Kriptovaluta-csalások

Egy telefonhívás valakitől, aki ügyfélszolgálati munkatársként mutatkozik be, egy ismerős arc által ajánlott befektetési lehetőség, vagy egy váratlanul a pénztárcádban megjelenő jutalom. Ezek a helyzetek ugyan eltérőnek tűnhetnek, de mind ugyanahhoz a következményhez vezethetnek: érzékeny adatokat adunk ki, pénzt utalunk át, vagy jóváhagyunk egy tranzakciót anélkül, hogy tisztában lennénk annak valódi céljával.

Nem feltétlenül ismerjük fel a csalást a kriptovaluta neve vagy egy alkalmazás megjelenése alapján. Sokkal fontosabb az, hogy mit kér tőlünk a másik fél, és milyen hozzáférést vagy ellenőrzést adnánk át neki. Az alábbi forgatókönyvek rávilágítanak azokra a pontokra, ahol még a kár bekövetkezte előtt megakadályozhatjuk a csalást.

Koncentrálj arra, mit kér tőled a csalás

A támadó azzal kezdheti, hogy félelmet kelt bennünk a fiókunk biztonságát illetően, kivételes hozamot ígér, vagy fokozatosan elnyeri a bizalmunkat. Az időnyomás pedig kevesebb teret hagy az ellenőrzésre. Előfordul, hogy a támadó hetekig tartó kommunikáció után kéri a következő befizetést; máskor viszont azt akarja, hogy perceken belül tegyük meg a döntő lépést. A profi fellépés és a kérdésekre való válaszadási hajlandóság önmagában nem bizonyíték arra, hogy az ajánlat törvényes.

A helyzet felmérésekor ezért térjünk vissza a konkrét, kért cselekvésre. Arra kérnek-e minket, hogy osszuk meg a bejelentkezési adatainkat, engedélyezzük a távoli hozzáférést egy eszközhöz, utaljunk át pénzt, vagy írjunk alá valamit egy pénztárcában? A „ez csak egy ellenőrzési lépés” kifejezés nem magyarázza meg, hogy a megerősítés valójában mit fog eredményezni. A megígért és a kért cselekvés által lehetővé tett között fennálló különbség gyakran a legfontosabb figyelmeztető jel.

Hamis ügyfélszolgálati ajánlatok a fiók „védelmére”

Valaki felhív minket, ismeri a nevünket, és egy kriptovaluta-szolgáltatás képviselőjeként mutatkozik be. Azt állítja, hogy a fiókunkat feltörték. Arra kérnek minket, hogy telepítsünk távoli hozzáférést biztosító szoftvert, és helyezzük át a kriptovalutánkat egy új címre, amelyet ők adnak meg. Állítólag ez megvédi a pénzeszközöket a lopástól.

Ebben a forgatókönyvben az, amit biztonsági intézkedésként tálalnak, valójában egy idegen utasítására végrehajtott pénzátutalássá válik. Az, hogy ismeri a nevünket, vagy egy ismerős telefonszámot jelenít meg, még nem igazolja a hívó személyazonosságát. A Coinbase például arra figyelmeztet, hogy a csalók hamisíthatják a valódi telefonszámokat, és hogy ügyfélszolgálata nem kéri a jelszavakat, az azonosító kódokat, illetve nem kéri a külső címekre történő átutalásokat.

Vessünk véget a hívásnak, és önállóan lépjünk be a szolgáltatásba egy már ismert alkalmazáson vagy egy hitelesített weboldalon keresztül. Ott ellenőrizzük, hogy van-e valami probléma, és egy függetlenül hitelesített csatornán keresztül vegyük fel a kapcsolatot az ügyfélszolgálattal. Ne használjuk a hívó által megadott telefonszámot vagy linket. Soha ne adjuk ki a helyreállítási kifejezést vagy a privát kulcsot, még akkor sem, ha valaki csupán azt ígéri, hogy „ellenőrzi” a pénztárcánkat.

Egy „befektetési tanácsadó” nyereséget mutat a képernyőn

Miután válaszoltunk egy hirdetésre, felveszi velünk a kapcsolatot valaki, aki befektetési tanácsadónak adja ki magát. Automatizált kriptovaluta-kereskedést kínál, és segít nekünk fiókot létrehozni. Ebben a példában 20 000 CZK-t utalunk be, és néhány nappal később 31 000 CZK egyenleget látunk. Az alkalmazás meggyőzőnek tűnik, és a tanácsadó készségesen elmagyarázza, mi a következő lépés.

De az alkalmazásban megjelenő szám nem bizonyítja, hogy a vagyon valóban létezik. A Cseh Köztársaság rendőrsége olyan csalásokról számol be, amelyekben a platform fiktív nyereséget mutat, miközben az elkövető fokozatosan rábeszéli az áldozatot további befizetésekre. Egy kis összegű kifizetés engedélyezése is segíthet a bizalom kiépítésében. Egy ilyen kifizetés önmagában nem bizonyítja, hogy a fennmaradó pénzeszközök léteznek, vagy hogy azok kifizethetők.

