Pse portofoli juaj tregon një transferim që nuk e keni dërguar kurrë: Transaksionet me vlerë zero dhe helmimi i adresave

Një transaksion dalës i panjohur nuk do të thotë automatikisht se portofoli juaj është hakuar. Mësoni çfarë vërtetojnë në të vërtetë regjistrimet me vlerë zero, adresat e ngjashme dhe lëvizjet reale të aseteve.

Çfarë vërteton ky regjistrim për portofolin tim?

Nëse historiku papritur thotë se keni dërguar 0 USDT në një adresë të panjohur, vetëm ky regjistrim nuk vërteton se dikush ka pasur qasje te çelësi juaj privat. Një palë e tretë mund të krijojë disa regjistrime transferimesh me zero tokenë ku figuron adresa juaj, pa nënshkrimin tuaj ose leje për të shpenzuar një shumë mbi zero. Regjistrimi mund të ekzistojë në blockchain edhe pse nuk e keni nisur ju.

Pyetjet e dobishme janë më të sakta: Cili aset është? Sa u zhvendos realisht? Kush e dorëzoi transaksionin? Çfarë autorizoi shpenzimet reale?

• Një ngjarje tokeni me shumë zero nuk vërteton se keni nënshkruar ose shpenzuar diçka. Për një token të mirëfilltë, një shumë saktësisht zero do të thotë që ai transferim nuk zhvendosi tokenë.
• Një transferim me emrin e një tokeni të njohur nuk e identifikon asetin. Një kontratë pa lidhje mund të përdorë të njëjtin emër dhe simbol.
• Një pagesë hyrëse shumë e vogël mund të jetë reale, ndërkohë që vendos në historikun tuaj një adresë dërguesi mashtruese.
• Një dalje e konfirmuar dhe e pashpjeguar e aseteve të mirëfillta duhet hetuar. Mos e shpërfillni vetëm sepse një fushë tjetër tregon zero.

Ky udhëzues trajton Ethereum, BNB Smart Chain (BSC) dhe rrjete të ngjashme që përdorin kontrata tokenësh të tipit Ethereum. Shembujt janë regjistrime të sajuara dhe qëllimisht të thjeshtuara, jo pamje ekrani apo gjetje për një portofol të caktuar.

Së pari, identifikoni se cila fushë tregon zero

Njerëzit e përdorin shprehjen transaksion me vlerë zero për disa gjëra të ndryshme. Vetëm njëra nga këto pamje thotë se sasia e tokenëve është zero:

• Sasia e tokenëve: 0 USDC. Për kontratën e mirëfilltë USDC, një shumë saktësisht zero do të thotë që ai transferim nuk zhvendos USDC.
• Vlera e transaksionit: 0 ETH. Transaksionit kryesor nuk iu bashkëngjit ETH. Tokenët ende mund të zhvendosen dhe veprimet e kontratës mund të ekzekutohen.
• Vlera e vlerësuar: $0.00. Ndërfaqja tregon një vlerësim në monedhë tradicionale. Kjo nuk përcakton sasinë e tokenëve.

Në BSC, fusha e monedhës vendase zakonisht përdor BNB në vend të ETH. Një ndërveprim me kontratën që ka vlerë vendase zero mund të transferojë tokenë, të ndryshojë lejet e shpenzimit ose të shkaktojë veprime të tjera. Vlera vendase është e ndarë nga të dhënat hyrëse të transaksionit.

Një shumë e vogël pozitive mund të rrumbullakoset në $0.00. Edhe një aset pa çmim të besueshëm mund të ketë një shfaqje të padobishme në monedhë tradicionale. Zgjeroni sasinë e tokenëve në saktësi të plotë; edhe një sasi e shfaqur si 0.00 mund të fshehë një shumë pozitive më të vogël. Luhatja e vlerësimit të portofolit nuk është regjistër i besueshëm i njësive që hyjnë ose dalin nga llogaria.

Zero është një sasi e lejuar tokenësh, ndaj vetë zeroja nuk provon sulm. Adresat e ngjashme dhe hollësitë e kopjuara të pagesës janë shenja që duhen hetuar.

Pse dy fushat From mund të ndryshojnë

Historiku i portofolit mund të bashkojë informacion nga shtresa të ndryshme:

1. Transaksioni: udhëzimi i nënshkruar që i dorëzohet rrjetit. Për një transaksion të zakonshëm Ethereum, fusha kryesore From identifikon llogarinë nënshkruese.
2. Ngjarja e tokenit: një regjistrim që lëshohet nga kontrata gjatë ekzekutimit. Një ngjarje Transfer ka fushat e veta From, To dhe shumën.
3. Rreshti i historikut: mënyra si portofoli ose eksploruesi e paraqet atë informacion. Mund ta etiketojë një ngjarje OUT sepse ngjarja e emërton adresën tuaj si dërguese.

