Ви намагалися отримати аірдроп, змінтити щось нове або «верифікувати» гаманець, схвалили один запит — і побачили, як зникає баланс. У Solana спустошення гаманця часто виглядає саме так: один підпис, а потім одразу рухаються кілька активів.
Що таке дрейнер гаманця?
Дрейнер гаманця — це шахрайський сайт або скрипт, створений для спустошення криптогаманців. Він змушує вас схвалити транзакцію, дозвіл токена чи зміну гаманця або ввести фразу відновлення, а потім переводить ваші SOL, токени та NFT зловмиснику.
Дрейнери рідко схожі на атаки. Вони виглядають як сторінка отримання токенів, мінт, роздача або чат підтримки. Багато з них — це готові набори, які здають в оренду шахраям, а оператор набору забирає частку вкраденого, тому той самий сценарій з’являється на багатьох схожих сайтах із різним брендуванням.
Саме лише підключення не передає ваші ключі й нічого не переміщує. Воно повідомляє сайту вашу публічну адресу й дає йому змогу запитувати підписи. Шкода стається, коли ви схвалюєте те, що він просить, тому підключайтеся лише до сайтів, які ви шукали самі.
Як дрейнер Solana забирає ваші активи?
Способів є кілька, і кожен залишає гаманець у різному стані. Знаючи, що саме сталося, ви зрозумієте, що ще можна захистити.
Одна транзакція, що переміщує все
Транзакція Solana може об’єднувати багато інструкцій, і всі вони виконуються разом, коли ви її схвалюєте. Дрейнер використовує це, щоб упакувати перекази SOL і токенів в один запит, схожий на отримання токенів або мінт. Щойно транзакцію підтверджено, перекази остаточні.
Дозвіл, яким можна скористатися пізніше
Дозвіл токена робить іншу адресу делегатом на одному з ваших токен-акаунтів, і вона може переміщувати або спалювати токени в межах заданої суми. Дрейнеру, який отримав дозвіл, не обов’язково забирати все одразу: він може повернутися по ці токени пізніше. Дозвіл можна прибрати відкликанням, поки токени ще на місці.
Зміна власника ваших токен-акаунтів
Класичний токен-акаунт SPL можна передати новому власнику транзакцією, яку підписує його власник. Після цього новий власник контролює ці токени, і ніщо, підписане з вашого гаманця, не поверне вам акаунт. Асоційовані токен-акаунти Token-2022 не можуть змінити власника, тож цей трюк працює з класичними токен-акаунтами SPL, зокрема зі стандартним акаунтом для такого токена, як USDC.
Зміна акаунта вашого гаманця
Деякі дрейнери Solana змінюють сам акаунт гаманця. В одному дослідженому нами випадку захоплення жертва підписала транзакцію, яка перетворила її адресу на durable nonce-акаунт зі зловмисником у ролі authority. Інші дрейнери призначають адресу програмі. У будь-якому разі зловмисник контролює SOL за цією адресою. Усе, що ви туди надішлете, можуть вивести або заблокувати, тому звичайні надсилання з гаманця зазвичай не проходять. Токени зазвичай лишаються на місці, а наш посібник для зламаних гаманців пояснює, як їх перенести.
Ваша фраза відновлення або приватний ключ
Найгірший сценарій узагалі не потребує транзакції. Фальшиві агенти підтримки, фальшиві сторінки «валідації гаманця» та фальшиві форми отримання токенів просять вашу фразу відновлення. Будь-хто, хто її має, повністю контролює гаманець — і сьогодні, і надалі, — і жодне відкликання чи відключення цього не змінить.
Які тривожні ознаки дрейнера?
- Терміновість і безкоштовні гроші. «Отримайте, поки не минув строк», несподівані аірдропи, перевірки права на токен, про який ви ніколи не чули.
- Посилання з особистого повідомлення або відповіді. Phantom зазначає, що його підтримка ніколи не пише вам першою. Вважайте шахраєм будь-кого, хто звертається до вас, щоб «полагодити» гаманець.
- Запити фрази відновлення чи приватного ключа. Жодному законному отриманню токенів, мінту чи процесу підтримки вони не потрібні.
- Попередній перегляд, що не відповідає кнопці. Якщо за кнопкою «отримати» ви бачите токени, що залишають гаманець, дозвіл або попередження від гаманця, зупиніться.
- Домен, що майже правильний. Схожі написання й посилання з неофіційних акаунтів. Відкривайте застосунки з перевіреного сайту проєкту.
- Підпис повідомлення, якого ви не розумієте. Підписання повідомлення не потребує мережевої комісії, але воно не є автоматично безпечним: звичайний підпис для входу можуть повторно використати, щоб видати себе за вас на іншому сервісі.
Як захистити гаманець від дрейнерів?
Перш ніж схвалювати, прочитайте, що показує гаманець. Phantom симулює транзакції й попереджає про підозрілі запити; якщо отримання токенів показує вихідні токени, саме час скасувати. Утім, чистий попередній перегляд не є доказом. Деякі дрейнери Solana створюють запити, які в симуляції виглядають нешкідливими, або змінюють те, що відбувається після вашого підпису.
Для нових мінтів, отримання токенів і незнайомих застосунків використовуйте окремий гаманець із невеликим балансом, а основні активи тримайте деінде. Апаратний гаманець зберігає ключі поза вашим комп’ютером, але підписує все, що ви схвалите, тож шкідливу транзакцію він безпечною не робить.
Час від часу перевіряйте свої дозволи. Наш інструмент Revoke сканує ваші акаунти SPL Token і Token-2022 на надані вами дозволи й дає змогу прибрати непотрібні. Він не бере комісії платформи; ви сплачуєте лише мережеву комісію.
Що робити, якщо вас обікрав дрейнер?
Почніть із того, що ви схвалили. Знайдіть рядок, який відповідає тому, що сталося:
| Що сталося | Що це означає | Наступний крок |
|---|---|---|
| Ви лише підключилися | Сайт знає вашу адресу, але не має контролю | Відключіть його в підключених застосунках гаманця |
| Ви схвалили транзакцію | Її перекази остаточні; вона також могла встановити дозволи | Відкрийте її в оглядачі, потім дійте за нашим посібником на випадок шахрайського сайту |
| Ви надали дозвіл токена | Дрейнер може повернутися по ці токени | Відкличте дозвіл, поки токени ще на місці |
| Ваші токен-акаунти показують нового власника | Тепер ці акаунти контролює дрейнер | Перенесіть усе, що ви ще контролюєте, на новий гаманець |
| Надсилання не проходять, а SOL не переміщуються | Акаунт вашого гаманця могли перетворити | Виведіть токени, сплачуючи комісії з іншого гаманця, за нашим посібником для зламаних гаманців |
| Ви ввели фразу відновлення або ключ | Гаманець контролює зловмисник | Створіть гаманець із новою фразою й перенесіть те, що залишилося |
Перш ніж повідомляти про інцидент, збережіть підписи транзакцій, адресу сайту та знімки екрана. Ігноруйте всіх, хто пропонує повернути вкрадені кошти за плату: платні пропозиції повернення — поширене подальше шахрайство.
Якщо ваш гаманець перетворено, ви все ще можете повернути SOL з його порожніх токен-акаунтів на безпечний гаманець. Наш посібник для зламаних гаманців показує, як це зробити і скільки це коштує.
Revoke Approvals
Знайдіть надані вами дозволи токенів і приберіть непотрібні, зберігши свої токени.