Почему лучше никогда не трогать неизвестные токены и NFT в вашем криптокошельке

Вы открываете Trust Wallet или MetaMask и обнаруживаете NFT с обещанием получить 3 000 USDT. Рядом появились неизвестные токены, которые кошелек оценивает в $5 000. Вы ничего не покупали, но на балансе откуда-то взялись эти активы.

Попытка продать неожиданный подарок может закончиться потерей настоящей криптовалюты.

Само появление неизвестных токенов или NFT обычно не означает взлома. Любой человек может отправить активы на ваш публичный адрес без разрешения. Доступ к остальным средствам он при этом не получает.

Опасность возникает, когда владелец пытается воспользоваться подарком и подтверждает операцию, предоставляющую мошеннику доступ к настоящим токенам.

Почему в кошельке появляются неизвестные токены и NFT

Криптовалютные адреса публичны. Мошенники собирают их из истории блокчейна и массово рассылают токены или NFT, рассчитывая привлечь внимание владельцев.

Неожиданные поступления бывают двух основных типов.

Настоящие раздачи криптовалюты. Проекты действительно могут начислять токены пользователям за участие в развитии экосистемы или взаимодействие с протоколами. Некоторые такие активы имеют рыночную стоимость, это называется ретродроп или аирдроп.

Мошеннические раздачи. Злоумышленники отправляют NFT с обещанием награды или токены, которые якобы можно выгодно продать. Цель — заставить человека перейти на сторонний сайт и выполнить предложенные действия.

Особенно привлекательной приманкой становится высокая стоимость неизвестных монет.

Например, кошелек показывает 10 000 токенов по $0,50 за штуку. Баланс увеличивается на $5 000, хотя реальная стоимость актива может быть близка к нулю.

Отображаемая цена иногда основана на манипулируемых данных, а ликвидности для продажи просто нет. Некоторые мошеннические контракты дополнительно ограничивают возможность обмена токенов.

$5 000 в интерфейсе кошелька не означают, что кто-то готов заплатить за ваши токены $5 000.

Как бесплатный NFT помогает мошенникам украсть настоящие USDT

Рассмотрим конкретную схему.

У вас лежат 2 000 USDT в сети Ethereum. На кошелек приходит неизвестный NFT с обещанием получить дополнительные 3 000 USDT.

В описании указан сайт, на котором предлагают забрать вознаграждение.

Первый этап — подключение кошелька.

Вы переходите на сайт и подключаете MetaMask. Само подключение обычно лишь предоставляет сайту публичный адрес и разрешенную информацию. Права списывать криптовалюту он еще не получает.

Второй этап — запрос на подтверждение.

Сайт сообщает, что для получения награды нужно подтвердить операцию. В действительности запрос может содержать разрешение мошенническому контракту расходовать ваши настоящие USDT.

Здесь используется важная особенность блокчейна: смарт-контракт может переводить определенные токены от имени пользователя, если тот заранее предоставил ему соответствующие полномочия.

Третий этап — вывод средств.

После подтверждения мошенник использует полученное разрешение и переводит ваши USDT на свой адрес.

При этом неизвестный NFT остается всего лишь приманкой. Он не обладает особым доступом к кошельку и не «заражает» другие токены.

Доступ появляется через отдельное действие владельца.

Какие подтверждения опасны

Не каждая подпись или транзакция дает право списывать криптовалюту.

Например, функция approve предоставляет разрешение на расходование определенного токена. Функция setApprovalForAll позволяет управлять NFT конкретной коллекции.

Существуют и механизмы Permit и Permit2, позволяющие оформлять некоторые разрешения через подпись сообщения.

Мошенники используют эту особенность, выдавая опасное разрешение за обычное подтверждение входа или получения награды.

Отсутствие сетевой комиссии при подписании сообщения не гарантирует безопасность. Значение имеет содержание подписи, а не ее стоимость.

