Як дізнатися, чи зламали ваш криптогаманець: 10 тривожних ознак

Підтверджений переказ, який ви не дозволяли, є найочевиднішою ознакою того, що щось не так. Але гаманець може стати небезпечним ще до зникнення коштів. Викрадена фраза відновлення, прихований дозвіл витрачати токени або зміна того, хто контролює гаманець, можуть надати зловмиснику доступ, навіть коли ваш баланс виглядає звичайним.

Деякі з наведених нижче ознак свідчать про фактичну крадіжку. Інші вказують, що ваш гаманець або пристрій може бути скомпрометований. Ця різниця важлива, адже спосіб усунення проблеми залежить від того, як зловмисник отримав доступ.

Якщо кошти зникають просто зараз, припиніть надсилати гроші на цей гаманець і одразу перейдіть до кроків реагування наприкінці статті.

Що насправді означає злам криптогаманця?

Інформація про вашу криптовалюту записана в блокчейні. Гаманець допомагає керувати нею за допомогою приватних ключів або інших правил авторизації. Фраза відновлення, яку також називають seed-фразою, дає змогу відтворити ключі для багатьох облікових записів гаманця.

Словом «злам» називають кілька різних проблем:

• Викрадені ключі: Хтось отримав ваш приватний ключ або фразу відновлення й може авторизувати транзакції з іншого пристрою.
• Зловживання дозволами: Ви схвалили контракт або підписали запит, що дозволяє іншій особі переміщувати певні активи. Ваші ключі при цьому можуть залишатися конфіденційними.
• Скомпрометований пристрій або застосунок: Шкідливе ПЗ, підроблений гаманець або зловмисне розширення краде інформацію чи змінює те, що ви збираєтеся надіслати.
• Скомпрометований акаунт на біржі: Хтось отримав доступ до облікового запису, де компанія зберігає криптовалюту від вашого імені.

Апаратний гаманець допомагає захищати приватні ключі, але не здатен зробити небезпечний дозвіл безпечним. Якщо ви авторизуєте неправильну дію, апаратний гаманець може коректно її підписати.

1. Справжня криптовалюта залишає ваш гаманець без вашого дозволу

Ви знаходите завершений переказ, продаж NFT або виведення коштів, якого не можете пояснити. Це може статися, навіть коли ваш телефон вимкнений або ви далеко від комп'ютера.

Спочатку виключіть дії, які ви налаштували раніше, наприклад автоматичний платіж, виведення коштів із біржі або операцію в торговельному застосунку. Потім перевірте фактичну транзакцію в блокчейні.

Переконайтеся, що перемістився справжній актив і ваш баланс зменшився. Дивного запису в історії активності гаманця самого по собі недостатньо. Шахраї можуть створювати оманливі записи про токени, які нібито показують перекази з вашої адреси.

Щойно ви підтвердили несанкціоноване переміщення реальних активів, дійте негайно. Не потрібно чекати, поки гаманець спорожніє повністю.

2. Нові поповнення зникають майже миттєво

Ви надсилаєте ETH або іншу монету мережі на гаманець, щоб покрити комісії за транзакції. За кілька секунд ці кошти йдуть на незнайому адресу. Те саме повторюється з наступним поповненням.

Це типовий сценарій роботи sweeper bot, програми, яка стежить за скомпрометованим гаманцем і автоматично забирає доступні кошти. Якщо ви виключили автоматизацію, яку налаштували самі, такі повторні виведення є вагомою ознакою несанкціонованого доступу.

Бот може працювати на комп'ютері зловмисника. Закриття застосунку гаманця або перезавантаження телефону його не зупинять. Деякі боти не чіпають дрібні залишки, доки не надійде велике поповнення, тому нерухомі кошти не доводять, що гаманець безпечний.

Не продовжуйте додавати кошти на gas і не надсилайте тестові поповнення. Так ви можете просто фінансувати зловмисника.

3. Ви знаходите незнайомі дозволи на токени або NFT

Багато криптозастосунків запитують дозвіл витрачати токени. Такі схвалення можуть залишатися активними ще довго після того, як ви припинили користуватися застосунком.

До тривожних ознак належать нещодавно доданий невідомий вам одержувач права витрачання, доступ, наданий після відвідування підозрілого сайту, або ліміт витрачання, значно більший за потрібний для дії. Дозвіл на NFT може дати оператору можливість переказати всі NFT з певної колекції, якими ви володієте.

