Så vet du om din kryptoplånbok har blivit hackad: 10 varningssignaler

En bekräftad överföring som du inte har godkänt är det tydligaste tecknet på att något är fel. Men en plånbok kan bli osäker redan innan några pengar försvinner. En stulen återställningsfras, en dold behörighet att använda tillgångar eller en ändring av vem som kontrollerar plånboken kan ge en angripare åtkomst trots att ditt saldo fortfarande ser normalt ut.

Vissa av varningssignalerna nedan tyder på att en stöld faktiskt har skett. Andra visar att din plånbok eller enhet kan vara utsatt. Skillnaden är viktig eftersom åtgärden beror på hur angriparen fick åtkomst.

Om pengar försvinner just nu ska du sluta sätta in pengar i plånboken och gå direkt till avsnittet om åtgärder längre ner.

Vad innebär det egentligen att en kryptoplånbok har hackats?

Din kryptovaluta registreras på en blockkedja. Plånboken hjälper dig att kontrollera den med hjälp av privata nycklar eller andra behörighetsregler. En återställningsfras, även kallad seedfras, kan återskapa nycklarna till många plånbokskonton.

Ordet ”hackad” används för flera olika problem:

• Stulna nycklar: Någon har din privata nyckel eller återställningsfras och kan godkänna transaktioner från en annan enhet.
• Missbrukade behörigheter: Du har godkänt ett kontrakt eller signerat en begäran som låter någon flytta vissa tillgångar. Dina nycklar kan fortfarande vara hemliga.
• En komprometterad enhet eller app: Skadlig programvara, en falsk plånbok eller ett skadligt webbläsartillägg stjäl information eller ändrar det du är på väg att skicka.
• Ett komprometterat börskonto: Någon får åtkomst till kontot där ett företag förvarar kryptovaluta åt dig.

En hårdvaruplånbok hjälper till att skydda privata nycklar, men kan inte göra en skadlig behörighet säker. Om du godkänner fel åtgärd kan hårdvaruplånboken signera den helt korrekt.

1. Riktig kryptovaluta lämnar plånboken utan ditt godkännande

Du upptäcker en genomförd överföring, en NFT-försäljning eller ett uttag som du inte kan förklara. Det kan ske medan din telefon är avstängd eller du inte sitter vid datorn.

Uteslut först något som du själv har ordnat tidigare, till exempel en automatisk betalning, ett uttag från en börs eller en åtgärd i en handelsapp. Kontrollera sedan den faktiska transaktionen på blockkedjan.

Bekräfta att en verklig tillgång har flyttats och att ditt saldo har minskat. En konstig post i plånbokens aktivitetshistorik räcker inte i sig. Bedragare kan skapa vilseledande tokenposter som ser ut att visa överföringar från din adress.

När du har bekräftat att riktiga tillgångar har flyttats utan tillstånd ska du agera omedelbart. Du behöver inte vänta tills hela plånboken har tömts.

2. Nya insättningar försvinner nästan omedelbart

Du skickar ETH eller ett annat nätverksmynt till plånboken för att täcka transaktionsavgifter. Inom några sekunder går pengarna till en okänd adress. Samma sak händer med nästa insättning.

Det här är ett vanligt mönster för en sweeper-bot, ett program som bevakar en exponerad plånbok och automatiskt tar tillgängliga medel. Om du har uteslutit automatiska överföringar som du själv har ställt in är upprepade uttag av detta slag en stark varningssignal om obehörig åtkomst.

Boten kan köras på angriparens dator. Det hjälper inte att stänga plånboksappen eller starta om telefonen. Vissa botar lämnar små saldon orörda tills en större insättning kommer, så pengar som ligger kvar bevisar inte att plånboken är säker.

Fortsätt inte att fylla på med pengar för gasavgifter och gör ingen testinsättning. Du riskerar att bara finansiera angriparen.

3. Du hittar token- eller NFT-behörigheter som du inte känner igen

Många kryptoappar begär tillstånd att använda en token. Sådana godkännanden kan förbli aktiva långt efter att du slutat använda appen.

Varningssignaler är bland annat en nyligen tillagd spenderare som du inte känner igen, åtkomst som beviljats efter ett besök på en misstänkt webbplats eller en utgiftsgräns som är mycket högre än vad åtgärden kräver. En NFT-behörighet kan låta en operatör överföra alla NFT:er du äger i en viss samling.

