Poiché gli utenti di criptovalute si abituano sempre più a utilizzare portafogli decentralizzati per archiviare e trasferire risorse crittografiche, anche i criminali prendono di mira quest'area. Inoltre, il settore OTC è anche un punto caldo per le frodi. Recentemente, si sono verificati frequentemente incidenti di sicurezza come furti di portafogli, phishing on-chain e inganni OTC, causando gravi perdite di risorse a molti utenti.
Gli esperti di sicurezza di TAO Tech hanno risolto diversi recenti scenari di frode on-chain e OTC e hanno allegato contromisure, sperando di aiutare tutti a evitare perdite.
1. Phishing con indirizzi simili
Gli aggressori sfruttano l'abitudine degli utenti di copiare gli indirizzi precedenti nei record delle transazioni per generare indirizzi con lo stesso primo e ultimo numero a scopo di phishing.
L'aggressore monitorerà il trasferimento sulla catena e utilizzerà strumenti per generare un indirizzo falso coerente con l'indirizzo del portafoglio del trasferimento della "vittima" e utilizzerà l'indirizzo falso per trasferire una piccola quantità di token (come 0,01 USDT o 0,001 USDT, ecc.) all'utente. Una volta che l'utente trasferisce nuovamente denaro, quando fa clic sull'indirizzo nel record storico dei trasferimenti, effettua accidentalmente il trasferimento sbagliato, con conseguente perdita di risorse.
Contromisure: prima di eseguire qualsiasi operazione, assicurarsi di controllare ciascuna cifra dell'indirizzo una per una invece di controllare solo la prima o l'ultima cifra dalla memoria.
Utilizza la funzione rubrica del portafoglio per salvare gli indirizzi e non copiare gli indirizzi per i trasferimenti recenti nella cronologia.
2. Pubblicità della pesca
Proprio come gli utenti domestici preferiscono utilizzare Dou per cercare cose, gli utenti stranieri e gli utenti crittografati preferiscono utilizzare Google per la ricerca. Recentemente sono stati segnalati numerosi casi di utenti vittime di phishing da parte degli annunci di ricerca di Google.
Questi siti Web dannosi si mascherano da Zapper, Lido, Stargate, Defillama e altri progetti. Le vittime entrano nei siti Web dannosi e firmano firme dannose durante l'uso, il che alla fine porta alla perdita di risorse nel portafoglio.
Questi annunci utilizzano il parametro gclid per commettere frodi Se un utente fa clic sui risultati degli annunci di ricerca di Google, al collegamento verrà aggiunto gclid. In base a ciò è possibile distinguere diverse origini utente e visualizzare diverse pagine.
Ciò che Google vede durante la fase di revisione pre-lancio potrebbero essere normali pagine web. In questo modo, inganna con successo la revisione degli annunci di Google, facendo sì che questi annunci vengano eventualmente visualizzati dai consumatori, causando gravi danni agli utenti.
Contromisure: prendi ulteriori precauzioni quando utilizzi i motori di ricerca e non fare clic sui collegamenti in nessuna area pubblicitaria. È meglio passare al sito Web ufficiale tramite Twitter ufficiale e altri canali.
3. Frode nell'autorizzazione al lancio aereo
L'attaccante prima emette un token senza valore, quindi utilizza lo swap (wallet flash exchange) sulla catena per formare un LP e lasciare che la moneta mostri il prezzo. L'aggressore cerca quindi l'"indirizzo del portafoglio attivo" sulla catena e trasferisce queste monete aeree in batch nel portafoglio dell'utente.
Dopo che gli utenti ricevono le monete, penseranno che le monete valgano centinaia o migliaia di U, ma in realtà queste monete non possono essere vendute in borsa. I truffatori pubblicheranno un gran numero di modi per vendere la valuta, richiedendo agli utenti di visitare un sito Web per vendere. Quando gli utenti visitano il sito Web per vendere, verrà loro richiesto di pagare una piccola commissione di mining, che in realtà equivale a ottenere l'autorizzazione dal portafoglio. Una volta autorizzato, l'aggressore può rubare la password dell'utente.
