Paano gumagana ang phishing sa crypto?

Huling Update

Sa mabilis na umuunlad na mundo ng mga digital asset, ang seguridad ay ang pundasyon ng bawat tagumpay na paglalakbay ng isang investor. Gayunpaman, habang umaunlad ang teknolohiya ng blockchain, dumadami rin ang mga taktika ng mga cybercriminal. Ang pag-unawa kung paano gumagana ang phishing sa crypto ay hindi na lang "mabuting malaman"—ito ay isang mahalagang kasanayan para protektahan ang iyong mga savings mula sa lalong kumplikadong mga pag-atake.

Mga Pangunahing Tala

Mga Mapanlinlang na Taktika: Ang crypto phishing ay nakabatay sa social engineering upang manlinlang sa mga gumagamit upang ipaalam ang mga pribadong susi, seed phrase, o mag-sign ng masasamang pagpapahintulot sa smart contract.
Modyernong Paraan: Sa 2026, ginagamit ng mga attacker ang AI-powered na pag-clone ng boses, deepfakes, at "address poisoning" upang gawing halos hindi makikilala ang mga scam mula sa katotohanan.
Ang Golden Rule: Walang legal na exchange o suportang team na hihingi ng iyong 12- hanggang 24-salitang recovery seed phrase.
Proaktibong Depensa: Ang paggamit ng hardware wallet, ang pagpapagana ng non-SMS multi-factor authentication (MFA), at ang paggamit ng transaction simulators ay ang pinakamahusay na paraan upang mapanatili ang kaligtasan.

Ang phishing ay isang anyo ng social engineering kung saan ang isang attacker ay nagpapakilala bilang isang tiwala na entidad upang manakop ng sensitibong impormasyon. Sa konteksto ng cryptocurrency, ang "prize" ay karaniwang ang mga pribadong key ng iyong wallet o ang awtoridad upang ilipat ang iyong mga pondo sa pamamagitan ng mga pahintulot sa smart contract.

Sa pagkakaiba sa tradisyonal na bangko, kung saan maaaring balikin ng isang sentral na awtoridad ang isang fraudulent na transaksyon, ang mga transaksyon sa blockchain ay hindi mababago. Kapag nakakapasok ang isang phisher at ililipat ang iyong Bitcoin o Ethereum, malamang nawawala na ang mga ari-arian na iyon magpapaliban. Ito ang "point of no return" kung bakit naging #1 na banta sa industriya ng crypto ang phishing.

Ang Psikolohiya sa Likod ng Pag-atake

Ang karamihan sa mga pagtatangkang phishing ay nakakamit ng tagumpay sa pamamagitan ng pagsasamantala sa mga emosyon ng tao kaysa sa teknikal na mga butas. Karaniwang ginagamit ng mga attacker:

Kahalagahan: "Iilangin ang iyong account sa loob ng 30 minuto!"
Takot: "Nakita ang hindi awtorisadong pag-login mula sa isang bagong IP address."
Kuripot: "Napili ka para sa eksklusibong airdrop ng $1,000 ETH."
Kuriosidad: "Tingnan ang bagong paglunsad ng 'sero-tax' token."

Habang naglalakbay tayo sa 2026, ang mga paraan na ginagamit ng mga manliligaw ay nagbago mula sa simpleng mga e-mail na may "maliit na gramatika" patungo sa mataas na teknolohiyang panggagambala.

Mga pahina na panggagawang at pagpapalit ng titik

Gumagawa ang mga attacker ng mga malapit na perpekto na kopya ng mga populatong platform ng exchange o mga provider ng wallet. Madalas nilang ginagamit ang Typosquatting, kung saan ang URL ay kaunting binago—halimbawa, paggamit ng zero kesa sa titik 'o'.

Address Poisoning at Zero-Value Transfers

Ito ay isang mas bagong taktika na disenyo upang pagsamantalahan ang mga gawi ng "copy-paste". Gumagamit ang isang attacker ng isang bot upang suriin ang iyong wallet. Pagkatapos ay nililikha nila ang isang "vanity address" na tila halos magkakapareho sa isang address na ikaw ay nakakitaan ng pagkakataon. Ibinibigay nila ang isang maliit na amount ng crypto sa iyo. Kapag pupunta ka upang gawin ang iyong susunod na pag-transfer, maaaring malito mong kopyahin ang address ng attacker mula sa iyong kasaysayan ng transaksyon.

AI-powered na "Vishing" at Voice Cloning

Ang pagtaas ng AI ay nagbago sa larangan kung paano gumagana ang phishing sa crypto. Maaari ngayon ng mga manliligaw na kopyahin ang boses ng CEO ng exchange o ng tagapagtatag ng proyekto gamit ang audio mula sa social media. Maaaring makatanggap ka ng "tawag sa suporta" na may tunog na eksaktong tulad ng isang totoong tao, na hihikayat ka na "patotohanan ang iyong seed phrase" upang maiwasan ang pag-hack.

Mga mapanlinlang na pagpapahintulot sa smart contract

Sa halip na magtakas ng iyong password, ang mga modernong phisher ay nagpapakalat sa iyo upang mag-sign ng isang transaksyon sa isang pekeng dapp (Decentralized Application). Ang pag-sign na ito ay hindi agad nagpapadala ng pera; sa halip, ito ay nagbibigay ng "Unlimited Allowance" sa contract ng attacker upang gastusin ang iyong mga token sa hinaharap.

