Czym są drainerzy portfeli? Wnętrze przemysłu phishingu zatwierdzającego

Drainerzy portfeli ukradli miliardy od użytkowników kryptowalut, a prawie żaden z tych przypadków nie dotyczył skradzionego hasła ani zhakowanego blockchaina. Dotyczyło to ofiar podpisujących transakcje, których nie rozumiały. Ten przewodnik wyjaśnia, jak działają drainerzy, mechanizm zatwierdzania tokenów, który wykorzystują, przemysł drainerów jako usługi, który zindustrializował kradzież, konkretne podpisy, które dają atakującym wszystko, oraz jak dokładnie chronić portfel i cofnąć zatwierdzenia, które mogą już być niebezpieczne.

Najskuteczniejsza technika kradzieży w kryptowalutach nie łamie się do niczego. Prosi o pozwolenie, a ofiara je udziela. Drainerzy portfeli, złośliwe narzędzia, które opróżniają portfel kryptowalutowy z jego tokenów i NFT w jednej zatwierdzonej transakcji, ukradli miliardy dolarów od setek tysięcy ofiar, a uderzający fakt w prawie każdym przypadku polega na tym, że blockchain działał doskonale, kryptografia była nienaruszona, a żadne hasło nigdy nie zostało skradzione. Ofiara została oszukana, aby podpisać transakcję, która autoryzowała kradzież, a łańcuch, wykonując dokładnie to, do czego jest zaprojektowany, wiernie zrealizował autoryzację.

To jest definiująca cecha ery drainerów: powierzchnia ataku przeniosła się z protokołu na osobę. Blockchainy uczyniły kradzież monet przez łamanie matematyki praktycznie niemożliwą, więc złodzieje przestali próbować i zamiast tego zwrócili się ku jednemu komponentowi, którego żadna kryptografia nie może zabezpieczyć, czyli człowiekowi decydującemu, co podpisać. Drainerzy są zindustrializowanym produktem tej zmiany, pakietowymi narzędziami sprzedawanymi jako usługa dla nietechnicznych przestępców, kompletnymi z infrastrukturą phishingową do wciągania ofiar oraz inteligentnymi kontraktami, które zgarnią ich aktywa w momencie, gdy je zatwierdzą.

Ten przewodnik wyjaśnia całą maszynę. Obejmuje to, jak działają zatwierdzenia blockchaina i dlaczego są one luką, anatomię ataku drainerów od wciągania do zgarnięcia, konkretne złośliwe podpisy, zatwierdzenia, pozwolenia oraz notorious blind-signing transactions, które dają atakującym wszystko, przemysł drainerów jako usługi, który przekształcił kradzież portfeli w biznes franczyzowy, wciągacze, które dostarczają ofiary oraz konkretne obrony, w tym jak znaleźć i cofnąć niebezpieczne zatwierdzenia, które mogą obecnie znajdować się w twoim portfelu.

Zatwierdzenia: funkcja, która stała się bronią

Aby zrozumieć drainerów, zrozum zatwierdzenia tokenów, ponieważ cały atak jest nadużyciem legalnej i niezbędnej funkcji. Kiedy korzystasz z aplikacji zdecentralizowanej, DEX, protokołu pożyczkowego, rynku NFT, potrzebuje ona pozwolenia na przeniesienie twoich tokenów w twoim imieniu. Zamiast zatwierdzać każdą pojedynczą transakcję indywidualnie, standardowy mechanizm pozwala ci przyznać inteligentnemu kontraktowi limit: pozwolenie na wydanie do pewnej kwoty konkretnego tokena z twojego portfela, aby aplikacja mogła działać płynnie bez pytania za każdym razem.

To jest wygodne i, używane uczciwie, bezpieczne. Problem polega na tym, co mechanizm pozwala, gdy jest nadużywany. Zatwierdzenia mogą być na nieograniczone kwoty, pojedynczy podpis może autoryzować kontrakt do przeniesienia wszystkich tokenów, które kiedykolwiek będziesz posiadać, a one pozostają aktywne, zatwierdzenie, które przyznałeś raz, pozostaje aktywne, aż je cofniesz, czasami przez lata, cicho zachowując pozwolenie na opróżnienie tego tokena długo po tym, jak zapomniałeś o transakcji. Złośliwy kontrakt, który uzyskuje nieograniczone, trwałe zatwierdzenie do twojego najcenniejszego tokena, ma klucz do tej części twojego portfela i może używać tego klucza, kiedy tylko zechce, w tym długo po momencie, gdy podpisałeś.