Необмежене схвалення часто трапляється й у легітимних застосунках, тому саме по собі не доводить зламу. Важливо, хто має доступ, що може переміщувати і чи ви свідомо надали цей дозвіл.

Перевірте мережу, справжній контракт токена, адресу того, кому дозволено витрачати активи, і суму. Від'єднання вебсайту від гаманця не скасовує схвалення, вже записане в блокчейні.

4. Нібито запит на вхід надає право витрачати кошти

Ви заходите на сайт, щоб авторизуватися, отримати винагороду або підтвердити гаманець. Сайт просить підпис без комісії за транзакцію. Запит містить кількість токенів, адресу того, хто зможе ними розпоряджатися, або ордер на продаж NFT, який ви не збиралися схвалювати.

Деякі підписи дають дозвіл витрачати активи без окремої транзакції схвалення з вашого боку. Приклади: механізми Permit і Permit2, а також підписи ордерів на маркетплейсах. Ними користуються легітимні застосунки, але шахраї можуть маскувати їх під нешкідливі кроки входу.

Відсутність комісії gas нічого не говорить про безпечність підпису.

Є ще один нюанс: підписаний, але невикористаний дозвіл може не з'явитися в блокчейні, доки хтось не подасть його. Звичайний список ваших транзакцій, а іноді й сервіс перевірки схвалень, може виглядати чистим, хоча дозвіл усе ще придатний до використання.

Якщо ви підписали підозрілий запит, припиніть взаємодію із сайтом і з'ясуйте, що саме дозволив підпис. Спосіб скасування залежить від типу дозволу. Звичайне відкликання схвалення не робить недійсними всі невикористані підписи.

5. У гаманця з'явився новий власник або незнайомий дозвіл на керування

Деякі гаманці мають кількох власників, контакти для відновлення, тимчасові ключі підпису або програмні модулі, здатні виконувати дії. Їх часто називають смартгаманцями або смартаккаунтами.

Власник, якого ви не додавали, зменшення необхідної кількості підписів, незнайомий спосіб відновлення або новий модуль потребують негайної уваги. Залежно від наданих повноважень така зміна може дозволити комусь переміщувати кошти без вашого звичайного процесу схвалення.

У Ethereum та сумісних мережах функція EIP-7702 також дозволяє звичайному гаманцю авторизувати виконання коду через його адресу. Зловмисна авторизація може забезпечити тривалий доступ без розкриття вашої фрази відновлення.

Легко не помітити одну деталь: за цією функцією прийняте делегування може зберегтися, навіть якщо виконання транзакції завершилося помилкою. Позначка «неуспішно» не завжди означає, що налаштування керування гаманцем залишилися незмінними.

Перевіряйте ці дозволи офіційними інструментами гаманця. Лише видалення схвалень токенів не прибере невідомого власника або делегування.

6. Вашу фразу відновлення або приватний ключ розкрито

Ви ввели фразу на вебсайті, надіслали її людині, яка видавала себе за службу підтримки, або імпортували в застосунок гаманця, що виявився підробкою. Також ви можете виявити, що резервна копія у відкритому вигляді була доступна через зламаний хмарний акаунт або спільний файл.

Вважайте облікові записи, які контролює цей секрет, скомпрометованими, навіть якщо кошти ще не рухалися. Хтось може відтворити гаманець деінде, не спричинивши сповіщення про вхід у вашому застосунку.

Зміна пароля в застосунку гаманця не змінить розкриті приватні ключі. Створення іншого облікового запису з тією самою фразою відновлення теж не розв'яже проблему.

Масштаб має значення. Витік фрази відновлення може загрожувати багатьом обліковим записам. Витік окремо імпортованого приватного ключа може зачепити лише обліковий запис, який він контролює.

7. Схоже, ваш застосунок гаманця або розширення підмінили

Ви виявляєте розширення, якого не встановлювали, підроблене завантаження гаманця або попередження безпеки про ПЗ, що викрадає дані гаманця. Також знайомий гаманець може раптово попросити відновити його після незрозумілої зміни.

Запит на відновлення може мати звичайну причину, як-от перевстановлення застосунку або очищення його даних. Сам по собі він не доводить крадіжки, але є приводом перевірити ПЗ перед введенням секретних даних.

