Разом зі зростанням захоплення технологією блокчейн і цифровими активами зростає і загроза кібератак. Серед цих загроз фішингове шахрайство стало значним викликом для учасників криптовалютної галузі.
Ці онлайн-пастки використовують методи обману, намагаючись застати людей зненацька й призводячи до втрати цінних цифрових активів. У цій статті ми детально розглянемо криптовалютний фішинг, розкриємо тактику, яку застосовують кіберзлочинці, та дамо вам знання про те, як захистити свої криптовалютні активи.
TL;DR
Фішинг є поширеною загрозою в криптопросторі, яка використовує складність блокчейну для здійснення таких шахрайських дій, як цільовий фішинг та перехоплення DNS-запитів.
Цільовий фішинг орієнтований на окремих осіб, які отримують спеціально створені оманливі повідомлення, що начебто надходять з надійних джерел, з метою отримати доступ до їхніх цифрових активів.
Перехоплення DNS-запитів — це шахрайська тактика, коли справжні вебсайти замінюються шахрайськими, щоб змусити користувачів розкрити свої криптовалютні дані для входу в систему.
Підроблені розширення для браузерів імітують справжні, щоб викрасти дані для входу в систему, наголошуючи на важливості завантаження лише з авторизованих джерел.
Ви можете вберегтися від криптофішингових шахрайств, залишаючись у курсі подій, скептично налаштованими та приділяючи пріоритетну увагу заходам цифрової безпеки. Це включає використання надійних паролів та двофакторну автентифікацію.
Що таке фішинг?
Загроза фішингу в криптовалюті — це не дрібна неприємність, а серйозний ризик для ваших цифрових активів. Зловмисники постійно вдосконалюють свою тактику і користуються складною природою блокчейну і криптовалют. Вони використовують різноманітні витончені схеми, націлюючись на приватних осіб і компанії.
Один тип кібератак називається цільовий фішинг і передбачає, що шахраї створюють персоналізовані повідомлення, щоб обманом змусити свою цільову особу розкривати конфіденційні дані або натискати на шкідливі посилання. Ці повідомлення часто з'являються з довірених джерел, таких як відомі компанії або знайомі, заманюючи жертв до компрометації їхніх онлайн-активів.
Перехоплення DNS-запитів це шкідлива тактика, коли хакер отримує контроль над справжніми вебсайтами та замінює їх на шахрайські. Вони можуть обдурити людей, які нічого не підозрюють, і змусити їх ввести свої реєстраційні дані на шахрайському сайті, не усвідомлюючи, що вони передають шахраям доступ до своєї криптовалюти.
Шахрайські розширення для браузерів створюють додаткову небезпеку. Зловмисники створюють розширення, які імітують справжні, щоб отримати дані для входу в систему. Ці фальшиві розширення можуть отримати облікові дані вашого гаманця, що призведе до фінансових збитків. Щоб зменшити цю загрозу, важливо отримувати розширення тільки з офіційних сайтів розробників або з інших надійних джерел.
У світі криптовалют існує безліч шахрайських дій, таких як шахрайські ICO, фінансові піраміди, пов'язані з криптовалютою, та сучасні методи, такі як криптоджекінг, коли зловмисники непомітно використовують ваш комп'ютер для видобутку криптовалюти.
Щоб залишатися в безпеці, важливо бути пильними і дотримуватися рекомендованих заходів, таких як створення надійних індивідуальних паролів, активація двофакторної автентифікації та остерігатися несподіваних можливостей, які здаються занадто гарними, щоб бути правдою. Часте оновлення операційної системи та програмного забезпечення також може захистити вас від потенційних загроз безпеки з боку шахраїв. Тим часом, витративши час на вивчення нових загроз і тактик, ви зможете захистити себе від них і безпечно орієнтуватися в криптопросторі.
Як зловмисники здійснюють фішингові атаки у спробах викрасти криптовалюту?
З розвитком технологій шахраї стають все більш просунутими і використовують різні тактики для отримання доступу до ваших криптовалют. Розгляньмо ці стратегії.
Фейковий аірдроп: ілюзія безкоштовних токенів
Уявіть, що ви отримуєте невелику кількість USDT від загадкового джерела або натрапляєте у своїх записах на транзакції на адреси, які здаються вам надзвичайно схожими на ваші. Це типові ознаки шахрайського аірдроп-проєкта. Шахраї генерують адреси, які імітують справжні, обманом змушуючи вас ненавмисно надсилати їм свої кошти. Як захиститися? Перевірте кожен символ в адрес, перш ніж здійснити транзакцію.
