Как да разберете дали криптопортфейлът ви е хакнат: 10 предупредителни признака

Потвърден превод на средства, който не сте разрешили, е най-ясният знак, че нещо не е наред. Но портфейлът може да стане незащитен и преди да изчезнат пари. Открадната фраза за възстановяване, скрито разрешение за разходване или промяна на това кой управлява портфейла могат да дадат достъп на нападател, докато балансът ви все още изглежда нормален.

Някои от признаците по-долу сочат към действителна кражба. Други показват, че портфейлът или устройството ви може да са изложени на риск. Разликата е важна, защото решението зависи от начина, по който нападателят е получил достъп.

Ако в момента от портфейла ви изтичат средства, спрете да изпращате пари към него и преминете направо към стъпките за реакция в края на статията.

Какво всъщност означава криптопортфейлът да е хакнат?

Вашите криптоактиви са записани в блокчейн. Портфейлът ви помага да ги управлявате чрез частни ключове или други правила за упълномощаване. Фразата за възстановяване, наричана още seed phrase, може да възстанови ключовете за множество акаунти в портфейла.

Хората използват думата „хакнат“ за няколко различни проблема:

• Откраднати ключове: Някой разполага с частния ви ключ или фразата ви за възстановяване и може да разрешава трансакции от друго устройство.
• Злоупотреба с разрешения: Одобрили сте смарт договор или сте подписали заявка, която позволява на някого да прехвърля определени активи. Възможно е ключовете ви все още да са тайни.
• Компрометирано устройство или приложение: Зловреден софтуер, фалшив портфейл или злонамерено разширение краде информация или променя това, което предстои да изпратите.
• Компрометиран акаунт в борса: Някой получава достъп до акаунта, в който компания съхранява криптоактиви от ваше име.

Хардуерният портфейл помага за защитата на частните ключове, но не може да направи опасно разрешение безопасно. Ако одобрите погрешно действие, хардуерният портфейл може да го подпише съвсем коректно.

1. Реални криптоактиви напускат портфейла ви без ваше разрешение

Откривате завършен превод, продажба на NFT или теглене, за които нямате обяснение. Това може да се случи, докато телефонът ви е изключен или сте далеч от компютъра.

Първо изключете действия, които сами сте настроили по-рано, например автоматично плащане, теглене от борса или операция в приложение за търговия. След това проверете действителната трансакция в блокчейна.

Уверете се, че действително е прехвърлен реален актив и балансът ви е намалял. Странен запис в историята на активността на портфейла сам по себе си не е достатъчен. Измамниците могат да създават подвеждащи записи за токени, които изглеждат като преводи от вашия адрес.

Щом потвърдите неразрешено прехвърляне на реални активи, действайте незабавно. Не е нужно да чакате целият портфейл да бъде изпразнен.

2. Новите депозити изчезват почти веднага

Изпращате ETH или друга основна монета на мрежата към портфейла, за да покриете таксите за трансакции. След секунди тя отива на непознат адрес. Същото се случва и при следващия депозит.

Това е типично поведение на sweeper bot: програма, която следи компрометиран портфейл и автоматично изтегля наличните средства. След като изключите автоматизация, настроена умишлено от вас, подобни повтарящи се тегления са сериозно предупреждение за неразрешен достъп.

Ботът може да работи на компютъра на нападателя. Затварянето на приложението за портфейла или рестартирането на телефона няма да го спре. Някои ботове оставят малките салда недокоснати, докато не пристигне по-голям депозит, така че наличието на непокътнати средства не доказва, че портфейлът е безопасен.

Не продължавайте да добавяте средства за gas такси и не правете пробен депозит. Така може просто да финансирате нападателя.

3. Откривате непознати разрешения за токени или NFT

Много криптоприложения искат разрешение да използват даден токен. Тези одобрения могат да останат активни дълго след като спрете да използвате приложението.

Предупредителни знаци са наскоро добавен непознат адрес с право да разходва токени, достъп, предоставен след посещение на съмнителен сайт, или лимит за разходване, който значително надвишава необходимото за действието. Разрешение за NFT може да позволи на оператор да прехвърли всички ваши NFT от определена колекция.

