Ваша скринька стає точкою вразливості для ваших веб3-активів
У світі Web3 більшість людей вже насторожені щодо «схвалень» і «seed-фраз». Але, можливо, ви не усвідомлюєте, що найбільш небезпечні атаки часто походять не з вразливостей блокчейн-контрактів — вони походять з місця, яке ви відкриваєте щодня: вашої скриньки електронної пошти.
Ця стаття розбирає найпоширеніші тактики фішингових листів у сфері Web3, використовуючи реальні приклади, щоб допомогти вам виявити пастку ще до кліку.
🎯 Чому електронна пошта? Стратегічний зсув у фішингу Web3
На відміну від традиційних фінансів, Web3 побудований на принципах «децентралізації» та «самоконтролю» — це означає: якщо ваш приватний ключ або seed-фраза будуть розкриті, зловмисники зможуть переказувати ваші активи за допомогою транзакцій, які зазвичай є незворотними та важко піддаються заморозці або відновленню. Мета фішингових листів — змусити вас «добровільно» передати цей ключ.
Крім того, електронні листи мають перевагу у «легітимній камуфляжі»: вони можуть імітувати офіційні макети, відтворювати логотипи брендів і навіть підробляти імена відправників. У багатьох випадках жертви не були необережними — вони просто знизили бдільність у той момент, коли «верифікація» здавалася необхідною.
📧 Чотири поширені типи фішингових листів Web3
| Тип скаму | Прихована ідентичність | Фактична ціль | Ключовий сигнал тривоги |
| Тип попередження безпеки | Команда безпеки біржі | Вкрадіть облікові дані та 2FA | Викликає паніку: "Ваш акаунт буде заблоковано" |
| Тип оновлення гаманця | MetaMask / Ledger / Trezor | Отримайте seed-фразу або приватний ключ | Запит на введення seed-фрази |
| Тип ейрдропу-приманки | Команда проекту / Відомий протокол | Викликати шкідливий підпис | Підключіть гаманець, щоб отримати нагороди |
| Тип верифікації особи | Відділ KYC / відповідності | Викрадення особистої інформації та доступу до акаунту | Завантажте ID + увійдіть |
🧨 Реальні випадки: від одного листа до порожнього гаманця
Випадок 1: Ланцюгова реакція після витоку даних Ledger (2020)
У 2020 році Ledger зазнав утіку бази даних електронної пошти клієнтів. У місяці, що послідували, велика кількість користувачів отримала листи, які імітували офіційну команду Ledger, з вмістом, що приблизно стверджував:
Ваші активи під загрозою. Будь ласка, негайно натисніть сюди, щоб оновити Ledger Live для забезпечення безпеки.
Посилання в цих електронних листах переносили користувачів на фальшиву сторінку Ledger Live, яка майже ідентично виглядала як справжня. Деякі користувачі ввели свою 24-слівну seed-фразу на цій сторінці — і вже через кілька секунд їхні гаманці були повністю опорожнені.
Урок: Будь-який електронний лист або сторінка, які запитують вашу seed-фразу, — це 100% скам. Ledger ніколи не запитуватиме вашу seed-фразу, і не існує жодного «термінового оновлення», яке вимагає цього.
Випадок 2: Підроблені листи біржі «Підозрілий вхід/вивід»
Ці листи майже ідентичні офіційним за макетом, логотипом і кольоровою гамою. Зміст зазвичай має такий вигляд:
Ми зафіксували незвичайний вхід з [деяке місце] / обробляється великий вивід коштів. Якщо це не ви, негайно натисніть сюди, щоб підтвердити та скасувати.
Посилання в цих листах ведуть до доменів, таких як:
-
kucoin-verify.com -
binance-secure.net -
support-kucoin.com
Після натискання користувачі потрапляють на фальшиву сторінку входу, яка виглядає точно як офіційна сторінка входу біржі, де вони вводять свої облікові дані та коди 2FA. Зловмисники у реальному часі передають цю інформацію, входять до справжньої біржі та виконують перекази активів.
Урок: Ніколи не використовуйте посилання в електронному листі для входу, підтвердження акаунту або скасування виведення. Відкрийте офіційний додаток або введіть адресу офіційного веб-сайту вручну. Усі операції з акаунтом слід виконувати лише на офіційному веб-сайті або в додатку.
Випадок 3: Підроблені листи з пропозицією отримати ейрдроп
Листи стверджують, що користувач має право на ейрдроп популярного проекту, з кнопкою «Вимагати зараз». Натискання призводить до фальшивої сторінки dapp, яка вимагає «підключення гаманця».
Після підключення сторінка запитує користувача підписати те, що виглядає як звичайна транзакція.
Однак фактичний вміст цього підпису може бути:
-
setApprovalForAll— надання дозволу контракту на керування всіма вашими NFT/токенами -
Дозвіл— авторизація поза ланцюгом для переказів токенів
Після підписання зловмисники можуть переказувати активи з гаманця в будь-який час, без додаткового підтвердження користувача.
Урок: Заявки на ейрдроп не вимагають надання дозволів невідомим контрактам. Будь-яка сторінка ейрдропу, яка запитує «підпис», спочатку повинна бути проаналізована за допомогою інструментів симуляції (наприклад, Tenderly) для розбору вмісту підпису.