Ha nagyobb összegű kifizetést próbálunk kezdeményezni, előfordulhat, hogy további összeg befizetésére kérnek minket állítólagos adó, biztosítási díj vagy számlafelszabadítási díj címén. Ebben a példában azt mondják nekünk, hogy további 8 000 CZK-t kell átutalnunk ahhoz, hogy hozzáférhessünk a már megjelenített hozamokhoz. Az egyre növekvő követelések egyszerűen csak növelhetik veszteségeinket. Az, hogy egy kifizetést „adónak” neveznek, még nem teszi azt törvényessé.

Az első befizetés előtt a hivatalos nyilvántartásokban ellenőrizzük a tényleges üzemeltetőt és annak engedélyét a szabályozott szolgáltatás nyújtására. Azt is ellenőrizzük, hogy a vállalat adatai egyeznek-e a weboldalon szereplővel, valamint a kapcsolattartási adatokkal, amelyeken keresztül kommunikálunk. Egy csaló visszaélhet egy valódi vállalkozás nevével; a Cseh Nemzeti Bank (CNB) ezért azt javasolja, hogy ellenőrizzük mind a szolgáltató engedélyét, mind tényleges személyazonosságát. Az engedélyezési okmány fényképe vagy a másik fél által megadott nyilvántartási link nem helyettesíti a független ellenőrzést.

Ha már ilyen helyzetbe kerültünk, ne küldjünk további pénzt pusztán azért, hogy „megmentsük” az eredeti befektetésünket. A követelést a feltételezett tanácsadótól függetlenül ellenőrizzük. A hitel felvételére gyakorolt nyomás vagy a befektetés családtagok és barátok elől való eltitkolása szintén ok arra, hogy megálljunk és átgondoljuk a dolgot.

Egy ismerős weboldal arra kéri, hogy jelentkezzünk be újra

Keresünk egy pénztárcát vagy szolgáltatást, amelyet rendszeresen használunk. Megnyitunk egy találatot, amelyen egy ismerős logó látható, és a weboldal bejelentkezésre kéri minket. Ezután kéri a helyreállítási kódunkat, állítólag a pénztárca frissítése vagy ellenőrzése céljából.

Ez a phishing egyik tipikus formája: egy csaló weboldal megbízható szolgáltatást utánoz, hogy érzékeny adatokhoz jusson. A támadásnak nem feltétlenül kell gyanús e-mailből indulnia. A Coinbase csaló keresési hirdetésekre, közösségi média üzenetekre és hamis decentralizált alkalmazásokra is figyelmeztet. A keresési eredmények közötti magas pozíció tehát nem bizonyítja, hogy egy weboldal hiteles.

Mielőtt bármilyen adatot megadnánk, ellenőrizzük a tényleges domainnevet és az alkalmazás eredetét. Nem támaszkodunk kizárólag egy kéretlen üzenetből vagy hirdetésből származó linkre, mint egyetlen ellenőrzési eszközre. Soha ne írjuk be a helyreállítási kódot egy váratlan kérésre megnyitott űrlapba. Ha valóban vissza kell állítanunk a saját pénztárcánkat, kövessük a pénztárca-szolgáltató hiteles utasításait.

Hasonló kérés akár egy ismerősünk fiókjából is érkezhet. A szokatlan üzeneteket egy másik kommunikációs csatornán keresztül ellenőrizzük. A folyékony nyelvhasználat, az ismerős hang vagy egy meggyőző videó nem elegendő bizonyíték a személyazonosságra; ezeket mesterséges intelligencia segítségével is utánozni lehet.

Egy pénztárca megerősítést kér egy állítólagos hitelesítéshez

Egy weboldal jutalmat ígér a pénztárcánk összekapcsolásáért. Az összekapcsolás után azt állítja, hogy csupán egy egyszerű hitelesítési kérelem aláírására van szükségünk. A pénztárca azonban valójában engedélykérést jelenít meg a már birtokunkban lévő tokenekhez való hozzáférésre.

Bizonyos tokenek és blokklánc-alkalmazások esetében az úgynevezett token-jóváhagyás felhatalmazza egy kijelölt címet vagy intelligens szerződést, hogy a megadott tokeneket egy előre megállapodott határig átutalja. Ez egy normális technikai mechanizmus, de vissza is lehet élni vele. A korlátlan engedély önmagában nem bizonyítja a csalást, de jelentősen súlyosbíthatja annak következményeit, ha a jóváhagyást a rossz félnek adjuk meg.

