Slik finner du ut om kryptolommeboken din er hacket: 10 faresignaler

En bekreftet overføring du ikke har godkjent, er det tydeligste tegnet på at noe er galt. Men en lommebok kan bli utrygg før noen penger forsvinner. En stjålet gjenopprettingsfrase, en skjult tillatelse til å bruke midler eller en endring i hvem som kontrollerer lommeboken, kan gi en angriper tilgang selv om saldoen fortsatt ser normal ut.

Noen av faresignalene nedenfor peker på faktisk tyveri. Andre viser at lommeboken eller enheten din kan være utsatt. Forskjellen er viktig fordi løsningen avhenger av hvordan angriperen fikk tilgang.

Hvis midler forsvinner akkurat nå, må du slutte å sende penger til lommeboken og gå rett til tiltakene mot slutten av artikkelen.

Hva betyr det egentlig at en kryptolommebok er hacket?

Kryptovalutaen din er registrert på en blokkjede. Lommeboken hjelper deg med å kontrollere den ved hjelp av private nøkler eller andre regler for godkjenning. En gjenopprettingsfrase, også kalt en seed-frase, kan gjenskape nøklene til mange lommebokkontoer.

Ordet «hacket» brukes om flere ulike problemer:

• Stjålne nøkler: Noen har den private nøkkelen eller gjenopprettingsfrasen din og kan godkjenne transaksjoner fra en annen enhet.
• Misbrukte tillatelser: Du har godkjent en kontrakt eller signert en forespørsel som lar noen flytte bestemte eiendeler. Nøklene dine kan fortsatt være hemmelige.
• En kompromittert enhet eller app: Skadevare, en falsk lommebok eller en ondsinnet utvidelse stjeler informasjon eller endrer det du er i ferd med å sende.
• En kompromittert børskonto: Noen får tilgang til kontoen der et selskap oppbevarer kryptovaluta for deg.

En maskinvarelommebok bidrar til å beskytte private nøkler, men den kan ikke gjøre en skadelig tillatelse trygg. Hvis du godkjenner feil handling, kan maskinvarelommeboken signere den på korrekt måte.

1. Ekte kryptovaluta forlater lommeboken uten at du har godkjent det

Du finner en fullført overføring, et NFT-salg eller et uttak du ikke kan forklare. Det kan skje mens telefonen er slått av, eller mens du er borte fra datamaskinen.

Utelukk først noe du selv har satt opp tidligere, som en automatisk betaling, et uttak fra en kryptobørs eller en handling i en handelsapp. Kontroller deretter den faktiske transaksjonen på blokkjeden.

Bekreft at en ekte eiendel ble flyttet, og at saldoen din sank. En merkelig oppføring i lommebokens aktivitetslogg er ikke nok i seg selv. Svindlere kan opprette villedende tokenoppføringer som ser ut til å vise overføringer fra adressen din.

Når du har bekreftet en uautorisert overføring av ekte eiendeler, må du handle umiddelbart. Du trenger ikke vente til hele lommeboken er tømt.

2. Nye innskudd forsvinner nesten umiddelbart

Du sender ETH eller en annen nettverksvaluta til lommeboken for å dekke transaksjonsgebyrer. I løpet av sekunder blir den sendt videre til en ukjent adresse. Det samme skjer igjen ved neste innskudd.

Dette er et vanlig mønster ved en sweeper-bot, et program som overvåker en eksponert lommebok og automatisk tar tilgjengelige midler. Når du har utelukket automatisering du bevisst har satt opp, er slike gjentatte uttak et sterkt faresignal om uautorisert tilgang.

Boten kan kjøre på angriperens datamaskin. Den stopper ikke om du lukker lommebokappen eller starter telefonen på nytt. Noen boter lar små saldoer ligge til et større innskudd kommer, så penger som står urørt, beviser ikke at lommeboken er trygg.

Ikke fortsett å fylle på med penger til gas-gebyrer eller send et testinnskudd. Da kan du bare ende opp med å finansiere angriperen.

3. Du finner token- eller NFT-tillatelser du ikke kjenner igjen

Mange kryptoapper ber om tillatelse til å bruke et token. Disse godkjenningene kan fortsette å gjelde lenge etter at du slutter å bruke appen.

Faresignaler er blant annet en nylig tillagt aktør med rett til å bruke tokenene dine som du ikke kjenner igjen, tilgang som ble gitt etter et besøk på et mistenkelig nettsted, eller en bruksgrense som er langt høyere enn handlingen krever. En NFT-tillatelse kan gi en operatør rett til å overføre alle NFT-ene dine fra en bestemt samling.