Këto dy fusha From nuk janë të këmbyeshme. Shfaqja e adresës suaj brenda një ngjarjeje nuk është nënshkrim nga portofoli juaj. Një kontratë keqdashëse mund ta vendosë adresën tuaj në të dhënat e ngjarjes, por kjo nuk e bën regjistrin e saj të vijë nga kontrata e mirëfilltë e tokenit. Prandaj kontrata lëshuese është pjesë thelbësore e provave.

Po ashtu, hash-i i transaksionit identifikon transaksionin; nuk vërteton pëlqimin tuaj. Një transaksion i përfshirë, i shënuar Success, tregon se ekzekutimi i tij i jashtëm nuk u kthye mbrapsht. Kjo nuk është miratim i tokenit, marrësit ose qëllimit.

Pesë shembuj të shpjeguar nga historiku i transaksioneve

Shembulli 1: Një transferim dalës me zero tokenë që nuk e keni nënshkruar

Regjistrim në historik: OUT · 0 USDC · Nga adresa juaj drejt një adrese të panjohur të ngjashme.

• From i transaksionit: një llogari pa lidhje e dorëzoi transaksionin.
• From i ngjarjes së tokenit: ngjarja përmend adresën tuaj.
• Kontrata lëshuese e tokenit: kontrata e mirëfilltë USDC në këtë rrjet.
• Sasia e saktë e tokenëve: zero.

Çfarë vërteton kjo: kontrata e mirëfilltë e tokenit regjistroi një transferim me zero tokenë që përmend adresën tuaj. Ky transferim nuk zhvendosi USDC. Nuk vërteton se portofoli juaj nënshkroi transaksionin, se thirrësi ka leje të shpenzojë një shumë pozitive apo se çelësi juaj është vjedhur.

Si ndodh: ERC-20, standardi i zakonshëm i tokenëve, kërkon që transferimet me shumë zero të lëshojnë ngjarje Transfer. Në zbatimet e zakonshme, funksioni i transferimit të deleguar transferFrom kontrollon nëse shuma e kërkuar e tejkalon lejen e thirrësit. Zeroja nuk e tejkalon lejen zero. Në varësi të rregullave të tjera të kontratës, thirrja mund të ketë sukses pa miratim paraprak.

Kjo nuk është një garanci universale për çdo token. Kontrata të veçanta mund të vendosin kufizime shtesë.

Çfarë të kontrolloni më pas: shqyrtoni pjesën tjetër të transaksionit. Një rresht me zero përshkruan vetëm atë rresht; një veprim tjetër mund të ketë ndikim tjetër. Nëse është një regjistrim i izoluar helmimi, pa shpenzime të dyshimta ose ndryshime lejesh, veprimi i duhur është të shmangni adresën e vendosur, jo të supozoni se duhet zëvendësuar portofoli.

Shembulli 2: Një transaksion i rremë që tregon një shumë të madhe tokenësh

Regjistrim në historik: OUT · 2,500 USDC · Nga adresa juaj në një adresë të panjohur.

• Simboli i shfaqur i tokenit: USDC.
• Kontrata lëshuese: një kontratë pa lidhje, jo USDC e mirëfilltë.
• Shuma e raportuar e ngjarjes: 2,500.
• Lëvizja e USDC së mirëfilltë në këtë transaksion: asnjë.

Çfarë vërteton kjo: një kontratë tjetër lëshoi një regjistrim të paraqitur me etiketën USDC. Nuk vërteton se 2,500 USDC të mirëfillta dolën nga llogaria juaj.

Një transaksion i rremë në portofol mund të jetë informacion real blockchain i interpretuar në mënyrë mashtruese. Sulmuesit mund të kopjojnë emrin dhe simbolin e tokenit dhe të lëshojnë ngjarje që ngjajnë me pagesat tuaja të mëparshme, përfshirë shumat e tyre. Kontratat jashtë standardit mund të lëshojnë edhe regjistrime transferimesh që nuk përputhen me ndryshimet e bilanceve të tyre.

