Jak rozpoznać, że Twój portfel kryptowalutowy został zhakowany: 10 sygnałów ostrzegawczych

Potwierdzony przelew, którego nie autoryzowano, to najwyraźniejszy sygnał, że coś jest nie tak. Portfel może jednak stać się niebezpieczny, zanim znikną z niego jakiekolwiek środki. Skradziona fraza odzyskiwania, ukryte uprawnienie do wydawania środków lub zmiana osoby kontrolującej portfel mogą zapewnić atakującemu dostęp, mimo że saldo nadal wygląda normalnie.

Niektóre z poniższych sygnałów wskazują na faktyczną kradzież. Inne oznaczają, że portfel lub urządzenie mogły zostać narażone na atak. To rozróżnienie ma znaczenie, ponieważ sposób rozwiązania problemu zależy od tego, jak atakujący uzyskał dostęp.

Jeśli środki właśnie znikają, przestań przesyłać pieniądze do portfela i przejdź od razu do działań opisanych pod koniec artykułu.

Co właściwie oznacza zhakowany portfel kryptowalutowy?

Twoje kryptowaluty są zapisane w blockchainie. Portfel pomaga Ci nimi zarządzać za pomocą kluczy prywatnych lub innych reguł autoryzacji. Fraza odzyskiwania, nazywana też frazą seed, może odtworzyć klucze do wielu kont portfela.

Ludzie używają słowa „zhakowany” w odniesieniu do kilku różnych problemów:

• Skradzione klucze: Ktoś posiada Twój klucz prywatny lub frazę odzyskiwania i może autoryzować transakcje z innego urządzenia.
• Nadużyte uprawnienia: Zatwierdzono kontrakt lub podpisano żądanie pozwalające komuś przenosić określone aktywa. Twoje klucze mogą nadal pozostawać prywatne.
• Przejęte urządzenie lub aplikacja: Złośliwe oprogramowanie, fałszywy portfel lub szkodliwe rozszerzenie kradnie informacje albo zmienia dane transakcji, którą zamierzasz wysłać.
• Przejęte konto na giełdzie: Ktoś uzyskuje dostęp do konta, na którym firma przechowuje Twoje kryptowaluty.

Portfel sprzętowy pomaga chronić klucze prywatne, ale nie sprawi, że szkodliwe uprawnienie stanie się bezpieczne. Jeśli autoryzujesz niewłaściwe działanie, portfel sprzętowy może poprawnie je podpisać.

1. Prawdziwe kryptowaluty opuszczają portfel bez Twojej zgody

Odkrywasz zakończony transfer, sprzedaż NFT lub wypłatę, których nie potrafisz wyjaśnić. Może się to zdarzyć, gdy telefon jest wyłączony lub nie ma Cię przy komputerze.

Najpierw wyklucz działania zaplanowane wcześniej, takie jak płatność automatyczna, wypłata z giełdy lub operacja w aplikacji tradingowej. Następnie sprawdź rzeczywistą transakcję w blockchainie.

Upewnij się, że faktyczne aktywa zostały przeniesione, a Twoje saldo spadło. Sam dziwny wpis w historii aktywności portfela nie wystarcza. Oszuści mogą tworzyć mylące rekordy tokenów, które wyglądają jak transfery z Twojego adresu.

Gdy potwierdzisz nieautoryzowany transfer rzeczywistych aktywów, działaj natychmiast. Nie musisz czekać, aż cały portfel zostanie opróżniony.

2. Nowe wpłaty znikają niemal natychmiast

Wysyłasz ETH lub inną monetę danej sieci do portfela, aby pokryć opłaty transakcyjne. W ciągu kilku sekund środki trafiają na nieznany adres. Przy kolejnej wpłacie dzieje się to samo.

To typowy schemat działania bota typu sweeper, programu obserwującego ujawniony portfel i automatycznie przejmującego dostępne środki. Po wykluczeniu automatyzacji, którą samodzielnie skonfigurowano, takie powtarzające się wypłaty są silnym sygnałem nieautoryzowanego dostępu.

