Що таке "дренажники гаманців"? Всередині індустрії фішингу на схвалення

Дренажники гаманців вкрали мільярди у користувачів криптовалют, і майже жоден з цих випадків не пов'язаний зі вкраденим паролем чи зламаним блокчейном. Це сталося через те, що жертви підписували транзакції, які не розуміли. Цей посібник пояснює, як насправді працюють дренажники, механізм схвалення токенів, який вони експлуатують, індустрію дренажників як послуги, яка індустріалізувала крадіжки, конкретні підписи, які надають зловмисникам все, і як саме захистити гаманець та відкликати схвалення, які можуть бути вже небезпечними.

Найуспішніша техніка крадіжки в криптовалютах не зламує нічого. Вона запитує дозволу, і жертва його надає. Дренажники гаманців, шкідливі інструменти, які виводять токени та NFT з криптогаманця в одній схваленій транзакції, вкрали мільярди доларів у сотень тисяч жертв, і вражаючий факт про майже кожен випадок полягає в тому, що блокчейн працював бездоганно, криптографія витримала, і жоден пароль ніколи не був вкрадений. Жертву обманули, змусивши підписати транзакцію, яка авторизувала крадіжку, а ланцюг, виконуючи те, для чого він призначений, вірно виконав авторизацію.

Це визначальна риса ери дренажників: поверхня атаки перемістилася з протоколу на людину. Блокчейни зробили крадіжку монет шляхом зламу математики фактично неможливою, тому злодії перестали намагатися, і натомість звернулися до єдиного компонента, який жодна криптографія не може захистити, людини, яка вирішує, що підписати. Дренажники є індустріалізованим продуктом цього зсуву, упаковані інструменти, що продаються як послуга не технічним злочинцям, з усією фішинговою інфраструктурою для заманювання жертв і смарт-контрактами, які забирають їх активи в момент, коли вони надають схвалення.

Цей посібник пояснює всю цю машину. Він охоплює, як працюють схвалення блокчейна і чому вони є вразливістю, анатомію атаки дренажника від заманювання до виведення, конкретні шкідливі підписи, схвалення, дозволи та відомі транзакції з сліпим підписом, які надають зловмисникам все, індустрію дренажників як послуги, яка перетворила крадіжку гаманців на франшизний бізнес, заманювання, які доставляють жертв, і конкретні захисти, включаючи те, як знайти та відкликати небезпечні схвалення, які можуть бути у вашому гаманці прямо зараз.

Схвалення: функція, яка стала зброєю

Щоб зрозуміти дренажники, потрібно зрозуміти схвалення токенів, адже вся атака є зловживанням легітимною та необхідною функцією. Коли ви використовуєте децентралізований додаток, DEX, кредитний протокол, ринок NFT, йому потрібен дозвіл на переміщення ваших токенів від вашого імені. Замість того, щоб схвалювати кожну окрему транзакцію, стандартний механізм дозволяє вам надати смарт-контракту дозволення: дозвіл витрачати до певної суми конкретного токена з вашого гаманця, щоб додаток міг працювати безперешкодно без запитів щоразу.

Це зручно і, якщо використовується чесно, безпечно. Проблема полягає в тому, що механізм дозволяє, коли його зловживають. Схвалення можуть бути на необмежені суми, один підпис може авторизувати контракт на переміщення всіх токенів, які ви коли-небудь будете тримати, і вони залишаються активними, схвалення, яке ви надали один раз, залишається активним, поки ви його не відкличете, іноді на роки, тихо зберігаючи дозвіл на виведення цього токена, довго після того, як ви забули про транзакцію. Шкідливий контракт, який отримує необмежене, постійне схвалення вашого найціннішого токена, має постійний ключ до цієї частини вашого гаманця, і він може використовувати цей ключ, коли захоче, включаючи довго після моменту, коли ви підписали.

Дренажники існують, щоб отримати саме ті дозволи шляхом обману. Головна мета зловмисника — змусити вас підписати транзакцію, яка надає шкідливому контракту дозвіл на управління вашими активами, а все інше — фальшиві вебсайти, термінові повідомлення, підроблені бренди — це механізми, створені для отримання цього одного підпису. Як тільки дозвіл надано, крадіжка не є зломом; це контракт, який реалізує дозвіл, який ви авторизували, саме тому крадіжки дренажників так важко скасувати і чому блокчейн не пропонує жертві жодних засобів захисту: з точки зору протоколу нічого не пішло не так.