Obegränsade godkännanden är vanliga även i legitima appar och bevisar därför inte att något har hackats. Det viktiga är vem som har åtkomst, vad personen kan flytta och om du avsåg att ge behörigheten.

Kontrollera nätverket, det riktiga tokenkontraktet, spenderaren och beloppet. Att koppla bort webbplatsen från plånboken upphäver inte ett godkännande som redan registrerats på blockkedjan.

4. En påstådd inloggningsbegäran ger rätt att använda tillgångar

Du besöker en webbplats för att logga in, hämta en belöning eller verifiera plånboken. Den ber om en signatur utan transaktionsavgift. Begäran innehåller ett tokenbelopp, en spenderare eller en försäljningsorder för en NFT som du inte tänkte godkänna.

Vissa signaturer kan ge rätt att använda tillgångar utan att du gör en separat godkännandetransaktion. Funktionerna Permit och Permit2, liksom signaturer för marknadsplatsorder, är exempel på detta. Legitima appar använder dem, men bedragare kan maskera dem som ofarliga inloggningssteg.

Att det inte finns någon gasavgift säger ingenting om hur säker signaturen är.

Det finns ytterligare en hake: ett signerat tillstånd som ännu inte använts kan förbli utanför blockkedjan tills någon skickar in det. Din vanliga transaktionslista, och ibland även verktyget som kontrollerar godkännanden, kan se ren ut trots att tillståndet fortfarande går att använda.

Om du har signerat en misstänkt begäran ska du sluta använda webbplatsen och undersöka vad signaturen gav tillstånd till. Hur den kan återkallas beror på typen av behörighet. Att återkalla ett vanligt godkännande ogiltigförklarar inte varje oanvänd signatur.

5. Plånboken har en ny ägare eller en okänd kontrollbehörighet

Vissa plånböcker har flera ägare, återställningskontakter, tillfälliga signeringsnycklar eller programvarumoduler som kan utföra åtgärder. De brukar kallas smarta plånböcker eller smarta konton.

En ägare som du aldrig lagt till, färre obligatoriska signaturer, en okänd återställningsmetod eller en ny modul kräver omedelbar uppmärksamhet. Beroende på vilka befogenheter ändringen ger kan någon då flytta pengar utan ditt vanliga godkännandeförfarande.

På Ethereum och kompatibla nätverk låter funktionen EIP-7702 dessutom en vanlig plånbok ge kod behörighet att agera via dess adress. Ett skadligt godkännande kan ge fortsatt åtkomst utan att återställningsfrasen avslöjas.

En detalj är lätt att missa: med den här funktionen kan en accepterad delegering finnas kvar även om transaktionens exekvering misslyckas. Märkningen ”misslyckad” betyder inte alltid att plånbokens kontrollinställningar förblev oförändrade.

Kontrollera behörigheterna med plånbokens officiella verktyg. Att bara ta bort tokengodkännanden tar inte bort en okänd plånboksägare eller delegering.

6. Din återställningsfras eller privata nyckel har avslöjats

Du har skrivit in frasen på en webbplats, skickat den till någon som påstår sig arbeta med support eller importerat den i en plånboksapp som visade sig vara falsk. Du kanske också upptäcker att en läsbar säkerhetskopia varit tillgänglig via ett hackat molnkonto eller en delad fil.

Betrakta kontona som styrs av denna hemlighet som komprometterade, även om ingenting har flyttats ännu. Någon kan återskapa plånboken någon annanstans utan att det utlöser en inloggningsvarning i din app.

Att byta lösenord till plånboksappen ändrar inte de exponerade privata nycklarna. Inte heller hjälper det att skapa ett nytt konto med samma återställningsfras.

Omfattningen spelar roll. En läckt återställningsfras kan exponera många konton. En läckt privat nyckel som importerats separat kanske bara påverkar det konto som den styr.

7. Din plånboksapp eller ditt tillägg verkar ha bytts ut

Du upptäcker ett tillägg du aldrig installerat, en falsk nedladdning av en plånbok eller en säkerhetsvarning om programvara som stjäl plånboksuppgifter. Din vanliga plånbok kan också plötsligt be dig återställa den efter en oförklarlig förändring.

En återställningsbegäran kan ha en vanlig förklaring, exempelvis ominstallation eller raderade appdata. Den är en anledning att kontrollera programvaran innan du skriver in hemliga uppgifter, inte i sig ett bevis på stöld.