Bot może działać na komputerze atakującego. Zamknięcie aplikacji portfela lub ponowne uruchomienie telefonu go nie zatrzyma. Niektóre boty zostawiają niewielkie salda w spokoju, dopóki nie pojawi się większa wpłata, więc nietknięte środki nie dowodzą, że portfel jest bezpieczny.

Nie dopłacaj kolejnych środków na gas ani nie wysyłaj wpłaty testowej. Możesz w ten sposób tylko zasilać atakującego.

3. Znajdujesz nieznane uprawnienia dotyczące tokenów lub NFT

Wiele aplikacji kryptowalutowych prosi o zgodę na wydawanie tokenów. Takie zatwierdzenia mogą pozostać aktywne długo po zakończeniu korzystania z aplikacji.

Sygnały ostrzegawcze to między innymi niedawno dodany, nieznany podmiot uprawniony do wydawania środków, dostęp przyznany po odwiedzeniu podejrzanej strony lub limit wydatków znacznie większy niż wymagało dane działanie. Uprawnienie dotyczące NFT może pozwolić operatorowi przenieść wszystkie NFT z określonej kolekcji, które posiadasz.

Nieograniczone zatwierdzenia są powszechne w legalnych aplikacjach, więc same w sobie nie dowodzą włamania. Liczy się to, kto ma dostęp, jakie aktywa może przenieść i czy zamierzano udzielić takiego uprawnienia.

Sprawdź sieć, prawdziwy kontrakt tokena, podmiot uprawniony do wydawania oraz kwotę. Odłączenie strony internetowej od portfela nie anuluje zgody zapisanej już w blockchainie.

4. Rzekome logowanie przyznaje prawo do wydawania środków

Odwiedzasz stronę, aby się zalogować, odebrać nagrodę lub zweryfikować portfel. Strona prosi o podpis niewymagający opłaty transakcyjnej. Żądanie zawiera kwotę tokenów, podmiot uprawniony do ich wydawania lub zlecenie sprzedaży NFT, którego nie zamierzano zatwierdzać.

Niektóre podpisy mogą upoważniać do wydawania środków bez osobnej transakcji zatwierdzającej z Twojej strony. Przykładami są funkcje Permit i Permit2 oraz podpisy zleceń na platformach handlowych. Legalne aplikacje z nich korzystają, ale oszuści mogą przedstawiać je jako nieszkodliwe etapy logowania.

Brak opłaty gas nic nie mówi o bezpieczeństwie podpisu.

Jest jeszcze jeden haczyk: niewykorzystane podpisane uprawnienie może nie pojawić się w blockchainie, dopóki ktoś go nie prześle. Twoja zwykła lista transakcji, a czasem także narzędzie do sprawdzania zatwierdzeń, może nie wykazywać problemu, mimo że uprawnienie nadal można wykorzystać.

Jeśli podpisano podejrzane żądanie, przerwij interakcję ze stroną i sprawdź, na co pozwalał podpis. Sposób anulowania zależy od rodzaju uprawnienia. Zwykłe cofnięcie zatwierdzenia nie unieważnia każdego niewykorzystanego podpisu.

5. Portfel ma nowego właściciela lub nieznane uprawnienie do zarządzania

Niektóre portfele mają wielu właścicieli, kontakty do odzyskiwania dostępu, tymczasowe klucze podpisujące albo moduły oprogramowania wykonujące działania. Często określa się je jako inteligentne portfele lub inteligentne konta.

Właściciel, którego nie dodano, zmniejszona liczba wymaganych podpisów, nieznana metoda odzyskiwania dostępu lub nowy moduł wymagają natychmiastowej uwagi. W zależności od przyznanych możliwości taka zmiana może pozwolić komuś przenosić środki bez Twojego zwykłego procesu zatwierdzania.

W Ethereum i kompatybilnych sieciach funkcja EIP-7702 umożliwia też zwykłemu portfelowi autoryzowanie kodu działającego za pośrednictwem jego adresu. Złośliwa autoryzacja może dać trwały dostęp bez ujawnienia frazy odzyskiwania.

Łatwo przeoczyć jeden szczegół: w tej funkcji zaakceptowana delegacja może pozostać aktywna nawet wtedy, gdy wykonanie transakcji się nie powiedzie. Oznaczenie „nieudana” nie zawsze oznacza, że ustawienia kontroli nad portfelem pozostały bez zmian.