Перевірте застосунок через офіційний сайт постачальника гаманця та з'ясуйте справжність розширення. Знайомі назву й логотип легко скопіювати.

Якщо ви вже ввели фразу відновлення в підозрілому ПЗ, вважайте її розкритою. Видалення застосунку не знищить копію, яку зловмисник уже отримав.

8. Адреса одержувача змінюється після вставлення

Ви копіюєте адресу одержувача, вставляєте її у гаманець і бачите іншу адресу. Шкідливе ПЗ, що контролює буфер обміну, може підміняти криптоадреси адресами зловмисника.

Це вказує на проблему з пристроєм або ПЗ. Не обов'язково хтось має ваш приватний ключ, але такий пристрій уже небезпечний для переказів.

Зловмисники можуть використовувати підставні адреси, схожі на оригінал. Перевірка лише перших і останніх кількох символів може не виявити підміну. Порівнюйте всю адресу призначення з надійною копією. Якщо використовуєте апаратний гаманець, перед підтвердженням перевіряйте адресу на екрані пристрою.

Якщо адреси відрізняються, скасуйте транзакцію. Повторювати копіювання й вставлення, доки адреса не здасться правильною, не є рішенням.

9. Незрозумілі втрати охоплюють кілька облікових записів або мереж

Зникнення одного токена може бути наслідком окремого дозволу на витрачання. Несанкціоновані перекази з кількох облікових записів, створених за однією фразою відновлення, викликають підозру щодо ширшого витоку ключів.

Наприклад, втрати у двох мережах разом з активністю іншого облікового запису за тією самою фразою потребують ширшого розслідування. Перевірте кожен зачеплений обліковий запис і мережу, а не припускайте, що проблема обмежена першим поміченим токеном.

Ця закономірність допомагає звузити коло причин, але не є остаточним доказом. Кілька зловмисних дозволів або авторизація гаманця, дійсна в кількох мережах, теж можуть призвести до масштабних втрат.

Однакова адреса гаманця в різних мережах типу Ethereum є нормальною і сама по собі не становить тривожної ознаки. Тривогу має викликати незрозуміла активність цих облікових записів.

10. На вашому біржовому акаунті видно незнайомі входи або виведення коштів

Якщо ви зберігаєте криптовалюту на біржі, перевіряйте невідомі сеанси, зміни даних відновлення, нові адреси виведення або виведення, яких ви не запитували. Несанкціоновані зміни двофакторної автентифікації особливо серйозні.

Самостійно відкрийте офіційний застосунок або сайт, щоб перевірити сповіщення. Страхітливий електронний лист може виявитися фішингом. Незнайоме місцеперебування також може бути наслідком VPN чи мобільної мережі, тому розглядайте пристрій, час і дії з акаунтом разом.

Захоплення біржового акаунта потребує заходів безпеки облікового запису. Скористайтеся блокуванням акаунта або обмеженням виведення коштів, якщо постачальник це пропонує, зверніться до офіційної підтримки та захистіть електронну пошту й способи автентифікації.

Такі перевірки входів не працюють так само для звичайного гаманця, керованого фразою відновлення. Людині з його ключами може взагалі не знадобитися входити у ваш застосунок.

Дивна активність, яка не доводить зламу

Кілька поширених подій можуть видаватися тривожними:

• Менший баланс у доларах: Ціна могла впасти, хоча кількість монет у вас не змінилася.
• Токени зникли із застосунку: Можливо, ви вибрали не той обліковий запис або мережу, приховали токен чи зіткнулися з помилкою відображення.
• Невідомий вихід Bitcoin: Платіж може повернути решту коштів на нову адресу здачі, контрольовану вашим власним гаманцем.
• Небажаний токен або NFT: Сам по собі спам не свідчить, що ваші ключі викрали. Приховайте його замість того, щоб переходити за посиланнями чи підписувати транзакцію для видалення.
• Дрібні або нульові перекази за участю схожої на знайому адреси: Це може бути отруєння адреси (address poisoning), коли шахраї додають до історії схожого одержувача, щоб ви згодом скопіювали його адресу.

Деякі підроблені токени копіюють назву й символ справжнього токена. Вони навіть можуть створювати оманливі записи про вихідні перекази. Перевірте справжній контракт токена й баланс, перш ніж вважати запис доказом крадіжки.

Не копіюйте адресу одержувача з нещодавньої активності. Отримуйте її від перевіреного одержувача або з надійної адресної книги.

