QR-код, що прийшов поштою

Жовтень 2024. Киянин отримує поштою листівку з охайним криптологотипом і текстом «Ви пройшли відбір для ейрдропу NexDrop — скануйте QR-код, щоб отримати 500 NXDR». QR-код веде на сторінку підключення гаманця, що виглядає цілком пристойно. Він підключає MetaMask і підтверджує те, що сторінка називає «перевіркою». Насправді це серія транзакцій setApprovalForAll — по одній на кожну з його найцінніших NFT-колекцій, — і всі вони передають зловмисникові контроль над цими колекціями. Гаманець спустошено за 90 секунд.

Чому ейрдропи поштою здаються справжніми

Фішинг в електронній пошті привчив більшість власників криптовалюти до скептицизму. А паперова листівка в поштовій скриньці вмикає інше сприйняття: «офіційний документ», «справжня пошта», «хтось заплатив за марку». Саме ця додаткова довіра й окуповує шахраєві витрати на друк і марки.

Чотири правила

  • Жоден справжній ейрдроп не надсилають поштою. Справжні ейрдропи отримують через транзакції в блокчейні, оголошують в X чи Discord проєкту, а умовою є володіння токеном чи певна дія в блокчейні. Ніщо в цьому процесі не вимагає, щоб проєкт знав вашу поштову адресу.
  • QR-коди в непроханих листах — фішинг. Загроза та сама, що й у посилань у пошті: QR-код веде на адресу, яку контролює зловмисник. Ставтеся до QR-коду на папері так само підозріло, як до сумнівного посилання.
  • Підключення гаманця до невідомого сайту — пастка. Щойно шахрайський сайт отримав сесію вашого гаманця, кожен запит на підпис формує зловмисник. Захист один: підключайте гаманець лише до сайту, адресу якого ви набрали самі.
  • «Перевірка», яка насправді є дозволом, — універсальна начинка шахрайства. Право на ейрдроп визначається тим, що ваша адреса вже має чи вже зробила в блокчейні; щоб отримати ейрдроп, ніколи не треба віддавати контроль над іншими активами. Якщо запит на підпис «verify» виявляється setApprovalForAll, approve чи підписом permit — це дрейнер.

Якщо підписали

Терміново відкрийте revoke.cash і відкличте всі дозволи, видані невідомим контрактам. Переведіть усі NFT, що лишилися, і цінні токени на новий гаманець під вашим контролем. Не думайте, що обійшлося, лише тому, що поки нічого не зникло: дозвіл діє, доки ви його не відкличете, а деякі дрейнери свідомо вичікують, перш ніж забрати кошти.

Що робити з такими листівками

Знищуйте. Дещо листівка все-таки повідомляє: хтось пов'язав вашу домашню адресу з криптовалютою, тож чекайте нових, можливо, переконливіших спроб і будьте напоготові. А сам QR-код — просто сміття.