Çfarë të kontrolloni më pas: identifikoni rrjetin dhe kontratën e saktë që lëshoi ngjarjen. Krahasoni atë adresë me informacionin e kontratës për atë rrjet, të marrë në mënyrë të pavarur nga emetuesi. Një simbol, logo ose etiketë e njohur verifikimi të kodit burimor nuk mjafton për të vërtetuar identitetin e emetuesit.

Shembulli 3: Një pagesë reale shumë e vogël nga një adresë e ngjashme

Regjistrim në historik: IN · 0.000001 USDC · Nga një adresë e panjohur në adresën tuaj.

Supozoni se kontrata e mirëfilltë konfirmon transferimin dhe bilanci i tokenëve tuaj rritet me atë shumë të vogël. Në këtë rast mbërritën tokenë realë. Marrja e tyre nuk kërkonte të miratonit dërguesin dhe nuk i jep atij autoritet për shpenzime.

Kurthi është adresa. Shihni këta shembuj të sajuar, të ndarë me hapësira që çdo karakter të jetë i dukshëm. Adresat reale nuk përmbajnë hapësira; grupet e mesit me shkronja të trasha ndryshojnë:

Marrësi i verifikuar: 0x7a2f 1111 2222 3333 4444 5555 6666 7777 8888 9c4d

Adresa e vendosur: 0x7a2f aaaa bbbb cccc dddd eeee ffff 0000 1111 9c4d

Një ndërfaqe që tregon vetëm fillimin dhe fundin mund t'i shfaqë të dyja si 0x7a2f...9c4d.

Çfarë vërteton kjo: dikush ju dërgoi një shumë të vogël nga ajo adresë. Nuk vërteton se dërguesi është marrësi juaj i zakonshëm ose një llogari që kontrolloni ju. Karakteret e dukshme të përputhura nuk përcaktojnë pronësinë.

Çfarë të kontrolloni më pas: merrni destinacionin e synuar nga një kontakt i verifikuar veçmas ose nga faqja e besueshme e llogarisë së marrësit. Krahasoni adresën e plotë. Helmimi i adresave synon ta kthejë një regjistrim të futur në historik në adresën që zgjidhni për një pagesë të mëvonshme. Humbja mund të ndodhë më vonë, kur autorizoni një transferim krejt të vlefshëm drejt destinacionit të gabuar.

Shembulli 4: Zero ETH, por dalin 2,500 tokenë të mirëfilltë

Kreu i transaksionit: Value · 0 ETH.

• Vlera vendase e bashkëngjitur thirrjes: 0 ETH.
• Transferimi i tokenëve të mirëfilltë: 2,500 USDC nga adresa juaj.
• Ndryshimi i bilancit USDC i shkaktuar nga transaksioni: ulje me 2,500 USDC.
• Statusi i ekzekutimit: Success.

Çfarë vërteton kjo: USDC e mirëfilltë doli në këtë shembull. Zeroja përshkruan ETH të bashkëngjitur thirrjes. Nuk përshkruan transferimin USDC dhe nuk përjashton kostot e gas-it.

Çfarë mbetet e panjohur: pse ndodhi pagesa dhe nëse e kishit synuar. Mund të lidhej me një shkëmbim, depozitë, veprim të planifikuar, pagesë në adresë të gabuar ose shpenzim të paautorizuar. Krahasojeni me veprimin që bëtë dhe destinacionin që synuat para se ta klasifikoni.

Shembulli 5: Tokenët e mirëfilltë dalin, por transaksionin e dorëzoi një llogari tjetër

Regjistrim në historik: OUT · 500 USDC të mirëfillta · Një destinacion i panjohur.

Supozoni se transaksioni i suksesshëm e uli bilancin tuaj të USDC së mirëfilltë me 500, por fusha kryesore From emërton dikë tjetër.

Çfarë vërteton kjo: tokenët u zhvendosën. Dërguesi i ndryshëm i transaksionit nuk e bën atë lëvizje të rreme.

Një shpenzues i miratuar më parë mund të përdorë lejen e tokenit pa ju kërkuar të nënshkruani transaksion të ri për çdo tërheqje. Disa tokenë mbështesin edhe nënshkrime permit, të cilat autorizojnë një leje përmes një mesazhi të nënshkruar që mund ta dorëzojë një palë tjetër. Llogaritë inteligjente dhe portofolët e deleguar ofrojnë mënyra të tjera që dikush tjetër të dorëzojë një veprim të autorizuar.