Un'altra truffa che coinvolge l'airdrop e il furto di monete è che i truffatori creano prima un sito web ufficiale del progetto di "alto profilo", quindi pubblicano informazioni ovunque dicendo che le monete verranno emesse presto e il portafoglio CONNECT può registrarsi per ricevere l'airdrop. Dopo che l'utente lo ha autorizzato, l'aggressore può rubare altre risorse nel portafoglio dell'utente.
Strategia di coping: per favore, non credere alle sciocchezze. Quando ti imbatti in un token sconosciuto e costoso che appare all'improvviso nel tuo portafoglio, non esplorare come venderlo. Basta eliminare le informazioni su valuta nel tuo portafoglio.
4. Portafoglio falso
Gli aggressori raccolgono le e-mail degli utenti e i numeri di cellulare attraverso alcuni canali neri e grigi, determinano le app del portafoglio che gli utenti utilizzano frequentemente e le prendono di mira per attaccarle. Dopo averle scaricate, inviano e-mail e messaggi di testo falsi ufficiali di aggiornamento delle app quelli ufficiali, ma raccolgono informazioni sull'utente, mnemonici della chiave privata, ecc.
In effetti, prima di questo, venivano creati molti siti di download di portafogli e siti Web ufficiali falsi per l'ottimizzazione SEO. Una volta che gli utenti cercano i download di portafogli sui motori di ricerca, entreranno in questi siti. In effetti, il portafoglio scaricato non è un portafoglio ufficiale, ma a programma dannoso, che ruberà la frase mnemonica o la chiave privata dell'utente quando l'utente importa il portafoglio.
Contromisure: scaricare tramite Appstore (estero) o Google Play. Non installare tramite siti Web o pacchetti di installazione APK reindirizzati dai motori di ricerca.
5. Truffa per il furto dell'account Telegram
Molte persone trovano difficile credere, come potrebbe un cosiddetto amico rubare facilmente il loro account? Ma in realtà, questo tipo di truffatori sfruttano le funzionalità dei prodotti Telegram, incluso il meccanismo di accesso multiterminale e il numero di cellulare dell'utente aperto per impostazione predefinita, consentendo loro di rubare facilmente gli account di altre persone.
Innanzitutto, il meccanismo di accesso multiterminale di Telegram consente agli utenti di accedere ai propri account su più dispositivi contemporaneamente. Sebbene questo sia conveniente, significa anche che devi solo ottenere il numero di cellulare e il codice di verifica di una persona per accedere al suo account. Per impostazione predefinita, Telegram consente a tutti di visualizzare il numero di cellulare di un utente, consentendo agli aggressori di ottenere facilmente le informazioni di cui hanno bisogno.
In secondo luogo, ogni volta che accedi al tuo account Telegram, devi sottoporti a una verifica di sicurezza, che include l'inserimento di un codice di verifica di 4 cifre. Questo codice di verifica verrà visualizzato nel canale dell'etichetta blu sulla schermata principale ed è valido per 60 giorni. Pertanto, se un truffatore riesce a indurti a fare uno screenshot quando viene inviato un codice di verifica, può facilmente ottenere il codice e rubare il tuo account.
I truffatori hanno creato una serie di inganni attorno a questo. Gli inganni comuni includono due amici (tu), aiutami a trovare qualcuno, il mio account è stato rubato e spero che tu possa aiutare con la verifica, e ci sono molti altri modi In breve, semplicemente vuoi che tu fornisca screenshot.
Contromisure: imposta il tuo numero di cellulare in modo che nessuno possa vederlo, ovvero che i truffatori non possano vedere il tuo numero di cellulare.
Attiva la verifica in due passaggi nelle impostazioni.
Non perdere mai gli screenshot del tuo elenco di messaggi.
6. Truffe nelle transazioni di scambio C2C
Il deposito e ritiro C2C dello scambio è una piattaforma di rilascio di informazioni in cui entrambe le parti pubblicano informazioni di acquisto e vendita sulla piattaforma.
Molte persone credono che le transazioni C2C sugli scambi dovrebbero essere garantite. La piattaforma funge da intermediario. A parte il rischio per la sicurezza dei fondi, non ci saranno altri problemi. In effetti, ci sono alcune truffe negli scambi C2C.
Informazioni di pagamento false
In questo tipo di truffa, il truffatore ti invierà una falsa ricevuta di pagamento. Se lo stato del pagamento non è confermato, verrai facilmente ingannato confermando direttamente lo svincolo con la ricevuta.