Як перевірити, що насправді сталося

Скористайтеся надійним оглядачем блокчейну для правильної мережі. Перевіряти публічну адресу можна, не під'єднуючи гаманець, не сплачуючи комісії й не розкриваючи фразу відновлення.

Перевірте такі дані:

1. Обліковий запис і мережа: Переконайтеся, що переглядаєте адресу, на якій перебували зниклі активи.
2. Статус транзакції: Відрізняйте операції, що очікують підтвердження, від завершених переказів. Для делегувань гаманця також перевіряйте, чи змінилися дозволи попри невдале виконання.
3. Справжній актив: Підтвердьте контракт токена або колекцію NFT, а не покладайтеся на назву чи логотип.
4. Зміна балансу та адреса призначення: Встановіть, що саме вибуло й куди потрапило. Перегляньте перекази токенів і NFT, а також основний список транзакцій.
5. Попередні дозволи: Шукайте схвалення, підписи або зміни керування гаманцем, пов'язані з втратою.

Якщо хтось використовує дозвіл на токени, щоб забрати ваші активи, відправником транзакції може бути сторонній обліковий запис. Це не робить переказ нешкідливим. Так само запис токена, де ваша адреса вказана як джерело, не доводить, що ви особисто підписали транзакцію.

Якщо записи блокчейну важко витлумачити, передайте публічну адресу та хеш транзакції перевіреній службі підтримки гаманця. Ці дані допоможуть розслідуванню без розкриття ключів.

Що робити, якщо тривожні ознаки підтвердилися

Припиніть поповнення й підписування запитів

Призупиніть поповнення скомпрометованого гаманця. Відхиляйте нові запити на підпис, зокрема пропозиції його «полагодити», «перевірити» чи «розблокувати». Припиніть користуватися пристроєм, який може бути заражений, і продовжуйте з іншого надійного пристрою.

Якщо стався витік фрази відновлення або приватного ключа

Для звичайного гаманця, керованого розкритим секретом, створіть на надійному пристрої новий гаманець із цілком новою фразою відновлення. Перемістіть залишок активів, якщо можете зробити це безпечно, а потім відмовтеся від використання скомпрометованих облікових записів. Оновіть усі платіжні реквізити, які ведуть на них.

Якщо працює sweeper, не поповнюйте старий гаманець для оплати gas. Порятунок решти активів може вимагати спеціалізованої обробки транзакцій, і успіх не гарантований.

Якщо проблема у схваленні або підписаному дозволі

Відкличте відповідні дозволи через перевірений інструмент і переконайтеся, що відкликання завершилося. Схвалення одного токена в одній мережі не поширюється автоматично на всі інші мережі.

Для підозрілого підпису, який ще не використали, дотримуйтеся спеціальної процедури скасування, передбаченої гаманцем або протоколом. Може знадобитися перемістити активи, поки ви з'ясовуєте, чи дозвіл досі можна використати.

Відкликання не повертає вже вкрадені активи. Воно також не захистить гаманець, ключі якого витекли.

Якщо змінилися налаштування керування гаманцем

Використовуйте офіційну процедуру відновлення або керування дозволами, щоб видалити несанкціонованих власників, модулі, ключі підпису чи делегування. Якщо ключ власника витік, замініть цей ключ підпису там, де гаманець це підтримує. Перш ніж знову вважати акаунт захищеним, отримайте рекомендації для конкретного постачальника.

Якщо хтось отримав доступ до біржового акаунта

Заблокуйте обліковий запис або обмежте виведення коштів через офіційну процедуру постачальника. З надійного пристрою захистіть електронну пошту, змініть скомпрометовані паролі, видаліть невідомі сеанси та перевірте дані відновлення й двофакторну автентифікацію.

Збережіть докази й повідомте про втрату

Зберігайте хеші транзакцій, публічні адреси, позначки часу, підозрілі URL-адреси та відповідні повідомлення, водночас захищаючи решту коштів. Повідомте про інцидент постачальнику гаманця чи біржі та відповідним органам.

Підтверджені перекази в блокчейні зазвичай неможливо скасувати через підтримку гаманця. Повернення коштів може залежати від заморожування їх біржею, розслідування або добровільного повернення. Остерігайтеся тих, хто гарантує відшкодування, особливо якщо вони вимагають передоплату або вашу фразу відновлення.