В мире Web3, независимо от того, являетесь ли вы обычным игроком, инвестором с высоким доходом или частью проекта, одним из рисков, с которым вы столкнетесь, являются мошенничества.
Согласно отчету Chainalysis (The Chainalysis 2025 Crypto Crime Report), в 2024 году общий объем цепочных преступлений в мире достиг 24 миллиардов долларов, из которых:
Объем мошеннических транзакций достиг 9,9 миллиарда долларов, особенно часто встречаются схемы «схемы убивания свиней», фишинговые сайты и поддельные инвестиционные проекты;
Сумма украденных средств превышает 2,2 миллиарда долларов, более 60% из которых связано с утечкой закрытых ключей и фишингом социальной инженерии;
Атаки программ-вымогателей, манипуляции на рынке и другие преступные действия также встречаются довольно часто.
Но оглядываясь на эти случаи, вы заметите общую черту, на которую стоит обратить внимание: независимо от технологического прогресса, конечная уязвимость всегда заключается в самой «человечности».
Верно, «стандартное оружие» цепочных преступлений - это именно то, о чем хочет рассказать Portal Labs: атаки социальной инженерии.
Что такое атака социальной инженерии?
Тем не менее, реальность показывает нам, что самое уязвимое - это не технологии, а человеческая природа.
Это и есть суть атак социальной инженерии (Social Engineering Attack).
Атаки социальной инженерии не зависят от уязвимостей на уровне кода, а осуществляются через маскировку, манипуляции и контроль, заставляя вас добровольно передавать конфиденциальную информацию или выполнять опасные действия.
По сравнению с высокими технологическими атаками, атаки социальной инженерии имеют низкие затраты и высокий уровень успеха: будь то мошенничество, кража средств или вымогательство, в большинстве случаев первый шаг - это заставить вас нажать «Подтвердить».
В заключение, все схемы социальной инженерии сводятся к следующим трем основным методам:
Маскировка под авторитетных лиц. Подделка обслуживания клиентов, официальных лиц, партнеров, чтобы снизить вашу бдительность, используя «кажущиеся надежными» идентичности.
Создание ощущения срочности. Аномалии в аккаунте, аирдропы токенов, эксклюзивные инвестиционные возможности… заставляют вас думать, что «если не действовать сейчас, вы потеряете».
Создание замкнутого круга доверия. Введение вас в поддельные группы, выдавая себя за друзей или KOL, групповая обработка, побуждающая вас шаг за шагом попадать в ловушку.
Важно отметить, что атаки социальной инженерии становятся систематизированными и профессионализированными.
Chainalysis также отметила, что за последние три года мошеннические группы постепенно начали использовать AI-замену лиц, технологии создания больших данных и автоматизированные рекламные технологии, разрабатывая сценарии и процессы для различных групп пользователей.
В будущем, возможно, одного лишь уровня бдительности индивидуумов будет недостаточно для предотвращения всех рисков; системные решения безопасности, кросс-цепочные риски и изоляция ключевых полномочий станут «стандартной конфигурацией» для игроков с высоким доходом и проектных групп.
Типичные сцены и реальные случаи
В отличие от технологических атак, атаки социальной инженерии имеют четкие цели и обычно нацелены на конкретных людей в организации. Хакеры разрабатывают сценарии и создают условия, основываясь на поведении различных групп в Web3, чтобы точно нацелиться на них. Распространенные схемы включают следующие категории:
Для обычных игроков
Самая распространенная схема - это «подделка официального обслуживания клиентов», которое активно шлет вам сообщения, лжесказывая о проблемах с аккаунтом, замораживании средств, требуя верифицировать мнемонические фразы или выполнять действия для разморозки, в результате чего ваши активы мгновенно уходят.
Недавно австралийские власти начали преследование мошеннической группы, выдававшей себя за криптобиржу Binance; эти мошенники направляли жертв звонить на поддельные горячие линии, переводя средства на кошельки, контролируемые хакерами.
Кроме того, ссылки на фишинговые предложения, такие как «бесплатные аирдропы» и «NFT红包», встречаются довольно часто. В отчете Chainalysis упоминаются Crypto Drainers, большинство из которых относятся к такой категории случаев, среди которых особенно примечателен инцидент, произошедший в январе 2024 года. В то время мошенники взломали аккаунты в социальных сетях Комиссии по ценным бумагам и биржам США (SEC) и опубликовали ложные аирдропы, побуждая пользователей подключать свои кошельки для получения поддельных токенов, в результате чего активы были украдены.
Существуют также распространенные «поддельные торговые группы», особенно активные в Telegram и Discord. Злоумышленники обычно маскируются под официальных лиц или крадут аккаунты друзей, чтобы пригласить вас в группу, и почти все в группе, кроме вас, являются мошенниками или ботами, которые будут часто推送 ложные проекты и высокодоходные возможности, ожидая, пока вы клюнете.
