Фальшивые аирдропы: откуда в кошельке «бесплатные» токены

Если в кошельке появились токены или NFT, которых вы не покупали, часто с названием вроде «$5000 USDT reward — claim at xyz-site», не трогайте их. Это реклама фишингового сайта. Разослать токен на миллионы адресов злоумышленнику почти ничего не стоит, а каждый, кто зайдёт на сайт и подключит кошелёк, рискует подписать разрешение или транзакцию дрейнера. Само получение токена не вредит — вредит взаимодействие с ним.

Что происходит по шагам

Сценарий почти всегда один и тот же. Хронология ниже показывает, где наносится ущерб и где его можно остановить.

1. Рассылка. В кошельке появляется токен или NFT. В названии, тикере или картинке — URL или обещание: «Visit … to claim», «Voucher 2,500 USDC».
2. Любопытство. Кошелёк показывает его как актив, иногда с фальшивой ценой. Вы ищете название или набираете адрес.
3. Сайт. Аккуратная страница под известный проект просит подключить кошелёк, чтобы «получить» или «конвертировать» награду.
4. Подпись. Вас просят подписать разрешение, сообщение Permit2, setApprovalForAll для NFT или, в Solana, транзакцию, которая переводит ваши активы.
5. Опустошение. За минуты ценные токены уходят из кошелька. «Награды» никогда не было.

Некоторые варианты обходятся без сайта: контракт токена делает его продажу невозможной или списывает комиссию, либо токен нужен, чтобы подложить адрес-двойник в историю, — см. address poisoning.

Где появляются такие токены

Что делать со спам-токеном

• Игнорируйте или скройте. Почти все кошельки позволяют убрать токен из списка. Этого достаточно.
• Не пытайтесь продать или обменять. Страница обмена, на которую он указывает, и есть ловушка, а некоторые токены специально сделаны так, чтобы продажа падала или списывала деньги.
• Никуда не отправляйте. Перевод может потребовать разрешения, а перевод мошеннических токенов на биржу вызывает вопросы поддержки.
• Сжигание предлагают некоторые кошельки в Solana — оно возвращает залог за аренду токен-аккаунта. Это безопасно, если делать встроенной функцией кошелька, а не на сайте.

Почему кошельки всё равно показывают такие токены

Блокчейн не спрашивает разрешения, чтобы зачислить токен на адрес, поэтому он действительно у вас в кошельке. Что показывать, решает кошелёк: одни скрывают токены без известной цены и проверенного контракта, другие показывают всё найденное. Фальшивые пулы ликвидности задают спам-токену котировку, и он может попасть даже в общую стоимость портфеля. Опция «скрывать неизвестные токены» или спам-фильтр в настройках убирает большую часть мусора и не трогает настоящие активы.

Как устроены настоящие аирдропы

Настоящие аирдропы бывают: проекты раздают токены ранним пользователям, часто по снимку прошлой активности. От мошенничества они отличаются явно.

• Их объявляют на официальном сайте и в проверенных аккаунтах проекта, обычно с описанием условий.
• Получение происходит на официальном домене проекта, куда вы заходите сами, а не по ссылке из названия токена.
• Некоторые аирдропы приходят без всякого получения — тогда подписывать вообще ничего не нужно.
• Ни один настоящий аирдроп не просит сид-фразу, плату «за разблокировку» или безлимитное разрешение на другие ваши токены.

Если для получения действительно нужна подпись, прочитайте её: декодер подписей EIP-712 покажет, безобидное это сообщение или permit, отдающий кому-то ваши токены. Домен сначала проверьте проверкой фишинговых ссылок.

Быстрый способ проверить раздачу: найдите название проекта вместе со словом «airdrop» на его официальном сайте или в документации, а не в рекламе поисковика. Если официальный сайт о раздаче молчит, её нет.

Если вы уже подключились и подписали

1. Немедленно отзовите разрешения в этой сети — как отозвать разрешения токенов.
2. Переведите оставшиеся активы на новый адрес, если подписали непонятную транзакцию, особенно в Solana, где сама транзакция могла сменить владельца.
3. Сообщите о сайте разработчику кошелька и в фишинговые базы, о потерях — в полицию с хешами транзакций.