Предупреждение системы безопасности WEEX — Мошенничество с одобрением вредоносных программ

Что такое мошенничество с одобрением вредоносных программ?

Мошенничество с одобрением вредоносных программ является одной из самых распространенных и разрушительных угроз в пространстве Web3, затрагивая бесчисленное количество пользователей.

В Web3 при взаимодействии со смарт-контрактом вам часто требуется предоставить разрешения путем подписания транзакции. Вот типичные примеры:

• Одобрение dApp для доступа к вашим токенам.
• Предоставление разрешения контракту на перевод ваших NFT.
• Выполнение, казалось бы, безобидных действий, таких как вход или подтверждение права собственности.

Злонамеренные мошеннические схемы используют эти действия, обманывая пользователей и заставляя их предоставлять вредоносным контрактам разрешение на передачу своих активов.

Ключевые особенности

1. Обманом заставляют пользователей предоставлять опасные разрешения. Мошенники выдают себя за законные dApps, эйрдропы или NFT-проекты. Они заманивают пользователей, заставляя их нажать кнопку «Одобрить», что фактически разрешает вредоносные действия, такие как доступ к токенам или NFT.
2. Активы списываются без перевода. Вы ничего не отправляли — вы только нажали «Подтвердить». Но после получения одобрения злоумышленники могут в любой момент перевести ваши активы без каких-либо дополнительных действий с вашей стороны.
3. Одобрения часто не ограничены. Большинство вредоносных контрактов запрашивают максимально возможное разрешение, что дает им постоянный и неограниченный доступ к вашим токенам или NFT.
4. Контракт — это пассивное мошенничество. Такие контракты не занимаются активным хищением средств. Они полностью полагаются на добровольное подписание пользователями разрешений, что позволяет им обходить обычные предупреждения безопасности.
5. Запросы на подписание в кошельке часто оказываются излишне технически сложными или чрезмерно упрощёнными, что затрудняет понимание того, что именно вы подписываете. Многие пользователи полагают, что это безобидная авторизация, и подтверждают ее, не осознавая риска.

Распространенные сценарии

1. Поддельные страницы эйрдропа или минтинга NFT. Сайты рекламируют «ограниченные эйрдропы» или «бесплатный минтинг». Нажатие кнопки инициирует запрос на одобрение доступа к токену или NFT. После одобрения мошенники могут в любой момент опустошить ваши активы.
2. Поддельные DEX или платформы обмена. Вы подключаете свой кошелек к поддельной децентрализованной бирже для обмена токенов. Вместо совершения сделки сайт обманным путем заставляет вас одобрить доступ к токенам. Затем ваши средства будут украдены.
3. Поддельные платформы для стейкинга или игр. Вам предлагают «ставить на стейкинг токены» или «начать играть» на мошеннической платформе DeFi или GameFi. Сайт запрашивает одобрение ваших токенов или NFT, но вся платформа — подделка.
4. Взломанные интерфейсы легитимных проектов. Злоумышленники взламывают доверенные веб-сайты или похищают записи DNS, чтобы заменить легитимные контракты вредоносными. Пользователи считают, что взаимодействуют с настоящим dApp, но фактически предоставляют вредоносные разрешения.
5. Фейковая поддержка клиентов или документация. Поддельный агент поддержки отправляет ссылку, якобы решающую проблему. На странице вас просят одобрить контракт, который на самом деле направлен на кражу ваших активов.

Как это работает

Основная идея вредоносных одобрений проста:

Она эксплуатирует неосведомлённость пользователей об ончейн-разрешениях. Вводя вас в заблуждение и заставляя давать одобрения, мошенники получают контроль над вашими активами и крадут их без вашего ведома.

Технический процесс

Типичная схема мошенничества с вредоносным одобрением выглядит следующим образом:

1. Мошенник развёртывает вредоносный контракт (который сам не инициирует переводы).
2. Пользователя обманывают, заставляя его вызвать функцию одобрения (для токенов).
3. Одобрение получено — активы временно остаются в кошельке.
4. Мошенники используют функции для перевода средств на свой кошелек.
5. Поскольку транзакция одобрена пользователем, она считается действительной и не блокируется.

Лучшие практики защиты

Обращайте внимание на эти тревожные сигналы, чтобы избежать вредоносных одобрений:

• У dApp нет реальной функциональности — оно только запрашивает одобрение.
• Оно запрашивает доступ к активам с высокой стоимостью, таким как ETH, стейблкоины или NFT.
• Одобрение не имеет лимита расходов.
• Всплывающее окно подписи показывает действия с высокой степенью риска.
• Сайт выглядит непрофессионально или имитирует известный проект.
• Избегайте нажатия случайных ссылок или одобрения запросов из непроверенных источников, таких как личные сообщения в Telegram или ответы в Twitter.

Заключение

Если вы не понимаете, не подписывайте. Если это не сделка, подумайте дважды, прежде чем одобрять.

Обычным пользователям следует проявлять чрезвычайную осторожность при одобрении разрешений смарт-контрактов. Примите установку на безопасность: рассматривайте каждое одобрение как потенциальный перевод средств. Всегда внимательно проверяйте и перепроверяйте каждое разрешение перед подписанием.

Интересные материалы:

• Предупреждение системы безопасности WEEX — токены с высоким уровнем риска
• Предупреждение системы безопасности WEEX – SMS-спуфинг
• Предупреждение системы безопасности WEEX — социальные сети и онлайн-форумы
• Предупреждение системы безопасности WEEX: распространённые мошенничества с криптовалютой