Drainerzy istnieją, aby uzyskać dokładnie te zgody poprzez oszustwo. Całym celem atakującego jest skłonienie cię do podpisania transakcji, która przyznaje złośliwemu kontraktowi uprawnienia do twoich aktywów, a wszystko inne, fałszywe strony internetowe, pilne wiadomości, podszywające się marki, to maszyna stworzona do wyprodukowania tego jednego podpisu. Po przyznaniu, kradzież nie jest hackiem; to kontrakt wykonujący uprawnienie, które autoryzowałeś, co sprawia, że kradzieże drainerów są tak trudne do odwrócenia i dlaczego blockchain nie oferuje ofierze żadnej drogi odwoławczej: z perspektywy protokołu nic nie poszło źle.

Anatomia ataku drainerów

Atak drainerów przebiega według stałej sekwencji, a znajomość jej sprawia, że niebezpieczeństwo staje się zrozumiałe. Zaczyna się od przynęty: ofiara napotyka coś zaprojektowanego, aby skłonić ją do połączenia portfela i podpisania, fałszywą wersję strony internetowej prawdziwego projektu, oszukańczą prośbę o airdrop, złośliwy link w zhakowanym koncie w mediach społecznościowych, fałszywą stronę mintingu dla rodzaju memecoina, który przyciąga tłumy do szybkiego logowania, zatrutego wyniku wyszukiwania lub reklamy. Zadaniem przynęty jest umieszczenie ofiary przed monitorem podpisu portfela, podczas gdy wierzy, że robi coś legalnego, domagając się nagrody, mintując NFT, weryfikując konto, łącząc się z znaną aplikacją.

Następnie pojawia się prośba o podpis, serce ataku. Złośliwa strona prosi portfel ofiary o podpisanie transakcji, a transakcja jest zaprojektowana tak, aby przyznać kontraktowi atakującego uprawnienia do aktywów ofiary, nieograniczoną zgodę na tokeny, podpis zezwolenia lub zbiorczą autoryzację obejmującą wiele aktywów jednocześnie. Dla ofiary, prośba często wygląda na rutynową, a nowoczesne drainerzy ciężko pracują, aby wyglądała dokładnie jak legalna akcja, której ofiara się spodziewa, maskując złośliwą zgodę jako połączenie lub roszczenie, które przyszła wykonać. Portfel, słusznie, pokazuje monit o podpis; ofiara, wierząc, że jest to nieszkodliwe, zatwierdza.

Natychmiast następuje kradzież. W momencie, gdy zgoda zostaje przyznana, infrastruktura drainerów przenosi autoryzowane aktywa z portfela, często w tym samym bloku, ścigając przez tę samą infrastrukturę priorytetową, która napędza wszystkie wydobycia na łańcuchu, często priorytetyzując najcenniejsze tokeny jako pierwsze i używając automatyzacji do wyczerpania wszystkiego, co zatwierdził podpis, zanim ofiara zrozumie, co się stało. Sk stolen assets are then laundered through mixers and cross-chain routes, the same obfuscation path every major theft follows, tracing that the on-chain analytics industry pursues but rarely reverses, and by the time the victim notices, the assets are gone and the approval that authorized their loss is often still active, ready to sweep any new tokens that arrive. The entire sequence, lure to sweep, can complete in seconds, and its speed is why prevention, not reaction, is the only real defense.
Możesz także polubić: Bitcoin staje w obliczu maksymalnego bólu na poziomie 62 tys. dolarów, gdy wygasa opcja kryptowalutowa o wartości 1,75 miliarda dolarów

Podpisy, które wszystko zdradzają

Nie wszystkie złośliwe podpisy są równe, a te najbardziej niebezpieczne warto znać z imienia, ponieważ ich rozpoznanie to różnica między bliskim wezwaniem a pustym portfelem.