Для инвесторов с высоким доходом
Для высокодоходных групп атаки часто более целенаправленные.
Злоумышленники могут маскироваться под известных KOL, партнеров семейных офисов или управляющих фондами через LinkedIn, Twitter и другие каналы, предлагая «эксклюзивные инвестиции» и «внутренние инвестиционные возможности», создавая закрытые «круги доверия» с помощью поддельных социальных аккаунтов и инвестиционных документов.
В отчете Chainalysis особенно подчеркивается, что в 2024 году команда «схемы убивания свиней» использовала поддельные схемы семейных офисов, чтобы обмануть множество инвесторов с высоким доходом, общая сумма вовлеченных средств составила десятки миллионов долларов.
Кроме того, атаки с обменом SIM-карт также нередки: мошенники убеждают телекоммуникационные компании перенести номер телефона, чтобы сбросить пароль к вашему аккаунту на бирже и контролировать средства.
Для проектных команд Web3
Команды проектов часто сталкиваются с мошенничеством в сотрудничестве, бизнес-расширении и технической интеграции.
Например, хакеры могут выдавать себя за известных руководителей CEX или экологических партнеров, приглашая на онлайн-встречи, при этом отправляя поддельные ссылки на Zoom или вредоносные файлы контракта.
В 2024 году SlowMist раскрыла несколько случаев, когда хакеры подделывали ссылки на видеоконференции, нацеливаясь на авторизацию мультиподписей проекта и управление закрытыми ключами. Платформа Huione Guarantee, упомянутая в отчете Chainalysis, предоставляла мошенническим группам услуги по AI-замене лиц и подделке KYC, помогая им создать видео с изображениями CEO и CTO для получения финансовых полномочий.
Кроме того, злоумышленники часто используют названия «пакет обновления SDK» или «API документация», чтобы разместить ссылки на вредоносный код для команд разработчиков и побудить их к загрузке.
Для соискателей Web3
Атаки социальной инженерии также часто встречаются в информации о «вакансиях» и «подработках».
Злоумышленники могут выдавать себя за HR-ов проектных компаний, сотрудников ведущих платформ или подделывать сайты вакансий, предлагая высокооплачиваемые должности, чтобы привлечь соискателей к отправке резюме. После установления доверия они часто направляют на поддельные ссылки для собеседований, заставляют загружать вредоносные файлы или даже вводят вас в так называемую «платформу задач», чтобы обманом получить средства через пополнение счета.
В отчете Chainalysis отмечается, что в 2024 году команды «схемы убивания свиней» начали использовать поддельные вакансии как новую бизнес-линию, побуждая жертв непрерывно вкладывать средства, пока они не смогут вывести деньги. Кроме того, SlowMist также зафиксировала несколько случаев мошенничества с поиском работы, когда злоумышленники отправляли вредоносные ссылки через поддельные приглашения на вакансии, крадя доступ к кошелькам или конфиденциальную информацию.
Как защититься от атак социальной инженерии?
Вы никогда не сможете полностью остановить мошенников, но вы можете не дать им шанса.
Основная идея всего одна: повысить чувствительность к искушениям, запугиванию и кругу доверия, а также использовать технические меры защиты одновременно.
Вся информация должна проверяться только через официальные каналы. Обязательно пересекайте данные через официальные электронные почты, Twitter-аккаунты и Discord-группы.
Установите плагины против фишинга. Плагины против фишинга, такие как Wallet Guard и PhishFort, могут эффективно блокировать фишинговые сайты и вредоносные ссылки, которые были отмечены.
Никогда не давайте свои закрытые ключи, будьте осторожны с подписями и авторизациями. Любая законная платформа и проект никогда не будут запрашивать ваши закрытые ключи и мнемонические фразы. Перед подписанием контракта обязательно проверьте источник контракта и разрешения на вызов.
Строгий контроль бизнес-взаимодействий для проектных команд и ключевых членов. Рекомендуется включить защиту от фишинга для электронных почтовых ящиков ключевых сотрудников, а для получения документов использовать песочницу, отказываясь от непроверенных приглашений SDK/API.
Иерархия кошельков и распределение активов. Рекомендуется комбинировать холодные и аппаратные кошельки, с изоляцией повседневных операций, инвестиционных кошельков и кошельков для хранения, а также использовать мультиподпись для защиты.
Привычка «остановиться на 5 минут» и отложить реакцию. При любых операциях, связанных с переводами или срочными действиями, обязательно делайте паузу на 5 минут и проверяйте, прежде чем действовать. Мошенничества социальной инженерии боятся, когда вы сохраняете спокойствие.
Первый шаг в инвестициях Web3 - это не стремление к прибыли, а умение сохранить свой капитал.
Не давайте мошенникам никаких возможностей.