Безпека Ethereum та запобігання шахрайству

Зростання інтересу до криптовалюти несе з собою підвищений ризик від шахраїв і хакерів. У цій статті викладено кілька найкращих практик для зменшення цих ризиків.

Пам’ятайте: ніхто з ethereum.org ніколи не зв’яжеться з вами. Не відповідайте на електронні листи, у яких стверджується, що вони від офіційної служби підтримки Ethereum.

Основи криптобезпеки 101

Підвищуйте свій рівень знань

Нерозуміння того, як працює криптографія, може дорого коштувати. Наприклад, якщо хтось прикидається агентом служби підтримки, який може повернути втрачені ETH в обмін на ваші приватні ключі, вони користуються тим, що люди не розуміють, що Ethereum є децентралізованою мережею, яка не має такої функціональності. Ознайомлення з принципом роботи Ethereum обов’язково стане в пригоді.

Безпека гаманця

Не розголошуйте свої приватні ключі

Ніколи та з жодної причини не діліться своїми приватними ключами!

Приватний ключ до вашого гаманця — це пароль до вашого гаманця Ethereum. Це єдина річ, що може завадити комусь, хто знає адресу вашого гаманця, викрасти всі активи з вашого рахунку.

Не робіть знімків екрана з вашими початковими фразами/приватними ключами

Створення знімків екрана з вашими початковими фразами чи приватними ключами може синхронізувати їх із хмарним провайдером даних, що може зробити їх доступними для хакерів. Отримання приватних ключів із хмари — поширений спосіб атаки для хакерів.

Використовуйте апаратний гаманець

Апаратний гаманець забезпечує сховище для приватних ключів у режимі офлайн. Такі гаманці вважаються найбільш безпечними для зберігання приватних ключів: ваш приватний ключ ніколи не потрапляє в інтернет і залишається повністю локальним на пристрої.

Зберігання приватних ключів у режимі офлайн значно знижує ризик зламу, навіть якщо хакер отримає контроль над вашим комп’ютером.

Спробуйте апаратний гаманець:

• Ledgeropens in a new tab
• Trezoropens in a new tab

Перевіряйте транзакції ще раз перед надсиланням

Випадкове надсилання криптовалюти на неправильну адресу гаманця є поширеною помилкою. Транзакція, надіслана в мережі Ethereum, є незворотною. Якщо ви не знаєте власника адреси та не можете переконати його повернути вам кошти, ви не зможете їх повернути.

Перед надсиланням транзакції завжди переконуйтеся, що адреса, на яку надсилаєте, точно відповідає потрібній адресі одержувача. Хорошою практикою взаємодії з смарт-контрактами буде прочитання повідомлення транзакції перед підписом.

Встановіть ліміти витрат для смарт-контрактів

Під час взаємодії з розумними контрактами не допускайте необмежених витрат. Через необмежені витрати розумні контракти можуть спустошити ваш гаманець. Натомість встановіть обмеження на суму, необхідну для транзакції.

Більшість гаманців Ethereum пропонують захисні обмеження, щоб запобігти спустошенню рахунків.

Як відкликати доступ смарт-контракту до ваших криптокоштів

Поширені види шахрайства

Неможливо повністю зупинити шахраїв, але ми можемо зробити їх менш ефективними, знаючи про методи, які вони найчастіше використовують. Існує багато видів шахрайств, але переважно зловмисники дотримуються однакових алгоритмів. У будь-якому разі запам’ятайте три речі:

• Завжди будьте скептиком.
• Ніхто не збирається давати вам ETH безкоштовно або зі знижкою.
• Нікому не потрібен доступ до ваших приватних ключів або особистої інформації.

Фішинг у рекламі Twitter

Існує метод підробки функції попереднього перегляду (розгортання) посилань у Twitter (також відомої як X), який потенційно вводить користувачів в оману, змушуючи їх думати, що вони відвідують легальний веб-сайт. Ця техніка використовує механізм Twitter для створення попереднього перегляду URL-адрес, якими діляться в твітах, і показує, наприклад, від ethereum.org (як показано вище), хоча насправді відбувається переспрямування на шкідливий сайт.

Завжди перевіряйте, що ви перебуваєте на правильному домені, особливо після переходу за посиланням.

Докладніше тутopens in a new tab.