Випадок 4: Цільове фішинг-атаки — фальшиві листи з пропозиціями «партнерства/зайнятості»
Ці листи мають чіткі цілі: члени команди проекту, KOL або користувачі DeFi, які тримають значні активи. Зміст зазвичай має такий вигляд:
Ми — відоме інвестиційне інституція, яка зацікавлена у вашому проекті. Будь ласка, ознайомтеся з пропозицією про партнерство у доданому документі.
Вкладення може бути документом Word, що містить макровірус, або посиланням на фальшиву сторінку завантаження програмного забезпечення для зустрічей. Після запуску шкідливе ПЗ вбудовується в пристрій, шукаючи локально збережені файли приватних ключів, знімки екрана seed-фрази або записуючи натискання клавіш.
Кілька випадків крадіжки високих сум у Web3 виникли через цей тип фішингових електронних листів із соціальною інженерією.
Урок: Не завантажуйте вкладення та не клікайте на посилання з несподіваних листів із пропозиціями про партнерство. Якщо потрібно перевірити, зв’яжіться з іншою стороною окремо через офіційні канали проекту (Twitter, Discord).
🔍 П’ять контрольних точок, щоб швидко визначити фішингові листи
Перед тим як клікнути на будь-яке посилання або завантажити будь-який вкладення у листі, пройдіть ці перевірки:
| Checkpoint | Безпечний індикатор | Сигнал небезпеки |
| Домен відправника | Точно відповідає офіційним оголошенням (наприклад, @kucoin.com) | Подібні домени (@kucoin-verify.com), піддомени з використанням назв бренду (support.kucoin.security.com) |
| Тон електронного листа | Спокійно, професійно, не викликає паніки | Дійте зараз, "Ваш акаунт буде заблоковано", "Відповідайте протягом 24 годин" |
| Запитана інформація | Тільки інформаційний контент, без запитів на чутливі дані | Запитує seed-фразу, приватний ключ, пароль для входу або код перевірки 2FA |
| Фактичне посилання URL | Домен призначення — kucoin.com або офіційний піддомен, що закінчується на .kucoin.com | Посилання веде на неофіційний домен або використовує скорочувачі URL (наприклад, bit.ly), щоб приховати справжній шлях |
| Вкладення та кнопки | Без неочікуваних вкладень або запитів на завантаження; будь-які очікувані файли перевіряються незалежно | Підозрілі розширення, такі як .docm, .exe, .scr, або кнопки «Перевірити зараз» |
🛡️ Основні рекомендації з безпеки для користувачів
Офіційні організації ніколи не запитуватимуть ваш пароль, seed-фразу, приватний ключ або код верифікації 2FA через електронну пошту.
Якщо ви отримали підозрілий лист, дотримуйтесь цього процесу:
-
Не клікайте, не вводьте, не завантажуйте: не виконуйте жодних дій, перш ніж підтвердите автентичність електронного листа.
-
Перевірте незалежно: відкрийте офіційний додаток або введіть офіційний URL-адресу вручну, щоб перевірити стан вашого акаунту та оголошення.
-
Перевірте заголовки електронної пошти: переконайтесь, що сервер-відправник походить з відомого офіційного домену (це можна перевірити за допомогою записів
SPF,DKIMтаDMARC). -
Повідомити та видалити: Надішліть фішингове листа офіційній команді безпеки, а потім видаліть його.
🧰 Рекомендації щодо відповідей з погляду контролю ризиків
Якщо ви отримали або виявили фішингове листа, ви можете допомогти припинити загрозу, виконавши такі кроки:
-
Збережіть оригінальний електронний лист (включаючи повні заголовки електронного листа, які можуть допомогти відстежити IP-адресу та домен відправника).
-
Вилучіть домен фішингового посилання та подайте звіти про зловживання реєстратору домену або хостинг-провайдеру.
-
Звіт у бази даних безпеки: такі як Google Safe Browsing, APWG та PhishTank.
-
Видати внутрішнє попередження про ризик: попередити інших користувачів про подібні методи атак.
💎 Висновок: Перед тим як клікнути, задайте собі три питання
У світі Web3 безпека активів залежить не тільки від того, чи був контракт перевірений, а й від вашого рішення перед кожним «кліком».
Наступного разу, коли ви відкриватимете листа і бачитимете «Невідкладна верифікація», «Заявка на ейрдроп» або «Аномалія акаунту», задайте собі три питання:
-
Чи я дійсно ініціював цю дію?
-
Чи є домен цього посилання офіційним?
-
Якби це було справжнім, що б воно показувало у офіційному додатку?
Електронні листи можна підробити, паніку можна спровокувати, але регулярна перевірка — це завжди найефективніший засіб проти фішингових атак.
Disclaimer: The information on this page may come from third parties and does not necessarily reflect KuCoin’s views. It is provided for general reference only and should not be interpreted as financial or investment advice.
Virtual asset investments may involve risk. Please carefully assess the product risks and your own risk tolerance. For more information, please refer to our Terms of Use and Risk Disclosure.