Viele glauben: Solange man die richtige URL eingibt und die App aus dem offiziellen Store herunterlädt, kann man nicht bestohlen werden. Zwei echte Vorfälle aus dieser Woche haben diese Annahme gründlich widerlegt.
I. Was ist diese Woche passiert?
1）Domain-Hijacking: In der Nacht vom 30. auf den 31. Oktober wurden die DNS-Einstellungen von 15 DeFi-Projekten beim Registrar Name.com geändert. Dazu gehörten die Token-Launch-Plattformen Flap, Kintsu, FluxBeam und StonkFun auf der BSC. Die Nutzer gaben die richtige URL ein, landeten aber auf gefälschten Websites der Angreifer, auf denen das Krypto-Diebstahltool Step Drainer eingebunden war. Laut Bitquery wurden innerhalb weniger Stunden rund 200.000 US-Dollar aus 32 Wallets auf 6 Blockchains gestohlen – und jede einzelne Transaktion wurde von den Opfern selbst signiert. Mit den Smart Contracts der Projekte war alles in Ordnung; das Problem lag bei der „Website“.
2) Gefälschte Apps im App Store: Eine App, die sich als Padre ausgab, ein Solana-Trading-Tool, wurde im Apple App Store veröffentlicht. Nachdem Nutzer ihre privaten Schlüssel importiert hatten, wurden ihre Wallets geleert. Der On-Chain-Ermittler Iris zufolge wurden seit dem 25. Oktober 27 Wallets um etwa 23.000 US-Dollar bestohlen. Die Angreifer tauschten außerdem $USDC gegen $SOL, um ein Einfrieren zu verhindern. Das echte Padre gibt es nur als Webversion, eine mobile App existiert überhaupt nicht. Im selben Zeitraum wurden auch verdächtige Apps entdeckt, die sich als Tools wie Axiom und GMGN ausgaben.
Fazit: Eine offizielle Website oder ein offizieller App Store bedeutet nicht automatisch Sicherheit. Die letzte wichtige Hürde sind die paar Sekunden, bevor du auf „Signieren“ drückst.
Zweitens: 4 Schritte zur Selbstprüfung vor dem Signieren
Schritt 1: Prüfe, was im Pop-up angefordert wird. Bei normalen Interaktionen geht es in der Regel um Swaps, Mints oder Einzahlungen, und der Betrag sollte deinen Erwartungen entsprechen. Sobald approve, setApprovalForAll, permit oder increaseAllowance auftaucht und das Genehmigungslimit auf „unbegrenzt“ gesetzt ist, solltest du erst einmal stoppen.
Schritt 2: Prüfe den Empfänger und die Vertragsadresse. Stimmt die im Wallet-Pop-up angezeigte Vertragsadresse mit der in der offiziellen Projektdokumentation oder im angepinnten Beitrag auf X veröffentlichten Adresse überein? Wenn nicht, schließe das Fenster.
Schritt 3: Achte darauf, wenn du angeblich „nur angemeldet“ wirst, aber eine Transaktion signieren sollst. Das Verbinden eines Wallets kostet nichts. Wenn eine Seite für einen „Airdrop“ oder eine „Berechtigungsprüfung“ verlangt, dass du eine Transaktion oder eine Reihe unverständlicher Permit-Daten signierst, handelt es sich mit hoher Wahrscheinlichkeit um Phishing.
Schritt 4: Achte auf den Zeitpunkt. Wenn ein Projekt plötzlich ankündigt, die Nutzung des Frontends auszusetzen, oder ein Sicherheitsunternehmen eine Warnung herausgibt, solltest du vorerst nichts signieren – selbst auf Websites, die du regelmäßig nutzt. Folge den offiziellen Projektkonten sowie Sicherheitskonten wie Blockaid und SlowMist. Das ist hilfreicher als jeder Trick.
Drittens: 3 Regeln für das Herunterladen von Apps
1. Lade Apps nur über Links herunter, die auf der offiziellen Projektwebsite zum App Store führen. Suche nicht direkt im Store nach dem Namen.
2. Prüfe den Entwicklernamen, die Zahl der Downloads und die Bewertungen. Stimmt der Entwicklername nicht oder schreibt jemand in den Bewertungen „bestohlen“, lösche die App sofort.
3. Verwende niemals ein Trading-Tool, das dich auffordert, einen „privaten Schlüssel/eine Seed-Phrase zu importieren“. Seriöse Trading-Plattformen verbinden sich mit deinem Wallet, statt nach deinem privaten Schlüssel zu fragen.
Viertens: Was tun, wenn du bereits signiert hast?
1. Gehe sofort zu revoke.cash oder zur integrierten Berechtigungsverwaltung deines Wallets und widerrufe verdächtige Berechtigungen ($BNB Denk daran, auf der jeweiligen Chain etwas BNB für die Gasgebühren zurückzubehalten).
2. Wenn du einen privaten Schlüssel oder eine Seed-Phrase eingegeben hast, gilt das Wallet als kompromittiert: Erstelle ein neues Wallet, übertrage die verbleibenden Vermögenswerte dorthin und verwende das alte Wallet nicht mehr.
3. Das Widerrufen von Berechtigungen verhindert nur, dass künftig weitere Vermögenswerte abgezogen werden. Was bereits überwiesen wurde, lässt sich nicht zurückholen. Hüte dich vor Personen, die Geld dafür verlangen, dir bei der „Rückholung deiner Gelder“ zu helfen – oft handelt es sich dabei um eine zweite Betrugsmasche.
Fünftens: Ein Satz für Einsteiger
Bewahre größere Vermögenswerte in einem Wallet auf, das du ausschließlich zum Aufbewahren nutzt und mit dem du niemals leichtfertig etwas signierst. Für Meme-Coins, Airdrops und kostenlose Mints verwendest du ein separates kleines Wallet, auf dem nur der Betrag liegt, den du gerade benötigst. So bleibt dein Verlust begrenzt, selbst wenn du einmal auf eine gehackte Website gerätst.
In letzter Zeit heben viele nach und nach Geld ab oder übertragen es auf andere Wallets. Prüfe vor einer Überweisung die ersten und letzten vier Zeichen der Adresse – lass dir Zeit.
DYOR, keine Anlageberatung.
#币安陆续恢复多个资产及网络提现服务 #币安更新储备证明地址