Çfarë të kontrolloni më pas: shqyrtoni shpenzuesin, lejen përkatëse ose autorizimin e nënshkruar dhe veprimin e portofolit. Nëse dalja mbetet e pashpjeguar, trajtojeni si incident sigurie. Provat mund të tregojnë një miratim të dëmshëm, nënshkrim mashtrues ose kontroll të komprometuar të llogarisë; vetëm rreshti nuk i dallon.

Për një transaksion të zakonshëm të nënshkruar drejtpërdrejt, adresa juaj në fushën kryesore From është provë e një nënshkrimi të vlefshëm për atë llogari. Sërish nuk provon se e kuptuat veprimin, synuat atë marrës apo e nisët personalisht transaksionin. Fusha From e ngjarjes së tokenit jep shumë më pak prova.

Çfarë matën realisht 270 milionë përpjekjet e helmimit

Një analizë dyvjeçare e aktivitetit në Ethereum dhe BSC, nga 1 korrik 2022 deri më 30 qershor 2024, identifikoi rreth 270 milionë regjistrime transferimesh helmuese që synonin 17 milionë adresa.

Regjistrimet u ndanë në tri kategori:

• 147.7 milionë transferime me vlerë zero.
• 118.4 milionë transferime tokenësh të falsifikuar.
• 4.0 milionë transferime shumë të vogla.

Këto ishin regjistrime transferimesh brenda rreth 18.2 milionë transaksioneve, sepse sulmuesit mund t'i grupojnë regjistrimet. Adresat e synuara nuk janë e njëjta gjë me njerëzit, portofolët e komprometuar ose viktimat që humbën para.

Analiza identifikoi 6,633 transferime të suksesshme përfitimi me vlerë gjithsej të paktën $83.8 milionë. Disa viktima paguan më shumë se një herë. Zbulimi u fokusua te disa stablecoin-e, kështu që vlerësimi i humbjeve është një kufi i poshtëm brenda këtij fushëveprimi, jo një total për çdo token ose rrjet.

Pasoja praktike është se kontrollimi vetëm i shumave zero humbet një pjesë të konsiderueshme të sulmit. Regjistrimet e falsifikuara mund të imitojnë pagesa të rëndësishme dhe një transferim hyrës shumë i vogël mund të zhvendosë tokenë realë duke futur një adresë të rrezikshme.

Si ta kontrolloni regjistrimin tuaj konkret

1. Hapni transaksionin në rrjetin e saktë. Përdorni opsionin e eksploruesit të portofolit ose një eksplorues të njohur si Etherscan ose BscScan. Kontrolloni statusin. Leximi i detajeve publike të transaksionit nuk kërkon lidhjen e portofolit, miratimin e tokenëve, nënshkrimin e mesazhit ose futjen e frazës së rikuperimit.
2. Identifikoni asetin e vërtetë. Dalloni ETH ose BNB vendase nga një token që përdor atë emër. Për tokenët, kontrolloni rrjetin e saktë dhe kontratën lëshuese kundrejt një reference të besueshme të emetuesit.
3. Lexoni shumën me saktësi të plotë. Ndani sasinë e tokenëve nga vlera vendase e transaksionit dhe vlerësimi në monedhë tradicionale.
4. Ndani dërguesin e transaksionit nga dërguesi i ngjarjes. Për llogaritë inteligjente, shqyrtoni edhe veprimin e portofolit dhe lejet e tij. Pagesa e gas-it nga dikush tjetër nuk provon se asetet tuaja nuk mund të jenë zhvendosur.
5. Shqyrtoni të gjithë transaksionin. Shikoni të gjitha lëvizjet e tokenëve, transferimet e monedhës vendase dhe ndryshimet përkatëse të lejeve. Nëse eksploruesi paraqet ndryshimet e bilancit në nivel transaksioni, përdorini për të rakorduar rezultatin. Bilanci i pandryshuar sot është provë më e dobët: depozitat e mëvonshme ose transferimet kompensuese mund të fshehin lëvizjet e mëparshme.
6. Verifikoni destinacionin në mënyrë të pavarur. Përdorni detajet e besueshme të pagesës së marrësit ose një hyrje të librit të adresave që e keni verifikuar më parë. Një rresht i fundit në historik është provë për t'u shqyrtuar, jo provë e destinacionit të saktë.

Nëse eksploruesi nuk e bën të qartë rezultatin, jepini ekipit zyrtar të mbështetjes së ofruesit të portofolit rrjetin dhe hash-in publik të transaksionit. Përshkruani veprimin që prisnit, nëse kishte të tillë. Këto hollësi ndihmojnë të dallohet një veprim i pazakontë, por i synuar, nga shpenzimi i pashpjeguar, pa zbuluar sekretet që kontrollojnë portofolin tuaj.

