Bir kishi ishlab topgan 200 dollarlik kriptovalyutasini talab qilib olish uchun kiradi. Bir necha daqiqadan so‘ng esa saqlab qo‘ygan 3 000 dollari yo‘qolganini bilib qoladi...
U hech qanday virus yuklab olmadi. Parolini hech kimga bermadi. Tiklash uchun kerak bo‘lgan 12 ta so‘zini ham oshkor qilmadi.
Ammo aslida boshqa narsa yuz berdi: u uchinchi tomonga o‘z aktivlarini o‘tkazish imkonini beradigan ruxsatni taqdim etdi.
Bu usul Wallet Drainer deb ataladi. Unda ijtimoiy muhandislik, firibgar sahifalar va aqlli kontraktlarning qonuniy funksiyalari birlashtiriladi.
Keling, aniq bir misolda bu qanday sodir bo‘lishini bosqichma-bosqich ko‘rib chiqamiz.
1-BOSQICH. JABRLANUVCHINI ILINTIRADIGAN E’LON
Hammasi ijtimoiy tarmoqlardagi e’londan boshlanadi. Unda, masalan, ayrim foydalanuvchilarga 200 USDC mukofot va’da qilinadi.
Havola kriptovalyuta loyihasiga o‘xshatib yaratilgan sahifaga olib boradi. Unda professional tasvirlar, ortga sanaydigan hisoblagich va “Mukofotni olish” degan tugma bor....
Foydalanuvchi aksiya ishtirokchisiga aylanayotganiga ishonib, sahifaga kiradi.
2-BOSQICH. HAMYONNI ULASH
Sahifa MetaMask kabi kriptohamyonni ulashni so‘raydi... Jabrlanuvchi bunga rozi bo‘ladi.
Shu paytda sayt uning ommaviy manzilini bilib olishi va blokcheynda saqlanayotgan aktivlarini tekshirishi mumkin.
Aytaylik, u 3.000 USDC borligini aniqladi.
Hozircha hamyonni ulashning o‘zi bu mablag‘larni yechib olishga ruxsat bermaydi. Xavf keyingi bosqichda paydo bo‘ladi.
3-BOSQICH. TEKSHIRUV DEB NIQOBLANGAN RUXSAT
Go‘yoki beriladigan 200 USDC mukofotni olish uchun sahifa operatsiyani tasdiqlashni so‘raydi.
Hamyonda aqlli kontrakt bilan bog‘liq ruxsat so‘rovi ko‘rsatiladi.
Jabrlanuvchi mukofotni olish imkonini yoqyapman deb o‘ylaydi. Biroq operatsiya uning USDC mablag‘larini sarflashga ruxsat berishni ko‘zda tutishi mumkin.
Ethereum’da approve deb nomlangan funksiya mavjud. U spender deb ataluvchi ruxsat berilgan manzil yoki kontrakt qancha mablag‘ sarflashi mumkinligini belgilaydi.
Masalan, ruxsat oluvchiga 10.000 USDC gacha mablag‘ni o‘tkazish imkonini berishi mumkin.
Foydalanuvchida atigi 3.000 USDC bor, ammo berilgan limit bundan yuqori.
U operatsiyani tasdiqlaydi va u blokcheynda qayd etiladi.
ASOSIY XATO AYNAN SHU YERDA SODIR BO‘LADI: U MUKOFOTNI OLISHGA RUXSAT BERMADI. BOSHQA BIR KISHIGA TOKENLARINI O‘TKAZISHGA RUXSAT BERDI.
4-BOSQICH. DRAINER O‘G‘RILIKNI AMALGA OSHIRADI
Ruxsat tasdiqlangach, zararli tizim o‘zida haqiqiy ruxsat borligini aniqlashi mumkin.
Hujumchi yoki zarur ruxsatlarga ega, uning nazoratidagi kontrakt transferFrom deb nomlangan boshqa funksiyadan foydalanadi.
Bu nima uchun kerak?
Avval sarflashga ruxsat bergan hamyondan tokenlarni o‘tkazish uchun.