Sprawdź te uprawnienia za pomocą oficjalnych narzędzi portfela. Samo usunięcie zatwierdzeń tokenów nie usunie nieznanego właściciela portfela ani delegacji.

6. Ujawniono Twoją frazę odzyskiwania lub klucz prywatny

Wpisano frazę na stronie internetowej, wysłano ją osobie podającej się za pracownika pomocy technicznej lub zaimportowano do aplikacji portfela, która okazała się fałszywa. Możesz też odkryć, że czytelna kopia zapasowa była dostępna przez przejęte konto w chmurze lub udostępniony plik.

Traktuj konta kontrolowane przez ten sekret jako przejęte, nawet jeśli środki jeszcze się nie przemieściły. Ktoś może odtworzyć portfel w innym miejscu bez wywoływania alertu o logowaniu w Twojej aplikacji.

Zmiana hasła w aplikacji portfela nie zmieni ujawnionych kluczy prywatnych. Utworzenie kolejnego konta z tą samą frazą odzyskiwania również nie rozwiąże problemu.

Ważny jest zakres ujawnienia. Wyciek frazy odzyskiwania może narazić wiele kont. Wyciek osobno zaimportowanego klucza prywatnego może dotyczyć tylko konta, którym ten klucz zarządza.

7. Wygląda na to, że aplikację portfela lub rozszerzenie podmieniono

Odkrywasz rozszerzenie, którego nie instalowano, fałszywy plik do pobrania portfela lub alert bezpieczeństwa wskazujący oprogramowanie kradnące dane portfela. Znajomy portfel może też nagle poprosić o jego przywrócenie po niewyjaśnionej zmianie.

Prośba o przywrócenie może mieć zwykłą przyczynę, na przykład ponowną instalację lub wyczyszczenie danych aplikacji. To powód, by sprawdzić oprogramowanie przed wpisaniem sekretów, a nie samodzielny dowód kradzieży.

Zweryfikuj aplikację na oficjalnej stronie dostawcy portfela i sprawdź tożsamość rozszerzenia. Znajomą nazwę i logo łatwo skopiować.

Jeśli fraza odzyskiwania została już wpisana w podejrzanym oprogramowaniu, uznaj ją za ujawnioną. Usunięcie aplikacji nie usunie kopii, którą atakujący już posiada.

8. Adres odbiorcy zmienia się po wklejeniu

Kopiujesz adres odbiorcy, wklejasz go do portfela i widzisz inny adres. Złośliwe oprogramowanie schowka może podmieniać adresy kryptowalutowe na należące do atakującego.

Wskazuje to na problem z urządzeniem lub oprogramowaniem. Nie musi oznaczać, że ktoś ma Twój klucz prywatny, ale sprawia, że wykonywanie przelewów na tym urządzeniu jest niebezpieczne.

Atakujący mogą używać adresów zastępczych podobnych do oryginału. Sprawdzenie tylko kilku pierwszych i ostatnich znaków może nie wykryć podmiany. Porównaj cały adres docelowy z zaufaną kopią. W przypadku portfela sprzętowego sprawdź adres na ekranie urządzenia przed zatwierdzeniem.

Anuluj transakcję, jeśli adresy się różnią. Wielokrotne kopiowanie i wklejanie, aż adres będzie wyglądał prawidłowo, nie rozwiązuje problemu.

9. Niewyjaśnione straty obejmują wiele kont lub sieci

Utrata jednego tokena może wynikać z konkretnego uprawnienia do wydawania środków. Nieautoryzowane transfery na kilku kontach utworzonych z tej samej frazy odzyskiwania budzą obawy o szersze ujawnienie kluczy.

Przykładowo straty w dwóch sieciach oraz aktywność na kolejnym koncie opartym na tej samej frazie wymagają szerszego dochodzenia. Sprawdź każde dotknięte konto i sieć, zamiast zakładać, że problem ogranicza się do pierwszego zauważonego tokena.

Ten wzorzec pomaga zawęzić możliwe przyczyny, ale nie daje pewności. Kilka złośliwych uprawnień albo autoryzacja portfela ważna w wielu sieciach również mogą prowadzić do rozległych strat.