Nieograniczone zatwierdzenie to klasyka: podpis przyznający umowie pozwolenie na wydanie nieograniczonej ilości konkretnego tokena. Legalne aplikacje czasami proszą o nie dla wygody, co dokładnie czyni je niebezpiecznymi; ofiary przyzwyczajają się do ich zatwierdzania, a złośliwa umowa z nieograniczonym zatwierdzeniem może całkowicie wyczerpać ten token, zarówno teraz, jak i później. Podpis zezwolenia jest jeszcze subtelniejszy i bardziej niebezpieczny: nowsze standardy tokenów pozwalają na udzielanie zatwierdzeń za pomocą podpisanej wiadomości poza łańcuchem, a nie transakcji w łańcuchu, co oznacza, że ofiara może autoryzować wyciek, podpisując to, co wygląda na nieszkodliwą wiadomość, bez opłaty za gaz i bez oczywistej transakcji, co sprawia, że ataki oparte na zezwoleniach są szczególnie zwodnicze, ponieważ omijają mentalny alarm, który mogłaby wywołać jawna transakcja zatwierdzająca. Zgrupowane lub delegowane podpisy, które autoryzują działania w wielu aktywach lub przyznają szeroką kontrolę w jednym zatwierdzeniu, pozwalają na to, aby jeden podpis przekazał wartość całego portfela jednocześnie.

Podstawowym problemem jest najgłębszy problem: ślepe podpisywanie. Portfel sprzętowy lub portfel programowy chroni twoje klucze, ale często nie może ci powiedzieć, w prostych słowach, co właściwie robi złożona transakcja, pokazując zamiast tego nieprzezroczysty skrót lub niezrozumiały blob danych. Kiedy ofiara nie może przeczytać, co autoryzuje, ufa opisowi transakcji na stronie internetowej zamiast samej transakcji, a złodzieje wykorzystują dokładnie tę lukę, przedstawiając łagodną historię, podczas gdy podpis poniżej autoryzuje kradzież. Ślepe podpisywanie jest największą pojedynczą luką w samodzielnym przechowywaniu, tym samym trybem awarii, który stoi za największymi kradzieżami instytucjonalnymi w branży, i to dlatego najważniejsze obrony to te, które sprawiają, że transakcje są czytelne przed ich podpisaniem.

Drainer jako usługa: kradzież jako franczyza
Co przekształciło wyczerpywanie portfeli z rozproszonego utrapienia w miliardowy przemysł, to innowacja modelu biznesowego: drainer jako usługa. Zamiast tego, aby każdy złodziej budował własne narzędzia, wyrafinowani deweloperzy stworzyli zestawy drainerów, kompletne pakiety zawierające złośliwe inteligentne kontrakty, szablony stron phishingowych, automatyzację wyciągania aktywów, a nawet wsparcie dla klientów, i wynajmują lub licencjonują je nietechnicznym przestępcom w zamian za część skradzionych funduszy, zazwyczaj procent od każdego wycieku.

Ta franczyza jest powodem, dla którego drainerzy skalowali się tak katastrofalnie. Usunęła barierę umiejętności: przestępca bez umiejętności kodowania może teraz uruchomić profesjonalną operację wyczerpywania, subskrybując usługę, wskazując ją na przynętę i dzieląc się dochodami z deweloperami. Zestawy konkurują pod względem skuteczności, szybko ewoluując, aby pokonać ostrzeżenia portfela, unikać wykrycia i poprawiać swoje oszustwa, wyścig zbrojeń finansowany przez samą kradzież. Notoryczne usługi drainerów przetworzyły oszałamiające sumy wśród dziesiątek lub setek tysięcy ofiar, straty na poziomie wyzysku, które wyczerpują całe protokoły przed zamknięciem, rebrandingiem lub byciem zastąpionymi przez naśladowców, a odporność modelu jest strukturalna: zlikwiduj jednego, a popyt, narzędzia i deweloperzy po prostu odtworzą się pod nową nazwą. Branża profesjonalizowała sposób, w jaki legalne oprogramowanie to robiło, z poziomami, aktualizacjami i wsparciem, całkowicie zastosowanymi do produkcji złośliwych podpisów.