Анатомія атаки дренажника

Атака дренажника проходить за послідовною схемою, і знання цієї схеми робить небезпеку зрозумілою. Вона починається з приманки: жертва стикається з чимось, що має на меті змусити її підключити гаманець і підписати, фальшивою версією реального вебсайту проекту, шахрайським запитом на аірдроп, шкідливим посиланням у зламаному акаунті соціальних мереж, підробленою сторінкою для карбування мемкоїнів, яка приваблює натовпи підписатися в поспіху, отруєним результатом пошуку або рекламою. Завдання приманки — поставити жертву перед запитом на підписання гаманця, поки вона вважає, що робить щось легітимне, отримуючи винагороду, карбуючи NFT, перевіряючи акаунт, підключаючись до знайомого додатку.

Потім приходить запит на підпис, серце атаки. Шкідливий сайт запитує гаманець жертви підписати транзакцію, і транзакція створена для надання контракту зловмисника дозволу на управління активами жертви, безмежного схвалення токенів, підпису дозволу або пакетної авторизації, що охоплює кілька активів одночасно. Для жертви запит часто виглядає рутинно, і сучасні дренажники докладають зусиль, щоб зробити його схожим на легітимну дію, яку жертва очікує, маскуючи шкідливе схвалення підключенням або запитом, який вони прийшли виконати. Гаманець, правильно, показує запит на підпис; жертва, вважаючи його безпечним, схвалює.

Слідкування відбувається миттєво. Як тільки схвалення отримано, інфраструктура дренажника переміщує авторизовані активи з гаманця, часто в межах одного блоку, мчачи через ту ж інфраструктуру пріоритетного порядку, яка забезпечує всі витяги в ланцюгу, часто пріоритизуючи найцінніші токени спочатку та використовуючи автоматизацію, щоб вичерпати все, що авторизував підпис, перш ніж жертва зрозуміє, що сталося. Вкрадені активи потім відмиваються через міксери та міжланцюгові маршрути, той же шлях затемнення, яким слідує кожна велика крадіжка, за яким слідкує індустрія аналітики в ланцюгу, але рідко скасовує, і до того часу, як жертва помічає, активи вже зникли, а схвалення, яке авторизувало їх втрату, часто все ще активне, готове вичерпати будь-які нові токени, які з'являться. Вся послідовність, від приманки до вичерпання, може завершитися за секунди, і саме швидкість є причиною, чому запобігання, а не реакція, є єдиним справжнім захистом.

Вам також може бути цікаво: Біткоїн стикається з максимальним болем у $62K, оскільки закінчується $1.75B криптоопціонів

Підписи, які видають все

Не всі шкідливі підписи однакові, і найбільш небезпечні варто знати за іменем, адже їх розпізнавання — це різниця між близьким викликом і порожнім гаманцем.

Безмежне схвалення — це класика: підпис, що надає контракту дозвіл витрачати необмежену кількість конкретного токена. Легітимні додатки іноді запитують їх для зручності, що і робить їх небезпечними, жертви звикають їх схвалювати, а зловмисний контракт з необмеженим схваленням може повністю висмоктати цей токен, як тоді, так і пізніше. Підпис на дозволі є ще більш тонким і небезпечним: нові стандарти токенів дозволяють надавати схвалення через підписане повідомлення поза ланцюгом, а не через транзакцію в ланцюзі, що означає, що жертва може авторизувати дренаж, підписуючи те, що виглядає як безневинне повідомлення, без комісії за газ і без очевидної транзакції, що робить атаки на основі дозволів особливо оманливими, оскільки вони обходять ментальну тривогу, яку може викликати явна транзакція схвалення. Пакетні або делеговані підписи, які авторизують дії через кілька активів або надають широкий контроль в одному схваленні, дозволяють одному підпису передати всю вартість активів гаманця за один раз.