Taki sam adres portfela w różnych sieciach typu Ethereum jest normalny i sam w sobie nie stanowi sygnału ostrzegawczego. Ostrzeżeniem jest niewyjaśniona aktywność na tych kontach.

10. Konto na giełdzie pokazuje nieznany dostęp lub wypłaty

Jeśli przechowujesz kryptowaluty na giełdzie, sprawdź nieznane sesje, zmienione dane odzyskiwania dostępu, nowe adresy wypłat lub wypłaty, których nie zlecano. Szczególnie poważne są niezamówione zmiany uwierzytelniania dwuskładnikowego.

Samodzielnie otwórz oficjalną aplikację lub witrynę, aby zweryfikować alert. Alarmujący e-mail może być próbą phishingu. Nieznana lokalizacja może także wynikać z korzystania z VPN lub sieci komórkowej, dlatego sprawdzaj łącznie urządzenie, czas i działania na koncie.

Przejęcie konta giełdowego wymaga działań zabezpieczających konto. Jeśli to możliwe, skorzystaj z blokady konta lub ograniczenia wypłat oferowanego przez dostawcę, skontaktuj się z oficjalnym wsparciem oraz zabezpiecz pocztę e-mail i metody uwierzytelniania.

Takie kontrole logowania nie dotyczą w ten sam sposób prostego portfela kontrolowanego frazą odzyskiwania. Ktoś posiadający jego klucze może nigdy nie musieć logować się do Twojej aplikacji.

Dziwna aktywność, która nie dowodzi włamania

Kilka typowych zdarzeń może wyglądać niepokojąco:

• Niższe saldo w dolarach: Cena mogła spaść, mimo że nadal posiadasz tę samą liczbę monet.
• Brak tokenów w aplikacji: Możliwe, że wybrano niewłaściwe konto lub sieć, ukryto token albo wystąpił problem z wyświetlaniem.
• Nieznane wyjście transakcji Bitcoin: Płatność może odesłać pozostałe środki na nowy adres reszty kontrolowany przez Twój własny portfel.
• Niezamówiony token lub NFT: Sam spam nie dowodzi, że skradziono klucze. Ukryj go, zamiast otwierać jego linki lub podpisywać transakcję w celu usunięcia.
• Drobne lub zerowe transfery z udziałem znajomo wyglądającego adresu: Może to być zatruwanie adresów (address poisoning), gdy oszuści umieszczają podobny adres odbiorcy w historii, aby skłonić Cię do jego późniejszego skopiowania.

Niektóre fałszywe tokeny kopiują nazwę i symbol prawdziwego tokena. Mogą nawet tworzyć mylące zapisy transferów wychodzących. Przed uznaniem takiego wpisu za dowód kradzieży sprawdź prawdziwy kontrakt tokena i saldo.

Unikaj kopiowania adresu odbiorcy z ostatniej aktywności. Uzyskaj go od zweryfikowanego odbiorcy lub z zaufanej książki adresowej.

Jak sprawdzić, co naprawdę się wydarzyło

Skorzystaj z wiarygodnej przeglądarki blockchaina odpowiedniej dla danej sieci. Możesz sprawdzić publiczny adres bez podłączania portfela, płacenia opłat lub ujawniania frazy odzyskiwania.

Sprawdź następujące szczegóły:

1. Konto i sieć: Upewnij się, że sprawdzasz adres, na którym znajdowały się brakujące aktywa.
2. Status transakcji: Odróżnij operacje oczekujące od zakończonych transferów. W przypadku delegacji portfela sprawdź również, czy uprawnienia zmieniły się mimo nieudanego wykonania transakcji.
3. Rzeczywiste aktywa: Zweryfikuj kontrakt tokena lub kolekcję NFT, zamiast polegać na nazwie czy logo.
4. Zmiana salda i adres docelowy: Ustal, co wyszło z portfela i dokąd trafiło. Sprawdź transfery tokenów i NFT oraz główną listę transakcji.
5. Wcześniejsze uprawnienia: Poszukaj zatwierdzeń, podpisów lub zmian kontroli nad portfelem związanych ze stratą.

