Prevare s kriptovalutama

Poziv nekoga tko tvrdi da je korisnička podrška, prilika za ulaganje koju promiče poznato lice ili nagrada koja se neočekivano pojavi u vašem novčaniku. Svaka situacija može izgledati drugačije, ali sve mogu dovesti do istog ishoda: otkrivamo osjetljive podatke, šaljemo sredstva ili odobravamo transakciju ne razumijući što ona zapravo radi.

Ne možemo nužno prepoznati prijevaru po nazivu kriptovalute ili izgledu aplikacije. Ono što je važnije jest što od nas traži druga strana i kakav pristup ili kontrolu bismo im dali. Sljedeći scenariji ističu trenutke u kojima možemo zaustaviti prijevaru prije nego što nastane bilo kakva šteta.

Usredotočite se na ono što od vas traži prijevara

Napadač može započeti tako da nas uplaši za sigurnost našeg računa, obećavajući izvanredne prinose ili postupno zadobivajući naše povjerenje. Vremenski pritisak potom ostavlja manje prostora za provjeru. Ponekad napadač traži još jedan polog nakon tjedana komunikacije; drugi put žele da poduzmemo odlučujući korak u roku od nekoliko minuta. Profesionalan način ophođenja i spremnost na odgovaranje na pitanja sami po sebi nisu dokaz da je ponuda legitimna.

Stoga se, pri procjeni situacije, vraćamo na konkretnu radnju koja se od nas traži. Traži li se od nas da podijelimo podatke za prijavu, omogućimo daljinski pristup uređaju, prebacimo novac ili nešto potpišemo u novčaniku? Fraza "to je samo korak provjere" ne objašnjava što će ta potvrda zapravo učiniti. Razlika između obećanog i onoga što traženo djelovanje omogućuje često je najvažniji znak upozorenja.

Lažne ponude podrške za "zaštitu" vašeg računa

Netko zove, zna naše ime i predstavlja se kao predstavnik usluge kriptovaluta. Tvrde da je naš račun kompromitiran. Kažu nam da instaliramo softver za daljinski pristup i premjestimo naše kriptovalute na novu adresu koju će nam dati. Navodno će to zaštititi sredstva od krađe.

U ovom scenariju, ono što se predstavlja kao sigurnosna mjera postaje prijenos sredstava izvršen prema uputama neznanca. Poznavanje našeg imena ili prikazivanje poznatog broja telefona ne provjerava identitet pozivatelja. Coinbase, na primjer, upozorava da prevaranti mogu krivotvoriti prave telefonske brojeve i da njegov tim za podršku ne traži lozinke, kodove za provjeru ili prijenose na vanjske adrese.

Prekidamo poziv i samostalno pristupamo usluzi putem aplikacije koju već poznajemo ili provjerenog web-mjesta. Tamo provjeravamo postoji li neki problem i kontaktiramo podršku putem neovisno provjerenog kanala. Ne koristimo telefonski broj ili poveznicu koju je dao pozivatelj. Nikada ne otkrivamo frazu za oporavak ili privatni ključ, čak ni osobi koja obećava da će samo "provjeriti" naš novčanik.

"Investicijski savjetnik" prikazuje dobitke na ekranu

Nakon što smo odgovorili na oglas, kontaktira nas netko tko tvrdi da je investicijski savjetnik. Nude automatizirano trgovanje kriptovalutama i pomažu nam otvoriti račun. U ovom primjeru uplatili smo 20.000 CZK i, nekoliko dana kasnije, vidimo stanje od 31.000 CZK. Aplikacija izgleda uvjerljivo, a savjetnik spremno objašnjava što dalje činiti.

No, broj prikazan u aplikaciji nije dokaz da sredstva doista postoje. Policija Češke Republike opisuje prevare u kojima platforma prikazuje izmišljene dobiti dok počinitelj postupno uvjerava žrtvu da uplati dodatna sredstva. Dopuštanje male isplate također može pomoći u izgradnji povjerenja. Sama takva isplata ne dokazuje da preostala sredstva postoje ili su dostupna za isplatu.