При этом разрешение на использование USDT не дает автоматически доступа ко всем NFT, ETH и другим активам. Объем полномочий зависит от конкретной операции.

Что делать с неизвестными токенами и NFT

Если вы не ожидали поступления и не знаете отправителя, самое простое решение — оставить актив без внимания.

Неизвестные токены не нужно срочно переводить на другой адрес, уничтожать или пытаться продавать. Такие действия не повышают безопасность кошелька.

Как скрыть неизвестные токены в MetaMask

В расширении MetaMask откройте подозрительный токен, нажмите на три точки и выберите «Скрыть» (Hide).

В мобильном приложении нажмите на токен и удерживайте его до появления меню скрытия.

Подозрительные NFT можно отметить в разделе NFT на сайте MetaMask Portfolio через функцию Mark as suspicious.

Скрытие токена не является транзакцией. Вам не требуется платить комиссию или взаимодействовать со смарт-контрактом.

Актив остается на блокчейн-адресе, но перестает отображаться в выбранном интерфейсе. В другом приложении он может появиться снова.

Как отличить поддельный USDT от настоящего

Мошенники могут создать токен с названием USDT и логотипом Tether. Название не делает его настоящей криптовалютой.

Подлинность определяется, в частности, адресом контракта и сетью.

Например, официальный контракт USDT TRC20 в сети TRON:

TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t

Сверить его можно на сайте Tether.

Это важно при обычных переводах и обмене криптовалюты через CashBox. Поддельный токен с названием USDT нельзя использовать вместо настоящего Tether.

Проверять каждый неизвестный актив необязательно. Проверка контракта имеет смысл, когда вы действительно ожидаете поступление определенной криптовалюты.

Что делать, если уже подключили кошелек или подписали подозрительную операцию

Главное — определить, какое действие вы совершили.

Если вы предоставили разрешение мошенническому контракту

Прекратите взаимодействие с сайтом. Следующий шаг — проверить, кому разрешено распоряжаться вашими токенами.

Для Ethereum, BNB Smart Chain и других поддерживаемых сетей подходит Revoke.cash.

На сайте можно указать публичный адрес кошелька, выбрать блокчейн и посмотреть действующие разрешения. Для отмены подозрительного разрешения потребуется подтвердить отдельную транзакцию и оплатить сетевую комиссию.

В сети TRON аналогичная возможность есть на TronScan в разделе разрешений на странице адреса.

Отключение кошелька от сайта не отменяет ранее предоставленные полномочия. Контракт может продолжать распоряжаться разрешенными токенами.

Есть и более сложная ситуация: пользователь подписал разрешение, но мошенник еще не использовал его в блокчейне.

Такая подпись не обязательно появится среди действующих разрешений. Для отдельных видов подписей существуют механизмы аннулирования, однако обычная проверка не позволяет гарантированно обнаружить все подписанные ранее сообщения.

При серьезных сомнениях в содержании подписи разумно перенести ценные активы на новый безопасный адрес, не дожидаясь возможного списания.

Отмена разрешений не возвращает уже украденные деньги.

Если мошенник узнал сид-фразу

Раскрытие сид-фразы или приватного ключа означает компрометацию кошелька.

Злоумышленник получает возможность самостоятельно подписывать транзакции. Разрешения смарт-контрактам ему больше не нужны.

Создайте новый кошелек с новой сид-фразой на безопасном устройстве и как можно быстрее переведите оставшиеся активы. При подозрении на вредоносную программу сначала обеспечьте безопасность устройства, на котором создаете новый кошелек.

Смена пароля приложения не изменяет приватные ключи. Старый кошелек нельзя считать безопасным, даже если вы отменили все разрешения.

Самая опасная часть неожиданного NFT — не сам токен, а предложение что-то с ним сделать. Пока вы не раскрываете ключи и не предоставляете мошеннику полномочия на расходование настоящих активов, обычная спам-раздача не дает ему доступа к вашим деньгам.