Skala i dlaczego wciąż rosła

Liczby za erą drainerów wyjaśniają, dlaczego przyciąga ona tak dużą uwagę. W szczytowych latach tego zjawiska operacje drainerów łącznie ukradły miliardy dolarów z setek tysięcy portfeli, przy czym poszczególne usługi przetwarzały setki milionów, zanim zakończyły działalność lub zmieniły nazwę, a straty koncentrowały się nie wśród niedbałych nowicjuszy, ale w całym spektrum użytkowników, w tym doświadczonych posiadaczy, którzy w momencie rutyny podpisali jedną złą transakcję. Krzywa wzrostu śledziła rozprzestrzenienie modelu usługowego: w miarę jak zestawy stały się łatwiejsze do wynajęcia i skuteczniejsze w pokonywaniu ostrzeżeń portfeli, liczba operatorów wzrosła, a całkowita szkoda rosła wraz z nimi.

Dwie dynamiki sprawiły, że problem jest uporczywy. Pierwsza to wyścig zbrojeń: każda poprawa w zabezpieczeniach portfela, ostrzeżeniach transakcyjnych, listach blokujących strony phishingowe, alertach zatwierdzenia, była spotykana przez deweloperów drainerów, którzy dostosowywali swoje zestawy, aby je ominąć, finansowani przez samą kradzież, więc obrony i ataki ewoluowały razem, bez trwałego zwycięstwa którejkolwiek ze stron. Druga to problem rekonstrukcji: ponieważ model jest usługą, a nie stałą operacją, zdemontowanie jakiegoś pojedynczego draineru, poprzez egzekwowanie prawa, współpracę giełdową lub po prostu wycofanie się deweloperów, usuwa markę, ale nie popyt, wiedzę ani narzędzia, które pojawiają się pod nowymi nazwami. Branża okazała się tak odporna, jak każdy legalny rynek oprogramowania, z tych samych powodów: niskie bariery wejścia, silny popyt i ciągła iteracja, wszystko skierowane na produkcję złośliwych podpisów. Możesz także polubić: Bitcoin skacze o 3% w związku z spadkiem cen ropy, ale 65 000 USD ogranicza odbicie

Drainer w zwolnionym tempie

Przechodzenie przez jeden złożony atak w ludzkim tempie sprawia, że abstrakcyjna sekwencja staje się konkretna. Użytkownik widzi post od tego, co wydaje się być projektem, który śledzi, oficjalnie wyglądające konto ogłaszające niespodziewany airdrop z terminem zgłoszenia w ciągu kilku godzin. Pilność jest zamierzona. Klikają w link, który prowadzi do strony będącej idealnym klonem prawdziwego projektu, osiągniętej przez domenę różniącą się o jeden znak od oryginalnej. Strona zaprasza ich do połączenia swojego portfela, aby sprawdzić kwalifikacje, co wydaje się rutynowym, nieszkodliwym działaniem, i to robią. Informuje ich, że kwalifikują się do znacznej alokacji i prosi o podpisanie transakcji, aby ją odebrać.

Podpowiedź to pułapka. To, co strona opisuje jako roszczenie, jest w rzeczywistości prośbą o przyznanie kontraktowi napastnika nieograniczonego zatwierdzenia na najcenniejszy token użytkownika, lub podpisem zezwalającym na to samo poprzez wiadomość bezgazową, która wygląda jeszcze bardziej nieszkodliwie. Użytkownik, podekscytowany airdropem i uspokojony przez znajomo wyglądającą stronę, czyta łagodny opis strony zamiast prawdziwej treści transakcji, którą ich portfel może pokazywać tylko jako nieprzezroczysty blob, i zatwierdza.

W tym samym bloku drainer wyciąga autoryzowany token z portfela, a jeśli podpis był szeroki, przechodzi do następnego aktywa. Kilka minut później użytkownik sprawdza kanały prawdziwego projektu i odkrywa, że airdrop nie istniał. Zatwierdzenie, które autoryzowało kradzież, jest nadal aktywne, a jeśli nie zostanie odwołane, wyczyści wszelkie zastępcze tokeny, które przyjdą. Każdy krok wydawał się normalny; cała strata wynikała z jednego podpisu złożonego w wyprodukowanej pośpiechu, co jest całym zamysłem drainerów w miniaturze.