Verifiera appen via plånboksleverantörens officiella webbplats och kontrollera tilläggets identitet. Ett välbekant namn och en logotyp är lätta att kopiera.

Om du redan har angett återställningsfrasen i misstänkt programvara ska du betrakta den som exponerad. Att ta bort appen raderar inte den kopia som angriparen redan har.

8. Mottagaradressen ändras när du klistrar in den

Du kopierar en mottagares adress, klistrar in den i plånboken och får en annan adress. Skadlig programvara som manipulerar urklipp kan ersätta kryptoadresser med adresser som tillhör angriparen.

Det tyder på ett problem med enheten eller programvaran. Det behöver inte betyda att någon har din privata nyckel, men det gör enheten osäker för överföringar.

Angripare kan använda ersättningsadresser som liknar originalet. Om du bara kontrollerar de första och sista tecknen kan du missa bytet. Jämför hela destinationsadressen med en betrodd kopia. Med en hårdvaruplånbok ska du kontrollera adressen på enhetens skärm innan du godkänner.

Avbryt transaktionen om adresserna skiljer sig åt. Att kopiera och klistra in flera gånger tills en adress verkar rätt är ingen lösning.

9. Oförklarliga förluster sprider sig över konton eller nätverk

En saknad token kan bero på en specifik utgiftsbehörighet. Obehöriga överföringar från flera konton som härrör från samma återställningsfras ger anledning att misstänka en bredare exponering av nycklarna.

Förluster på två nätverk tillsammans med aktivitet från ett annat konto under samma fras motiverar till exempel en mer omfattande undersökning. Kontrollera varje påverkat konto och nätverk i stället för att anta att problemet är begränsat till den första token du märkte saknades.

Mönstret kan hjälpa dig att ringa in orsaken, men det är inget definitivt bevis. Flera skadliga behörigheter, eller en plånboksauktorisering som gäller på flera nätverk, kan också orsaka omfattande förluster.

Att en plånboksadress är densamma på olika Ethereum-liknande nätverk är normalt och ingen varningssignal i sig. Varningstecknet är oförklarlig aktivitet kopplad till dessa konton.

10. Ditt börskonto visar okänd åtkomst eller okända uttag

Om du förvarar kryptovaluta på en börs ska du leta efter okända sessioner, ändrade återställningsuppgifter, nya uttagsadresser eller uttag som du inte begärt. Ändringar av tvåfaktorsautentisering som du inte begärt är särskilt allvarliga.

Öppna själv den officiella appen eller webbplatsen för att verifiera varningen. Ett skrämmande mejl kan vara nätfiske. En okänd plats kan också bero på VPN eller ett mobilnät, så bedöm enheten, tidpunkten och kontoåtgärderna tillsammans.

Om någon tagit över ett börskonto behövs åtgärder för kontosäkerheten. Använd leverantörens kontolåsning eller uttagsbegränsning om den finns, kontakta officiell support och säkra din e-post och dina autentiseringsmetoder.

Dessa inloggningskontroller gäller inte på samma sätt för en enkel plånbok som styrs med en återställningsfras. Den som har dess nycklar kanske aldrig behöver logga in i din app.

Konstig aktivitet som inte bevisar att plånboken hackats

Flera vanliga händelser kan verka oroande:

• Ett lägre saldo i dollar: Priset kan ha sjunkit trots att du har kvar samma antal mynt.
• Saknade token i appen: Du kan ha valt fel konto eller nätverk, dolt tokenen eller råkat ut för ett visningsfel.
• En okänd Bitcoin-utgång: En betalning kan skicka växel tillbaka till en ny växeladress som din egen plånbok kontrollerar.
• En token eller NFT som du inte bett om: Skräppost är inte i sig ett tecken på att dina nycklar har stulits. Dölj den i stället för att följa länkarna eller signera en transaktion för att ta bort den.
• Mycket små överföringar eller nollvärdesöverföringar med en välbekant adress: Det kan vara adressförgiftning, där bedragare planterar en snarlik mottagaradress i din historik så att du kopierar den senare.

Vissa falska token kopierar en riktig tokens namn och symbol. De kan till och med skapa vilseledande poster om utgående överföringar. Kontrollera det riktiga tokenkontraktet och saldot innan du behandlar en post som bevis på stöld.

Undvik att kopiera en mottagaradress från den senaste aktiviteten. Hämta adressen från en verifierad mottagare eller en betrodd adressbok.

