Токен, который оказался не подарком

Сентябрь 2024. Пользователь из Краснодара замечает новый токен в боковой панели MetaMask: «USDT Airdrop Reward — забрать 5 000». Etherscan показывает, что контракт раздаёт этот токен тысячам кошельков с USDT. Клейм-страница выглядит чисто, обещанная награда — 5 000 USD в реальных USDT после «верификации».

Страница верификации просит подпись «для подтверждения владения». На деле это пакетное сообщение Permit2 — запрос EIP-712 typed-data. Раньше он свапал на Uniswap, поэтому его USDT и USDC уже были одобрены для Permit2, общего контракта одобрений, которым пользуется Uniswap, — в тот момент совершенно обычный шаг. Одна подпись отдала адресу атакующего право тратить оба токена через Permit2. Оба баланса исчезают.

Схема «пыль и приманка»

Шаг 1: атакующий рассылает бесполезный токен тысячам кошельков с именем, мимикрирующим под реальный дроп. Токен появляется в интерфейсе кошелька автоматически. Шаг 2: в имени или символе токена прописан адрес «клейм-сайта». Шаг 3: клейм-страница просит подпись, которая превращает уже выданные посетителем одобрения (например, для Permit2) в право тратить его токены для атакующего — сам присланный токен никогда не был целью.

Три правила

  • Незапрошенные токены — приманка, не подарок. Если в кошельке появился токен, который вы не покупали, не свапали, не получали от известного источника — это фишинговая наживка. Не открывайте адрес контракта.
  • Реальные дропы не требуют подписи со scope расхода токенов. Реальный клейм — это либо транзакция claim(amount, proof), либо ретроактивный перевод, который уже пришёл. Никакой подписи «для подтверждения» не нужно.
  • Скрывайте, не взаимодействуйте. В MetaMask откройте меню спам-токена и выберите «Скрыть». Не открывайте имя, не идите на сайт, не позволяйте любопытству вести следующий шаг.

Проактивная защита

Аудит одобрений раз в месяц на revoke.cash. У тех, кто давно пользуется DeFi, обычно висят десятки устаревших одобрений от прошлых экспериментов — каждое из них открытая дверь. Отзовите всё, чем не пользуетесь сейчас. Газовая стоимость разовая, безопасность остаётся.

Как выглядит пыль в 2026

Имена эволюционировали: «BlackRock Bitcoin ETF Claim», «USDC Compensation Pool», «Coinbase Layer-2 Bonus». Схема та же — использовать реальную новость, чтобы фейковый токен казался правдоподобным.