Prevare s kriptovalutami

Telefonski klic od nekoga, ki trdi, da je iz službe za podporo strankam, naložbena priložnost, ki jo oglašuje znan obraz, ali nagrada, ki se nepričakovano pojavi v vaši denarnici. Vsaka situacija je sicer drugačna, vendar lahko vse vodijo do istega izida: razkrijemo občutljive podatke, pošljemo denar ali odobrimo transakcijo, ne da bi razumeli, kaj to dejansko pomeni.

Prevare ne moremo nujno prepoznati po imenu kriptovalute ali videzu aplikacije. Pomembnejše je, kaj od nas zahteva druga stranka in kakšen dostop ali nadzor bi ji s tem omogočili. Naslednji scenariji poudarjajo točke, na katerih lahko preprečimo prevaro, preden nastane kakršna koli škoda.

Osredotočite se na to, kaj od vas zahteva prevara

Napadalec lahko najprej vzbudi strah za varnost našega računa, obljubi izjemne donose ali si postopoma pridobi naše zaupanje. Časovna stiska nam nato pušča manj prostora za preverjanje. Včasih napadalec po tednih komunikacije prosi za še en polog; v drugih primerih pa želi, da odločilni korak naredimo v nekaj minutah. Profesionalno ravnanje in pripravljenost odgovarjati na vprašanja sama po sebi nista dokaz, da je ponudba legitimna.

Pri ocenjevanju situacije se zato vrnemo k konkretnemu dejanju, ki se od nas zahteva. Ali nas prosijo, da posredujemo prijavne podatke, omogočimo oddaljeni dostop do naprave, prenesemo denar ali kaj podpišemo v denarnici? Izraz »to je le korak preverjanja« ne pojasni, kaj bo potrditev dejansko povzročila. Razlika med tem, kar je obljubljeno, in tem, kar omogoča zahtevano dejanje, je pogosto najpomembnejši opozorilni znak.

Lažne ponudbe podpore za »zaščito« vašega računa

Nekdo nas pokliče, pozna naše ime in se predstavi kot predstavnik storitve za kriptovalute. Trdi, da je bil naš račun ogrožen. Naroči nam, naj namestimo programsko opremo za oddaljeni dostop in prenesemo naše kriptovalute na nov naslov, ki nam ga bo posredoval. To naj bi domnevno zaščitilo sredstva pred krajo.

V tem scenariju tisto, kar se predstavlja kot varnostni ukrep, postane prenos sredstev, izveden po navodilih neznanca. Poznavanje našega imena ali prikaz znane telefonske številke ne potrjuje identitete klicatelja. Coinbase, na primer, opozarja, da lahko prevaranti ponaredijo prave telefonske številke in da njihova ekipa za podporo uporabnikom ne prosi za gesla, verifikacijske kode ali prenose na zunanje naslove.

Prekinemo klic in samostojno dostopamo do storitve prek aplikacije, ki jo že poznamo, ali prek preverjene spletne strani. Tam preverimo, ali obstaja kakršen koli problem, in se obrnemo na podporo prek neodvisno preverjenega kanala. Ne uporabljamo telefonske številke ali povezave, ki jo je posredoval klicatelj. Nikoli ne razkrivamo obnovitvene fraze ali zasebnega ključa, niti osebi, ki obljublja, da bo le »preverila« našo denarnico.

»Investicijski svetovalec« na zaslonu prikazuje dobičke

Ko se odzovemo na oglas, nas kontaktira nekdo, ki trdi, da je investicijski svetovalec. Ponudi nam avtomatizirano trgovanje s kriptovalutami in nam pomaga odpreti račun. V tem primeru vplačamo 20.000 CZK in nekaj dni kasneje vidimo stanje v višini 31.000 CZK. Aplikacija izgleda prepričljivo, svetovalec pa nam z veseljem pojasni, kaj naj storimo naprej.

Vendar številka, prikazana v aplikaciji, ni dokaz, da sredstva dejansko obstajajo. Češka policija opisuje prevare, pri katerih platforma prikazuje izmišljene dobičke, medtem ko storilec postopoma prepričuje žrtev, naj opravi nadaljnja vplačila. Tudi omogočanje manjšega izplačila lahko pomaga vzpostaviti zaupanje. Takšno izplačilo samo po sebi še ne dokazuje, da preostala sredstva obstajajo ali so na voljo za izplačilo.

