Jak chronić transakcje kryptograficzne przed phishingiem

Phishing jest główną przyczyną strat w krypcie. Ataki stały się mądrzejsze: fałszywe miejsca portfela, "odwodnienia" w DApp, fałszywe airdrop's, subskrypcje niekończących się odpisów (zatwierdzenie/zezwolenie), spoofed kody QR i "zatrucie adresu. "Dobra wiadomość: Prosta dyscyplina operacyjna prawie całkowicie zasłania te wektory. Poniżej znajduje się praktyczny system chroniący transakcje przed i po kliknięciu przycisku "Wyślij'.

1) Trzy wieloryby ochronne: adres → sieć → podpis

1. Adres odbiorcy: sprawdź co najmniej pierwsze i ostatnie 4-6 znaków, użyj tylko QR/dane z konta osobistego, a nie z czatów/wyszukiwań.

2. Sieć/Aktywa: Sieć tokenów (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON itp.) musi być taka sama w nadawcy i odbiorcy. Dla XRP/XLM/BNB/EOS sprawdź Memo/Tag.

3. Podpis/transakcja: przeczytaj, co dokładnie podpisujesz: 'transfer', 'approve', 'permit', 'set ForAll', 'swap', 'bridge', 'mint'. Jeśli nie rozumiesz, nie podpisuj.

2) Podstawowe wektory phishingowe (i jak je zamknąć)

Fałszywe strony i domeny homografii. Pracuj tylko z własnych zakładek; nie śledzić reklam i „wsparcie” w błyskawicznych posłańców.

Schowki i wymiana QR. Skanuj QR z oficjalnej strony, sprawdź znaki adresowe. Wszelkie rozbieżności są anulowaniem.

Zatrucie adresowe. Nie kopiuj adresów z historii skrzynki odbiorczej. Użyj książki adresowej/białej listy.

Skrypty drenarskie w DApp. Nigdy nie importuj nasion na stronach internetowych. Przed podpisaniem zobacz, jakie prawa żąda DApp (limit, token, termin).

Fałszywe powietrze/NFT. Nie należy współdziałać z NFT/linkami do prezentów. Wszelkie przyciski „roszczenia” poza zaufanymi źródłami są zabronione.

Inżynieria społeczna (poczta, telegram/dyskord). Wsparcie nigdy nie prosi o eksport ziarna/klucza prywatnego/klucza. W giełdach należy uwzględnić wyrażenie anty-frazowe.

Integracje WalletConnect. Sprawdź nazwę i domenę DApp w żądaniu sesji. Jeśli nie pasuje do otwartej strony, odrzuć ją.

Mosty/bryczesy. Używać tylko urzędowo; zweryfikować docelową sieć i kontrakt tokenowy.

Faktury błyskawicy/QR. Jednorazowa faktura, żyje minut. Zaległe - wygenerować nowy, nie „odświeżać” stary.

3) Portfel sprzętowy i „potwierdzenie na ekranie”

Portfel sprzętowy znacznie zmniejsza ryzyko phishingu: pokazuje prawdziwe dane podpisu w twoich rękach. Nawyki:

Potwierdź adres/kwotę/metodę na ekranie urządzenia.
Nigdy nie wprowadzaj nasion na komputerze/telefonie/miejscu - tylko na samym urządzeniu.
W przypadku dużych kwot - polityka „czterech oczu”: druga osoba/drugi klucz w multisig.

4) Bezpieczne podpisy w sieciach EVM (ETH, BSC, Polygon itp.)

Zatwierdzenie/zezwolenie:

Daj dostęp tylko do żądanego tokena, ustaw minimalny limit, a nie „na”.
Okresowo cofnij (cofnij) stare uprawnienia poprzez niezawodne usługi revok portfela/DApp.
EIP-2612/Permit2/Off-chain polecenia: przeczytaj tekst. „Bezpłatny podpis” może dać długoterminowy dostęp do wydatków.
Symulacja transakcji: Użyj portfeli/rozszerzeń, które pokazują, co zmieni się po wykonaniu (gdzie żetony przejdą z/do).