Misolimizda jabrlanuvchining hamyonidan firibgarlar nazoratidagi manzilga 3.000 USDC o‘tkaziladi.
Jabrlanuvchi bu pul o‘tkazmasini yana tasdiqlashi shart emas... Avvalgi ruxsat uni amalga oshirish imkonini beradi.
Operatsiya tarmoqda tasdiqlangach, tokenlar boshqa manzilga o‘tkaziladi.
5-BOSQICH. FOYDALANUVCHI NIMA BO‘LGANINI BILIB OLADI
Sahifada xatolik ko‘rsatilishi, yuklanishda qolib ketishi yoki shunchaki hech qanday mukofot bermasligi mumkin.
Jabrlanuvchi hamyonini yana tekshiradi va undagi 3.000 USDC yo‘qolganini ko‘radi.
Eng tashvishlanarlisi shundaki, sarflash uchun hali ruxsat etilgan mablag‘ mavjud bo‘lsa, ruxsat amalda qolishi mumkin.
Keyinchalik yangi USDC olsa, bu mablag‘lar ham xavf ostida qolishi mumkin.
Ammo bir muhim jihat bor: USDC uchun ruxsat berish avtomatik tarzda ETH, Bitcoin yoki boshqa barcha aktivlarga ham ruxsat berilganini anglatmaydi. Har bir ruxsatning o‘z doirasi bor.
KOMISSIYA TO‘LAMASDAN BERILADIGAN IMZOLAR-CHI?
Permit yoki Permit2 kabi mexanizmlardan foydalanadigan yana bir usul ham bor.
Muayyan sharoitlarda firibgar blokcheyndan tashqarida kriptografik imzo oldirishi va undan keyin ruxsat etilgan pul o‘tkazmasini amalga oshirish uchun foydalanishi mumkin.
Shu sababli, oddiy tekshiruvdek ko‘rinadigan ayrim imzolash xabarlari ayniqsa xavfli.
Hamma imzolar ham mablag‘larni ko‘chirishga imkon bermaydi. Ularning mazmuni va berilayotgan ruxsatlar hal qiluvchi ahamiyatga ega.
BUNDAN QANDAY HIMOYALANISH MUMKIN?
Tasdiqlashdan oldin qaysi tokenga ruxsat berilayotganini, ruxsat qaysi manzilga berilishini va sarflash limiti qancha ekanini tekshiring.
Noma’lum ilovalarga hech qachon cheklanmagan ruxsat bermang.
Revoke.cash yoki MetaMask Portfolio kabi vositalar yordamida mavjud ruxsatlarni tekshiring. Shubhali ruxsatlarni topsangiz, ularni imkon qadar tezroq bekor qiling.
Sahifani hamyoningizdan uzib qo‘yish uning ruxsatlarini bekor qilish bilan bir xil emas. Ruxsatni bekor qilish allaqachon o‘tkazib yuborilgan pulni qaytarmaydi.
🧠 Bu... Oddiy....
Crypto Drainer shuni ko‘rsatadiki, operatsiya texnik jihatdan to‘g‘ri bo‘lishi va ayni paytda firibgarlikning bir qismi bo‘lishi mumkin.
Blokcheyn manzil ruxsat berganini qayd etadi. Ammo shu holatning o‘zi bilangina uning egasi nimaga ruxsat berayotganini haqiqatan tushungan-tushunmaganini aniqlay olmaydi.
Firibgar aynan shu farqdan foydalanadi.
Jabrlanuvchi pul olish uchun tugmani bosyapman deb o‘ylaydi. Aslida esa undan pulni olib qo‘yish imkonini beradigan mexanizmga ruxsat berayotgan bo‘lishi mumkin.
Farqni anglab yetganida esa pul o‘tkazmasi allaqachon amalga oshirilgan, mablag‘lar esa uning nazoratidan chiqib ketgan bo‘lishi mumkin....
🎥 O‘zingizni himoya qilish bo‘yicha yana ko‘proq ajoyib maslahatlar xohlaysizmi ??? Unda OBUNA BO‘LING!