Alcuni truffatori invieranno un falso SMS di bonifico bancario al tuo telefono dopo aver appreso il tuo numero di cellulare. Se non conosci il numero della banca, potresti essere facilmente ingannato dall'SMS.
Informazioni di pagamento false (avanzato)
Questo tipo di truffa è ancora più sofisticata, oltre a inviarti false ricevute di pagamento, i truffatori cercheranno costantemente di accedere all'APP della banca tramite il conto bancario o il numero di cellulare che hai fornito, perché molte APP bancarie attuali supportano i numeri di carta. la comodità degli utenti./Numero della carta d'identità/Numero di cellulare per accedere.
Dopo che i truffatori continuano a utilizzare le tue informazioni per accedere e inserire password errate, l'APP della tua banca verrà automaticamente bloccata per un periodo di tempo, quindi non avrai modo di verificare se il pagamento è stato ricevuto, ma la piattaforma di solito attende 10 minuti dopo che l'altra parte ha confermato il pagamento, il tempo di conferma è di circa 10 secondi, durante i quali non puoi accedere per verificare e il truffatore continua a esortarti a confermare e rilasciare, il che alla fine ti porta a essere ingannato.
Strategia di coping: dopo che l'altra parte dichiara di effettuare un pagamento, è necessario accedere al proprio conto bancario o a ZFB e ad altre piattaforme per confermare che il pagamento è stato ricevuto nella fattura prima di rilasciarla.
Se l'altra parte ha bloccato l'APP della tua banca, puoi chiamare il servizio clienti della banca per confermare se il conto è stato ricevuto. Prima di confermare la ricezione del denaro, non importa quanto ti solleciti l'altra parte, non confermarlo.
Induzione di frodi fuori sede
Molti commercianti di valuta aggiungeranno le tue informazioni di contatto dopo aver completato la transazione per la prima volta, affermando che in futuro le transazioni tramite WeChat e altri metodi saranno semplici e veloci senza controllare il fatturato. Dopo aver effettuato alcune normali transazioni troverà un ordine più grande per correre. La strada è bloccata e non puoi essere protetto perché non hai superato la piattaforma.
Questo metodo è meno comune dopo essere stato represso da diverse piattaforme tradizionali. Ora molti commercianti di valuta aggiungono le tue informazioni di contatto dopo la transazione, e poi ti dicono che hanno insegnanti qui che possono guidarti ad aprire transazioni di contratto, ecc., e ti chiedono. per registrarsi per qualcosa.
Infatti, se si registra al cambio tramite il link da lui inviato, può ottenere una commissione sulle commissioni di gestione generate durante la transazione. Inoltre, il commerciante di valuta e il cambio sono collusi, inserendo deliberatamente ordini per errore in "perdita". e non sono consentiti nemmeno i prelievi.
Strategia di coping: ignorare tutte le richieste di integrazioni, non essere avidi di comodità e non credere nel cosiddetto contratto con ordini.
Assegno errato (estero)
Questo tipo è più comune a Hong Kong e in altre aree in cui è possibile il trasferimento di assegni. L'altra parte deposita un assegno errato sul conto bancario e quindi rilascia le monete sono stati trasferiti fuori.
A Hong Kong, gli assegni errati possono causare un aumento dei saldi bancari, ma in realtà si tratta di depositi congelati.
7. Frode pubblicitaria
Molte persone hanno visto annunci per l'acquisto e la vendita di U su Weibo, Twitter, Telegram e altre piattaforme. Ci sono anche annunci per U a basso prezzo e U ad alta imitazione, che sono molto inferiori al prezzo di mercato se vuoi trarne vantaggio della situazione, verrai ingannato.
Carica U a un prezzo elevato
I truffatori pubblicheranno annunci che offrono U al 3-5% in più rispetto al prezzo di mercato. Per dimostrare che non sono truffatori, ti chiederanno prima di pagare e poi trasferire U.