Ubegrensede godkjenninger er vanlige i legitime apper, så de beviser ikke i seg selv at du er hacket. Det avgjørende er hvem som har tilgang, hva de kan flytte, og om du hadde til hensikt å gi tillatelsen.

Kontroller nettverket, den faktiske tokenkontrakten, aktøren med bruksrett og beløpet. Å koble nettstedet fra lommeboken opphever ikke en godkjenning som allerede er registrert på blokkjeden.

4. En påstått innlogging gir rett til å bruke midlene dine

Du besøker et nettsted for å logge inn, hente en belønning eller bekrefte lommeboken din. Nettstedet ber om en signatur uten transaksjonsgebyr. Forespørselen inneholder et tokenbeløp, en aktør som får bruksrett, eller en NFT-salgsordre du ikke hadde tenkt å godkjenne.

Noen signaturer kan gi tillatelse til å bruke midler uten en egen godkjenningstransaksjon fra deg. Funksjonene Permit og Permit2, samt signaturer for markedsplassordrer, er eksempler på dette. Legitime apper bruker dem, men svindlere kan fremstille dem som harmløse innloggingstrinn.

At det ikke kreves gas-gebyr, sier ingenting om hvor trygg signaturen er.

Det finnes enda en hake: En signert tillatelse som ennå ikke er brukt, kan forbli utenfor blokkjeden til noen sender den inn. Den vanlige transaksjonslisten din, og iblant også verktøyet for å kontrollere godkjenninger, kan se tom eller uproblematisk ut selv om tillatelsen fortsatt kan brukes.

Hvis du har signert en mistenkelig forespørsel, må du slutte å bruke nettstedet og undersøke hva signaturen ga tillatelse til. Fremgangsmåten for annullering avhenger av typen tillatelse. Å tilbakekalle en vanlig godkjenning ugyldiggjør ikke alle ubrukte signaturer.

5. Lommeboken har fått en ny eier eller en ukjent kontrolltillatelse

Noen lommebøker har flere eiere, gjenopprettingskontakter, midlertidige signeringsnøkler eller programvaremoduler som kan utføre handlinger. Disse kalles ofte smarte lommebøker eller smartkontoer.

En eier du aldri la til, færre påkrevde signaturer, en ukjent gjenopprettingsmetode eller en ny modul krever umiddelbar oppmerksomhet. Avhengig av hvilke rettigheter endringen gir, kan noen da flytte midler uten den vanlige godkjenningsprosessen din.

På Ethereum og kompatible nettverk gjør funksjonen EIP-7702 det også mulig for en vanlig lommebok å godkjenne at kode opererer gjennom adressen dens. En ondsinnet autorisasjon kan gi vedvarende tilgang uten at gjenopprettingsfrasen blir avslørt.

Én detalj er lett å overse: Med denne funksjonen kan en godtatt delegering bli stående selv om transaksjonen ikke lar seg utføre. Merket «mislykket» betyr ikke alltid at lommebokens kontrollinnstillinger er uendret.

Kontroller disse tillatelsene med lommebokens offisielle verktøy. Å fjerne tokengodkjenninger alene fjerner ikke en ukjent lommebokeier eller delegering.

6. Gjenopprettingsfrasen eller den private nøkkelen din er avslørt

Du har skrevet inn frasen på et nettsted, sendt den til noen som utga seg for å være brukerstøtte, eller importert den i en lommebokapp som viste seg å være falsk. Du kan også oppdage at en lesbar sikkerhetskopi var tilgjengelig gjennom en kompromittert skykonto eller en delt fil.

Behandle kontoene som kontrolleres av denne hemmeligheten, som kompromitterte selv om ingenting er flyttet ennå. Noen kan gjenskape lommeboken et annet sted uten at appen din varsler om innlogging.

Å endre passordet til lommebokappen endrer ikke de avslørte private nøklene. Å opprette en ny konto under samme gjenopprettingsfrase løser heller ikke problemet.

Omfanget har betydning. En lekket gjenopprettingsfrase kan eksponere mange kontoer. En lekket privat nøkkel som er importert separat, kan påvirke bare kontoen den kontrollerer.

7. Lommebokappen eller utvidelsen ser ut til å ha blitt byttet ut

Du oppdager en utvidelse du aldri installerte, en falsk lommeboknedlasting eller et sikkerhetsvarsel om programvare som stjeler lommebokdata. Den kjente lommeboken din kan også plutselig be deg gjenopprette den etter en uforklarlig endring.

En forespørsel om gjenoppretting kan ha en vanlig årsak, for eksempel reinstallasjon eller slettede appdata. Det er en grunn til å kontrollere programvaren før du skriver inn hemmeligheter, ikke i seg selv et bevis på tyveri.

