Основные темы поста:
DApps — это приложения на основе блокчейна с задними частями, управляемыми умными контрактами, которые позволяют децентрализованные взаимодействия с криптовалютами без посредников.
Сценарий DApps предлагает беспрецедентную полезность и обладает огромным потенциалом, но также может подвергать пользователей рискам. Общие тактики мошенничества в этом пространстве включают социальную инженерию, мошенничество с одобрением, мошенничество с подписью и фальшивые сайты для исправления блокчейна, нацеленные на кошельки пользователей.
Защитите себя, проверяя DApps, понимая разрешения перед одобрением, используя функции безопасности Binance Wallet и никогда не делясь своей seed-фразой или приватными ключами.
В децентрализованных приложениях (DApps) вы контролируете ситуацию — но вы также являетесь последней линией защиты. От протоколов DeFi и рынков NFT до игр на основе блокчейна DApps позволяют вам предоставлять активы для займа, торговать и играть с криптовалютами без необходимости в посредниках.
Но без обслуживания клиентов и с умными контрактами, управляющими каждым действием, часто нет кнопки отмены после одобрения транзакции или подписания сообщения.
В этом руководстве мы поможем вам безопасно и уверенно ориентироваться в DApps — от выявления рискованных разрешений до управления одобрениями токенов — чтобы вы могли исследовать Web3, не теряя сна (или своих средств).
Что такое DApps?
Децентрализованное приложение (DApp) — это приложение, которое работает в сети блокчейн, такой как Ethereum или BNB Chain, а не полагается на централизованные серверы. Рассматривайте это как приложение с публичной, прозрачной и неизменяемой задней частью, управляемой умными контрактами.
В Binance Wallet вы можете подключаться к DApps через QR-код, просматривать или искать на странице [Откройте] или нажимать на проверенные DApps в кошельке.
Опасности DApps
Открытая природа Web3 означает, что любой может развернуть умный контракт или создать интерфейс DApp. Мошенники использовали эту свободу и отсутствие централизованной поддержки в клиенте для создания «фальшивых DApps», которые очень близко имитируют легитимные. Эти вредоносные приложения тщательно разрабатываются, чтобы обмануть пользователей, заставляя их подписывать рискованные сообщения или одобрять вредные транзакции, ставя тем самым их активы под угрозу.
Социальная инженерия
Социальная инженерия — это один из самых распространенных способов, которыми мошенники обманывают пользователей, чтобы подключить свои кошельки к вредоносным DApps. Вместо того чтобы полагаться исключительно на технические уязвимости, эти мошенники манипулируют человеческой психологией — используя эмоции, такие как страх, любопытство и срочность, чтобы преодолеть здравый смысл. Вот как обычно выглядит последовательность действий в атаке социальной инженерии.
Фальсификация личности: мошенники часто выдают себя за официальных представителей платформ или надежных проектов. Они имитируют логотипы, принимают правдоподобные имена пользователей и даже клонируют целые группы сообществ в Telegram, Discord или Twitter, чтобы казаться легитимными.
Установление доверия: в личных сообщениях или внутри этих групп мошенники попытаются вовлечь пользователей в дружеские беседы или предложить непрошеную «помощь», медленно строя отношения, чтобы завоевать доверие.
FOMO и обещания «быстрого обогащения»: как только устанавливается базовый уровень доверия, мошенники не теряют времени на создание чувства срочности. Они будут продвигать ограниченную по времени возможность — такую как «эксклюзивная предварительная продажа», «airdrops» или «упрощенный доступ» к «высокодоходному DApp». Потенциальные жертвы подвергаются давлению, чтобы быстро действовать и взаимодействовать с вредоносным DApp или рискуют упустить возможность.
Ловушка: но единственные, кто обогащается, это мошенники. Эти DApps обычно создаются для опустошения кошельков в момент, когда подписывается сообщение об одобрении или чтобы предоставить мошеннику постоянный доступ к вашим средствам без вашего ведома.
Как подписывать, не читая то, что подписываете, может привести к потерям
Мошенничество с одобрением
В DeFi одобрения — это нормальная часть взаимодействия с умными контрактами — они позволяют DApp перемещать ваши токены от вашего имени. В мошенничестве с одобрением вредоносные DApps злоупотребляют этой функцией, запрашивая пользователей одобрять расходы токенов, которые являются исключительно высокими или неограниченными.
