Мошенничество с дрейнером криптокошелька: что вы на самом деле подтверждаете при «верификации»

Дрейнер кошелька — это вредоносный смарт-контракт, то есть фрагмент кода, который опустошает криптовалютный кошелёк в момент, когда ничего не подозревающий пользователь предоставляет ему разрешение на это. Схема работает потому, что большинство жертв не осознают, что вообще предоставили какое-либо разрешение. Сайт описывает действие как «верификацию кошелька», «получение аирдропа» или «безопасный вход». На деле же они одобряют неограниченный перевод своих токенов на адрес, контролируемый злоумышленником.

Понять, почему это работает, можно только осознав разницу между тремя действиями, которые выглядят одинаково снаружи.

Как работает схема

Три действия — совершенно разные последствия

Подключение кошелька означает показать сайту ваш публичный адрес. Это эквивалент передачи кому-то вашего адреса электронной почты. Они могут видеть, чем вы владеете, но не могут этого коснуться. Подключение кошелька к сайту само по себе не может переместить никакие средства. Это действие безопасно.

Подписание сообщения — обычно это доказательство личности: подтверждение того, что вы контролируете кошелёк. Большинство запросов на подпись безопасны: они выполняются вне блокчейна, не стоят комиссий и ничего не разрешают. Ваш кошелёк показывает всплывающее окно с текстом для подписи. Это выглядит одинаково, независимо от того, действительно ли запрос безобиден или использует стандарт EIP-2612 (также называемый подписью permit), который выглядит как сообщение, но функционирует как одобрение токена. Жертвы не могут отличить их по внешнему виду.

Одобрение транзакции предоставляет другому адресу право перемещать ваши токены от вашего имени — в пределах указанной вами суммы. Когда вы используете децентрализованную биржу, вы одобряете её работу с вашими токенами для этой сделки. Когда мошеннический контракт получает это одобрение, он может в любой момент опустошить все ваши токены — без каких-либо дальнейших действий с вашей стороны.

Механика дрейнера

Шаг 1 — Приманка. Вы видите ссылку на аирдроп, минт NFT, портал верификации кошелька или эксклюзивное получение токенов. Сайт выглядит профессионально.

Шаг 2 — Подключение. Вы подключаете кошелёк. Ничего плохого ещё не произошло.

Шаг 3 — Ловушка. Сайт просит вас верифицировать, получить или активировать что-либо. Ваш кошелёк показывает экран подтверждения. Сайт говорит, что это просто проверка безопасности — средства не будут перемещены, газа нет. Вы одобряете.

Шаг 4 — Дрейн. Вы только что одобрили неограниченный перевод токенов на дрейнерный контракт. В течение секунд — часто автоматизированно — контракт опустошает ваш кошелёк, забирая каждый токен, перевод которого был одобрен. В некоторых случаях он также нацелен на NFT, используя отдельное разрешение setApprovalForAll.

Почему жертвы чувствуют себя в безопасности: экран подтверждения часто не показывает сумму в ETH, нет видимой комиссии, нет очевидного предупреждения «вы отправляете деньги». Это выглядит как шаг входа в систему.

Примеры мошеннических сообщений

Пример 1 — Фейковый аирдроп

Второй раунд аирдропа Arbitrum запущен — подходящие кошельки могут получить до 1200 ARB. Подключите кошелёк, чтобы проверить право на получение и получить средства до закрытия окна через 4 часа: [ссылка]

Пример 2 — Фейковый минт NFT

ПОСЛЕДНИЙ ШАНС — минт AlphaPass теперь открыт для участников вейтлиста. Подключите кошелёк к официальному порталу минта и подтвердите место в вайтлисте. Газ покрыт. [ссылка]

Пример 3 — Фейковая верификация кошелька

Ваш кошелёк отмечен для плановой проверки безопасности. Пожалуйста, подключитесь и подпишите верификационное сообщение, чтобы восстановить полный доступ к вашим связанным аккаунтам. Это не транзакция — средства затронуты не будут. [ссылка]