Zachęty: jak ofiary są dostarczane

Kontrakty drainerów to tylko połowa maszyny; drugą połową jest infrastruktura wabików, która dostarcza ofiary do okna podpisu, a jej różnorodność zasługuje na katalogowanie, ponieważ rozpoznanie to obrona. Fałszywe airdropy i roszczenia tokenów wykorzystują chciwość i pilność, obiecując darmowe tokeny, które wymagają podłączenia portfela i podpisania, aby je odebrać. Strony podszywające się pod prawdziwe projekty klonują je piksel po pikselu, osiągane przez zainfekowane reklamy w wyszukiwarkach, domeny z błędami ortograficznymi lub linki publikowane z przejętych oficjalnych kont, przez co ofiary wierzą, że są na prawdziwej stronie. Fałszywe minty i edycje limitowane wytwarzają rzadkość i presję czasową, przyspieszając ofiary do działania bez ostrożności. Przejęte konta w mediach społecznościowych, w tym zweryfikowane i oficjalne, publikują złośliwe linki do ufnych obserwatorów. Bezpośrednie wiadomości oferujące wsparcie, możliwości lub ostrzeżenia wabią ofiary na złośliwe strony. A złośliwe reklamy umieszczane w wyszukiwarkach i na platformach społecznościowych stawiają fałszywe strony ponad prawdziwymi.

Wspólnym wątkiem jest psychologia: każdy wabik inżynieruje stan, ekscytację, pilność, zaufanie, strach przed utratą, w którym ofiara jest gotowa podpisać bez wnikania w szczegóły. Techniczna zaawansowanie drainerów jest niemal drugorzędne w porównaniu do inżynierii społecznej wabika, ponieważ cały atak zależy od złapania ofiary w momencie, gdy zatwierdza najpierw, a myśli później. Dlatego najskuteczniejsza obrona nie jest techniczna, ale behawioralna, polegająca na stałym odmawianiu podpisania czegokolwiek w stanie pilności, a także dlatego napastnicy tak mocno inwestują w wytwarzanie tej pilności.

Obrona i unieważnienie tego, co może być już niebezpieczne

Ochrona portfela przed drainerami sprowadza się do zestawu nawyków i jednego zadania konserwacyjnego, którego większość użytkowników nigdy nie wykonała. Nawyki: traktuj każde żądanie podpisu jako decyzję, a nie formalność, i nigdy nie podpisuj w stanie pilności, ponieważ pilność to atak. Weryfikuj strony niezależnie, wpisując znane adresy URL lub korzystając z zakładek zamiast klikać w linki, reklamy lub wyniki wyszukiwania. Bądź intensywnie podejrzliwy wobec wszystkiego, co jest darmowe, niespodziewane lub pod presją czasową, emocjonalnych sygnatur wabika. Używaj portfela, który dekoduje i symuluje transakcje, pokazując w prostym języku, co podpisanie faktycznie zrobi, zanim je zatwierdzisz, co bezpośrednio atakuje podatność na ślepe podpisy, i odmawiaj podpisania czegokolwiek, czego nie możesz przeczytać. Trzymaj poważne zasoby w portfelu sprzętowym, a jeszcze lepiej w dedykowanym zimnym portfelu, który nigdy nie łączy się z aplikacjami, aby portfel, którego używasz do interakcji z dappami, zawierał tylko to, co możesz sobie pozwolić stracić. I traktuj nieograniczone zgody z szczególną ostrożnością, przyznając tylko te uprawnienia, które interakcja faktycznie potrzebuje, gdzie to możliwe.

Zadanie konserwacyjne to unieważnienie zgód, i to jest to, co większość użytkowników pomija. Każda zgoda, którą kiedykolwiek przyznałeś, jest nadal aktywna, dopóki nie zostanie unieważniona, co oznacza, że stare, zapomniane uprawnienia, w tym wszelkie złośliwe, które mogłeś podpisać bez konsekwencji, pozostają w twoim portfelu jako stałe ryzyko. Narzędzia do sprawdzania zgód, w tym te wbudowane w główne portfele i eksploratory bloków, pozwalają zobaczyć każdą aktywną zgodę w twoim portfelu, które kontrakty mogą wydawać które tokeny i unieważnić te, których nie rozpoznajesz lub których już nie potrzebujesz. Okresowe przeglądanie i unieważnianie zgód zamyka otwarte drzwi, na których polegają drainerzy, a zrobienie tego teraz, zwłaszcza unieważnienie wszelkich nieograniczonych zgód do nieznanych kontraktów, jest jedyną najwyżej wartościową akcją zabezpieczającą, jaką większość użytkowników kryptowalut może podjąć i jeszcze tego nie zrobiła.