Как только одобрение предоставлено, мошенники используют функции умных контрактов, такие как transferFrom(), или проводят множественные массовые снятия токенов, используя multicall(), опустошая ваш кошелек с течением времени. Поскольку одобрения остаются активными до тех пор, пока их не отозвать вручную или пока не будет достигнут установленный лимит средств, мошенник может продолжать получать доступ к вашему кошельку, истощая одобренные токены задолго после первоначального взаимодействия.
Мошенничество с подписанием
Мошенничество с подписью обычно включает в себя обман пользователей, чтобы они подписывали произвольные или неразборчивые данные, используя методы, такие как Permit, Permit 2 или eth_sign. В отличие от обычной транзакции в блокчейне, эти подписи происходят оффчейн, следовательно, нет платы за газ, регистрации в блокчейне или немедленного предупреждения. Как только создается действительная подпись, мошенники могут использовать ее в умном контракте, чтобы получить доступ к перемещению ваших токенов — иногда позволяя переводы или предоставляя широкие разрешения, даже не осознавая этого.
Один распространенный пример этого мошенничества использует Permit и Permit2 — законные методы одобрения оффчейн, разработанные для упрощения взаимодействия с DApps.
Разрешите пользователям одобрять перемещение токенов с помощью подписи вместо транзакции одобрения в блокчейне.
Permit2 расширяет эту функциональность, позволяя одной подписи одобрять несколько токенов с настраиваемыми пределами и параметрами истечения срока действия.
Хотя эти инструменты удобны, мошенники используют их, чтобы маскировать вредоносные запросы Permit или Permit2 под безобидные подсказки. Если жертва подпишет один из этих запросов, мошенник может использовать эту подпись позже для вывода средств — иногда спустя долгое время после взаимодействия. Поскольку никакая транзакция не передается в момент создания подписи, нарушение часто остается незамеченным до тех пор, пока токены не будут потеряны.
Мошенничество, основанное на разрешениях, опасно в первую очередь потому, что одна компрометированная подпись может разблокировать доступ к нескольким токенам, в зависимости от того, что вы ранее разрешили. Всегда проверяйте несколько раз, что вы подписываете — если это неразборчиво или не имеет смысла, не подписывайте.
Мошенничество с исправлением блокчейна
Исправление блокчейна — это вид мошенничества, который использует неопытных пользователей Web3. Эти мошеннические сайты утверждают, что исправляют распространенные проблемы с кошельками, такие как ошибки проскальзывания или неудачные транзакции, но на самом деле созданы, чтобы украсть вашу seed-фразу или приватные ключи. Вот как это мошенничество обычно происходит.
Цель — это разочарованные пользователи: мошенники пользуются пользователями, испытывающими стресс из-за ошибок, таких как проблемы с миграцией кошельки и проскальзыванием, предлагая ложные «быстрые решения», которые обещают легкие исправления.
Имитация: эти сайты могут копировать внешний вид надежных сервисов, используя ясные дизайны или практически идентичные интерфейсы, чтобы уменьшить внимание пользователей.
Имитирование ошибок: при доступе к сайту пользователи сталкиваются с поддельными сообщениями об ошибках, созданными так, чтобы казаться срочными и легитимными. Затем их направляют «подключиться вручную», обманывая их, чтобы они ввели свою seed-фразу или импортировали свои приватные ключи — предоставляя мошенникам полный доступ к кошельку, позволяя им опустошить средства.
Как защитить себя
Серьезно относитесь к предупреждениям
Binance Wallet имеет встроенные защиты, такие как симуляции транзакций и фильтры для подписей, чтобы помочь сохранить ваши активы в безопасности. Она также блокирует одобрения для счетов внешней собственности (EOA), высокорисковые запросы, такие как eth_sign, и известные вредоносные DApps. Но в конечном итоге, решение всегда за вами. Всегда читайте и обращайте внимание на предупреждения кошелька перед подтверждением транзакции или подпиской на сообщение.
Умные практики одобрения
Никогда не подписывайте и не одобряйте запросы, не проверив их. Поймите точно, какие разрешения запрашивает DApp — особенно касательно одобрений токенов.
Избегайте неограниченного разрешения: всегда предоставляйте минимально необходимую сумму, а не неограниченный доступ к токену. Это ограничивает потенциальный ущерб в случае, если DApp окажется злонамеренным.