5) Przeglądarka i higiena urządzeń

Oddzielny profil przeglądarki do krypta, minimalne rozszerzenia.

Automatyczne aktualizacje portfela - tylko z oficjalnych źródeł; sprawdź podpis/hash budowania pulpitu.

2FA TOTP/U2F w sprawie wymiany; pobierz kody kopii zapasowej i drugi klucz tokenowy.

Nie wykonuj dużych operacji w publicznej sieci Wi-Fi.

Przechowywanie dziennika transakcji: data, sieć, adres, kwota, TxID.

6) Lista kontrolna przed wysłaniem/podpisaniem (1 minuta)

Adres pochodzi z zakładki/oficjalnego wniosku, pierwsze/ostatnie 4-6 znaków pasuje.
Sprawdzono sieć/aktywa i (w razie potrzeby) Memo/Tag.
Rozumiem rodzaj operacji: „transfer ”/„ approval ”/„ permit ”/„ swap ”/„ bridge”.
Limit autoryzacji jest ograniczony do kwoty transakcji, a nie do kwoty „na”.
Dla kwoty> $200 - Transakcja testowa i oczekujący kredyt.
Portfel sprzętowy: adres/kwota/umowa potwierdzona na ekranie urządzenia.

7) Protokół dotyczący podejrzewanego phishingu (działania na minutę)

0-5 minut:

Natychmiast wyłączyć internet/rozszerzenie, zatrzymać kolejne podpisy.
Na giełdach - zamrozić wyjścia, zmienić hasła, wyłączyć aktywne sesje.

5-30 minut:

Sprawdź najnowsze zatwierdzenie/pozwolenie i przypomnij podejrzane.
Przeniesienie aktywów z portfela podatnego na zagrożenia do czystego portfela (zamiatania), zacznij od najbardziej płynnych tokenów/monet.
Zapisz TxID, zrzuty ekranu, dzienniki.

Następny:

Ponownie zainstaluj portfel na czystym urządzeniu, z nowymi klawiszami.
Zgłosić się do służb, w których aktywa napastnika (giełdy/mosty) mogą być.
Analiza: skąd pochodzi link, kto poprosił o podpis, jakie rozszerzenia są instalowane.

8) Częste „czerwone flagi”

Pilność i deficyt: „zrób to teraz, w przeciwnym razie zamrożymy bonus/konto”.

Wprowadź klucz nasienny/prywatny „aby sprawdzić/aktywować/upuścić”.

Istnieje rozbieżność między domeną w WalletConnect a miejscem publicznym.

Prośba o „zatwierdzenie wszystkich żetonów” lub „nieograniczony na zawsze”.

Fałszywe przyciski „speed up/claim/verify” w witrynach klonów.

9) Mini-FAQ

Czy wystarczy 4 ostatnie znaki adresu? Lepiej - pierwsze i ostatnie 4-6: niektóre ataki odbierają ten sam „ogon”.

Czy zawsze muszę ograniczać aprobatę? Tak, zrobiłem to. Dla napastnika i drenażystów wygodne jest zezwolenie na użycie opróżnienia.

Jak często robić ryk praw? Po każdej sesji z nowym DApp i regularnie zaplanowane (na przykład raz w miesiącu).

Czy portfel sprzętowy rozwiązuje wszystko? Znacznie zmniejsza ryzyko, ale nie ochroni przed podpisem na szkodliwej operacji - przeczytaj, co podpisujesz.

Czy możliwe jest „anulowanie” przelewu? Nie, nie jest. Maksymalnie - mieć czas, aby nie podpisywać szkodliwej operacji lub cofnąć prawa przed odpisaniem.

Ochrona przed phishingiem to nie oprogramowanie „anty-everything”, ale procedura: zakładki, weryfikacja adresu/sieci, podpisy czytania, ograniczona aprobata/zezwolenie, portfel sprzętowy, ryk dodatkowych praw i tłumaczenia testów. Zrób z tego rutynę - a szansa na utratę środków z powodu phishingu stanie się statystycznie nieistotna, nawet jeśli aktywnie używasz DApp, mostów i wymian.