Çfarë të bëni pas kontrollit

Nëse gjetët vetëm një regjistrim të izoluar helmimi

Fshiheni ose raportojeni si spam nëse portofoli e mundëson, dhe shmangni përdorimin e adresave të tij. Fshehja e një rreshti ndryshon ndërfaqen; nuk fshin historinë blockchain dhe nuk revokon lejet.

Një transferim zero mund të ndodhë me leje zero, prandaj vetëm regjistrimi nuk është arsye për të revokuar çdo miratim ose për të zhvendosur të gjitha fondet. Mund të mos ketë asnjë leje shpenzimi të lidhur me atë regjistrim që duhet hequr. Mos përdorni kurrë faqen e reklamuar të një tokeni ose lidhjen e rikuperimit nga një i panjohur për të “pastruar” portofolin.

Nëse gjetët një leje të dyshimtë shpenzimi

Përdorni rrugën e besueshme të menaxhimit të miratimeve në portofolin tuaj për të shqyrtuar dhe revokuar lejen përkatëse. Shkëputja e një faqeje interneti nga portofoli nuk revokon miratimet ekzistuese të tokenëve në blockchain. Revokimi trajton atë leje; nuk mund të rregullojë një çelës privat të vjedhur.

Nëse asetet e mirëfillta u zhvendosën pa dëshirën tuaj

Ruani hash-in e transaksionit, rrjetin, asetin e prekur dhe adresat përkatëse. Shqyrtoni nënshkrimet, miratimet dhe veprimet e fundit të portofolit përmes kanaleve zyrtare të mbështetjes.

Nëse ka prova se fraza juaj e rikuperimit ose çelësi privat është ekspozuar, krijoni një portofol të ri me frazë të re rikuperimi në një pajisje të besueshme dhe ndiqni një plan të kujdesshëm për të zhvendosur asetet e mbetura. Një llogari tjetër e nxjerrë nga fraza e komprometuar nuk e rregullon ekspozimin. Nëse fondet zhduken automatikisht, mos vazhdoni të shtoni para për gas: një program që i zbraz fondet mund t'i marrë.

Nëse e nënshkruat me vetëdije pagesën por kopjuat një destinacion të helmuar, dokumentojeni këtë dallim. Pagesa mund të jetë nënshkruar dhe ekzekutuar saktë, por të ketë shkuar te marrësi i gabuar. Ky rezultat vetë nuk provon vjedhjen e çelësit privat.

Pyetje të zakonshme për transaksionet e panjohura

A më detyroi sulmuesi të paguaj gas-in?

Në rastin e zakonshëm të helmimit, sulmuesi dorëzon transaksionin dhe paguan tarifën e rrjetit. Thjesht përmendja e adresës suaj në një ngjarje tokeni nuk e tarifon llogarinë tuaj. Megjithatë, transaksionet e sponsorizuara dhe llogaritë inteligjente nënkuptojnë se vetëm paguesi i tarifës nuk provon nëse veprimi ishte i padëmshëm. Kontrolloni efektet reale.

Po nëse transaksioni dështoi?

Një transferim tokenësh që u kthye mbrapsht nuk u përfundua, megjithëse gas-i mund të jetë tarifuar. Nëse portofoli përdor delegim llogarie, kontrollojeni veçmas: Ethereum mund ta ruajë delegimin edhe kur ekzekutimi i mëvonshëm dështon. Një delegim i panjohur meriton shqyrtim.

A do ta parandalonte një portofol fizik helmimin e adresave?

Ai ofron një vend tjetër për të kontrolluar destinacionin para nënshkrimit. Nuk mund ta bëjë të saktë një destinacion të kontrolluar nga sulmuesi nëse e miratoni. Krahasoni adresën e plotë në ekranin e besueshëm të nënshkrimit me detajet e marrësit të verifikuara në mënyrë të pavarur.

A mund t'i ndaloj të panjohurit të shtojnë këto regjistrime?

Në përgjithësi nuk mund t'i ndaloni palët e treta të dërgojnë asete ose të krijojnë regjistrime përkatëse që përfshijnë një adresë publike. Filtrat e portofolit dhe eksploruesit mund të kufizojnë atë që shihni. Ruani marrësit e verifikuar dhe kontrolloni destinacionin e plotë para pagesës; vetëm fshehja e regjistrimeve me vlerë zero nuk kap çdo variant të falsifikuar ose të transferimit shumë të vogël.