Основною проблемою є сліпе підписання. Апаратний гаманець або програмний гаманець захищає ваші ключі, але часто не може сказати вам простими словами, що насправді робить складна транзакція, показуючи натомість непрозорий хеш або незрозумілий об'єкт даних. Коли жертва не може прочитати, що вона авторизує, вона довіряє опису транзакції на сайті, а не самій транзакції, і дренажники експлуатують саме цю прогалину, представляючи безневинну історію, поки підпис під нею авторизує крадіжку. Сліпе підписання є найбільшою вразливістю в самостійній охороні, тією ж помилкою, що стоїть за найбільшими інституційними крадіжками в індустрії, і саме тому захист, який має найбільше значення, — це той, що робить транзакції читабельними перед їх підписанням.

Дренажники як послуга: крадіжка як франшиза

Те, що перетворило дренаж гаманців з розрізненого неприємності на мільярдну індустрію, стало інновацією бізнес-моделі: дренажники як послуга. Замість того, щоб кожен злодій створював свої власні інструменти, розвинені розробники створили набори дренажників, повні пакети, що включають зловмисні смарт-контракти, шаблони фішингових сайтів, автоматизацію збору активів і навіть підтримку клієнтів, і здають або ліцензують їх нетехнічним злочинцям в обмін на частку вкрадених коштів, зазвичай відсоток від кожного дренажу.

Ця франшиза є причиною, чому дренажники масштабувалися так катастрофічно. Вона усунула бар'єр навичок: злочинець без навичок програмування тепер може запустити професійну операцію дренажу, підписавшись на послугу, націливши її на приманку та розділивши прибуток з розробниками. Набори конкурують за ефективністю, швидко еволюціонуючи, щоб обійти попередження гаманця, уникнути виявлення та покращити свою обманність, гонка озброєнь, що фінансується самою крадіжкою. Відомі служби дренажу обробили вражаючі суми через десятки або сотні тисяч жертв, втрати на рівні експлуатацій, які висмоктують цілі протоколи перед закриттям, ребрендингом або заміною імітаторами, а стійкість моделі є структурною: знищіть одну, і попит, інструменти та розробники просто відновлюються під новим ім'ям. Індустрія професіоналізувала спосіб, яким легітимне програмне забезпечення, з рівнями, оновленнями та підтримкою, повністю застосовується до виробництва зловмисних підписів.

Масштаб, і чому він продовжував зростати

Числа, що стоять за епохою дренажу, пояснюють, чому вона привертає таку увагу. Протягом пікових років цього явища дренажні операції колективно вкрали мільярди доларів з сотень тисяч гаманців, причому окремі сервіси обробляли сотні мільйонів, перш ніж закритися або змінити бренд, а втрати були зосереджені не серед недосвідчених новачків, а серед усіх категорій користувачів, включаючи досвідчених власників, які підписали одну погану транзакцію в момент рутинної діяльності. Крива зростання відстежувала поширення моделі обслуговування: оскільки комплекти стали легшими для оренди та ефективнішими у обході попереджень гаманців, кількість операторів зросла, а загальна шкода зросла разом з ними.

Дві динаміки ускладнили проблему. Перша — це гонка озброєнь: кожне покращення безпеки гаманців, попереджень про транзакції, чорних списків фішингових сайтів, сповіщень про схвалення зустрічалися з адаптацією розробників дренажу своїх комплектів, щоб уникнути їх, фінансуючи це самим крадіжкою, тому захист і атаки еволюціонували разом, не даючи жодній стороні виграти назавжди. Друга — це проблема реінкарнації: оскільки модель є сервісом, а не фіксованою операцією, знищення будь-якого окремого дренажу, через правоохоронні органи, співпрацю бірж або просто через те, що розробники виводять гроші, усуває бренд, але не попит, експертизу чи інструменти, які знову з'являються під новими назвами. Індустрія виявилася такою ж стійкою, як і будь-який легітимний програмний ринок, з тих же причин: низькі бар'єри для входу, сильний попит і безперервна ітерація, всі спрямовані на виробництво шкідливих підписів.

Вам також може сподобатися: Біткойн зростає на 3% на фоні падіння цін на нафту, але $65,000 обмежує відновлення.