Отзывайте старые одобрения: сделайте это привычкой, периодически заходя на вкладку [Активы] > [Одобрения] вашего кошелька, чтобы отозвать любые одобрения токенов, которые вам больше не нужны.
Отключите неиспользуемые DApps: в [Дополнительно] > [Подключенные DApps] удалите доступ к DApps, которые вы больше не используете. Оставление их подключенными увеличивает риски.
Обзор симуляций
Используйте кошелек с встроенной функцией симуляции, например, Binance Wallet. Симуляция помогает предсказать, что произойдет, прежде чем транзакция будет действительно отправлена в блокчейн. Это как получить предварительный результат — так вы можете выявить ошибки или мошенничество до того, как это станет дорогостоящим.
Для простых переводов между кошельками симуляции помогают выявить подозрительные адреса или возможные ошибки, такие как отправка на адрес, известный как мошенничество. При взаимодействии с умными контрактами — во время свопов, стекинга или других действий в секторе DeFi — Binance Wallet проводит симуляции, чтобы показать ожидаемое количество токенов, суммы и потенциальные риски. Это дает четкое представление о информации перед тем, как вы подтвердите транзакцию.
Всегда проводите собственное исследование (DYOR)
Перед взаимодействием с любым DApp уделите время, чтобы тщательно его оценить. Легитимные проекты часто проходят аудит независимыми компаниями по безопасности, и эти отчеты часто доступны на официальном сайте проекта. Исследуйте команду, стоящую за проектом — если они анонимны или трудно проверяемы, это может быть тревожным знаком. Также учитывайте сообщество. Сильная, вовлеченная и прозрачная пользовательская база обычно является хорошим знаком, в то время как отсутствие активности или нечеткие ответы могут указывать на скрытые риски.
Доверяйте официальным источникам
При доступе к любому DApp всегда начинайте с проверенных ссылок на официальном сайте проекта или на надежных платформах, таких как CoinMarketCap. Мошенники часто создают поддельные сайты, слегка изменяя доменные имена или заменяя похожие символы, что может быть трудно заметить на первый взгляд (например, uniswap.com против unίswap.com). Избегайте нажатия на поисковые объявления, поскольку сайты фишинга часто платят, чтобы появиться в верхней части результатов. Для большей безопасности вводите URL вручную, а не нажимайте на объявления или вставляйте ссылки, предоставленные третьими лицами.
Никогда не делитесь своей seed-фразой или приватным ключом
Если кто-то попросит вашу seed-фразу или приватный ключ, немедленно остановитесь — вы становитесь жертвой мошенничества. Ни один легитимный DApp, сервис или агент поддержки не будет запрашивать эту информацию. В тот момент, когда вы их поделитесь, ваш кошелек будет пуст в следующую секунду. Закройте вкладку, отойдите и не оглядывайтесь назад.
Обучайтесь и оставайтесь в курсе
Знания — это ваша первая линия защиты в пространстве Web3. Понимание общих мошенничеств и знание умных практик одобрения жизненно важно для защиты. Оставайтесь в курсе последних угроз, следуя надежным источникам, таким как Binance Academy, наша серия «Познайте мошенничества» и серия о безопасности. Эти ресурсы помогут вам оставаться на шаг впереди возникающих мошенничеств, что позволяет принимать обоснованные решения для защиты ваших активов.
Заключительные замечания
Мир DApps богат инновациями и возможностями. Будь то использование инструментов DeFi, исследование NFT или знакомство с новой игрой на основе блокчейна, здесь есть множество вещей, которые можно открыть.
Даже если хорошо построенный дом имеет надежные замки, они становятся бесполезными, если вы оставите дверь открытой или потеряете ключи. Binance Wallet предлагает передовые функции безопасности — от симуляций и предупреждений о мошенничестве до ограниченных одобрений — но все еще зависит от вас, чтобы использовать их с умом. Одобрения, подписи и подключения к DApps — это часть повседневной жизни в Web3, и понимание их имеет решающее значение для защиты ваших средств. Если что-то кажется неправильным, остановитесь, проверьте и не торопитесь. Web3 вознаграждает тех, кто остается внимательным и задает вопросы. С правильными привычками и здоровой долей осторожности вы можете исследовать с уверенностью, сохраняя свои криптовалюты в безопасности (SAFU).