Ko poskušamo izvesti večji izplačilo, nas lahko zaprosijo za plačilo dodatnega zneska za domnevni davek, zavarovalno premijo ali pristojbino za odblokiranje računa. V tem primeru nam je bilo rečeno, naj pošljemo še 8.000 CZK, da bomo lahko dostopali do že prikazanih donosov. Vedno večje zahteve lahko le povečajo naše izgube. To, da se plačilo imenuje »davek«, ga še ne naredi zakonitega.

Pred prvim vplačilom v uradnih registrih preverimo dejanskega ponudnika in njegovo pooblastilo za opravljanje regulirane storitve. Preverimo tudi, ali se identiteta podjetja ujema s spletno stranjo in kontaktnimi podatki, prek katerih komuniciramo. Prevarant lahko zlorabi ime resničnega podjetja; Češka nacionalna banka (CNB) zato priporoča, da preverite tako licenco ponudnika kot tudi njegovo dejansko identiteto. Fotografija pooblastilnega dokumenta ali povezava do registra, ki jo posreduje druga stranka, ne nadomešča neodvisnega preverjanja.

Če smo že zašli v takšen scenarij, ne pošiljajmo več denarja zgolj zato, da bi »rešili« naš prvotni vložek. Zahtevo preverimo neodvisno od domnevnega svetovalca. Pritisk, naj vzamemo posojilo ali naj naložbo skrijemo pred družino in prijatelji, je še en razlog, da se ustavimo in ponovno premislimo.

Znana spletna stran nas prosi, naj se ponovno prijavimo

Iščemo denarnico ali storitev, ki jo redno uporabljamo. Odpremo rezultat, ki prikazuje znan logotip, in spletna stran nas prosi, naj se prijavimo. Nato zahteva našo obnovitveno frazo, domnevno za posodobitev ali preverjanje denarnice.

To je tipična oblika phishinga: goljufiva spletna stran se izdaja za zaupanja vredno storitev, da bi pridobila občutljive podatke. Napad se ne mora nujno začeti s sumljivim e-poštnim sporočilom. Coinbase opozarja tudi na goljufive oglase v iskalnikih, sporočila na družbenih omrežjih in ponarejene decentralizirane aplikacije. Visoka uvrstitev v rezultatih iskanja torej še ne pomeni, da je spletna stran pristna.

Preden vnesemo kakršne koli podatke, preverimo dejansko ime domene in izvor aplikacije. Ne zanašamo se na povezavo iz nezaželenega sporočila ali oglasa kot edini način preverjanja. Nikoli ne vnesemo obnovitvene fraze v obrazec, ki se odpre kot odgovor na nepričakovano zahtevo. Če resnično potrebujemo obnovitev lastne denarnice, sledimo preverjenim navodilom ponudnika denarnice.

Podobno zahtevo lahko prejmejo tudi s računa, ki pripada nekomu, ki ga poznajo. Nenavadna sporočila preverijo prek drugega komunikacijskega kanala. Tekoč jezik, znan glas ali prepričljiv videoposnetek niso zadosten dokaz identitete; tudi umetna inteligenca jih lahko posnema.

Denarnica zahteva potrditev domnevne verifikacije

Spletna stran obljublja nagrado za povezavo naše denarnice. Ko se povežemo, trdi, da moramo le podpisati preprosto zahtevo za preverjanje. Vendar pa denarnica dejansko prikaže zahtevo za dovoljenje za dostop do žetonov, ki jih že imamo.

Pri nekaterih žetonih in aplikacijah na verigi blokov tako imenovano odobritev žetona pooblašča določen naslov ali pametno pogodbo, da prenese navedene žetone do dogovorjene meje. To je običajen tehnični mehanizem, vendar se ga lahko tudi zlorabi. Neomejena odobritev sama po sebi ni dokaz goljufije, vendar lahko močno poveča posledice odobritve napačni stranki.

