Kripto işlemleri phishing'den nasıl korunur

Kimlik avı, kriptodaki kayıpların ana nedenidir. Saldırılar daha akıllı hale geldi: sahte cüzdan siteleri, DApp'deki "süzgeçler", sahte airdrop'lar, sonsuz yazma (onayla/izin ver) abonelikleri, sahte QR kodları ve "adres zehirlenmesi". İyi haber: Basit operasyon disiplini bu vektörleri neredeyse tamamen gizliyor. Aşağıda, "Gönder/İmzala'yı tıklamadan önce ve sonra işlemleri koruyan pratik bir sistem bulunmaktadır.

1) Üç koruma balinası: adres - ağ - imza

1. Alıcının adresi: en az ilk ve son 4-6 karakteri kontrol edin, kişisel hesabınızdan yalnızca QR/ayrıntıları kullanın ve sohbetlerden/aramalardan değil.

2. Ağ/Varlık: Belirteç ağı (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON, vb.) Gönderici ve alıcıda aynı olmalıdır. XRP/XLM/BNB/EOS için, Not/Etiket'i kontrol edin.

3. İmza/işlem: Tam olarak ne imzaladığınızı okuyun: 'transfer', 'onayla', 'izin', 'OnayForAll', 'takas', 'köprü', 'nane' ayarlayın. Anlamıyorsan imzalama.

2) Temel kimlik avı vektörleri (ve nasıl kapatılacağı)

Sahte siteler ve homograf alanları. Yalnızca kendi yer imlerinizden çalışın; Anlık habercilerdeki reklamları ve "desteği" takip etmeyin.

Pano şekillendiricileri ve QR değiştirme. Resmi sayfadan QR tarayın, adres karakterlerini kontrol edin. Herhangi bir tutarsızlık bir iptaldir.

Adres zehirlenmesi. Gelen kutusu geçmişinizden adresleri kopyalamayın. Adres defterini/beyaz listeyi kullanın.

DApp'de drainer betikleri. Web sitelerinde asla tohum ithal etmeyin. İmzalamadan önce, DApp'in hangi hakları istediğini görün (limit, token, term).

Sahte airdrop/NFT. Hediye NFT'leri/bağlantıları ile etkileşime girmeyin. Güvenilir kaynaklar dışında herhangi bir "talep" düğmesi yasaktır.

Sosyal mühendislik (posta, Telegram/Discord). Destek asla tohum/özel anahtar/anahtar ihracatı istemez. Borsalarda anti-phishing ifadesi dahil edilmelidir.

WalletConnect entegrasyonları. Oturum isteğinde DApp adını ve etki alanını kontrol edin. Açık siteyle eşleşmiyorsa, reddedin.

Köprüler/pantolonlar. Sadece resmi kullanın; Hedef ağı ve belirteç sözleşmesini doğrulayın.

Yıldırım/QR faturaları. Bir kerelik fatura, dakikalarca yaşar. Gecikmiş - yeni bir tane oluşturun, eskisini "yenilemeyin".

3) Donanım cüzdanı ve "ekranda onay"

Bir donanım cüzdanı, kimlik avı riskini önemli ölçüde azaltır: elinizdeki gerçek imza verilerini gösterir. Alışkanlıklar:

Cihaz ekranındaki adresi/miktarı/yöntemi onaylayın.
Asla bir PC/telefon/siteye tohum girmeyin - yalnızca cihazın kendisine.
Büyük miktarlar için - "dört göz" politikası: multisig'deki ikinci kişi/ikinci anahtar.

4) EVM ağlarında güvenli imzalar (ETH, BSC, Polygon, vb.)

Onaylama/İzin Verme:

Yalnızca istenen jetona erişim sağlayın, "∞'değil, minimum bir sınır belirleyin.
Güvenilir cüzdan revok hizmetleri/DApp aracılığıyla eski izinleri periyodik olarak iptal edin (iptal edin).
EIP-2612/Permit2/Off-chain emir: metni oku. Bir "ücretsiz imza", harcamalara uzun vadeli erişim sağlayabilir.
İşlem simülasyonu: Yürütüldükten sonra neyin değişeceğini gösteren cüzdanlar/uzantılar kullanın (belirteçlerin nereden/nereye gideceği).