Gdy ktoś wykorzystuje uprawnienie dotyczące tokena, aby zabrać Twoje aktywa, nadawcą transakcji może być cudze konto. Nie oznacza to, że transfer jest nieszkodliwy. Podobnie zapis tokena wskazujący Twój adres jako źródło nie dowodzi, że osobiście podpisano transakcję.

Jeśli trudno zinterpretować zapisy w blockchainie, udostępnij publiczny adres i hash transakcji zweryfikowanej pomocy technicznej portfela. Te informacje mogą pomóc w dochodzeniu bez ujawniania kluczy.

Co zrobić, jeśli sygnały ostrzegawcze się potwierdzą

Przestań dodawać środki i podpisywać żądania

Wstrzymaj wpłaty do zagrożonego portfela. Odrzucaj nowe żądania podpisu, w tym oferty jego „naprawy”, „weryfikacji” czy „odblokowania”. Przestań używać urządzenia, które może być zainfekowane, i kontynuuj działania na innym zaufanym urządzeniu.

Jeśli wyciekła fraza odzyskiwania lub klucz prywatny

W przypadku zwykłego portfela kontrolowanego ujawnionym sekretem utwórz na zaufanym urządzeniu nowy portfel z całkowicie nową frazą odzyskiwania. Przenieś pozostałe aktywa, jeśli możesz zrobić to bezpiecznie, a następnie wycofaj zagrożone konta z użycia. Zaktualizuj wszelkie adresy docelowe płatności, które do nich prowadzą.

Jeśli działa bot typu sweeper, nie doładowuj starego portfela środkami na gas. Uratowanie pozostałych aktywów może wymagać specjalistycznej obsługi transakcji, a powodzenie nie jest gwarantowane.

Jeśli problem dotyczy zatwierdzenia lub podpisanego uprawnienia

Cofnij odpowiednie uprawnienia za pomocą zweryfikowanego narzędzia i upewnij się, że cofnięcie zostało zakończone. Zatwierdzenie jednego tokena w jednej sieci nie obowiązuje automatycznie we wszystkich pozostałych.

W przypadku podejrzanego podpisu, którego jeszcze nie użyto, postępuj zgodnie z procedurą anulowania właściwą dla portfela lub protokołu. Przeniesienie aktywów może być konieczne, dopóki ustalasz, czy uprawnienie nadal można wykorzystać.

Cofnięcie uprawnień nie zwróci już skradzionych aktywów. Nie zabezpieczy również portfela, którego klucze wyciekły.

Jeśli zmieniono ustawienia kontroli nad portfelem

Skorzystaj z oficjalnej procedury odzyskiwania lub zarządzania uprawnieniami portfela, aby usunąć nieautoryzowanych właścicieli, moduły, klucze podpisujące lub delegacje. Jeśli klucz właściciela wyciekł, zastąp go innym kluczem podpisującym, o ile portfel to umożliwia. Przed ponownym uznaniem konta za bezpieczne uzyskaj wskazówki dotyczące konkretnego dostawcy.

Jeśli uzyskano dostęp do konta giełdowego

Zablokuj konto lub ogranicz wypłaty przez oficjalną procedurę dostawcy. Na zaufanym urządzeniu zabezpiecz pocztę e-mail, zmień zagrożone hasła, usuń nieznane sesje i sprawdź dane odzyskiwania dostępu oraz uwierzytelnianie dwuskładnikowe.

Zachowaj dowody i zgłoś stratę

Zapisz hashe transakcji, publiczne adresy, znaczniki czasu, podejrzane adresy URL i istotne wiadomości, jednocześnie chroniąc pozostałe środki. Zgłoś incydent dostawcy portfela lub giełdzie oraz właściwym organom.

Potwierdzonych transferów w blockchainie zazwyczaj nie da się cofnąć za pośrednictwem pomocy technicznej portfela. Odzyskanie środków może zależeć od ich zamrożenia przez giełdę, dochodzenia lub dobrowolnego zwrotu. Uważaj na osoby obiecujące gwarantowane odzyskanie środków, zwłaszcza jeśli żądają płatności z góry lub frazy odzyskiwania.