Predpostavimo, da imamo na Ethereumu 1.000 tokenov USDC, spletna stran pa ponuja nagrado v višini 25 USDC. Namesto da bi preprosto izplačala pričakovano nagrado, prosi za dovoljenje za dostop do vseh naših USDC. Ta neskladje je ključni opozorilni znak. Zahtevka ne odobrijo; namesto tega preverijo, zakaj bi bilo takšno dovoljenje sploh potrebno za obljubljeno dejanje.

Povezovanje s spletno stranjo, podpisovanje sporočila in odobritev tokena niso medsebojno zamenljiva dejanja.

Dejstvo, da ni omrežne provizije, ne pomeni, da podpis ne more ogroziti sredstev. Nekateri mehanizmi omogočajo dodelitev pooblastil za žetone prek podpisanega sporočila, ki se nato lahko uporabi v verigi blokov. Takšnega podpisa se ne sme samodejno obravnavati kot neškodljive zahteve za prijavo.

Če ne razumemo posledic, zahtevo zavrnemo. Zaprtje strani ali prekinitev povezave z denarnico ne prekliče že podeljene odobritve. MetaMask izrecno razlikuje med prekinitvijo povezave z aplikacijo in preklicem odobritve tokena.

V naši denarnici se pojavi neznana nagrada

Na seznamu sredstev najdemo token, ki ga nikoli nismo kupili. Njegovo ime ali spremno sporočilo napotuje na spletno stran, kjer naj bi lahko prevzeli nagrado. Stran nas nato prosi, naj povežemo denarnico, podpišemo sporočilo ali opravimo predplačilo.

Prejem neznanega tokena sam po sebi še ne pomeni, da nekdo nadzira naše zasebne ključe. Vendar pa je token lahko vaba, namenjena spodbujanju nadaljnjih dejanj. Coinbase opozarja na goljufive airdrope ter na tokene, katerih prenosi ali prodaja so omejeni s skritimi pravili pametnih pogodb. Prikazano ime ali vrednost tokena zato ne zagotavlja, da se sredstvo dejansko lahko proda za denar.

Ne obiščemo spletne strani, vgrajene v ime nezaželenega tokena, niti zaradi tega ničesar ne podpišemo. Če ne moremo ugotoviti izvora tokena, ga lahko pustimo pri miru ali skrijemo v aplikaciji. Zahteva, da najprej opravimo prenos za »preverjanje naslova« ali za odklepanje nagrade, je razlog, da se ustavimo. Zakonite omrežne provizije sicer obstajajo, vendar njihovo navajanje še ne pomeni, da je ponudba verodostojna.

»Strokovnjak za izterjavo« obljublja vrnitev izgubljenih sredstev

Po prejšnji izgubi nas kontaktira nekdo, ki trdi, da je strokovnjak ali pravni zastopnik. Trdi, da je sledil sredstvom, pozna podrobnosti primera in lahko denar izterja. Najprej pa zahteva predplačilo, pristojbino za sprostitev sredstev ali dostop do naše denarnice.

To je lahko nadaljevanje prevare, splošno znano kot prevara z izterjavo. FBI opozarja na podjetja, ki obljubljajo, da bodo izterjala ukradeno kriptovaluto, poberejo predplačilo, nato pa prenehajo odgovarjati ali zahtevajo nadaljnja plačila. Prevaranti se lahko celo izdajajo za osebe, povezane s pravnimi ali organi pregona.

Sledenje gibanju sredstev ni isto kot imeti nadzor nad njimi ali biti sposoben prisiliti njihovo vrnitev. Poročilo z navedbo naslovov in transakcij zato ne dokazuje, da njegov avtor nadzira denar. Ne preverjamo nezaželenih obljub o zagotovljeni izterjavi s pošiljanjem dodatnega plačila. Ustrezne evidence posredujemo prizadeti službi in policiji, podrobnosti o novem stiku pa shranimo kot del primera.

Preden potrdite, preverite tako vir kot posledice

Zgoraj opisani scenariji imajo eno preprosto pravilo: sporočilo ali ponudbo preverite prek poti, ki je neodvisna od osebe, ki zahteva ukrep. Druga kontaktna oseba, ki jo je navedla ista oseba, morda ne predstavlja neodvisnega preverjanja.