Så kontrollerar du vad som faktiskt har hänt

Använd en tillförlitlig blockkedjeutforskare för rätt nätverk. Du kan granska en offentlig adress utan att ansluta en plånbok, betala en avgift eller avslöja en återställningsfras.

Kontrollera följande uppgifter:

1. Kontot och nätverket: Se till att du undersöker adressen där de saknade tillgångarna förvarades.
2. Transaktionens status: Skilj väntande aktivitet från genomförda överföringar. Vid plånboksdelegeringar ska du också kontrollera om behörigheterna ändrades trots att exekveringen misslyckades.
3. Den faktiska tillgången: Bekräfta tokenkontraktet eller NFT-samlingen i stället för att lita på namn eller logotyp.
4. Saldoförändringen och mottagaren: Ta reda på vad som försvann och vart det skickades. Granska token- och NFT-överföringar såväl som den vanliga transaktionslistan.
5. Tidigare behörigheter: Leta efter godkännanden, signaturer eller ändringar i plånbokens kontroll som kan kopplas till förlusten.

När någon använder ett tokengodkännande för att ta dina tillgångar kan transaktionens avsändare vara ett annat konto. Det gör inte överföringen harmlös. På samma sätt bevisar en tokenpost som visar din adress som källa inte att du personligen har signerat en transaktion.

Om blockkedjeposterna är svåra att tolka kan du dela din offentliga adress och transaktionens hash med verifierad support för plånboken. De uppgifterna kan hjälpa till vid en utredning utan att dina nycklar avslöjas.

Vad du ska göra om varningssignalerna bekräftas

Sluta sätta in pengar och signera begäranden

Pausa insättningar till den drabbade plånboken. Avvisa nya signeringsbegäranden, även erbjudanden om att ”reparera”, ”verifiera” eller ”låsa upp” den. Sluta använda en enhet som kan vara infekterad och fortsätt från en annan betrodd enhet.

Om en återställningsfras eller privat nyckel har läckt

Om det är en vanlig plånbok som styrs av den exponerade hemligheten ska du skapa en ny plånbok med en helt ny återställningsfras på en betrodd enhet. Flytta återstående tillgångar om du kan göra det säkert och sluta sedan använda de drabbade kontona. Uppdatera betalningsadresser som pekar till dem.

Om en sweeper-bot är aktiv ska du inte fylla på den gamla plånboken med gaspengar. Att rädda kvarvarande tillgångar kan kräva specialhantering av transaktioner, och framgång är inte garanterad.

Om problemet är ett godkännande eller ett signerat tillstånd

Återkalla relevanta behörigheter med ett verifierat verktyg och bekräfta att återkallelsen slutförts. Ett godkännande för en token på ett nätverk gäller inte automatiskt överallt annars.

För en misstänkt signatur som ännu inte använts ska du följa plånbokens eller protokollets särskilda process för annullering. Du kan behöva flytta tillgångar medan du undersöker om tillståndet fortfarande går att använda.

En återkallelse kan inte återföra tillgångar som redan har stulits. Den kan inte heller säkra en plånbok vars nycklar har läckt.

Om plånbokens kontrollinställningar har ändrats

Använd plånbokens officiella process för återställning eller behörighetshantering för att ta bort obehöriga ägare, moduler, signeringsnycklar eller delegeringar. Om en ägarnyckel har läckt ska du byta ut signeraren där plånboken stöder det. Be om leverantörsspecifik vägledning innan du åter betraktar kontot som säkert.

Om någon har fått åtkomst till ett börskonto

Lås kontot eller begränsa uttag genom leverantörens officiella process. Säkra din e-post från en betrodd enhet, byt berörda lösenord, ta bort okända sessioner och granska återställningsuppgifter och tvåfaktorsautentisering.

Bevara bevis och anmäl förlusten

Spara transaktionshashar, offentliga adresser, tidsstämplar, misstänkta webbadresser och relevanta meddelanden samtidigt som du skyddar de medel som finns kvar. Anmäl händelsen till plånboksleverantören eller börsen och till berörda myndigheter.

Bekräftade blockkedjeöverföringar kan i allmänhet inte ångras av plånbokens support. Återfående av tillgångar kan bero på att en börs fryser medel, en utredning eller att medel lämnas tillbaka. Var försiktig med den som lovar garanterad återhämtning, särskilt om personen begär förskottsbetalning eller din återställningsfras.