Крипто-казино
Torrent Gear
Як захистити крипто-транзакції від фішингу
Фішинг - головна причина втрат у крипті. Атаки стали розумнішими: підроблені сайти гаманців, «дренери» в DApp, фальшиві airdrop'и, підписки на нескінченні списання (approve/permit), підмінені QR-коди і «address poisoning». Хороша новина: проста операційна дисципліна майже повністю закриває ці вектори. Нижче - практична система, яка захищає транзакції до і після натискання «Send/Sign».
1) Три кити захисту: адреса → мережа → підпис
1. Адреса одержувача: звіряйте мінімум перші і останні 4-6 символів, використовуйте тільки QR/реквізити з особистого кабінету, а не з чатів/пошуку.
2. Мережа/актив: мережа токена (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON і т.д.) повинна збігатися у відправника і одержувача. Для XRP/XLM/BNB/EOS перевіряйте Memo/Tag.
3. Підпис/транзакція: читайте, що саме підписуєте: `transfer`, `approve`, `permit`, `setApprovalForAll`, `swap`, `bridge`, `mint`. Якщо не розумієте - не підписуйте.
2) Основні вектори фішингу (і як їх закрити)
Підроблені сайти та домени-гомографи. Працюйте тільки з власних закладок; не переходьте по рекламних оголошеннях і «підтримці» в месенджерах.
Кліпборд-стилери і підміна QR. Скануйте QR з офіційної сторінки, звіряйте символи адреси. Будь-яка невідповідність - скасування.
Address poisoning. Не копіюйте адреси з історії вхідних. Використовуйте адресну книгу/вайтліст.
Drainer-скрипти в DApp. Ніколи не імпортуйте seed на сайтах. Перед підписом дивіться які права запитує DApp (ліміт, токен, термін).
Фальшиві airdrop/NFT. Не взаємодійте з «подарунковими» NFT/посиланнями. Будь-яка кнопка «claim» поза перевіреними джерелами - заборона.
Соцінженерія (пошта, Telegram/Discord). «Саппорт» ніколи не просить seed/приватний ключ/експорт ключів. Антифішинг-фраза в біржах повинна бути включена.
Інтеграції WalletConnect. Звіряйте ім'я DApp і домен в запиті сесії. Якщо не збігається з відкритим сайтом - відхиляйте.
Мости/бриджі. Використовуйте тільки офіційні; звіряйте цільову мережу і контракт токена.
Lightning/QR-інвойси. Інвойс одноразовий, живе хвилини. Прострочений - генеруйте новий, не «освіжайте» старий.
3) Апаратний гаманець і «підтвердження на екрані»
Апаратний гаманець різко знижує ризик фішингу: він показує реальні дані підпису у вас в руках. Звички:- Підтверджуйте адресу/суму/метод на екрані пристрою.
- Ніколи не вводьте seed на ПК/телефоні/сайті - тільки на самому пристрої.
- Для великих сум - політика «чотирьох очей»: друга людина/другий ключ в мультисигу.
4) Безпечні підписи в EVM-мережах (ETH, BSC, Polygon та ін.)
Approve/Permit:- Видавайте доступ тільки потрібному токену, ставте мінімальний ліміт, а не «∞».
- Періодично відкликайте (revoke) старі дозволи через надійні ревок-сервіси гаманців/DApp.
- Підписи без газу (EIP-2612/Permit2/Off-chain orders): Читайте текст. «Безкоштовний підпис» може давати довгостроковий доступ до витрат.
- Симуляція транзакції: використовуйте гаманці/розширення, які показують, що зміниться після виконання (звідки/куди підуть токени).
5) Гігієна браузера і пристрою
Окремий профіль браузера для крипти, мінімум розширень.
Автооновлення гаманця - тільки з офіційних джерел; перевіряйте підпис/хеш десктоп-білдів.
2FA TOTP/U2F на біржах; завантажте резервні коди і другий ключ-токен.
Не проводьте великі операції в публічному Wi-Fi.
Ведіть журнал транзакцій: дата, мережа, адреса, сума, TxID.
6) Чеклист перед відправкою/підписом (1 хвилина)
- Адреса взята з закладки/офіційного додатку, збігаються перші/останні 4-6 символів.
- Мережа/актив і (при необхідності) Memo/Tag перевірені.
- Розумію тип операції: `transfer`/`approve`/`permit`/`swap`/`bridge`.
- Ліміт дозволу обмежений сумою угоди, не «∞».
- Для суми> $200 - тестова транзакція і очікування зарахування.
- Апаратний гаманець: адреса/сума/контракт підтверджені на екрані пристрою.
7) Протокол при підозрі на фішинг (дії по хвилинах)
0-5 хвилин:- Негайно вимкніть інтернет/розширення, зупиніть подальші підписи.
- На біржах - заморозьте висновки, змініть паролі, вимкніть активні сесії.
- Перевірте останні approve/permit і відкличте підозрілі.
- Переведіть активи з вразливого гаманця на чистий гаманець (sweep), почніть з найбільш ліквідних токенів/монет.
- Збережіть TxID, скріни, логи.
- Перевстановіть гаманець на чистому пристрої, з новими ключами.
- Повідомте на сервіси, де могли опинитися активи зловмисника (біржі/мости).
- Проведіть розбір: звідки прийшло посилання, хто запросив підпис, які розширення встановлені.
8) Часті «червоні прапори»
Терміновість і дефіцит: «зробіть зараз, інакше заморозимо бонус/аккаунт».
Прохання ввести seed/приватний ключ «для перевірки/активації/airdrop».
Розбіжність домену в WalletConnect і відкритого сайту.
Запит «approve для всіх токенів» або «безліміт назавжди».
Підроблені кнопки «speed up/claim/verify» на клон-сайтах.
9) Міні-FAQ
Чи достатньо звірки останніх 4 символів адреси? Краще - перші і останні 4-6: деякі атаки підбирають однаковий «хвіст».
Чи потрібно завжди обмежувати approve? Так. Дозвіл на «∞» зручний зловмиснику і дренерам.
Як часто робити ревок правий? Після кожної сесії з новим DApp і регулярно за розкладом (наприклад, раз на місяць).
Апаратний гаманець вирішує все? Він сильно знижує ризик, але не захистить від вашого підпису на шкідливій операції - читайте, що підписуєте.
Чи можна «скасувати» переклад? Ні, ні. Максимум - встигнути не підписати шкідливу операцію або відкликати права до списання.
Захист від фішингу - це не софт «анти-все», а процедура: свої закладки, звірка адреси/мережі, читання підпису, лімітовані approve/permit, апаратний гаманець, ревок зайвих прав і тестові переклади. Зробіть з цього рутину - і шанс втратити кошти через фішинг стане статистично нікчемним, навіть якщо ви активно користуєтеся DApp, мостами і біржами.