Kada pokušamo podići veći iznos, može se od nas tražiti da platimo dodatni iznos za navodni porez, naknadu za osiguranje ili naknadu za otključavanje računa. U ovom primjeru rečeno nam je da pošaljemo još 8.000 CZK kako bismo pristupili već prikazanoj dobiti. Sve veći zahtjevi mogu jednostavno povećati naše gubitke. Nazivanje uplate 'porezom' ne čini je legitimnom.

Prije prve uplate provjeravamo stvarno društvo i njegovu ovlast za pružanje regulirane usluge u službenim registrima. Također provjeravamo podudara li se identitet društva s web-stranicom i kontaktnim podacima putem kojih komuniciramo. Prevarant može zloupotrijebiti ime legitimne tvrtke; stoga Češka narodna banka (ČNB) preporučuje provjeru i licence pružatelja usluga i njegovog stvarnog identiteta. Fotografija dokumenta o ovlaštenju ili poveznica na registar koju dostavi druga strana nisu zamjena za neovisnu provjeru.

Ako se već nađemo u takvoj situaciji, ne šaljemo više novca samo da bismo "spasili" svoj izvorni depozit. Provjeravamo zahtjev neovisno o navodnom savjetniku. Pritisak da uzmemo zajam ili da ulaganje sakrijemo od obitelji i prijatelja još je jedan razlog da se zaustavimo i preispitamo.

Poznata web stranica traži od nas da se ponovno prijavimo

Tražimo novčanik ili uslugu koju redovito koristimo. Otvaramo rezultat koji prikazuje poznati logo, a web-stranica nas traži da se prijavimo. Zatim traži našu frazu za oporavak, navodno kako bi ažurirala ili provjerila novčanik.

Ovo je tipičan oblik phishinga: lažna web stranica predstavlja se kao pouzdana usluga kako bi dobila osjetljive podatke. Napad ne mora započeti sumnjivom e-poštom. Coinbase također upozorava na lažne oglase za pretraživanje, poruke na društvenim mrežama i lažne decentralizirane aplikacije. Visoka pozicija u rezultatima pretraživanja stoga ne dokazuje da je web stranica autentična.

Prije unosa bilo kakvih podataka provjeravamo stvarno ime domene i podrijetlo aplikacije. Ne oslanjamo se na poveznicu iz neželjene poruke ili oglasa kao jedini način provjere. Nikada ne unosimo frazu za oporavak u obrazac otvoren kao odgovor na neočekivan zahtjev. Ako doista trebamo oporaviti vlastiti novčanik, slijedimo provjerene upute pružatelja usluge novčanika.

Sličan zahtjev može doći čak i s računa osobe koju poznajemo. Neobične poruke provjeravamo putem drugog kanala komunikacije. Tečno govor, poznati glas ili uvjerljiv video nisu dovoljan dokaz identiteta; umjetna inteligencija se također može koristiti za njihovu imitaciju.

Novčanik traži potvrdu navodne verifikacije

Web-stranica obećava nagradu za povezivanje našeg novčanika. Nakon povezivanja, tvrdi da trebamo samo potpisati jednostavan zahtjev za provjeru. Međutim, novčanik zapravo prikazuje zahtjev za dopuštenje za pristup tokenima koje već posjedujemo.

Za određene tokene i blockchain aplikacije, takozvano odobrenje tokena ovlašćuje određenu adresu ili pametni ugovor da prenese navedene tokene do dogovorenog limita. To je uobičajen tehnički mehanizam, ali se može zloupotrijebiti. Neograničeno odobrenje samo po sebi nije dokaz prijevare, no može znatno povećati posljedice davanja odobrenja pogrešnoj strani.