Дренаж у повільному русі

Перехід через один складений напад людською швидкістю робить абстрактну послідовність конкретною. Користувач бачить пост від того, що здається проектом, який вони слідкують, з офіційно виглядаючим акаунтом, який оголошує про несподіваний аірдроп з терміном подачі заявок в години. Терміновість є навмисною. Вони натискають на посилання, яке веде на сайт, що є піксельно точним клоном реального проекту, досягнутим через домен, що на один символ відрізняється від справжнього. Сайт запрошує їх підключити свій гаманець, щоб перевірити право на участь, рутинна дія, що здається безпечною, і вони це роблять. Сайт повідомляє, що вони мають право на значну частку і запрошує їх підписати транзакцію, щоб отримати її.

Запит є пасткою. Те, що сайт описує як отримання, насправді є запитом на надання контракту атакуючого необмеженого схвалення на найбільш цінний токен користувача або підпису дозволу, що авторизує те ж саме через безгазове повідомлення, яке виглядає ще безневинніше. Користувач, схвильований аірдропом і заспокоєний знайомим виглядом сайту, читає безневинний опис сайту замість справжнього змісту транзакції, який їх гаманець може показувати лише як непрозору масу, і схвалює.

В межах одного блоку дренаж забирає авторизований токен з гаманця, і якщо підпис був широким, переходить до наступного активу. Через кілька хвилин користувач перевіряє канали реального проекту і виявляє, що аірдропу не існувало. Схвалення, яке авторизувало крадіжку, все ще активне, і якщо його не скасувати, воно забере будь-які замінні токени, які надійдуть. Кожен крок здавався нормальним; вся втрата виникла з єдиного підпису, підписаного в штучному поспіху, що є всім дизайном дренажу в мініатюрі.

Приманки: як жертви потрапляють у пастку

Контракти дренажу — це лише половина машини; інша половина — це інфраструктура приманки, яка доставляє жертв до підписного запиту, і її різноманіття варто каталогізувати, оскільки визнання — це захист. Фальшиві аірдропи та вимоги токенів експлуатують жадібність і терміновість, обіцяючи безкоштовні токени, які вимагають підключення гаманця та підпису для отримання. Сайти-імітатори клонують реальні проекти піксель за пікселем, до яких можна дістатися через отруєні пошукові оголошення, домени з помилками або посилання, опубліковані з компрометованих офіційних акаунтів, тому жертви вважають, що вони на справжньому сайті. Фальшиві випуски та обмежені випуски створюють дефіцит і тиснуть на час, змушуючи жертв діяти без обережності. Компрометовані акаунти в соціальних мережах, включаючи перевірені та офіційні, публікують шкідливі посилання для довірливих підписників. Прямі повідомлення, що пропонують підтримку, можливості або попередження, заманюють жертв на шкідливі сайти. А шкідливі оголошення, розміщені в пошукових системах і соціальних платформах, ставлять шахрайські сайти вище справжніх.

Спільна нитка — психологічна: кожна приманка створює стан, збудження, терміновість, довіру, страх пропустити можливість, в якому жертва готова підписати без перевірки. Технічна складність дренажу є майже вторинною порівняно з соціальною інженерією приманки, оскільки вся атака залежить від того, щоб спіймати жертву в момент, коли вона спочатку схвалює, а потім думає. Ось чому найефективніший захист не є технічним, а поведінковим — постійна відмова підписувати щось у стані терміновості, і саме тому нападники так сильно інвестують у створення цієї терміновості.

Захист і відкликання того, що може бути небезпечним

Захист гаманця від дренажів зводиться до набору звичок і однієї завдання з обслуговування, яке більшість користувачів ніколи не виконували. Звички: розглядати кожен запит на підпис як рішення, а не формальність, і ніколи не підписувати в стані терміновості, оскільки терміновість є атакою. Перевіряйте сайти незалежно, вводячи відомі URL-адреси або використовуючи закладки замість того, щоб натискати на посилання, оголошення або результати пошуку. Будьте надзвичайно підозрілими до всього безкоштовного, несподіваного або термінового, емоційних підписів приманки. Використовуйте гаманець, який декодує та симулює транзакції, показуючи зрозумілою мовою, що насправді зробить підпис, перш ніж ви його схвалите, що безпосередньо атакує вразливість сліпого підпису, і відмовляйтеся підписувати все, що ви не можете прочитати. Тримайте серйозні активи в апаратному гаманці, а ще краще — в спеціальному холодному гаманці, який ніколи не підключається до додатків, щоб гаманець, який ви використовуєте для взаємодії з dapps, містив лише те, що ви можете дозволити собі втратити. І ставтеся до необмежених дозволів з особливою обережністю, надаючи лише ту суму, яка насправді потрібна для взаємодії, де це можливо.