Неограниченото одобрение е често срещано в легитимните приложения, така че само по себе си не доказва хакване. Важно е кой има достъп, какво може да прехвърля и дали сте възнамерявали да му дадете това разрешение.

Проверете мрежата, истинския договор на токена, адреса с право на разходване и сумата. Прекъсването на връзката на сайта с портфейла ви не отменя одобрение, което вече е записано в блокчейна.

4. Уж безобидна заявка за вход предоставя права за разходване

Посещавате сайт, за да влезете в профил, да получите награда или да потвърдите портфейла си. Той иска подпис без такса за трансакция. Заявката съдържа количество токени, адрес с право на разходване или поръчка за продажба на NFT, които не сте искали да одобрявате.

Някои подписи могат да позволят разходване на средства без отделна трансакция за одобрение от ваша страна. Функциите Permit и Permit2, както и подписите на поръчки в платформи за търговия, са подходящи примери. Легитимните приложения ги използват, но измамниците могат да ги маскират като безобидни стъпки за вход.

Липсата на gas такса не говори нищо за безопасността на подписа.

Има и друга уловка: подписано, но все още неизползвано разрешение може да остане извън блокчейна, докато някой не го изпрати. Обичайният ви списък с трансакции, а понякога и инструментът за проверка на одобренията, може да изглежда чист, въпреки че разрешението все още е приложимо.

Ако сте подписали съмнителна заявка, прекратете взаимодействието със сайта и проверете какво е разрешил подписът. Отмяната зависи от вида на разрешението. Стандартното оттегляне на одобрение не обезсилва всеки неизползван подпис.

5. Портфейлът има нов собственик или непознато разрешение за управление

Някои портфейли имат няколко собственици, контакти за възстановяване, временни ключове за подписване или софтуерни модули, които могат да извършват действия. Често се наричат smart wallets или smart accounts.

Собственик, когото не сте добавяли, намален брой задължителни подписи, непознат метод за възстановяване или нов модул изискват незабавно внимание. В зависимост от правомощията промяната може да позволи на някого да премества средства без обичайния ви процес на одобрение.

В Ethereum и съвместимите мрежи функцията EIP-7702 позволява и на обикновен портфейл да упълномощи код да действа чрез неговия адрес. Злонамерено упълномощаване може да осигури продължителен достъп, без фразата ви за възстановяване да бъде разкрита.

Една подробност лесно се пропуска: при тази функция прието делегиране може да остане в сила дори ако изпълнението на трансакцията се провали. Етикетът „неуспешна“ невинаги означава, че настройките за управление на портфейла са останали непроменени.

Проверете тези права с официалните инструменти на портфейла. Само премахването на разрешенията за токени няма да премахне непознат собственик или делегиране.

6. Фразата ви за възстановяване или частният ключ са били разкрити

Въвели сте фразата си в сайт, изпратили сте я на човек, представящ се за поддръжка, или сте я импортирали в приложение за портфейл, което се е оказало фалшиво. Може също да установите, че четимо резервно копие е било достъпно през пробит облачен акаунт или споделен файл.

Приемете акаунтите, контролирани чрез тази тайна информация, за компрометирани, дори ако все още нищо не е прехвърлено. Някой може да възстанови портфейла на друго място, без да задейства предупреждение за вход в приложението ви.

Смяната на паролата за приложението на портфейла няма да промени разкритите частни ключове. Създаването на друг акаунт със същата фраза за възстановяване също няма да реши проблема.

Мащабът има значение. Изтекла фраза за възстановяване може да изложи много акаунти на риск. Изтекъл частен ключ, който е бил импортиран отделно, може да засегне само акаунта, който контролира.

7. Изглежда, че приложението или разширението за портфейла ви е подменено

Откривате разширение, което никога не сте инсталирали, фалшиво изтеглено приложение за портфейл или предупреждение за сигурност, което открива софтуер за кражба на данни от портфейли. Познатият ви портфейл може също внезапно да поиска да го възстановите след необяснима промяна.

Искането за възстановяване може да има обикновена причина, например преинсталиране или изчистени данни на приложението. То е повод да проверите софтуера, преди да въвеждате тайни данни, а не само по себе си доказателство за кражба.

Проверете приложението през официалния сайт на доставчика на портфейла и потвърдете самоличността на разширението. Познато име и лого се копират лесно.

