«Вы пропустили, но мы это исправим» — ловушка

Январь 2025. Житель Праги пропустил снапшот LayerZero — увидел объявление, когда срок уже прошёл. Через неделю аккаунт в X «LayerZero Foundation Late Claim Portal» отвечает на его жалобный пост ссылкой. Ссылка ведёт на опрятную страницу получения, где можно «подать заявку на право задним числом» — достаточно подписать проверочное сообщение. На деле «сообщение» — это пакетная подпись Permit в Permit2 на все токены, которые он когда-либо одобрял контракту Permit2, а после нескольких лет обменов на Uniswap это почти все его токены ERC-20. Всё выведено.

Крючок ретроактивного клейма

Страх упустить дроп — одна из самых надёжных приманок криптофишинга. Тот, кто чувствует, что упустил шанс, готов ухватиться за любое предложение, намекающее, что шанс ещё есть. «Портал позднего получения» — подделка по определению. Окно для получения дропа может оставаться открытым какое-то время, но ни один настоящий дроп не открывает право на него заново для адресов, не попавших в снапшот, — иначе снапшот терял бы смысл.

Четыре постоянных правила для дропов

  • Снапшоты окончательны. Если пропустили — пропустили. Настоящие проекты не открывают порталов «второго шанса».
  • Дроп забирают только на собственном сайте проекта, по ссылке из его подтверждённого аккаунта в X. Дроп LayerZero забирали по конкретному адресу, объявленному с официального аккаунта. Любой другой адрес — подделка.
  • «Проверка права на дроп» через подпись — это и есть начинка мошенничества. Право на настоящий дроп фиксируется, когда публикуется список по снапшоту, — контракт выдачи просто проверяет, есть ли в нём ваш адрес. Подписывать Permit, чтобы проект «узнал», что вы держали или делали до снапшота, не нужно никогда.
  • Ответ на ваш жалобный твит — сигнал бота. Настоящие команды проектов отвечают на жалобы изредка, а боты — за секунды, каждый раз и с готовой нарядной страницей.

Если подписали

Подписанным permit в Permit2 можно пользоваться до истечения его срока (deadline), а токены, одобренные контракту Permit2, остаются под ударом, пока вы не отзовёте одобрения. Немедленно переведите все оставшиеся токены с кошелька, затем отзовите каждое Permit2-одобрение на revoke.cash. Сгенерируйте новый кошелёк для будущего использования; этот навсегда в очереди дрейнера.