Ma ti chiederanno di dimostrare che hai U nel tuo portafoglio, quindi inizieranno una piccola collaborazione, faranno prima pagare e poi trasferiranno U a loro. In questo momento, la tua carta bancaria riceverà un pagamento che varia da diverse centinaia a diverse migliaia di yuan. Ti hanno già trasferito i soldi, quindi devi trasferirli a U, altrimenti è una truffa. Ma il denaro viene trasferito in modo fraudolento dalla carta bancaria della vittima direttamente a te, rendendoti facile ricevere "denaro nero".
Dopo alcune transazioni, l'altra parte potrebbe trovare qualche motivo per chiederti prima di trasferire U e poi darti i soldi in seguito. Potrebbero dire che siamo tutti "vecchi amici" e dovresti credergli. Se non sei disposto a trasferire denaro, verrai considerato disonesto e potresti perdere un "grande cliente". Quindi molto probabilmente accetterai prima il trasferimento U per dimostrare la tua sincerità. Finirai per essere truffato su una transazione di grandi dimensioni.
In vendita a basso prezzo U
Il truffatore afferma che la U che ha in mano è una U nera e proviene da mezzi illegali come piattaforme di gioco d'azzardo o frodi. Ti venderanno U per $ 1 o $ 2 al di sotto del prezzo di mercato. Tuttavia, questo richiede che tu paghi prima o non ti daranno la U. Ti consiglieranno di iniziare con piccoli tentativi, come transazioni di poche centinaia di dollari, per dimostrare che sono affidabili.
Quando aumenti gradualmente l'importo della transazione, ad esempio migliaia, decine di migliaia o addirittura centinaia di migliaia, quando raggiunge un determinato importo, il truffatore ti bloccherà e perderà il contatto.
Alta imitazione U
Questa truffa è la più disgustosa. Il truffatore afferma di aver emesso una "U ad alta imitazione" che può essere ricaricata su scambi o piattaforme di gioco online. Ti chiederà prima di acquistare alcune piccole quantità di U per sperimentare.
Dopo aver trasferito una piccola quantità di U al truffatore, trasferirà alcuni U falsi sul tuo portafoglio. Quando proverai a ricaricare sul tuo indirizzo di scambio, il truffatore monitorerà il tuo portafoglio Dopo aver visto che trasferisci i soldi, ricaricherà quelli reali U al tuo indirizzo di scambio e dopo pochi minuti scoprirai che è effettivamente arrivato sul tuo conto di scambio.
Quindi vorrai acquistare di più e il truffatore ti suggerirà di acquistarne di più in base ai record delle transazioni passate e al saldo del tuo portafoglio. Se scopri di avere pochi soldi, ti potrebbe dire che la quantità iniziale è 1.000 o 2.000; se ti accorgi di avere molti soldi, ti potrebbe dire che la quantità iniziale è 100.000 o 1 milione;
Questa volta compri di nuovo e ti trasferirà comunque qualche U falsa. Ma quando li trasferisci nuovamente allo scambio, sono trascorsi 10 minuti, 20 minuti o anche un giorno, ma il tuo account non è stato ancora accreditato. A questo punto andrai all’exchange e ti lamenterai, ma il truffatore ti trasferirà i soldi rubati.
In generale, questi tre tipi di truffe sfruttano la tua avidità per frodare e condurranno prima ad alcune transazioni reali per guadagnare la tua fiducia. I telegrammi che non richiedono nomi reali sono le aree in cui è più probabile che si verifichino truffe.
Strategia di coping: per favore, non credere a tali pubblicità. Non esiste una cosa come perdere la torta. Compra e vendi attraverso scambi o canali regolari.
8. Frode nelle transazioni offline
L'altro ha espresso il timore di essere truffato o che il denaro in sue mani fosse stato ottenuto illegalmente e di voler effettuare una transazione in contanti. E pensi che il prezzo della transazione in contanti sia adeguato e possa evitare il congelamento della carta, quindi sei d'accordo.
La maggior parte di queste truffe richiedono che tu faccia in modo che un'altra persona ritiri il denaro in un luogo concordato, oppure l'altra parte porterà alcune persone a commerciare con te e le condurrà in un luogo remoto per derubarti direttamente.
Rispetto alle truffe online in cui si perde solo denaro, questo tipo di transazione è la più pericolosa e può addirittura mettere a rischio la sicurezza personale. Ci sono stati anche molti casi penali.
Strategia di coping: evita transazioni offline con persone con cui non hai familiarità.