Recimo da posjedujemo 1.000 USDC tokena na Ethereumu, a web-stranica nudi nagradu od 25 USDC. Umjesto da jednostavno isporuči očekivanu nagradu, traži dopuštenje za pristup svim našim USDC tokenima. Ta neusklađenost ključni je znak upozorenja. Ne odobravamo zahtjev; umjesto toga provjeravamo zašto bi takvo dopuštenje uopće bilo potrebno za obećanu radnju.

Povezivanje web-stranice, potpisivanje poruke i davanje odobrenja za token nisu međusobno zamjenjivi postupci.

Nedostatak mrežne naknade ne znači da potpis ne može ugroziti sredstva. Neki mehanizmi omogućuju dodjelu ovlasti za token putem potpisanog poruke koja se potom može koristiti na blockchainu. Takav potpis ne smije se automatski smatrati bezopasnim zahtjevom za prijavu.

Ako ne razumijemo posljedice, odbijamo zahtjev. Zatvaranje stranice ili odspajanje novčanika ne poništava već dano odobrenje. MetaMask izričito razlikuje odspajanje aplikacije i poništavanje odobrenja za token.

Nepoznata nagrada se pojavljuje u našem novčaniku

U popisu naših sredstava nalazimo token koji nikada nismo kupili. Njegovo ime ili priložena poruka upućuje na web-stranicu na kojoj navodno možemo preuzeti nagradu. Stranica nas zatim traži da povežemo novčanik, potpišemo poruku ili uplatimo predujam.

Primanje nepoznatog tokena samo po sebi ne znači da netko kontrolira naše privatne ključeve. Međutim, token može biti mamac osmišljen da potakne daljnje djelovanje. Coinbase upozorava na prijevarne airdropove, kao i na tokene čiji su prijenosi ili prodaje ograničeni skrivenim pravilima pametnog ugovora. Prikazano ime ili vrijednost tokena stoga nije jamstvo da se imovina zaista može prodati za novac.

Ne posjećujemo web-stranicu ugrađenu u ime nepoželjnog tokena niti išta potpisujemo zbog toga. Ako ne možemo utvrditi podrijetlo tokena, možemo ga ostaviti netaknutim ili ga sakriti u aplikaciji. Zahtjev da prvo izvršimo prijenos za 'provjeru adrese' ili za otključavanje nagrade razlog je da se zaustavimo. Postoje legitimne mrežne naknade, ali njihovo spominjanje ne čini ponudu autentičnom.

"Stručnjak za oporavak" obećava povrat izgubljenih sredstava

Nakon prethodnog gubitka, kontaktira nas netko tko tvrdi da je stručnjak ili pravni zastupnik. Kažu da su ušli u trag sredstvima, znaju detalje slučaja i mogu povratiti novac. Međutim, prvo zahtijevaju uplatu avansa, naknadu za oslobađanje sredstava ili pristup našem novčaniku.

To može biti nastavak prijevare, poznat kao prijevara za povrat sredstava. FBI upozorava na tvrtke koje obećavaju da će vratiti ukradenu kriptovalutu, naplate unaprijed naknadu, a zatim prestanu odgovarati ili zahtijevaju daljnja plaćanja. Prevaranti se čak mogu predstavljati kao osobe povezane s pravnim ili policijskim tijelima.

Praćenje kretanja sredstava nije isto što i kontrola nad njima ili mogućnost prisiliti na njihov povrat. Izvješće s popisom adresa i transakcija stoga ne dokazuje da autor izvješća kontrolira novac. Ne provjeravamo nezahtijevano obećanje o zajamčenom povratu slanjem još jedne uplate. Pružamo relevantne zapise pogođenoj službi i policiji te zadržavamo podatke o novom kontaktu kao dio slučaja.

Provjerite i izvor i posljedice prije potvrđivanja

Gore opisani scenariji dijele jedno jednostavno pravilo: provjerite poruku ili ponudu putem kanala neovisnog o osobi koja traži radnju. Drugi kontakt koji je ista osoba dostavila možda ne predstavlja neovisnu provjeru.

Prije izvršenja uplate, instalacije softvera ili potpisivanja bilo čega, trebali bismo si postaviti nekoliko pitanja:

Jesmo li mi sami pokrenuli ovu radnju ili odgovaramo na nezahtjevani upit?

