Защитите свои криптовалютные активы: руководство по защите от фишинга и мошенничества

Децентрализованный мир криптовалют открывает огромные возможности, но вместе с тем несет в себе и новые риски. Фишинг, мошенничество, вредоносные смарт-контракты и другие виды мошенничества постоянно угрожают вашим цифровым активам. Чтобы обеспечить свою безопасность, необходимо быть в курсе событий и принимать упреждающие меры безопасности.

Основные угрозы для криптоактивов

1. Фишинг и поддельные веб-сайты

Мошенники создают точные копии популярных криптовалютных бирж, кошельков или DeFi-платформ, чтобы обманом заставить вас раскрыть свои приватные ключи, сед-фразы или учетные данные. Всегда тщательно проверяйте URL-адрес сайта и используйте закладки вместо ссылок из электронных писем или сообщений.

2. Мошенники, обчищающие кошельки

Это вредоносные скрипты, которые при подключении к вашему кошельку или подписании транзакции могут опустошить его, переведя все ваши активы на кошелек злоумышленника. Часто они маскируются под легитимные dApp, NFT-проекты или аирдропы.

3. Мошенничество и социальная инженерия

К ним относятся обещания легких денег, поддельные розыгрыши призов, схемы типа «накачка и слив» и мошенничество под видом технической поддержки, когда у вас запрашивают доступ к кошельку или личные данные.

Практические меры по защите ваших криптоактивов

1. Регулярно отзывать разрешения (Revoke.cash)

Каждый раз, когда вы взаимодействуете со смарт-контрактом (например, утверждая токены для децентрализованной биржи или платформы NFT), вы предоставляете ему разрешение на доступ к определенному количеству ваших токенов. Если контракт окажется вредоносным или будет взломан, эти разрешения могут быть использованы для опустошения вашего кошелька.

• Что делать: Воспользуйтесь такими сервисами, как Revoke.cash. Этот инструмент позволяет просматривать и отзывать все разрешения, которые вы предоставили смарт-контрактам. Регулярно проверяйте и отзывайте ненужные или подозрительные разрешения. Это крайне важно для минимизации рисков.

2. Своевременное обновление систем и приложений

Устаревшее программное обеспечение — это открытая дверь для злоумышленников. Обновления часто содержат исправления, устраняющие известные уязвимости.

• Что делать:
  • Операционная система: Убедитесь, что ваша операционная система (Windows, macOS, Linux) всегда обновлена до последней версии.
  • Браузеры: Используйте актуальные версии браузеров (Chrome, Firefox, Brave и т. д.), так как они часто оснащены встроенными средствами защиты от фишинга.
  • Криптовалютные кошельки и расширения: Регулярно обновляйте свои программные кошельки (например, MetaMask) и все связанные с ними расширения.

3. Диверсификация портфеля: не кладите все яйца в одну корзину

Хранение всех ваших криптоактивов в одном кошельке повышает риск потери всего в случае взлома или фишинговой атаки.

• Что делать:
  • «Горячие» кошельки: Используйте их только для небольших сумм, предназначенных для повседневных транзакций или взаимодействия с dApp.
  • Холодные кошельки / аппаратные кошельки: Для долгосрочного хранения значительных сумм используйте аппаратные кошельки (Ledger, Trezor). Они обеспечивают максимальную безопасность, храня ваши приватные ключи в автономном режиме.
  • Разделение активов: Распределите свои активы по нескольким кошелькам и биржам, чтобы свести к минимуму потенциальный ущерб от одной успешной атаки.

4. Всегда проверяйте адреса и подписанные транзакции

Мошенники могут использовать вредоносное ПО для изменения адреса получателя в буфере обмена или подделки реквизитов транзакции.

• Что делать:
  • Ещё раз проверьте: Перед отправкой средств всегда внимательно проверяйте адрес получателя, особенно первые и последние несколько символов.
  • Прочитать запросы на подпись: Внимательно читайте все запросы на подпись транзакций в вашем кошельке. Убедитесь, что вы точно понимаете, что именно утверждаете. Подозрительные запросы (например, на установку параметра «Set Approval For All» для неизвестного контракта) могут быть попытками опустошения счета.