Tegyük fel, hogy 1 000 USDC-tokenünk van az Ethereumon, és egy weboldal 25 USDC jutalmat kínál. Ahelyett, hogy egyszerűen kifizetné a várt jutalmat, engedélyt kér az összes USDC-nkhez való hozzáférésre. Ez az eltérés a legfontosabb figyelmeztető jel. Nem hagyjuk jóvá a kérést; ehelyett megvizsgáljuk, miért lenne egyáltalán szükség ilyen engedélyre az ígért művelethez.

Egy weboldalhoz való csatlakozás, egy üzenet aláírása és a token-jóváhagyás megadása nem egymással felcserélhető műveletek.

A hálózati díj hiánya nem jelenti azt, hogy az aláírás nem veszélyeztetheti a pénzeszközöket. Bizonyos mechanizmusok lehetővé teszik a token-jogosultságok megadását egy aláírt üzenet révén, amely később felhasználható a blokkláncon. Egy ilyen aláírást nem szabad automatikusan ártalmatlan bejelentkezési kérésként kezelni.

Ha nem értjük a következményeket, elutasítjuk a kérést. Az oldal bezárása vagy a pénztárca leválasztása nem vonja vissza a már megadott jóváhagyást. A MetaMask kifejezetten különbséget tesz az alkalmazás leválasztása és a token-jóváhagyás visszavonása között.

Ismeretlen jutalom jelenik meg a pénztárcánkban

Az eszközlistánkon találunk egy tokent, amelyet soha nem vásároltunk meg. A neve vagy a hozzá tartozó üzenet egy weboldalra utal, ahol állítólag igényelhetünk egy jutalmat. A weboldal ezután arra kéri, hogy csatlakoztassunk egy pénztárcát, írjunk alá egy üzenetet, vagy fizessünk előre.

Egy ismeretlen token megkapása önmagában nem jelenti azt, hogy valaki ellenőrzi a privát kulcsainkat. A token azonban csali lehet, amelynek célja további lépésekre ösztönözni minket. A Coinbase figyelmeztet a csaló airdropokra, valamint azokra a tokenekre, amelyek átruházását vagy eladását rejtett okos-szerződéses szabályok korlátozzák. A megjelenített token neve vagy értéke ezért nem garantálja, hogy az eszköz valóban pénzért eladható.

Ne látogassunk el olyan weboldalra, amely egy kéretlen token nevébe van beágyazva, és ne írjunk alá semmit emiatt. Ha nem tudjuk megállapítani a token eredetét, hagyhatjuk érintetlenül, vagy elrejthetjük az alkalmazásban. Ha azt kérik, hogy először hajtsunk végre átutalást „címellenőrzés” céljából, vagy egy jutalom feloldása érdekében, az okot ad a folyamat leállítására. Tényleg léteznek jogos hálózati díjak, de azok említése még nem teszi hitelesé az ajánlatot.

Egy „visszaszerzési szakértő” megígéri az elveszett pénzeszközök visszaszerzését

Egy korábbi veszteséget követően valaki, aki szakértőnek vagy jogi képviselőnek adja ki magát, felveszi velünk a kapcsolatot. Azt állítják, hogy lenyomozták a pénzt, ismerik az ügy részleteit, és vissza tudják szerezni a pénzt. Először azonban előleget, a pénzeszközök felszabadításához szükséges díjat vagy hozzáférést kérnek a pénztárcánkhoz.

Ez egy utólagos csalás lehet, amelyet általában visszaszerzési csalásnak neveznek. Az FBI figyelmeztet azokra a cégekre, amelyek megígérik az ellopott kriptovaluta visszaszerzését, előzetes díjat szednek be, majd nem válaszolnak többé, vagy további kifizetéseket követelnek. A csalók akár jogi vagy bűnüldöző hatóságokhoz kapcsolódó személyeknek is kiadhatják magukat.

A pénzeszközök mozgásának nyomon követése nem azonos azzal, hogy valaki ellenőrzése alatt tartaná azokat, vagy kényszeríthetné azok visszatérítését. Egy címeket és tranzakciókat felsoroló jelentés ezért nem bizonyítja, hogy szerzője ellenőrzése alatt tartja a pénzt. Nem teszteljük a nem kért, garantált visszaszerzésre vonatkozó ígéretet azzal, hogy újabb fizetést küldünk. A releváns adatokat átadjuk az érintett szolgáltatónak és a rendőrségnek, és az ügy részeként megőrizzük az új kapcsolattartó adatait.

A megerősítés előtt ellenőrizze mind a forrást, mind a következményeket

A fent leírt forgatókönyvekre egy egyszerű szabály vonatkozik: az üzenetet vagy ajánlatot a cselekvésre felszólító személytől független csatornán keresztül kell ellenőrizni. Ugyanazon személy által megadott másik kapcsolattartó nem minősül független ellenőrzésnek.