Завдання з обслуговування — відкликання дозволів, і це те, що більшість користувачів пропускає. Кожен дозвіл, який ви коли-небудь надали, залишається активним, поки не буде відкликано, що означає, що старі, забуті дозволи, включаючи будь-які шкідливі, які ви могли підписати без наслідків, залишаються у вашому гаманці як постійний ризик. Інструменти перевірки дозволів, включаючи ті, що вбудовані в основні гаманці та блокчейн-експлорари, дозволяють вам бачити кожен активний дозвіл у вашому гаманці, які контракти можуть витрачати які токени, і відкликати ті, які ви не впізнаєте або більше не потребуєте. Періодичний перегляд і відкликання дозволів закриває постійні двері, на які покладаються дренажі, і робити це зараз, особливо відкликаючи будь-які необмежені дозволи на незнайомі контракти, є єдиним найціннішим заходом безпеки, який більшість користувачів криптовалют можуть вжити і не вжили.

Чесний підсумок полягає в тому, що дренери є зрілою формою крадіжки криптовалюти в епоху, коли криптографію не можна зламати: індустрія настільки ретельно захистила код, що злочинці відмовилися від нього на користь людини і створили професійну індустрію навколо виробництва єдиного, чого не може запобігти самостійне зберігання — підпису жертви на шкідливій транзакції. Жодне оновлення блокчейну не виправить це, оскільки з блокчейном нічого не сталося, а захист відповідно є людським: обізнана підозра, читабельні транзакції, мінімальна експозиція та відкликані дозволи.

Технологія надала всім можливість бути власним банком, а дренери є постійним нагадуванням про те, що бути власним банком означає бути власним відділом безпеки, і що найважливіший брандмауер у криптовалюті — це пауза між читанням запиту на підпис і його затвердженням.

Останнє формулювання, яке варто запам'ятати: дренери є ціною найбільшої сили самостійного зберігання. Така ж властивість, яка дозволяє вам зберігати активи, які жоден банк не може заморозити, остаточна влада над вашим власним підписом, є властивістю, яку зловмисники використовують проти вас, оскільки підпис, на який вас обманом змусили, є таким же остаточним, як і будь-який інший. Немає гарячої лінії, щоб скасувати це, і жодна установа не поглине втрати, що є точною угодою, яку пропонує самостійне зберігання: повний контроль в обмін на повну відповідальність. Хороша новина полягає в тому, що відповідальність можна зняти за допомогою кількох звичок, які можна вивчити, і одного затриманого післяобіднього часу, витраченого на відкликання старих дозволів, а користувачі, які їх засвоюють, на практиці є надзвичайно важкими для дренування. Брандмауер — це ви; цей посібник — його інструкція.

Відмова від відповідальності: ця стаття призначена лише для освітніх цілей і не є інвестиційною або безпековою порадою. Самостійне зберігання цифрових активів несе значний ризик, і жодна практика не усуває його. Деталі актуальні станом на 9 липня 2026 року. Завжди проводьте власне дослідження.

Часто задавані питання

Що таке дренер гаманця простими словами? {#faq-question-1783680737132}

Дренер гаманця — це шкідливий інструмент, який очищає криптогаманець від його токенів і NFT після того, як обманом змушує власника підписати транзакцію, яка авторизує крадіжку. Він не краде паролі і не зламує блокчейн; він зловживає легітимним механізмом затвердження, який дозволяє додаткам переміщати ваші токени, отримуючи цей дозвіл через обман, а потім забираючи активи. Блокчейн виконує крадіжку як авторизовану дію.

