticələri dondurun, şifrələri dəyişdirin, aktiv sessiyaları söndürün.
- Son approve/permit yoxlayın və şübhəli geri çağırın.
- Aktivləri həssas cüzdandan təmiz cüzdana (sweep) köçürün, ən likvid tokenlərdən/sikkələrdən başlayın.
- TxID, ekran görüntüləri, qeydlər saxlayın.
- Cüzdanı yeni açarlarla təmiz cihazda yenidən quraşdırın.
- Təcavüzkarın aktivlərinin ola biləcəyi xidmətlərə (birjalar/körpülər) məlumat verin.
- Təhlil edin: linkin haradan gəldiyi, imzanı kimin istədiyi, hansı uzantıların quraşdırıldığı.
8) Tez-tez «qırmızı bayraqlar»
Təcili və defisit: «İndi edin, əks halda bonus/hesabı dondurun».
Xahiş edirik «yoxlanılması/aktivləşdirilməsi/airdrop üçün» seed/xüsusi açar daxil edin.
WalletConnect və açıq saytda domen uyğunsuzluğu.
«Bütün tokenlər üçün approve» və ya «sonsuza qədər limitsiz» sorğusu.
Klon saytlarda saxta «speed up/claim/verify» düymələri.
9) Mini-FAQ
Son 4 ünvan simvolu kifayət qədər yoxlanılır? Daha yaxşı - ilk və son 4-6: bəzi hücumlar eyni «quyruq» seçir.
Həmişə approve məhdudlaşdırmaq lazımdır? Bəli. «∞» icazəsi təcavüzkar və drenerlər üçün əlverişlidir.
Nə qədər tez-tez haqlısınız? Yeni DApp ilə hər seansdan sonra və mütəmadi olaraq (məsələn, ayda bir dəfə).
Hardware cüzdan hər şeyi həll edir? Bu, riski xeyli azaldır, lakin zərərli bir əməliyyatda imzanıza qarşı qorunmur - nə imzaladığınızı oxuyun.
«Ləğv etmək» mümkündürmü? Yox. Maksimum - zərərli bir əməliyyata imza atmamaq və ya silinənə qədər hüquqlarını geri götürmək üçün vaxt tapmaq.
Fişinqdən qorunma anti-hər şey proqram təminatı deyil, prosedurdur: nişanlar, ünvan/şəbəkə müqayisə, imza oxunması, limitli approve/permit, aparat cüzdanı, lazımsız hüquqlar və test tərcümələri. Bundan rutin olun - və DApp, körpülər və birjalardan aktiv istifadə etsəniz belə, fişinq səbəbindən pul itirmək şansı statistik olaraq əhəmiyyətsiz olacaq.