Mielőtt befizetést hajtanánk végre, szoftvert telepítenénk vagy bármit aláírnánk, tegyünk fel magunknak néhány kérdést:

Mi magunk kezdeményeztük ezt a lépést, vagy egy kéretlen kérésre reagálunk?

Pontosan mit adnánk ki a másik félnek, vagy mire engednénk meg neki?

A kért művelet hatása összhangban van-e azzal, amit elérni szeretnénk?

Ellenőriztük-e a személyazonosságot és a feltételeket a megadott linkektől és elérhetőségektől függetlenül?

Elhalaszthatjuk-e a döntést, és szánhatunk-e időt az információk ellenőrzésére?

Egyetlen figyelmeztető jel nem feltétlenül bizonyítja a csalást. De nem kell bűnös szándékot megállapítanunk ahhoz, hogy elutasítsunk egy nem egyértelmű kérést. Elég, ha nem tudjuk ellenőrizni a kérés eredetét, vagy ésszerűen megmagyarázni, miért van szükség a pénzeszközeinkhez való hozzáférésre.

Ha már válaszoltunk

Abbahagyjuk a pénzátutalást és a gyanús személy utasításainak követését. Ha az eset banki átutalást, fizetési kártyát vagy online banki hozzáférést érint, azonnal kapcsolatba lépünk a bankunkkal. Emellett a hivatalos csatornákon keresztül felvesszük a kapcsolatot az érintett kriptovaluta-szolgáltatóval is. A gyors fellépés korlátozhatja a további károkat, bár az eredményt nem lehet garantálni.

A további teendőink a már megtett lépésektől függenek. Ha jelszót vagy hitelesítési kódot adtunk ki, megbízható eszköz segítségével biztosítjuk a fiókot, és ellenőrizzük a csatlakoztatott eszközöket és a helyreállítási e-mail-címet. Ha egy számítógépet feltörtek, nem használjuk ugyanazt a potenciálisan nem biztonságos eszközt vagy hozzáférési útvonalat a fiókadatok módosításához.

Ha token-jóváhagyást adtunk, felül kell vizsgálnunk, és adott esetben vissza kell vonnunk azt a konkrét engedélyt az érintett hálózaton. Az aláírt üzenetek esetében a megoldás az aláírás típusától függ: egy szokásos jóváhagyás-visszavonás nem feltétlenül oldja meg minden aláírt kérés problémáját. Ahelyett, hogy egy újonnan megadott „helyreállítási” linket követnénk, inkább a használt pénztárca hiteles dokumentációját tanulmányozzuk át.

Ha a helyreállítási kifejezés vagy a titkos kulcs nyilvánosságra került, az alkalmazás jelszavának megváltoztatása nem elegendő. A fennmaradó pénzeszközöket esetleg új, függetlenül generált kulcsokkal kell biztosítanunk egy megbízható környezetben, és abba kell hagynunk a kompromittált pénztárca használatát. Ha a beérkező pénzeszközök azonnal eltűnnek, ne küldjünk vakon további kriptovalutát a tranzakciós díjak fedezésére: előfordulhat, hogy a támadó által irányított automatizált program üríti ki a pénztárcát.

Megőrizzük az üzeneteket, a weboldal-címeket és a fizetési adatokat, beleértve a kriptovaluta-tranzakciók azonosítóit is. A gyanított bűncselekményeket bejelentjük a Cseh Köztársaság rendőrségének. Nem várjuk meg az ígért visszatérítést vagy a feltételezett tanácsadó válaszát. A szégyenérzet ne késleltesse azokat a lépéseket, amelyek segíthetnek megelőzni a további veszteségeket.

Következtetés

A kriptovaluta-csalások gyakran akkor járnak sikerrel, amikor valaki a támadó magyarázatát elfogadja anélkül, hogy megvizsgálná saját cselekedetei következményeit. Az állítólagos fiókvédelem pénzátutalást jelenthet egy idegennek; a hozam ígérete hamis platformhoz vezethet; egy látszólag rutin jellegű pénztárca-ellenőrzés pedig veszélyes jogosultságokat biztosíthat.

A leghatékonyabb védekezés az, ha a döntő lépés megtétele előtt megállunk, és függetlenül ellenőrizzük a helyzetet. Egy ismerős logó, egy meggyőző hang vagy a képernyőn növekvő egyenleg nem elég. Tudnunk kell, ki kéri valójában ezt, és mit engedélyezünk azzal, hogy megerősítjük a kérést.

Ha már megosztottunk információkat vagy átutaltunk pénzt, a következő lépéseinknek a kockázat jellegét kell tükrözniük. A fiók azonnali biztonságba helyezése, a bankkal vagy a szolgáltatóval való kapcsolatfelvétel, valamint a bizonyítékok megőrzése értékesebb, mint újabb díj fizetése egy ígért helyreállításért.