Распространённые признаки мошенничества

Сайт появился через публикацию в социальных сетях, сообщение в Discord, ссылку в Telegram или агрегатор аирдропов — не через официальный подтверждённый анонс проекта.
Минт, получение или событие описываются как срочные: осталось несколько часов, ограниченное предложение, последний шанс.
URL сайта не совпадает с верифицированным адресом контракта или доменом проекта — даже на один символ.
Экран подтверждения кошелька показывает неограниченную сумму одобрения или адрес контракта, который вы не узнаёте.
Сайт говорит «это просто верификация», а ваш кошелёк запрашивает подтверждение транзакции — эти два утверждения не могут быть одновременно истинными.
Запрос подписи не отображает простое читаемое сообщение — он содержит hex-данные или закодированные параметры.

Как проверить подлинность

Прежде чем подключить кошелёк к любому сайту, проверьте URL. Вставьте его в 2check.click. Мошеннические сайты минтов и аирдропов строятся на недавно зарегистрированных доменах — нередко зарегистрированных на той же неделе, что и кампания. Домен, которому несколько дней, с брендингом известного проекта — подделка.

Находите анонсы только через верифицированные каналы. Для любого аирдропа или минта найдите официальный анонс через верифицированный аккаунт проекта в социальных сетях, его официальный Discord-сервер или сайт, открытый через доверенную закладку. Не используйте ссылки из личных сообщений, разделов публичных комментариев или агрегаторов аирдропов, которые вы самостоятельно не проверили.

Внимательно читайте экран подтверждения кошелька. Перед одобрением чего-либо посмотрите, что ваш кошелёк на самом деле запрашивает. Если там отображается адрес контракта, который вы не узнаёте, неограниченная сумма или слова setApprovalForAll — остановитесь. Это не шаги верификации — это предоставление разрешений. Настоящий сайт покажет вам конкретную, ограниченную сумму для конкретной цели.

Если сомневаетесь в подписи — отклоните её. Легитимные сервисы не требуют неограниченных одобрений токенов для подтверждения права собственности на кошелёк. Если вас просят одобрить неограниченную сумму или все токены определённого типа — это не обычная операция. Откажитесь от неё.

Что произойдёт, если вы ответите

Как только дрейнерный контракт получил ваше одобрение, он может опустошить кошелёк в любой момент — немедленно или через несколько часов. Транзакция необратима. Токены, переведённые с вашего кошелька одобренным контрактом, пропали. Некоторые дрейнеры разработаны для максимизации ценности: они сначала сканируют наиболее ценные активы — редкие NFT, крупные балансы токенов — и опустошают их в рассчитанном порядке, прежде чем вы замечаете, что что-то произошло.

Что делать дальше

Если вы одобрили что-то подозрительное: немедленно перейдите в менеджер одобрений токенов, например revoke.cash, и отзовите все неизвестные одобрения — это не вернёт уже взятое, но предотвратит дальнейший дрейн. Прежде чем подключать там кошелёк, убедитесь, что домен именно revoke.cash — существуют фишинговые копии сайта с почти идентичными доменными именами.
Проверьте историю транзакций в кошельке, чтобы точно подтвердить, что именно и когда было одобрено.
Сообщите о мошенническом сайте в канал отчётов о фишинге вашего провайдера кошелька.
Если мошеннический сайт имитировал реальный проект — сообщите об этом официальной команде проекта через их верифицированные каналы.
Подайте жалобу в национальный орган по борьбе с киберпреступностью.
Транзакции в криптовалюте необратимы — возврат через официальные каналы редко возможен, и любой сервис, предлагающий вернуть опустошённые средства, почти наверняка является вторым мошенничеством.

