Токен, який виявився не подарунком

Вересень 2024. Львів'янин помічає в MetaMask новий токен: «USDT Airdrop Reward — забрати 5 000». Etherscan показує, що контракт розсилає його тисячам гаманців, у яких є USDT. Сторінка отримання виглядає охайно, обіцяна винагорода — 5 000 USD у справжніх USDT після «перевірки».

Сторінка перевірки просить підпис «для підтвердження володіння». Насправді це пакетне повідомлення Permit2 — запит на підпис структурованих даних EIP-712. Раніше він обмінював токени на Uniswap, тож його USDT і USDC уже мали дозвіл для Permit2 — спільного контракту дозволів, яким користується Uniswap; тоді це був цілком звичайний крок. Один підпис дав адресі зловмисника право через Permit2 витрачати обидва токени. Обидва баланси зникають.

Схема «пил і приманка»

Крок 1: зловмисник розсилає тисячам гаманців непотрібний токен із назвою, що маскується під справжній ейрдроп. Токен сам з'являється в інтерфейсі гаманця. Крок 2: у назві чи тікері токена вшита адреса «сайту для отримання». Крок 3: цей сайт просить підпис, який перетворює вже видані відвідувачем дозволи (наприклад, для Permit2) на право зловмисника витрачати токени, — сам надісланий токен ніколи не був метою.

Три правила

  • Непрохані токени — приманка, а не подарунок. Якщо в гаманці з'явився токен, який ви не купували, не отримували в обмін і не чекали від відомого джерела, це фішингова приманка. Не відкривайте адресу контракту.
  • Справжні ейрдропи не потребують підпису з правом витрачати ваші токени. Справжнє отримання — це або транзакція claim(amount, proof), або переказ, що вже надійшов. Жодного підпису «для підтвердження» не потрібно.
  • Приховуйте, а не взаємодійте. У MetaMask відкрийте меню спам-токена й виберіть «Приховати». Не розглядайте назву, не заходьте на сайт, не дозволяйте цікавості вирішувати, що робити далі.

Захист наперед

Раз на місяць перевіряйте дозволи на revoke.cash. Хто давно користується DeFi, зазвичай накопичує десятки забутих дозволів від минулих експериментів — і кожен із них відчинені двері. Відкличте все, чим зараз не користуєтеся. За газ ви платите один раз, а безпека лишається.

Який вигляд має пил у 2026 році

Назви змінилися: «BlackRock Bitcoin ETF Claim», «USDC Compensation Pool», «Coinbase Layer-2 Bonus». Схема та сама — використати справжню новину, щоб фейковий токен здавався правдоподібним.