Підроблений підпис: пастка обману
У цьому сценарії зловмисники створюють вебсторінки, які імітують відомі проєкти або рекламують привабливі аірдропи. Коли ви прив'язуєте свій гаманець до проєкту, шахраї спокушають вас підтвердити транзакції, які несвідомо для вас дозволяють їм перевести ваші активи на їхню адресу або адреси.
Шахрайство з підробкою підписів має багато форм, починаючи від простого переказу коштів і тактики обману з авторизацією і закінчуючи більш хитрими підходами. Більш хитрі підходи включають фішингове шахрайство "eth_sign", коли жертв обманом змушують підписати транзакцію або повідомлення за допомогою свого приватного ключа, який потім компрометується. Назва «eth_sign» означає виклик функції Ethereum, який запитує підпис користувача для доступу до даних. Інше складна шахрайство з підробкою підписів націлене на користувачів стандарту EIP-2612. Тут користувачів обманом змушують підписати начебто законний дозвіл, який санкціонує на перший погляд нешкідливі дії. Натомість, підпис надає зловмисникам доступ до токенів жертви.
Клонування вебсайту
Шахраї копіюють справжні вебсайти криптовалютної біржі або сервісів гаманців, створюючи майже ідентичні копії для крадіжки даних для входу. Коли користувачі вводять свої дані на таких сайтах-копіях, вони несвідомо надають зловмисникам доступ до своїх справжніх акаунтів. Перед входом перевірте URL-адресу вебсайту та наявність захищеного HTTPS-з'єднання.
Спуфінг електронної пошти
Однією з поширених тактик є: надсилання електронних листів, видаючи себе за надійних осіб криптоспільноти, як-от біржі або постачальники гаманців. Ці листи можуть містити посилання на скопійовані вебсайти або вимагати конфіденційну інформацію. Будьте обережні з усіма електронними листами, що вимагають приватні ключі або особисту інформацію.
Імітація в соціальних мережах
Зазвичай зловмисники видають себе за відомих діячів, інфлюенсерів соціальних мереж або навіть справжні профілі популярних криптовалютних платформ. Вони можуть пропонувати фальшиві подарунки або аірдропи в обмін на невеликі депозити або персональні дані. Дуже важливо проводити перевірку правдивості контенту в соціальних мережах та уникати розголошення ваших приватних ключів.
Смішинг та вішинг
Методи смішингу та вішингу використовуються шахраями для отримання персональної інформації або переконання людей вжити дії, які загрожують їхній безпеці. Ці методи передбачають надсилання текстових повідомлень або телефонних дзвінків, які можуть спонукати людей ділитися конфіденційною інформацією або відвідувати вебсайти, створені зі злочинним наміром. Пам'ятайте: компанії з хорошою репутацією ніколи не проситимуть про надання конфіденційної інформації через ці канали зв'язку.
Атаки «людина посередині»
Під час цих атак шахраї переривають переписку між користувачем та авторизованим сервісом, зазвичай у незахищених або публічних мережах Wi-Fi. Вони можуть перехоплювати інформацію, що надсилається, наприклад, дані для входу в систему та конфіденційні коди. Для захисту ваших онлайн-з'єднань рекомендується використовувати VPN.
Приклад фішингового шахрайства
Розгляньмо приклад типового фішингового шахрайства. Тут шахрай використовує застосунок для обміну повідомленнями Telegram, щоб обманом змусити користувача розкрити свою електронну адресу, що призводить до подальших маніпуляцій через Telegram з боку особи, яка видає себе за співробітника OKX.
Як працює це шахрайство
Початкове фішингове повідомлення Шахрайство зазвичай починається на платформі P2P, де до жертви звертається шахрай, який видає себе за справжнього покупця або продавця. Шахрай запитує адресу електронної пошти користувача під приводом спрощення транзакції. Довіряючи запиту, користувач ділиться своєю електронною поштою.