Preden opravimo plačilo, namestimo programsko opremo ali kaj podpišemo, si moramo zastaviti nekaj vprašanj:

Ali smo to dejanje sprožili sami ali pa se odzivamo na nezaželeno zahtevo?

Kaj točno bi razkrili drugi stranki ali ji dovolili storiti?

Ali je učinek zahtevanega dejanja skladen s tem, kar želimo doseči?

Ali smo identiteto in pogoje preverili neodvisno od posredovanih povezav in kontaktnih podatkov?

Ali lahko odložimo odločitev in si vzamemo čas za preverjanje informacij?

En sam opozorilni znak še ne pomeni nujno goljufije. Vendar nam ni treba ugotoviti kriminalnega namena, preden zavrnemo nejasno prošnjo. Zadostuje, da ne moremo preveriti njenega izvora ali razumno pojasniti, zakaj je potreben dostop do naših sredstev.

Če smo že odgovorili

Prenehamo pošiljati denar in upoštevati navodila sumljive osebe. Če incident vključuje bančni prenos, plačilno kartico ali dostop do spletnega bančništva, se nemudoma obrnemo na svojo banko. Prav tako se prek uradnih kanalov obrnemo na ustreznega ponudnika storitev kriptovalut. Hitro ukrepanje lahko omeji nadaljnjo škodo, čeprav izida ni mogoče zagotoviti.

Kaj storimo nato, je odvisno od že sprejetih ukrepov. Če je bilo razkrito geslo ali verifikacijski kod, zavarujemo račun z uporabo zaupanja vredne naprave ter pregledamo povezane naprave in e-poštni naslov za obnovo. Če je bil računalnik ogrožen, za spremembo podatkov računa ne uporabljamo iste, potencialno nevarne naprave ali poti dostopa.

Če smo podelili odobritev s tokenom, moramo to konkretno dovoljenje v zadevnem omrežju pregledati in, če je to primerno, preklicati. Pri podpisanih sporočilih je rešitev odvisna od vrste podpisa: standardni preklic odobritve morda ne bo rešil vseh podpisanih zahtevkov. Preverimo potrjeno dokumentacijo za denarnico, ki jo uporabljamo, namesto da sledimo novo posredovani povezavi za »obnovo«.

Če je bila izpostavljena obnovitvena fraza ali zasebni ključ, sprememba gesla za aplikacijo ni dovolj. Morebitna preostala sredstva bo morda treba zavarovati z novimi, neodvisno ustvarjenimi ključi v zaupanja vrednem okolju, uporabo ogrožene denarnice pa moramo prenehati. Če prihajajoča sredstva takoj izginejo, ne pošiljamo slepo več kriptovalute za kritje transakcijskih stroškov: denarnico morda izpraznjuje avtomatiziran program, ki ga nadzira napadalec.

Shranimo sporočila, naslove spletnih strani in podatke o plačilih, vključno z identifikatorji transakcij s kriptovalutami. Sum kaznivega dejanja prijavimo policiji Češke republike. Ne čakamo na obljubljeno povračilo ali odgovor domnevnega svetovalca. Občutki sramu ne smejo zavlačevati ukrepov, ki lahko pomagajo preprečiti nadaljnje izgube.

Zaključek

Prevare s kriptovalutami so pogosto uspešne, ko nekdo sprejme napadalčevo razlago, ne da bi preučil posledice svojih lastnih dejanj. Domnevna zaščita računa lahko pomeni prenos denarja neznancu; obljuba donosa lahko vodi do lažne platforme; navidezno rutinsko preverjanje denarnice pa lahko podeli nevarna dovoljenja.

Najučinkovitejša zaščita je, da se pred odločilnim dejanjem ustavimo in ga neodvisno preverimo. Znani logotip, prepričljiv glas ali naraščajoče stanje na zaslonu niso dovolj. Vedeti moramo, kdo dejansko pošilja zahtevo in kaj omogočamo s potrditvijo te zahteve.

Če smo že posredovali podatke ali poslali sredstva, morajo naši naslednji koraki odražati naravo izpostavljenosti. Takojšnja zaščita računa, obvestitev banke ali ponudnika storitev ter ohranitev dokazov so pomembnejši od plačila še ene provizije za obljubljeno povrnitev sredstev.