Kontroller appen via lommebokleverandørens offisielle nettsted, og sjekk identiteten til utvidelsen. Et kjent navn og en kjent logo er enkle å kopiere.

Hvis du allerede har skrevet inn gjenopprettingsfrasen i mistenkelig programvare, må du regne den som avslørt. Å fjerne appen sletter ikke kopien angriperen allerede har.

8. Mottakeradressen endres når du limer den inn

Du kopierer en mottakers adresse, limer den inn i lommeboken og får en annen adresse. Skadevare som overvåker utklippstavlen, kan erstatte kryptoadresser med adresser som tilhører en angriper.

Dette peker på et problem med enheten eller programvaren. Det betyr ikke nødvendigvis at noen har den private nøkkelen din, men det gjør enheten utrygg å bruke til overføringer.

Angripere kan bruke erstatningsadresser som ligner originalen. Hvis du bare sjekker de første og siste tegnene, kan du overse byttet. Sammenlign hele mottakeradressen med en pålitelig kopi. Med en maskinvarelommebok bør du kontrollere adressen på selve enhetens skjerm før du godkjenner.

Avbryt transaksjonen hvis adressene er ulike. Det hjelper ikke å kopiere og lime inn på nytt til en adresse ser riktig ut.

9. Uforklarlige tap sprer seg til flere kontoer eller nettverk

Et enkelt token som mangler, kan skyldes en bestemt tillatelse til å bruke det. Uautoriserte overføringer fra flere kontoer som stammer fra samme gjenopprettingsfrase, gir grunn til å mistenke at nøklene er mer omfattende eksponert.

For eksempel bør tap på to nettverk, kombinert med aktivitet fra en annen konto under samme frase, føre til en bredere undersøkelse. Kontroller alle berørte kontoer og nettverk i stedet for å anta at problemet er begrenset til det første tokenet du la merke til.

Dette mønsteret bidrar til å snevre inn årsaken, men er ikke et endelig bevis. Flere ondsinnede tillatelser eller en lommebokautorisasjon som gjelder på flere nettverk, kan også føre til omfattende tap.

At en lommebokadresse er lik på forskjellige Ethereum-lignende nettverk, er normalt og er ikke i seg selv et faresignal. Faresignalet er uforklarlig aktivitet knyttet til disse kontoene.

10. Børskontoen din viser ukjent tilgang eller uttak

Hvis du oppbevarer kryptovaluta på en børs, bør du se etter ukjente økter, endrede gjenopprettingsopplysninger, nye uttaksadresser eller uttak du ikke ba om. Endringer i tofaktorautentisering du ikke har bedt om, er spesielt alvorlige.

Åpne den offisielle appen eller nettsiden selv for å verifisere varselet. En skremmende e-post kan være phishing. En ukjent plassering kan også skyldes VPN eller mobilnett, så vurder enhet, tidspunkt og kontohandlinger samlet.

Hvis noen har overtatt børskontoen, kreves tiltak for kontosikkerheten. Bruk leverandørens kontolås eller uttaksbegrensning dersom dette er tilgjengelig, kontakt offisiell kundestøtte, og sikre e-posten og autentiseringsmetodene dine.

Disse innloggingskontrollene gjelder ikke på samme måte for en enkel lommebok som styres av en gjenopprettingsfrase. Noen som har nøklene, trenger kanskje aldri å logge inn i appen din.

Merkelig aktivitet som ikke beviser at du er hacket

Flere vanlige hendelser kan virke skremmende:

• Lavere saldo målt i dollar: Prisen kan ha falt selv om du fortsatt har like mange mynter.
• Token som mangler i appen: Du kan ha valgt feil konto eller nettverk, skjult tokenet eller støtt på et visningsproblem.
• En ukjent Bitcoin-utgang: En betaling kan sende ubrukte midler tilbake til en ny vekseladresse som din egen lommebok kontrollerer.
• Et token eller en NFT du ikke har bedt om: Spam alene er ikke bevis på at nøklene dine er stjålet. Skjul det i stedet for å følge lenkene eller signere en transaksjon for å fjerne det.
• Små overføringer eller overføringer med nullverdi knyttet til en adresse som virker kjent: Dette kan være adresseforgiftning, der svindlere legger en mottakeradresse som ligner en ekte, inn i historikken din slik at du kopierer den senere.

Noen falske token kopierer navnet og symbolet til et ekte token. De kan til og med lage villedende oppføringer om utgående overføringer. Kontroller den faktiske tokenkontrakten og saldoen før du tolker en oppføring som bevis på tyveri.

Unngå å kopiere en mottakeradresse fra nylig aktivitet. Hent adressen fra en verifisert mottaker eller en pålitelig adressebok.