Szczere podsumowanie jest takie, że drainerzy to dojrzała forma kradzieży kryptowalut w erze, w której kryptografia nie może być złamana: przemysł zabezpieczył kod tak dokładnie, że przestępcy porzucili go na rzecz człowieka i zbudowali profesjonalny przemysł wokół produkcji jedynej rzeczy, której samodzielne przechowywanie nie może zapobiec, czyli podpisu ofiary na złośliwej transakcji. Żadne ulepszenie blockchaina tego nie naprawi, ponieważ nic nie poszło źle z blockchainem, a obrona jest odpowiednio ludzka: informowane podejrzenie, czytelne transakcje, minimalna ekspozycja i odwołane zgody.

Technologia dała każdemu moc bycia własnym bankiem, a drainerzy są przypomnieniem, że bycie własnym bankiem oznacza bycie własnym działem bezpieczeństwa, a najważniejszą zaporą w kryptowalutach jest przerwa między przeczytaniem prośby o podpisanie a jej zatwierdzeniem.

Jedno ostatnie ujęcie, które warto zapamiętać: drainerzy są ceną największej siły samodzielnego przechowywania. Ta sama cecha, która pozwala ci trzymać aktywa, których żaden bank nie może zablokować, ostateczna władza nad własnym podpisem, jest cechą, którą napastnicy wykorzystują przeciwko tobie, ponieważ podpis, do którego zostałeś oszukany, jest tak samo ostateczny jak każdy inny. Nie ma linii wsparcia, aby to odwrócić, i nie ma instytucji, która wchłonie stratę, co jest dokładnie tym, co oferuje samodzielne przechowywanie: całkowitą kontrolę w zamian za całkowitą odpowiedzialność. Dobrą wiadomością jest to, że odpowiedzialność można zrealizować dzięki kilku przyswajalnym nawykom i jednemu spóźnionemu popołudniu spędzonemu na odwoływaniu starych zgód, a użytkownicy, którzy je przyswoją, są w praktyce niezwykle trudni do oszukania. Zapora to ty; ten przewodnik to jego instrukcja.

Zastrzeżenie: Ten artykuł ma wyłącznie charakter edukacyjny i nie stanowi porady inwestycyjnej ani dotyczącej bezpieczeństwa. Samodzielne przechowywanie aktywów cyfrowych wiąże się z istotnym ryzykiem, a żadna praktyka go nie eliminuje. Szczegóły są aktualne na dzień 9 lipca 2026 roku. Zawsze prowadź własne badania.

Najczęściej zadawane pytania

Czym jest drainer portfela w prostych słowach? {#faq-question-1783680737132}

Drainer portfela to złośliwe narzędzie, które opróżnia portfel kryptowalutowy z jego tokenów i NFT po oszukaniu właściciela na podpisanie transakcji, która autoryzuje kradzież. Nie kradnie haseł ani nie łamie blockchaina; nadużywa legalnego mechanizmu zatwierdzania, który pozwala aplikacjom przenosić twoje tokeny, uzyskując tę zgodę poprzez oszustwo, a następnie zgarbując aktywa. Blockchain wykonuje kradzież jako autoryzowaną akcję.

Jak drainerzy kradną kryptowaluty bez hakowania czegokolwiek? {#faq-question-1783680746655}

Wykorzystują człowieka, a nie technologię. Blockchainy pozwalają ci udzielać inteligentnym kontraktom zgody na przenoszenie twoich tokenów, a drainerzy oszukują cię, abyś udzielił tej zgody złośliwemu kontraktowi, zazwyczaj poprzez fałszywą stronę internetową lub airdrop, który przedstawia wyglądającą na nieszkodliwą prośbę o podpis. Gdy zatwierdzisz, kontrakt przenosi twoje aktywa legalnie, z perspektywy protokołu, co jest powodem, dla którego nic nie jest technicznie hakowane, a kradzież jest trudna do odwrócenia.