5. Используйте двухфакторную аутентификацию (2FA)

Двухфакторная аутентификация (2FA) обеспечивает дополнительный уровень безопасности ваших учетных записей на биржах и в сервисах.

• Что делать: По возможности включайте двухфакторную аутентификацию (2FA), используя приложения-аутентификаторы (Google Authenticator, Authy) вместо SMS, поскольку SMS-2FA более уязвима для перехвата.

6. Остерегайтесь неожиданных предложений и сообщений

Если предложение кажется слишком хорошим, чтобы быть правдой, то, скорее всего, так и есть.

• Что делать: Не обращайте внимания на сообщения от незнакомцев, обещающих «бесплатные» криптовалюты или легкий заработок. Проверяйте информацию через официальные каналы проекта.

7. Аппаратные кошельки и подписание с использованием воздушного зазора

«Горячие» кошельки (браузерные/мобильные) представляют собой самую обширную уязвимую поверхность для атак в криптовалютной сфере. Перенесите свои долгосрочные активы в аппаратный кошелек — Ledger, Trezor, Keystone или BitBox — устройства, на которых закрытые ключи никогда не покидают устройство. Для транзакций на крупные суммы рекомендуется рассмотреть с воздушным зазором подпись с помощью QR-кода (Keystone, Coldcard, AirGap Vault), благодаря чему даже взломанный компьютер не сможет похитить ключи.

• Купить аппаратные кошельки только напрямую от производителя каналы — вмешательство в цепочку поставок представляет собой реальную атаку.
• Установите устройство в чистом помещении; перед первым использованием проверьте подписи прошивки.
• Запишите фразу-семя на сталь резервные копии (Cryptotag, Billfodl) — бумага сгорает и выцветает.
• Ни в коем случае не вводите, не фотографируйте и не храните секретный ключ в цифровом виде — ни в iCloud, ни в Google Drive, ни в менеджерах паролей, ни в приложениях для заметок.

8. Одобряйте надбавки с осторожностью

Мошенникам не нужен ваш «seed» — им достаточно одного подписанного разрешения, позволяющего им перевести ваши токены. Каждый раз, когда вы подписываете транзакцию, внимательно читайте:

• Проверьте работу функции: approve, setApprovalForAll, permit, increaseAllowance, и signOrder предоставить права на перемещение токенов — но не на их передачу.
• Проверьте устройство подачи: Адрес, который вы утверждаете, должен быть контрактом известного протокола — ни в коем случае не EOA (учётной записью, принадлежащей третьему лицу) или непроверенным контрактом.
• Проверьте сумму: если потребуется безлимитный (2^256-1), предпочитают устанавливать точный верхний предел.
• Проверьте цепь: Фишинговый сайт может переключить ваш кошелек на неожиданную цепочку, чтобы обойти ваши фильтры.
• Использование Blockaid, ScamSniffer, или Защита кошелька расширения, позволяющие выявлять вредоносные утверждения перед подписанием.

9. Управление доменами и закладками

Наиболее успешные фишинговые атаки направлены на тот момент, когда вы вводите URL-адрес или нажимаете на ссылку. Меры защиты:

• Добавить в закладки каждый кошелек, биржу и мост, которыми вы пользуетесь — никогда не вводите домены конфиденциальных сайтов вручную.
• Избегайте спонсируемых/рекламных результатов в Google — спонсируемые ключевые слова, связанные с криптокошельками, биржами и мостами, являются основным источником фишинга. Мы описываем это в Регистраторы, способствующие глобальным мошенничествам.
• Не доверяйте URL-адресам, содержащим лишние символы: uniswap-app.org, metamask-extension.com, app-pancakeswap.io — официальные домены просты.
• Проверка доменов с помощью системы «Прозрачность сертификатов» (crt.sh) — только что выданный сертификат на товар, внешне похожий на брендовый, — это явный сигнал тревоги.