Što točno bismo otkrili drugoj strani ili im dopustili da učine?

Odgovara li učinak traženog postupka onome što želimo postići?

Jesmo li neovisno provjerili identitet i uvjete, neovisno o danim poveznicama i kontaktnim podacima?

Možemo li odgoditi odluku i uzeti vremena za provjeru informacija?

Jedan znak upozorenja ne dokazuje nužno prijevaru. No, ne moramo utvrditi kaznenu namjeru prije odbijanja nejasnog zahtjeva. Dovoljno je da ne možemo provjeriti njegov izvor ili razumno objasniti zašto je potreban pristup našim sredstvima.

Ako smo već odgovorili

Zaustavljamo slanje novca i pridržavanje uputa sumnjive osobe. Ako incident uključuje bankovni prijenos, platnu karticu ili pristup internetskom bankarstvu, odmah kontaktiramo svoju banku. Također kontaktiramo relevantnog pružatelja usluga kriptovaluta putem njegovih službenih kanala. Brza reakcija može ograničiti daljnju štetu, iako ishod nije zajamčen.

Što ćemo dalje učiniti ovisi o već poduzetim radnjama. Ako je lozinka ili kod za provjeru otkriven, osiguravamo račun pomoću pouzdanog uređaja i provjeravamo povezane uređaje i adresu e-pošte za oporavak. Ako je računalo kompromitirano, ne koristimo isti, potencijalno nesiguran uređaj ili put pristupa za promjenu podataka o računu.

Ako smo odobrili token, trebamo pregledati i, gdje je to primjereno, opozvati to specifično odobrenje na relevantnoj mreži. Za potpisane poruke, rješenje ovisi o vrsti potpisa: standardno opozivanje odobrenja možda neće obuhvatiti svaki potpisani zahtjev. Pridržavamo se provjerene dokumentacije za novčanik koji koristimo, umjesto da slijedimo novo dostavljenu poveznicu za oporavak.

Ako je izložena fraza za oporavak ili privatni ključ, promjena lozinke aplikacije nije dovoljna. Preostala sredstva možda će trebati osigurati pomoću novih, neovisno generiranih ključeva u pouzdanom okruženju i trebali bismo prestati koristiti kompromitirani novčanik. Ako ulazna sredstva odmah nestanu, ne šaljemo slijepo dodatnu kriptovalutu da pokrijemo troškove transakcija: automatizirani program pod kontrolom napadača možda prazni novčanik.

Čuvamo poruke, adrese web-stranica i podatke o plaćanju, uključujući identifikatore transakcija kriptovalutama. Prijavljujemo sumnjive kazneno-pravne aktivnosti policiji Češke Republike. Ne čekamo obećani povrat novca ili odgovor od navodnog savjetnika. Osjećaj srama ne bi trebao odgađati korake koji mogu pomoći u sprječavanju daljnjih gubitaka.

Zaključak

Prevare s kriptovalutama često uspijevaju kada netko prihvati objašnjenje napadača bez ispitivanja posljedica vlastitih postupaka. Navodna zaštita računa može značiti prijenos novca neznancu; obećanje o povratu može dovesti do lažne platforme; a naizgled rutinska provjera novčanika može odobriti opasna dopuštenja.

Najučinkovitija obrana je zaustaviti se prije poduzimanja odlučujućeg koraka i neovisno ga provjeriti. Poznat logo, uvjerljiv glas ili rastući iznos na ekranu nisu dovoljni. Moramo znati tko zaista upućuje zahtjev i što omogućujemo njegovim potvrđivanjem.

Ako smo već podijelili podatke ili poslali sredstva, naši sljedeći koraci trebali bi odražavati prirodu izloženosti. Brzo osiguravanje računa, kontaktiranje banke ili pružatelja usluga i čuvanje dokaza vrijedniji su od plaćanja još jedne naknade za obećano vraćanje sredstava.