Czym jest zatwierdzenie tokena i dlaczego jest niebezpieczne? {#faq-question-1783680753793}

Zatwierdzenie tokena to zgoda, którą udzielasz inteligentnemu kontraktowi na wydawanie twoich tokenów, aby aplikacje mogły działać bez pytania o każdą transakcję. Staje się niebezpieczne, gdy zatwierdzenie jest nieograniczone i trwałe: pojedynczy podpis może autoryzować kontrakt do przeniesienia wszystkich tokenów, a zgoda pozostaje aktywna do momentu jej odwołania. Złośliwy kontrakt z takim zatwierdzeniem ma stały klucz do tej części twojego portfela.

Czym jest ślepe podpisywanie? {#faq-question-1783680761008}

Ślepe podpisywanie to zatwierdzanie transakcji, której prawdziwego skutku nie możesz odczytać, zazwyczaj przedstawianej jako nieprzezroczysty skrót lub blok danych, a nie opis w prostym języku. Ponieważ nie możesz zobaczyć, co autoryzujesz, ufasz opowieści strony internetowej na temat transakcji zamiast samej transakcji, co jest dokładnie tym, co wykorzystują drainerzy. To największa luka w samodzielnym przechowywaniu, a czytelne, symulowane transakcje są bezpośrednią obroną.

Czym jest drainer-as-a-service? {#faq-question-1783680762052}

Drainer-as-a-service to model biznesowy, który zindustrializował kradzież portfeli: wykwalifikowani deweloperzy budują kompletne zestawy do drainingu, złośliwe kontrakty, szablony phishingowe, automatyzację zamiatania, a nawet wsparcie, i wynajmują je nie-technologicznym przestępcom za część skradzionych funduszy. Usunął barierę umiejętności, pozwalając każdemu prowadzić profesjonalną operację drainingu, co jest powodem, dla którego drainerzy osiągnęli miliardy strat i dlaczego zlikwidowanie jednej usługi rzadko rozwiązuje problem.

Jak mogę rozpoznać, czy prośba o podpis jest złośliwa? {#faq-question-1783680782213}

Często nie możesz tego stwierdzić tylko na podstawie samej prośby, co stanowi zagrożenie, więc obrona polega na procesie, a nie na wykrywaniu. Nigdy nie podpisuj w stanie pilności, weryfikuj strony niezależnie zamiast klikać w linki, bądź podejrzliwy wobec wszystkiego, co jest darmowe lub pod presją czasową, i używaj portfela, który dekoduje i symuluje transakcje, aby pokazać w prostym języku, co zrobi podpis. Jeśli nie możesz odczytać, co autoryzujesz, nie podpisuj tego.

Co powinienem zrobić, jeśli myślę, że podpisałem złośliwe zatwierdzenie? {#faq-question-1783680789763}

Działaj natychmiast: użyj narzędzia do sprawdzania zatwierdzeń, takiego jak te wbudowane w główne portfele lub eksploratory bloków, aby znaleźć i cofnąć złośliwe zatwierdzenie, zanim wyczerpie nowe aktywa, ponieważ uprawnienie pozostaje aktywne do momentu cofnięcia. Przenieś wszelkie pozostałe aktywa do nowego, bezpiecznego portfela. Jeśli drain już wystąpił, skradzione fundusze są zazwyczaj nie do odzyskania, ale cofnięcie zatrzymuje dalszą kradzież przez to samo zatwierdzenie.

Jak mogę chronić mój portfel przed drainerami? {#faq-question-1783680795940}

Połącz nawyki i higienę: traktuj każdy podpis jako decyzję i nigdy nie podpisuj pod presją, weryfikuj strony niezależnie, używaj portfela dekodującego transakcje i odmawiaj podpisania tego, czego nie możesz przeczytać, przechowuj poważne aktywa w zimnym portfelu, który nigdy nie dotyka aplikacji, udzielaj minimalnych, a nie nieograniczonych zatwierdzeń i okresowo przeglądaj oraz cofnij aktywne zatwierdzenia. Cofnięcie starych i nieograniczonych zatwierdzeń to najwyżej wartościowa akcja, której większość użytkowników nigdy nie wykonała.

Ujawnienie: Ten artykuł nie stanowi porady inwestycyjnej. Treść i materiały przedstawione na tej stronie mają wyłącznie charakter edukacyjny. Przeczytaj więcej: DOJ oskarża więźnia o rzekomą kradzież kryptowalut o wartości 290 tys. USD.