Фишинг в криптовалюте: поддельные сайты, боты и «поддержка»

Чем фишинг отличается от схем с «доходом»

В статье про облачный майнинг и обман разобраны схемы, которые обещают заработок: вы сами несёте деньги в незнакомый проект и ждёте прибыли. Фишинг устроен иначе. Ничего не обещая, он выдаёт себя за сервис, которым вы и так пользуетесь, и дальше ловит на привычке.

Чек-лист для проверки сервиса здесь не поможет: настоящий сервис его пройдёт, а вы находитесь на его копии. Защищают другие вещи: внимание к адресу и несколько привычек.

Поддельные сайты и реклама в поиске

Скопировать страницу входа можно за вечер, поэтому внешний вид ничего не доказывает. Отличается адрес и способ, которым вы на него попали.

Адрес читайте справа налево. В строке flowhash.pro.login-check.com настоящий домен — login-check.com, а всё, что левее, просто подпись. Смотрите на две части домена перед первой косой чертой.

• Похожий домен. Лишняя буква, дефис, другая зона: вместо flowhash.pro что-то вроде flowhash-app.pro. Бывает подмена кириллицей, когда буква выглядит как латинская, и тогда браузер иногда показывает домен с началом xn--.
• Реклама над результатами. Мошенники покупают показы по запросам вроде «вход на биржу» или «скачать кошелёк». Рекламная строка стоит выше настоящего сайта и почти не отличается от него.
• Замок в адресной строке. Он означает только шифрование связи. Сертификат есть и у поддельных сайтов.
• Приложения и расширения. Копии известных кошельков появляются даже в официальных магазинах. Смотрите на разработчика и переходите в магазин по ссылке с сайта производителя.
• Письма. «Подозрительный вход», «подтвердите вывод», «обновите кошелёк»: кнопка в письме ведёт на копию. Открывайте сервис через свою закладку.
• Всплывающие обновления. Сайт сообщает, что браузер или кошелёк устарел, и предлагает скачать файл. Настоящие обновления приходят через само приложение или магазин.
• Раздачи токенов. В кошельке появляется незнакомый токен или приходит весть о крупной награде. Ссылка ведёт на страницу, где нужно «забрать приз» и подключить кошелёк. Чужие подарки лучше не трогать.

С майнерами то же самое. FlowHash скачивайте только с flowhash.pro. «Улучшенная версия», присланная в чат, может оказаться вирусом, и признаки заражения описаны в статье про скрытый майнер.

Telegram: лже-поддержка и боты

Схема обычно такая. Вы пишете в общем чате о проблеме с выводом, и через минуту в личку приходит вежливый «сотрудник» с логотипом сервиса. Он предлагает ввести seed-фразу в «форму проверки», подключить кошелёк на сайте или показать экран через программу удалённого доступа вроде AnyDesk.

Боты работают похоже: бот с названием биржи или обменника просит «авторизоваться» и ввести код. Иногда так угоняют сам Telegram: код входа, который вы отправили боту, открывает ваш аккаунт на чужом устройстве, и дальше сообщения рассылаются вашим знакомым.

Признаки почти всегда одни и те же:

• Вам написали первыми.
• Есть срочность: «аккаунт заблокируют», «средства сгорят через час».
• Просят seed-фразу, пароль, код из СМС или доступ к экрану.
• Просят перевести монеты на «проверочный адрес» или оплатить «разблокировку».
• Имя похоже на настоящее, но это другой аккаунт, часто с лишней буквой или словом support.

Проверка простая: не отвечайте в этом чате, откройте сайт сервиса из закладки и напишите в поддержку оттуда. Настоящая проблема никуда не денется за эти две минуты.

Поддержка FlowHash находится в кабинете, в одноимённом разделе, и ответ приходит туда же. Telegram-канал @flowhash публикует новости и анонсы. Сообщение в личку от имени FlowHash считайте попыткой обмана.

Когда адрес меняется сам

Бывает, что сайт настоящий, а деньги всё равно уходят чужому. Вирус-клиппер следит за буфером обмена: вы копируете адрес кошелька, а вставляется адрес злоумышленника. Он подобран так, чтобы первые символы были похожи.

Поэтому вставленный адрес сверяйте с оригиналом в трёх местах: начало, середина, конец. Если адрес изменился при вставке, остановитесь и ничего не отправляйте. Клиппер часто приходит вместе с другими вредными программами, так что компьютер надо проверить по шагам из статьи про скрытый майнер.

Похожая ловушка живёт в истории переводов. Мошенник присылает крошечную сумму с адреса, похожего на ваш обычный, и ждёт, что в следующий раз вы скопируете его оттуда. Об этом и о выборе сети рассказано в статье про криптокошелёк. Правило одно: адрес берите из первоисточника.

Отдельный случай — страницы с кнопкой «Подключить кошелёк». В сетях со смарт-контрактами подпись на такой странице может дать сайту право списывать ваши токены, причём выглядит это как обычное подтверждение входа. Запрос на подпись читайте так же внимательно, как перевод. Не понимаете, что подписываете, — отмените.

Привычки, которые закрывают большинство ловушек

• Биржи, кабинеты и кошельки открывайте из закладок.
• Ничего не вводите после перехода по ссылке из письма, рекламы или чата.
• Включите двухфакторную защиту через приложение-аутентификатор. СМС слабее, номер могут перевыпустить.
• На бирже включите белый список адресов вывода и кодовое слово в письмах, если такие функции есть.
• Для почты и биржи заведите отдельные длинные пароли.
• Seed-фразу никуда не вводите, кроме самого кошелька при восстановлении. Правила собраны в статье о seed-фразе.
• Заметную сумму держите отдельно от кошелька, которым пользуетесь каждый день.
• Берегите ключ приложения FlowHash: вместе с email он нужен для восстановления пароля.
• Если вас торопят, закройте страницу и вернитесь к вопросу через час.

Что делать, если вы уже ввели данные

Решает время. Действуйте сразу и по возможности с другого, заведомо чистого устройства.

Ввели seed-фразу

Считайте кошелёк потерянным. Создайте новый кошелёк с новой фразой и немедленно переведите туда всё, что осталось. Такие кошельки часто опустошают автоматические скрипты, поэтому счёт идёт на минуты.

Ввели пароль от биржи или почты

Смените пароль на настоящем сайте, завершите все активные сеансы и заново настройте двухфакторную защиту. Проверьте адреса вывода и API-ключи. Если видите чужую заявку на вывод, сразу пишите в поддержку биржи с её сайта.

Ввели данные от FlowHash

Смените пароль на странице восстановления, понадобятся email и ключ приложения. Проверьте заявки на вывод в кабинете и напишите в поддержку. Что делать, если к посторонним попал ключ, сказано в условиях использования.

Запустили присланный файл

Отключите интернет и проверьте компьютер сканером. Пароли меняйте с другого устройства, потому что вместе с такими файлами часто приходит кража паролей. Кошельки с заражённого компьютера считайте небезопасными и перенесите монеты на новый, созданный на чистом устройстве.

Монеты уже ушли

Перевод в блокчейне не откатить. Сохраните хеш транзакции, адреса, переписку и скриншоты. Если монеты ушли на адрес биржи, сообщите ей: иногда площадка может проверить такой счёт. Обращение в полицию зависит от законов вашей страны.