QR-код, пришедший почтой

Октябрь 2024. Москвич получает по почте открытку с аккуратным криптологотипом и текстом «Вы прошли отбор на дроп NexDrop — отсканируйте QR-код и получите 500 NXDR». QR-код ведёт на вполне солидную с виду страницу подключения кошелька. Он подключает MetaMask и подтверждает то, что страница называет «верификацией». На деле это серия транзакций setApprovalForAll — по одной на каждую из его самых ценных NFT-коллекций, и каждая отдаёт мошеннику контроль над всеми его NFT из этой коллекции. Всё уходит за 90 секунд.

Почему почтовые дропы кажутся реальными

Фишинг по электронной почте приучил большинство владельцев криптовалюты к недоверию. Бумажная открытка в почтовом ящике воспринимается иначе: «официальный документ», «настоящая почта», «кто-то заплатил за марку». Именно этот лишний кредит доверия и окупает мошеннику расходы на печать и марки.

Четыре правила

  • Ни один настоящий дроп не приходит по почте. Настоящие дропы забирают транзакцией в блокчейне, объявляют о них в официальных каналах самого проекта, а право на них даёт владение токеном или конкретное действие в сети. Ни на одном шаге проекту не нужно знать ваш почтовый адрес.
  • QR-коды на незапрошенной почте — фишинг. Угроза та же, что у ссылок в письмах: QR-код ведёт на адрес, который контролирует мошенник. Относитесь к QR-коду на бумаге так же, как к подозрительной ссылке.
  • Подключение кошелька к незнакомому сайту — ловушка. Как только мошеннический сайт получил сессию вашего кошелька, каждый запрос подписи составляет мошенник. Защита одна: не подключайте кошелёк к адресу, который не набрали сами.
  • «Верификация», которая на деле оказывается разрешением, — стандартная начинка таких схем. Право на дроп определяется тем, что уже лежит на вашем адресе или что вы делали в сети; чтобы забрать дроп, никогда не нужно отдавать контроль над другими активами. Если запрос с надписью «подтвердить» оказывается setApprovalForAll, approve или подписью permit — это дрейнер.

Если подписали

Срочно на revoke.cash и отзовите все одобрения, которые не узнаёте, — в том числе выданные обычным адресам, а не только контрактам. Переведите все оставшиеся NFT и ценные токены на новый кошелёк, который контролируете только вы. Не решайте, что пронесло, только потому, что пока ничего не ушло: разрешение действует, пока вы его не отзовёте, а некоторые дрейнеры нарочно выжидают, прежде чем забрать активы.

Что делать с такой открыткой

Уничтожить. Кое-что она всё же сообщает: кто-то уже связал ваш домашний адрес с криптовалютой. Значит, будут новые попытки, возможно, более убедительные, и расслабляться нельзя. А сам QR-код — просто мусор.