5) Tarayıcı ve cihaz hijyeni

Kripto için ayrı tarayıcı profili, minimum uzantılar.

Cüzdan otomatik güncellemeleri - sadece resmi kaynaklardan; Masaüstü yapılarının imzasını/karmasını kontrol edin.

Borsalarda 2FA TOTP/U2F; Yedekleme kodlarını ve ikinci bir belirteç anahtarını indirin.

Halka açık Wi-Fi ağlarında büyük işlemler yapmayın.

Bir işlem günlüğü tutun: tarih, ağ, adres, miktar, TxID.

6) Göndermeden/imzalamadan önce listeyi kontrol edin (1 dakika)

Adres, yer imi/resmi uygulamadan alınır, ilk/son 4-6 karakter eşleşir.
Ağ/varlık ve (gerekirse) Not/Etiket kontrol edildi.
İşlem türünü anlıyorum: 'transfer'/' onayla'/' izin'/' takas'/' köprü'.
Yetkilendirme limiti, "∞'değil, işlemin miktarı ile sınırlıdır.
Tutar için> $200 - Test İşlemi ve Bekleyen Kredi.
Donanım cüzdanı: Cihaz ekranında adres/miktar/sözleşme onaylandı.

7) Şüpheli kimlik avı için protokol (dakika başına eylemler)

0-5 dakika:

İnternet/uzantıyı derhal devre dışı bırakın, daha fazla imzayı durdurun.
Borsalarda - çıktıları dondurun, şifreleri değiştirin, aktif oturumları kapatın.

5-30 dakika:

En son onayı/izni kontrol edin ve şüpheli olanları geri çağırın.
Varlıkları savunmasız bir cüzdandan temiz bir cüzdana (süpürme) aktarın, en likit jeton/madeni paralarla başlayın.
TxID, ekran görüntüleri, günlükleri kaydedin.

Cüzdanı yeni anahtarlarla temiz bir cihaza yeniden yükleyin.
Saldırganın varlıklarının (borsalar/köprüler) olabileceği servislere rapor verin.
Analiz: bağlantı nereden geldi, imzayı kim istedi, hangi uzantılar kuruldu.

8) Sık "kırmızı bayraklar"

Aciliyet ve açık:'şimdi yapın, aksi takdirde bonusu/hesabı donduracağız ".

Lütfen "kontrol etmek/etkinleştirmek/airdrop" için tohum/özel anahtar girin.

WalletConnect'teki etki alanı ile genel site arasında bir uyumsuzluk vardır.

"Tüm belirteçler için onayla" veya "sonsuza dek sınırsız" isteğinde bulunun.

Klon sitelerinde sahte "hızlan/talep et/doğrula" düğmeleri.

9) Mini-SSS

Adresin son 4 karakteri yeterli mi? Daha iyi - ilk ve son 4-6: bazı saldırılar aynı "kuyruk'u alır.

Onaylamayı her zaman sınırlamam gerekiyor mu? Evet. "∞" izni bir saldırgan ve süzgeçler için uygundur.

Ne sıklıkta hakların kükremesi? Her seanstan sonra yeni bir DApp ile ve düzenli olarak planlanır (örneğin, ayda bir kez).

Bir donanım cüzdanı her şeyi çözer mi? Riski büyük ölçüde azaltır, ancak zararlı bir işlemde imzanıza karşı koruma sağlamaz - ne imzaladığınızı okuyun.

Transferi "iptal etmek" mümkün mü? Hayır. Maksimum - zararlı bir işlemi imzalamamak veya yazmadan önce hakları iptal etmek için zamanınız olsun.

Kimlik avına karşı koruma'her şeye karşı'bir yazılım değil, bir prosedürdür: yer işaretleriniz, adres/ağ doğrulaması, imzaları okuma, sınırlı onay/izin, donanım cüzdanı, ekstra hakların kükremesi ve test çevirileri. Bundan bir rutin yapın - ve DApp, köprüler ve borsaları aktif olarak kullansanız bile, kimlik avı nedeniyle para kaybetme şansı istatistiksel olarak önemsiz hale gelecektir.