Slik kontrollerer du hva som faktisk skjedde

Bruk en anerkjent blokkjedeutforsker for riktig nettverk. Du kan undersøke en offentlig adresse uten å koble til en lommebok, betale et gebyr eller avsløre en gjenopprettingsfrase.

Kontroller følgende:

1. Kontoen og nettverket: Forsikre deg om at du undersøker adressen som hadde de manglende eiendelene.
2. Transaksjonsstatus: Skill mellom ventende aktivitet og fullførte overføringer. Ved delegeringer i lommeboken må du også undersøke om tillatelsene ble endret til tross for at utførelsen mislyktes.
3. Den faktiske eiendelen: Bekreft tokenkontrakten eller NFT-samlingen i stedet for bare å stole på navn eller logo.
4. Saldoendringen og mottakeradressen: Finn ut hva som forsvant, og hvor det ble sendt. Se på token- og NFT-overføringer i tillegg til hovedlisten over transaksjoner.
5. Tidligere tillatelser: Se etter godkjenninger, signaturer eller endringer i lommebokens kontroll som kan knyttes til tapet.

Avsenderen av transaksjonen kan være en annens konto når vedkommende bruker en tokengodkjenning til å ta eiendelene dine. Det betyr ikke at overføringen er ufarlig. På samme måte beviser ikke en tokenoppføring med adressen din som kilde at du selv signerte en transaksjon.

Hvis blokkjedeoppføringene er vanskelige å tolke, kan du dele den offentlige adressen og transaksjonshashen med verifisert lommebokstøtte. Disse opplysningene kan hjelpe ved en undersøkelse uten at nøklene dine blir avslørt.

Hva du bør gjøre hvis faresignalene stemmer

Slutt å sette inn midler og signere forespørsler

Stans innskudd til den berørte lommeboken. Avvis nye forespørsler om signatur, også tilbud om å «reparere», «validere» eller «låse opp» den. Slutt å bruke en enhet som kan være infisert, og fortsett fra en annen, pålitelig enhet.

Hvis en gjenopprettingsfrase eller privat nøkkel er lekket

For en vanlig lommebok som kontrolleres av den avslørte hemmeligheten, må du opprette en ny lommebok med en helt ny gjenopprettingsfrase på en pålitelig enhet. Flytt gjenværende eiendeler hvis du kan gjøre det på en trygg måte, og slutt deretter å bruke de berørte kontoene. Oppdater eventuelle betalingsadresser som peker til dem.

Hvis en sweeper er aktiv, må du ikke fylle på den gamle lommeboken med gas-midler. Å redde gjenværende eiendeler kan kreve spesialisert håndtering av transaksjoner, og det er ingen garanti for å lykkes.

Hvis problemet er en godkjenning eller signert tillatelse

Tilbakekall de aktuelle tillatelsene gjennom et verifisert verktøy, og bekreft at tilbakekallingen er fullført. En godkjenning for ett token på ett nettverk gjelder ikke automatisk alle andre steder.

For en mistenkelig signatur som ikke er brukt, må du følge den spesifikke prosessen for annullering i lommeboken eller protokollen. Det kan være nødvendig å flytte eiendeler mens du undersøker om tillatelsen fortsatt kan brukes.

Tilbakekalling kan ikke gi deg tilbake eiendeler som allerede er stjålet. Den kan heller ikke sikre en lommebok der nøklene er lekket.

Hvis kontrollinnstillingene i lommeboken er endret

Bruk lommebokens offisielle prosess for gjenoppretting eller håndtering av tillatelser til å fjerne uautoriserte eiere, moduler, signeringsnøkler eller delegeringer. Hvis en eiernøkkel er lekket, må du erstatte denne signataren der lommeboken støtter det. Skaff veiledning fra leverandøren før du igjen anser kontoen som sikker.

Hvis noen har fått tilgang til en børskonto

Lås kontoen eller begrens uttak gjennom leverandørens offisielle prosess. Sikre e-posten din fra en pålitelig enhet, endre berørte passord, fjern ukjente økter og gjennomgå gjenopprettingsopplysninger og tofaktorautentisering.

Ta vare på bevis og rapporter tapet

Lagre transaksjonshasher, offentlige adresser, tidsstempler, mistenkelige URL-er og relevante meldinger mens du beskytter gjenværende midler. Rapporter hendelsen til lommebok- eller børsleverandøren og relevante myndigheter.

Bekreftede blokkjedeoverføringer kan vanligvis ikke reverseres av lommebokstøtten. Gjenoppretting kan avhenge av at en børs fryser midler, en etterforskning eller at midlene blir returnert. Vær skeptisk til alle som lover garantert tilbakeføring, særlig hvis de ber om forhåndsbetaling eller gjenopprettingsfrasen din.