Зв'язок електронною поштою та Telegram Невдовзі після того, як користувач надав свою електронну пошту, з ним зв'язується шахрай, який тепер використовує її для продовження розмови. Шахрай пропонує перенести розмову в Telegram, стверджуючи, що так буде зручніше. Цей перехід до способу спілкування поза платформою є значним тривожним сигналом. У Telegram шахрай видає себе за співробітника OKX, що додає його заявам ще більшої достовірності.
Оманливі відмітки про верифікацію У Telegram профіль шахрая може виглядати перевіреним і мати синю галочку. Однак важливо зазначити, що ця синя галочка може бути унікальним емодзі, який шахрай використовує для створення ілюзії своєї справжності. Користувачі повинні розуміти, що синя галочка в Telegram не обов'язково вказує на офіційний або підтверджений акаунт. Шахрай видає себе за співробітника OKX, використовуючи офіційну фотографію, ім'я та прізвище в Telegram або підроблений значок підтвердження.
Підроблене підтвердження переказу Підставний офіційний представник OKX надсилає користувачеві скріншот, стверджуючи, що P2P-покупець уже поклав фіатні гроші в гаманець OKX. Ці зображення часто є підробленими знімками екрану або сфабрикованими платіжними квитанціями, які мають на меті підвищити довіру до продавця і переконати його відправити криптовалюту покупцеві.
Запит на депозит криптовалюти Після надання фальшивого підтвердження платежу підставний співробітник OKX просить жертву внести криптовалюту на вказану ним адресу гаманця. Вважаючи, що фіатний переказ здійснено, жертва надсилає свою криптовалюту, але згодом розуміє, що фіатного переказу ніколи не було.
Як виявити спроби фішингу та запобігати їм
Щоб ефективно виявляти спроби фішингу, пов'язані з криптовалютою, важливо виявляти пильність, обережність та володіти інформацією. Читайте далі для отримання конкретних рекомендацій щодо виявлення вищезгаданих фішингових атак.
Несподівані аірдропи або депозити
Будьте обережні з небажаними депозитами або аірдропами на ваш криптовалютний гаманець. Часто це може бути передвісником фішингової атаки, спрямованої на те, щоб викликати у вас зацікавленість і змусити вас послабити пильність.
Через таку участь ви ризикуєте потрапити на зловмисний вебсайт або бути змушеними розкрити приватні ключі чи особисті дані в обмін на нібито додаткові активи. Для цієї стратегії використовуються спокусу й бажання отримати безкоштовні гроші або токени. Однак справжні аірдропи від проєктів, що заслуговують на довіру, зазвичай включають офіційні оголошення та чіткі вказівки, які поширюються через офіційні джерела.
Підозрілі запити на підпис
Дуже важливо ретельно розглядати будь-який запит на цифровий підпис, особливо якщо він є несподіваний або прийшов від ненадійного відправника. Фішингові атаки можуть обманювати вас, запитуючи ваш підпис для, здавалося б, нешкідливих цілей.
Цим ви можете ненавмисно надати шахраям доступ до ваших коштів або гаманця. Перевірте походження запиту та повністю зрозумійте, що саме ви дозволяєте, перш ніж підтверджувати. Якщо ви не впевнені, відхиліть запит і проконсультуйтеся з експертами або спільнотами, пов'язаними з конкретною криптовалютою.
Пропозиції, які здаються занадто хорошими, щоб бути правдою
Шахраї використовують фішингові методи, щоб заманювати людей спокусливими обіцянками великих винагород і практично без ризику. Ці схеми, подарунки або лотерейні призи можуть передбачати запит на невелику суму криптовалюти або попереднє розкриття ваших приватних ключів.
Авторитетні компанії та проєкти, як правило, не працюють таким чином. Перш ніж діяти, важливо ретельно вивчити пропозицію, знайти офіційні заяви та підтвердити контактну інформацію.
Захист ваших активів: найкращі способи
Якою б не була загроза, наведені нижче рекомендації з найкращих способів захисту можуть суттєво допомогти у захисті ваших цифрових активів.
Вивчіть джерело: перевірте справжність адреси електронної пошти, URL-адреси вебсайту або акаунта обміну повідомленнями. Звертайте увагу на незначні орфографічні помилки або використання малопомітних спеціальних символів, призначених для імітації справжніх джерел.
Остерігайтеся терміновості та тиску: зловмисники часто використовують поспіх для маніпулювання жертвами, щоб змусити їх приймати рішення швидко й без перевірки інформації, що призводить до того, що вони стають жертвами шахрайства.