10. Остерегайтесь мошенничества под видом «рекламы» и программ-просмотрщиков на рабочем месте

Крипто-команды всё чаще становятся жертвами социальной инженерии делового типа, замаскированной под рекламу или предложения о партнёрстве. Злоумышленник просит вас установить «программу для просмотра медиа-китов», «менеджер рекламы», «клиент Zoom» или «безопасный инструмент для заключения соглашений о неразглашении» — этот «инструмент» на самом деле является программой-крадецом. Мы зафиксировали один случай, когда такой подход привёл к опустошению счётов проекта: $100K Returned — Adverting Scam Foiled.

• Ни в коем случае не устанавливайте специальные клиенты, программы просмотра или «программы обновления», предоставляемые непроверенными третьими сторонами.
• Используйте только официальные версии приложений Zoom, Telegram и Discord, доступные на сайтах разработчиков, — ни в коем случае не переходите по спонсируемым результатам поиска.
• Если рабочий процесс требует использования пользовательского клиента, по умолчанию следует рассматривать его как вредоносный.

11. Правила организационной гигиены для криптокоманд

• Специализированная машина для работы с криптовалютами — новая версия ОС, аппаратный кошелек, минимум расширений, никакой электронной почты и социальных сетей.
• Мультиподпись для любого казначейства, объем которого превышает ежемесячный объем сжигания (Safe, Squads и т. д.).
• Включение адресов для вывода средств в белый список на биржах; по возможности предусматривайте временные ограничения.
• Резервные семена для посева в географически распределённых хранилищах стали с разделением по схеме «M из N» (метод секретного разделения Шамира).
• Руководство по реагированию на инциденты: заранее определите, кто кому звонит, доступ к каким кошелькам следует отменить и где хранятся журналы аудита. Первый час после взлома имеет решающее значение.

12. Если ваш компьютер уже взломан

• Перевести средства немедленно из любого кошелька, который посещал вредоносный сайт или подписал подозрительную транзакцию. Скорость важнее, чем безупречность процесса.
• Отменить все разрешения на использование токенов на revoke.cash с чистого устройства.
• Отключите скомпрометированное устройство от всех сетей; обновите все учетные данные, к которым на этом устройстве был получен доступ; переустановите ОС с чистой установочной среды.
• Сохраните доказательства: образ диска, историю браузера, хэши транзакций — это понадобится вам для составления отчета об инциденте и возможного восстановления данных.
• Отчитаться перед @PhishDestroy_bot и свяжитесь с нами SEAL 911 для получения экстренной профессиональной помощи в области безопасности.
• Ознакомьтесь с нашим полным руководством по реагированию на инциденты: Критические меры — что делать после взлома.

Дополнительные ресурсы для повышения безопасности

Быть в курсе событий — это уже половина дела. Рекомендуемые источники:

• Security Alliance — Вредоносное ПО — углубленный анализ семейств вредоносных программ, нацеленных на пользователей криптовалют.
• PhishDestroy — список уничтожения — Более 130 тысяч активных фишинговых и мошеннических доменов — интегрируйте их в свою систему DNS, брандмауэр или браузер.
• @PhishDestroyAlerts — оповещения в режиме реального времени о появлении новых мошеннических инфраструктур.
• Анатомия ликвидации — как PhishDestroy разрушает фишинговую инфраструктуру.
• Инструменты с открытым исходным кодом для борьбы с киберпреступностью — полный набор инструментов OSINT.
• Расследование по делу о более чем 150 поддельных расширениях Mozilla — как вредоносные расширения собирают семена.

«В PhishDestroy мы стремимся предоставить вам инструменты и знания, которые помогут вам обеспечить свою безопасность в цифровом мире. Помните: ваша бдительность — это ваша первая и лучшая линия защиты».

Защита ваших криптоактивов требует постоянного внимания и принятия упреждающих мер. Следуя этим рекомендациям, вы значительно снизите риск стать жертвой мошенников и сможете с большей уверенностью ориентироваться в мире децентрализованных финансов.