Коротка відповідь
Нічого не робіть. А саме: не натискайте на невідомий токен, не намагайтеся його «продати» чи «обміняти» і не переходьте за жодними посиланнями з його опису. Невідомі токени в гаманці — відомий прийом зловмисників: будь-яка спроба щось із ними зробити зазвичай веде на фішингову сторінку, яка просить дати дозвіл на ваші справжні токени або ввести seed-фразу, — і саме там гаманці спустошують. Просто ігноруйте їх. Більшість гаманців дозволяє «приховати» токен в інтерфейсі — це і є правильна дія.
Що насправді відбувається
Будь-хто може розгорнути контракт токена ERC-20 в Ethereum чи будь-якій EVM-мережі. Автор контракту може випустити токени на будь-яку адресу, зокрема й вашу, без вашої згоди. Etherscan покаже цей «ейрдроп» в історії ваших транзакцій, а гаманець — сам токен, бо просто показує всі ERC-20, які ви отримали.
У того, хто розсилає такі токени, три можливі мотиви:
Фішинг. У назві чи описі токена вшито посилання на кшталт «claim-100-FREEBIES.com». Перехід → фальшива сторінка «отримання» → підключення гаманця → підпис дозволу чи Permit на ваші справжні токени (або введення seed-фрази) → усе, на що ви дали дозвіл, виведено. Дозволи в ERC-20 окремі для кожного токена, тож дозвіл на фальшивий токен не дістане вашого справжнього USDT; втрата стається саме тому, що сторінка змушує вас підписати дозвіл на справжні токени.
Підготовка до «отруєння адреси». Зловмисник створює фальшиву «взаємодію» з вашою адресою. Згодом, копіюючи адресу з історії транзакцій, ви можете випадково взяти схожу адресу зловмисника.
Фіктивна торгівля. Зловмисник надсилає токени між власними гаманцями, щоб створити видимість обсягу, а потім хвалиться «торговим обсягом» токена в сумнівних лістингах на DEX.
Чого не робити
Не заходьте на жоден сайт, пов'язаний із токеном. Не намагайтеся продати його на Uniswap чи іншому DEX: зазвичай його там і не продати, а «сторінка обміну», на яку він вас веде, як правило, фішингова й просить дозвіл на ваші справжні токени. Не «спалюйте» його: це транзакція, за яку треба платити газ і яка запускає код, написаний зловмисником.
Якщо гаманець показує, що токен чогось «вартий», ця вартість фальшива: гаманець вирахував її із заявленої емісії токена й фальшивого пулу ліквідності, створеного зловмисником.
Що робити
Більшість гаманців уміють приховувати токени — Trust Wallet, MetaMask, Rabby. Відкрийте меню токена (три крапки) й оберіть «приховати». Токен лишиться в історії вашої адреси в блокчейні (цього не змінити), але зникне з інтерфейсу гаманця. Більше нічого робити не треба.
Для постійного захисту подумайте про Rabby Wallet: його вбудований фільтр автоматично ховає більшість відомих шахрайських токенів ще до того, як ви їх побачите.
Що почитати далі: Пилова атака, Фішинг.