Upang mas mabuting protektahan ang sarili, nakakatulong na makita ang mundo sa pamamagitan ng mga mata ng isang attacker. Narito ang karaniwang buhay-siklo ng isang crypto phishing campaign noong 2026:

Phase 1: Pagsasangkot ng Impormasyon

Ang attacker ay nag-scraper ng "On-chain" data. Dahil ang mga blockchain ay publiko, makakakita sila kung aling wallet ang may mataas na balanse o kung aling mga user ay aktibo sa mga partikular na protokolo.

Pahinga 2: Ang "Panghuhuli"

Kumakatok sa iyo ang isang notification. Sa taong 2026, karaniwang isang mensahe sa Telegram o isang pekeng "Calendar Invite" sa iyong telepono. Naglalaman ito ng isang link upang "ayusin ang error" o "hingin ang reward."

Bahagi 3: Ang Interaksyon

Kinlick mo ang link at dumating ka sa isang site na tila 100% legal. Hinilingan ka na “Konektahin ang Wallet.”

Phase 4: Ang Paggamit

Hinihingi ng site na pirmahan mo ang mensahe. Maaaring mukhang simpleng pag-login, ngunit sa likuran, ito ay isang hiling na bigyan ng pahintulot ang iyong mga ari-arian.

Pahinga 5: Ang "Sweep"

Ang sandali mong lagdaan, tumatakbo ang iskrip ng attacker. Sa loob ng ilang segundo, ang iyong pinakamahalagang ari-arian ay isinapindot sa isang serye ng mga burner wallet.

Habang umuunlad ang mga banta, ang depensa ay nananatiling nakabatay sa ilang mga "Golden Rules" ng crypto hygiene.

Huwag ibahagi ang iyong seed phrase: Ito ang pangunahing susi sa iyong digital na kaban. Walang legal na empleyado ang magtatanong nito.
Gumamit ng Hardware Wallet: Ang mga device tulad ng Ledger o Trezor ay nagpapanatili ng iyong mga private key sa "cold" (offline), ibig sabihin, kahit na isang napapagod na computer ay hindi madaling mag-sign ng isang masasamang transaksyon.
I-bookmark ang opisyal na mga site: Huwag gamitin ang Google search o mga link sa social media upang makapag-access sa iyong exchange. Madalas na bumibili ang mga phisher ng "Sponsored Ads" na lumalabas sa itaas ng mga resulta ng paghahanap.
I-verify ang mga address nang manu-manual: Kapag nagpapadala ng pera, tsekin ang bawat karakter ng address ng tagatanggap, hindi lamang ang ilang unang at huling karakter.
I-install ang mga security extension: Gamitin ang mga security tool na native sa Web3 na nag-simulate ng mga transaksyon bago mo i-sign ito, at nagbabala kung ang contract ay masama.

Kahit may Two-Factor Authentication (2FA), hindi ka 100% ligtas. Ang "Session Hijacking" ay maaaring i-bypass ang 2FA kung ikaw ay magklik ng isang masamang link na humuhuli ng iyong browser cookies. Bukod dito, kung ikaw ay pinagbintangan na ibigay ang iyong seed phrase, ang attacker ay maaaring muling lumikha ng iyong wallet sa kanilang sariling device, na naglalabas ng pangangailangan para sa iyong 2FA nang buo.

Maaari bang makuha ng isang phisher ang aking crypto kung ako ay magbisita lang sa isang website?

Karaniwan, ang pagbisita lamang sa isang site ay hindi sapat upang mapawalan ng pera ang wallet. Gayunpaman, ang modernong pagpapahamak o masasamang browser extension ay maaaring makakuha ng data. Ang tunay na panganib ay nangyayari kapag nagkonekta ka ng iyong wallet at nilagdaan ang isang transaksyon o pahintulot.

Paano gumagana ang phishing sa crypto sa pamamagitan ng "Airdrops"?

Ang mga mang-aabuso ay madalas na magpapadala ng “scam tokens” sa libu-libo ng wallet. Kapag nakikita mo ang mga token na ito sa iyong wallet at pumunta sa kaugnay na website upang “swap” ang mga ito para sa halaga, ang smart contract ng website ay disenyo upang bawasan ang iyong iba pang mga ari-arian agad na pagkatapos mong i-click ang “Approve.”

Ano ang dapat kong gawin kung naniniwala akong na-phish ako?

Ilipat agad ang natitirang pera sa isang lubos na bagong wallet na may bagong seed phrase. I-revoke ang mga pagpapahintulot gamit ang mga kasangkapan tulad ng Revoke.cash. Kumontak sa suporta ng inyong exchange kung ang phishing ay nagsasangkot ng inyong exchange account.

Bakit sobrang epektibo ng address poisoning sa paraan ng phishing sa crypto?

Ito ay nagpapahalaga sa tao'y pagkakaroon ng "pagkilala sa pattern" kaysa "pag-verify ng detalye." Karamihan sa mga tao ay tanging sinusuri ang mga unang at huling ilang digit ng isang address. Sa pamamagitan ng paggawa ng isang pekeng address na nagmumula sa mga bahaging ito, ang attacker ay nakatago nang walang takot sa loob ng iyong sariling kasaysayan ng transaksyon.