Ако вече сте въвели фразата си за възстановяване в съмнителен софтуер, приемете я за разкрита. Премахването на приложението не изтрива копието, с което нападателят вече разполага.

8. Адресът на получателя се променя при поставяне

Копирате адреса на получателя, поставяте го в портфейла и получавате друг адрес. Зловреден софтуер, който следи клипборда, може да заменя криптоадресите с адреси на нападателя.

Това сочи към проблем с устройството или софтуера. Не означава непременно, че някой разполага с частния ви ключ, но прави устройството небезопасно за преводи.

Нападателите могат да използват заместващи адреси, които приличат на оригиналния. Ако проверявате само първите и последните няколко символа, може да пропуснете подмяната. Сравнете целия адрес на получателя с доверено копие. При хардуерен портфейл проверете адреса на екрана на устройството, преди да одобрите.

Отменете трансакцията, ако адресите се различават. Многократното копиране и поставяне, докато някой адрес изглежда правилен, не е решение.

9. Необясними загуби засягат няколко акаунта или мрежи

Липсата на един токен може да се дължи на конкретно разрешение за разходване. Неразрешените преводи от няколко акаунта, произлизащи от една и съща фраза за възстановяване, пораждат опасения за по-широко разкриване на ключовете.

Например загуби в две мрежи, съчетани с активност от друг акаунт със същата фраза, заслужават по-обширно разследване. Проверете всеки засегнат акаунт и всяка мрежа, вместо да приемате, че проблемът е ограничен до първия забелязан токен.

Този модел помага да се стесни кръгът на причините, но не е окончателно доказателство. Няколко злонамерени разрешения или упълномощаване на портфейл, валидно в множество мрежи, също могат да причинят масови загуби.

Един и същ адрес на портфейл в различни мрежи от типа на Ethereum е нещо нормално и само по себе си не е предупредителен знак. Предупреждението е необяснимата активност, свързана с тези акаунти.

10. В акаунта ви в борса има непознат достъп или тегления

Ако държите криптоактиви в борса, проверете за непознати сесии, променени данни за възстановяване, нови адреси за теглене или тегления, които не сте заявявали. Непоисканите промени на двуфакторното удостоверяване са особено сериозни.

Отворете сами официалното приложение или сайта, за да проверите предупреждението. Плашещ имейл може да е фишинг. Непознато местоположение също може да се дължи на VPN или мобилна мрежа, затова разгледайте заедно устройството, часа и действията в акаунта.

Превземането на акаунт в борса изисква мерки за сигурността на акаунта. Използвайте функцията на доставчика за заключване на акаунта или ограничаване на тегленията, ако е налична, свържете се с официалната поддръжка и защитете имейла и методите си за удостоверяване.

Тези проверки за вход не се прилагат по същия начин при обикновен портфейл, управляван чрез фраза за възстановяване. Човек с неговите ключове може изобщо да няма нужда да влиза в приложението ви.

Странна активност, която не доказва хакване

Няколко обичайни ситуации могат да изглеждат тревожни:

• По-нисък баланс в долари: Цената може да е спаднала, докато все още държите същия брой монети.
• Липсващи токени в приложението: Може да сте избрали грешен акаунт или мрежа, да сте скрили токена или да има проблем с визуализацията.
• Непознат изход при Bitcoin: Плащане може да върне остатъка по нов адрес за ресто, контролиран от собствения ви портфейл.
• Непоискан токен или NFT: Самият спам не е доказателство, че ключовете ви са откраднати. Скрийте актива, вместо да следвате връзките му или да подписвате трансакция, за да го премахнете.
• Преводи с минимална или нулева стойност, свързани с познат на вид адрес: Това може да е т.нар. address poisoning, при което измамници поставят подобен адрес на получател в историята ви, за да го копирате по-късно.

Някои фалшиви токени копират името и символа на истински токен. Те дори могат да създават подвеждащи записи за изходящи преводи. Проверете действителния договор на токена и баланса, преди да приемете запис като доказателство за кражба.

Избягвайте да копирате адреса на получател от скорошната активност. Вземете го от проверен получател или надеждна адресна книга.