Распространённые ошибки при работе с криптосайтами и аирдропами

«Я только подключил кошелёк — данные карточки не вводил, значит в безопасности». Подключение кошелька безопасно. Опасность — в шагах после: одобрение транзакций или подпись запросов, выглядящих как верификация, могут дать контракту право опустошить кошелёк.
«Сайт написал "верификация, деньги не будут перемещены" — значит это так». Именно эту фразу использует дрейнер. Смотрите на то, что фактически запрашивает ваш кошелёк — неограниченное одобрение токенов означает именно это.
«Аирдроп официальный — в Telegram написали что это настоящий». Проверяйте домен только через официальные анонсы проекта в верифицированных аккаунтах. Ссылки из Telegram или комментариев — основной канал распространения дрейнеров.
«Комиссии за газ не было — значит, транзакция не опасная». Стандарт EIP-2612 (permit) позволяет выдавать одобрения токенов через запросы подписи без комиссии за газ. Отсутствие газа не означает безопасность.

Как 2check.click может помочь

Сайты с дрейнерами кошельков строятся на одном: убедительном URL, выглядящем как настоящий проект. Иногда это замена буквы, добавление дефиса или другое расширение домена. Эти изменения незаметны в быстро мелькающем окне получения.

Прежде чем подключать кошелёк к любому сайту для минта, аирдропа или верификации — особенно достигнутому по ссылке, а не через закладку — вставьте URL в 2check.click. Он проверяет возраст регистрации домена (сайты с дрейнерами почти всегда новые), сигналы имитации известных доменов проектов и паттерны перенаправлений, которые легитимные web3-проекты не используют. Проверка занимает десять секунд. Отзыв после дрейна не вернёт взятое.

Часто задаваемые вопросы

Мой кошелёк написал «Запрос подписи», а не «Транзакция». Разве это не означает, что средства не перемещаются?

Не всегда. Стандартные сообщения на подпись безопасны — но стандарт подписи EIP-2612 (permit) позволяет предоставлять одобрения токенов через то, что выглядит как запрос подписи, без комиссии за газ и без очевидного индикатора транзакции. Если текст подписи содержит структурированные данные с полями «spender», «value» и «deadline» — это одобрение permit, а не безобидное сообщение. При сомнениях — отклоните.

Я только подключил кошелёк. Могу ли я всё ещё подвергаться риску?

Подключение само по себе — показ вашего публичного адреса — не может переместить средства. Однако некоторые мошеннические сайты запрашивают дополнительные взаимодействия сразу после подключения: всплывающее окно с требованием верификации или шаг «продолжить». Риск исходит от того, что вы одобряете после подключения, а не от самого подключения.

На сайте было правильное название проекта и он совпадал по стилю. Как он мог быть поддельным?

Мошеннические сайты полностью копируют дизайн настоящего сайта — это занимает минуты. Единственный надёжный индикатор — доменное имя в адресной строке браузера. Отличие в один символ в URL означает совершенно другой сайт. Вставьте его в 2check.click для проверки даты регистрации домена и совпадения с верифицированным доменом настоящего проекта.

Могу ли я отменить одобрение после его выдачи?

Да — если дрейн ещё не произошёл. Используйте менеджер одобрений токенов — revoke.cash широко используется — чтобы просмотреть все активные одобрения в вашем кошельке и отозвать те, которые не узнаёте. Убедитесь, что домен именно revoke.cash, прежде чем подключать кошелёк. Отзыв одобрения — небольшая транзакция, требующая небольшой комиссии за газ, но она предотвращает дальнейший перевод средств одобренным контрактом. Уже взятое не возвращается.

Кто-то предлагает помочь мне вернуть опустошённые средства. Стоит ли доверять?

Нет. Незапрошенные предложения о возврате, нацеленные на жертв дрейнеров кошельков, являются задокументированным вторым мошенничеством. Транзакции в блокчейне необратимы — ни одна третья сторона не может вернуть токены из дрейнерного контракта без сотрудничества дрейнера. Подробнее см. в руководстве по мошенничеству с возвратом криптовалюты.