Як дренери крадуть криптовалюту, не зламуя нічого? {#faq-question-1783680746655}

Вони експлуатують людину, а не технологію. Блокчейни дозволяють вам надавати смарт-контрактам дозвіл на переміщення ваших токенів, а дренери обманом змушують вас надати цей дозвіл шкідливому контракту, зазвичай через фальшивий веб-сайт або аірдроп, який представляє безпечний запит на підпис. Як тільки ви затверджуєте, контракт легітимно переміщує ваші активи з точки зору протоколу, що є причиною, чому нічого технічно не зламано, і крадіжку важко скасувати.

Що таке затвердження токена і чому це небезпечно? {#faq-question-1783680753793}

Затвердження токена — це дозвіл, який ви надаєте смарт-контракту на витрати ваших токенів, щоб додатки могли працювати без запиту на кожну транзакцію. Це стає небезпечним, коли затвердження є необмеженим і постійним: один підпис може авторизувати контракт на переміщення всього токена, а дозвіл залишається активним, поки не буде відкликано. Шкідливий контракт з таким затвердженням має постійний ключ до цієї частини вашого гаманця.

Що таке сліпе підписання? {#faq-question-1783680761008}

Сліпе підписання — це схвалення транзакції, справжній ефект якої ви не можете прочитати, зазвичай це показується у вигляді непрозорого хешу або блобу даних, а не у зрозумілому описі. Оскільки ви не можете бачити, що авторизуєте, ви довіряєте історії сайту про транзакцію, а не самій транзакції, що саме і використовують зловмисники. Це найбільша вразливість у самостійній опіці, а читабельні, змодельовані транзакції є прямим захистом.

Що таке drainer-as-a-service? {#faq-question-1783680762052}

Drainer-as-a-service — це бізнес-модель, яка індустріалізувала крадіжку гаманців: досвідчені розробники створюють повні набори для крадіжки, зловмисні контракти, шаблони фішингу, автоматизацію очищення, навіть підтримку, і орендують їх нетехнічним злочинцям за частку вкрадених коштів. Це усунуло бар'єр навичок, дозволяючи будь-кому проводити професійну операцію з крадіжки, що є причиною, чому зловмисники досягли мільярдних збитків і чому зупинка одного сервісу рідко вирішує проблему.

Як я можу дізнатися, чи є запит на підписання зловмисним? {#faq-question-1783680782213}

Ви часто не можете визначити це лише за запитом, що є небезпекою, тому захист полягає у процесі, а не у виявленні. Ніколи не підписуйте в стані терміновості, перевіряйте сайти незалежно, а не натискаючи на посилання, будьте підозрілими до всього безкоштовного або термінового, і використовуйте гаманець, який декодує та змодельовує транзакції, щоб показати зрозумілою мовою, що зробить підпис. Якщо ви не можете прочитати, що авторизуєте, не підписуйте це.

Що робити, якщо я вважаю, що підписав зловмисне схвалення? {#faq-question-1783680789763}

Дійте негайно: використовуйте інструмент перевірки схвалення, наприклад, ті, що вбудовані в основні гаманці або блокчейн-експлорери, щоб знайти та відкликати зловмисне схвалення, перш ніж воно вкраде нові активи, оскільки дозвіл залишається активним до відкликання. Перемістіть будь-які залишкові активи до нового, безпечного гаманця. Якщо крадіжка вже сталася, вкрадені кошти зазвичай не підлягають відновленню, але відкликання зупиняє подальшу крадіжку через те ж схвалення.

Як захистити свій гаманець від зловмисників? {#faq-question-1783680795940}

Поєднайте звички та гігієну: ставтеся до кожного підпису як до рішення і ніколи не підписуйте в стані терміновості, перевіряйте сайти незалежно, використовуйте гаманець для декодування транзакцій і відмовляйтеся підписувати те, що не можете прочитати, зберігайте серйозні активи в холодному гаманці, який ніколи не торкається додатків, надавайте мінімальні, а не необмежені схвалення, і періодично переглядайте та відкликайте активні схвалення. Відкликання старих і необмежених схвалень є найціннішою дією, яку більшість користувачів ніколи не виконували.

Розкриття: Ця стаття не є інвестиційною порадою. Вміст та матеріали, представлені на цій сторінці, призначені лише для освітніх цілей. Читати далі: DOJ звинувачує ув'язненого у крадіжці криптовалюти на $290K