Как да проверите какво действително се е случило

Използвайте надежден блокчейн експлорър за правилната мрежа. Можете да проверите публичен адрес, без да свързвате портфейл, да плащате такса или да разкривате фраза за възстановяване.

Проверете следните подробности:

1. Акаунтът и мрежата: Уверете се, че разглеждате адреса, на който са се намирали липсващите активи.
2. Статусът на трансакцията: Разграничете чакащите операции от завършените прехвърляния. При делегиране на портфейл проверете и дали разрешенията са се променили въпреки неуспешното изпълнение.
3. Действителният актив: Потвърдете договора на токена или NFT колекцията, вместо да разчитате на името или логото.
4. Промяната в баланса и получателят: Установете какво е напуснало портфейла и къде е отишло. Прегледайте преводите на токени и NFT, както и основния списък с трансакции.
5. По-ранните разрешения: Потърсете одобрения, подписи или промени в управлението на портфейла, свързани със загубата.

Подателят на трансакцията може да е чужд акаунт, когато някой използва разрешение за токен, за да вземе активите ви. Това не прави превода безобиден. По същия начин запис за токен, който показва адреса ви като източник, не доказва, че лично сте подписали трансакцията.

Ако записите в блокчейна са трудни за тълкуване, споделете публичния адрес и хеша на трансакцията с проверената поддръжка на портфейла. Тези данни могат да помогнат за разследване, без да разкриват ключовете ви.

Какво да направите, ако предупредителните признаци се потвърдят

Спрете да добавяте средства и да подписвате заявки

Спрете депозитите към засегнатия портфейл. Отхвърляйте нови заявки за подпис, включително предложения да го „поправите“, „потвърдите“ или „отключите“. Спрете да използвате устройство, което може да е заразено, и продължете от друго надеждно устройство.

Ако фраза за възстановяване или частен ключ са изтекли

За обикновен портфейл, управляван чрез разкритата тайна информация, създайте нов портфейл с напълно нова фраза за възстановяване на надеждно устройство. Прехвърлете останалите активи, ако можете да го направите безопасно, след което спрете да използвате засегнатите акаунти. Актуализирайте всички адреси за получаване на плащания, които сочат към тях.

Ако sweeper е активен, не добавяйте средства за gas в стария портфейл. Спасяването на останалите активи може да изисква специализирана обработка на трансакции и успехът не е гарантиран.

Ако проблемът е одобрение или подписано разрешение

Оттеглете съответните разрешения чрез проверен инструмент и потвърдете, че оттеглянето е завършено. Одобрение за един токен в една мрежа не се прилага автоматично навсякъде другаде.

За съмнителен подпис, който още не е използван, следвайте конкретната процедура за отмяна на портфейла или протокола. Може да се наложи да преместите активите, докато установявате дали разрешението все още е използваемо.

Оттеглянето не може да върне вече откраднати активи. То също не може да защити портфейл, чиито ключове са изтекли.

Ако настройките за управление на портфейла са променени

Използвайте официалната процедура на портфейла за възстановяване или управление на разрешенията, за да премахнете неразрешени собственици, модули, ключове за подписване или делегирания. Ако ключ на собственик е изтекъл, заменете този подписващ, когато портфейлът го позволява. Потърсете указания от конкретния доставчик, преди отново да приемете акаунта за защитен.

Ако е имало достъп до акаунта ви в борса

Заключете акаунта или ограничете тегленията чрез официалната процедура на доставчика. От надеждно устройство защитете имейла си, сменете засегнатите пароли, прекратете непознатите сесии и проверете данните за възстановяване и двуфакторното удостоверяване.

Запазете доказателствата и съобщете за загубата

Запазете хешовете на трансакциите, публичните адреси, времевите отметки, съмнителните URL адреси и свързаните съобщения, докато защитавате останалите средства. Съобщете за инцидента на доставчика на портфейла или борсата и на компетентните органи.

Потвърдените преводи в блокчейна обикновено не могат да бъдат отменени от поддръжката на портфейла. Възстановяването може да зависи от замразяване на средства от борса, разследване или доброволно връщане на средствата. Бъдете предпазливи към всеки, който обещава гарантирано възстановяване, особено ако иска авансово плащане или фразата ви за възстановяване.