Vzostup nového krypto podvodu na Telegrame
V labyrinte kryptotransakcií hlásia používatelia Telegramu nový typ podvodu – zákernú taktiku, ktorá umožňuje kybernetickým zlodejov vyčerpať kryptopeňaženky bez typického schválenia transakcie obeťou. Tento znepokojujúci podvod spočíva na zneužívaní tokenov, ktoré sa riadia štandardom ERC-2612, známym svojou možnosťou prevodu „bez plynu“, čo znamená, že ich možno presúvať bez toho, aby ste v pôvodnej peňaženke mali Ether (ETH).
Podvodná pasca nastavená v známom prostredí
Tento podvod sa odohráva v zdanlivo bezpečnom prostredí Telegramových skupín, ako to obete opísali pre tlač. Stretnutie jedného používateľa s týmto podvodom viedlo k strate viac ako 600 dolárov v tokenoch Open Exchange (OX) po tom, čo omylom veril, že sa pripojil k oficiálnej Telegramovej skupine OPNX, developera za tokenami OX.
Maskovanie sa začalo s pozvánkou na pripojenie ich peňaženky ako protirobotického opatrenia. Tento úkon, ktorý používateľ považoval za bezpečný, otvoril webovú stránku, kde prepojil svoju peňaženku. Nanešťastie, behom niekoľkých okamihov celá suma tokenov OX používateľa zmizla bez stopy schválenia transakcie.
Nebezpečenstvo falošnej autentickosti
Pri ďalšom vyšetrovaní sa zistilo, že Telegramová skupina využívala falšovanú verziu overovacieho systému Collab.Land, zrkadlovo prepojenú až po klamlivé používateľské meno, ktoré s malou zmenou písma vyzeralo legitímne. Rozdiel spočíval v nahradení veľkého „I“ malým „l“ – malá zmena s vážnymi následkami.
Rovnako zavádzajúci bol aj poskytnutý podvodný odkaz, ktorý namiesto bodky používal pomlčku a presmeroval používateľov na škodlivú stránku, ktorá zdanlivo kopírovala rozhranie legitímnej aplikácie.
Pochopenie základu technickej podlosti
Útok na peňaženku používateľa sa vykonal pomocou funkcie „transferFrom“ v zmluve tokenu OX – funkcie, ktorá tradične vyžaduje autorizáciu prostredníctvom transakcie „approve“. V tomto prípade záznamy blockchainu neindikovali žiadne takéto schválenie obeťou, čo naznačuje nový prístup.
Predchádzajúca transakcia „Permit“ vykonaná páchateľom ich označila za oprávneného míňať na účet obete. Táto funkcia povolenia, riadky 116-160 v súbore tokenovej zmluvy, vyžaduje podpísanú správu vlastníkom na autorizáciu – krok, ktorý nezahŕňa typické schválenie tokenu, ale skôr autorizuje prevod po odoslaní podpísanej správy.
Diskutabilný prísľub jednoduchších transakcií
Jadrom tohto podvodu je funkcia Permit, ktorú zaviedol štandard ERC-2612, nový prvok navrhnutý na zjednodušenie transakcií pre peňaženky bez ETH jednoduchým predložením podpísanej správy. Hoci takáto funkcia sľubuje užívateľsky prívetivejšie peňaženky, je čoraz jasnejšie, že podvodníci túto funkciu zneužívajú vo svoj prospech. Užívatelia Web3 by mali zostať ostražití, pretože podpis správy by mohol zlodejom potenciálne umožniť prístup k ich zdrojom bez explicitného povolenia transakcií.
Následky a preventívne opatrenia
V reakcii na tieto udalosti sa obrátili na vývojárov Collab.Land, ktorí potvrdili nelegitímnosť bota a webovej stránky spojených s týmto podvodom, ktoré neboli nijako spojené so skutočným protokolom Collab.Land. Podvodná činnosť bola nahlásená spoločnosti Telegram.
S vývojom rafinovaných schém, ktoré zneužívajú dôverčivých používateľov, musí kryptokomunita zvýšiť opatrnosť. Nadšenci Web3 musia dôkladne skúmať všetky interakcie, ktoré by potenciálne mohli viesť k neoprávnenému prístupu k ich finančným prostriedkom, dokonca aj tie, ktoré sa môžu zdať neškodné, ako napríklad podpisovanie digitálnej správy.
Zdieľanie skúseností, poznatkov a varovaní pred takýmito podvodmi je nevyhnutné na prevenciu ďalších obetí. Investovanie do kryptomien môže byť rizikové, ak nie ste dostatočne informovaní. Vaše komentáre nižšie sú neoceniteľné. Zapojte sa do tejto diskusie a pomôžte chrániť seba a ostatných pred skrytými nebezpečenstvami číhajúcimi v digitálnom priestore kryptomien.