Перевіряйте орфографічні та граматичні помилки: повідомлення справжніх компаній та проєктів зазвичай не містять помилок, тоді як фішингові шахрайства часто містять помилки.
Додавання в закладки: щоб уникнути пастки натискання на зловмисні посилання, які видаються як справжні, додавайте справжні сайти в закладки. Цей швидкий крок гарантує, що ви завжди отримуватимете доступ до правильного вебсайту.
Перш ніж натискати посилання, перевірте його: не натискайте на посилання, замість цього наведіть на посилання курсором, щоб визначити їхню адресу. Використовуйте надійні джерела та офіційні вебсайти для перевірки інформації, і не покладайтеся на посилання з небажаних електронних листів чи повідомлень.
Будьте обережні з відмітками про перевірку: пам'ятайте, що синя галочка в Telegram може вводити в оману і не є гарантією автентичності користувача. Це може бути просто емодзі, який використовується для обману.
Перевіряйте підтвердження оплати кілька разів: не покладайтеся лише на знімки екрана або зображення як підтвердження оплати. Підтвердьте транзакцію через власний банк або криптогаманець. Завжди перевіряйте, що гроші були переведені за допомогою потрібного вам способу оплати через офіційні додатки, і не покладайтеся на надані знімки екрану.
Використовуйте функції безпеки: щоб покращити захист від фішингу, застосуйте такі функції безпеки, як двофакторна аутентифікація, апаратні гаманці та надійні паролі.
Багатофакторна автентифікація (MFA): увімкніть MFA для всіх гаманців й інструментів, які пропонують цю функцію. Це надасть додатковий рівень безпеки, гарантуючи, що навіть якщо ваш пароль буде зламано, несанкціонований доступ все одно буде заборонено.
Використовуйте надійний гаманець: вибір гаманця — це як вибір сейфу для цінних предметів. Обов'язково обирайте гаманці з надійною репутацією та перевіреною історією. Пам'ятайте, що віддавати перевагу зручності в порівнянні з безпекою не є мудрим рішенням.
Холодне сховище: одним із варіантів захисту великих сум криптовалюти є використання методів холодного зберігання, таких як апаратні гаманці. Ці інструменти зберігають ваші приватні ключі поза інтернетом, захищаючи від онлайн-злому.
Регулярні оновлення програмного забезпечення: ключовий момент — це оновлення програмного забезпечення, зокрема гаманців, інструментів і навіть браузера. Розробники регулярно випускають оновлення задля виправлення вразливостей безпеки. Оновлюючи ПО, ви мінімізуєте ризик бути ошуканими через відомі вразливості.
Постійне навчання: фішингові атаки постійно розвиваються, зловмисники постійно розробляють нові методи. Доцільно регулярно дізнаватися про нові загрози безпеці та способи захисту від них. Ви можете зробити це, слідкуючи за перевіреними джерелами новин з кібербезпеки та приєднуючись до криптовалютних спільнот для обміну інформацією з іншими користувачами.
Заключне слово
З розвитком технології блокчейн зловмисники знаходять нові й нові способи використовувати або обманювати невинних користувачів й отримувати доступ до їхніх цифрових активів. Поінформованість про різні типи шахрайства — це перший крок на шляху до захисту. Тим часом, проявляючи обережність і скептицизм, перевіряючи легітимність повідомлень і використовуючи такі інструменти безпеки, як MFA, ви можете користуватися перевагами, які надають криптовалюти, одночасно захищаючи себе і свої активи.
Пам'ятайте, що в боротьбі з фішингом знання — це не просто сила, це захист. Регулярно знайомлячись з новими тактиками шахрайства, а також досліджуючи нові токени, проєкти і протоколи, ви зможете краще виявляти нові шахрайства й уникати їх.
© OKX, 2024. Цю статтю можна відтворювати або поширювати повністю або в цитатах обсягом до 100 слів за умови некомерційного використання. Під час відтворення або поширення всієї статті потрібно чітко вказати: «Стаття використовується з дозволу власника авторських прав © OKX, 2024». Цитати мають наводитися з посиланням на назву й авторство статті, наприклад: «Назва статті, [ім’я автора, якщо є], © OKX, 2024». Використання статті в похідних та інших роботах не допускається.