Шахрайство з роздачами

Одним із найпоширеніших видів криптовалютних шахрайств є шахрайство з обіцянкою подарунку. Шахрайство з роздачею може мати багато форм, але загальна ідея полягає в тому, що якщо ви надішлете ETH на вказану адресу гаманця, ви отримаєте свої ETH назад, але в подвійному розмірі.З цієї причини воно також відоме як шахрайство «2 за 1».

Ці способи шахрайства зазвичай встановлюють обмежений час можливості для отримання виграшу, щоб створити хибне відчуття обмеженості у часі.

Злами в соціальних мережах

Показовий приклад такого шахрайства стався в липні 2020 року, коли було зламано облікові записи відомих людей і організацій у Twitter. Хакер одночасно розмістив у зламаних облікових записах інформацію про роздачу біткоїнів. Хоч оманливі твіти були швидко помічені та видалені, зловмисникам усе одно вдалося заробити 11 біткоїнів (500 000 доларів США станом на вересень 2021 року).

Роздача від знаменитостей

Подарунки від знаменитостей — іще одна поширена форма шахрайств з обіцянкою подарунку. Шахраї беруть записане відеоінтерв’ю чи виступ знаменитості на конференції та транслюють це в прямому ефірі на YouTube, створюючи враження, ніби знаменитість у прямому ефірі схвалює роздачу криптовалюти.

У цьому виді шахрайства найчастіше використовують Віталіка Бутеріна, але також і багатьох інших видатних людей, пов'язаних з криптовалютою (наприклад, Ілона Маска або Чарльза Хоскінсона). Поява відомої людини надає прямій трансляції шахраїв відчуття справжності (виглядає підозріло, але говорить Віталік, отже, усе гаразд!).

Такі роздачі й подарунки — це завжди шахрайство. Якщо ви надішлете кошти на вказані рахунки, то втратите їх.

Шахрайство зі службою підтримки

Криптовалюта — відносно молода та незрозуміла для багатьох технологія. Типовою схемою, заснованою на цьому, є шахрайство, пов’язане зі службою підтримки, коли зловмисники видають себе за працівників служби підтримки популярних гаманців, бірж або блокчейнів.

Значна частина обговорень Ethereum ведеться в Discord. Шахраї зі «служби підтримки» зазвичай знаходять свою жертву, шукаючи питання щодо обслуговування в загальнодоступних каналах на Discord, а потім надсилають цій особі особисте повідомлення з пропозицією допомогти. Завоювавши довіру, вони намагатимуться обманом змусити вас розкрити приватні ключі або надіслати кошти на їхні гаманці.

Зазвичай персонал ніколи не спілкуватиметься з вами за допомогою приватних неофіційних каналів. Кілька простих речей, які слід мати на увазі, спілкуючись зі службою підтримки:

• Ніколи не видавайте приватні ключі, кодові фрази та паролі.
• Не надавайте нікому віддалений доступ до вашого комп’ютера.
• Ніколи не спілкуйтеся за межами встановлених організацією каналів.

Шахрайство з токеном «Eth2»

Напередодні The Merge, шахраї скористалися плутаниною навколо терміна «Eth2», щоб змусити користувачів обміняти свої ETH на токен «ETH2». ETH2 не існує, і під час The Merge не було введено жодних інших справжніх токенів. ЕТН, якими ви володіли до злиття, зараз ті самі ЕТН. Немає потреби робити жодних дій з вашими ETH у зв'язку з переходом від proof-of-work до proof-of-stake.

Шахраї можуть представитися як «служба підтримки» і сказати, що, якщо ви внесете ETH, ви отримаєте назад ETH2. Не існує офіційної служби підтримки Ethereum, і не існує жодного нового токена. Нікому не повідомляйте кодову фразу свого гаманця.

Примітка. Існують похідні токени/тікери, що можуть представляти ETH у стейкінгу (напр., rETH від Rocket Pool, stETH від Lido, ETH2 від Coinbase), але на них не потрібно «мігрувати».

Фішингове шахрайство

Фішингові схеми — ще один типовий спосіб, який використовують шахраї, щоб спробувати викрасти кошти з вашого гаманця.

У деяких фішингових листах користувачам пропонують перейти за посиланнями, які спрямовують їх на підроблені сайти, де далі потрібно буде ввести кодову фразу, скинути пароль або надіслати ETH. Інші можуть просити встановити шкідливе програмне забезпечення, щоб інфікувати ваш комп’ютер вірусом і надати шахраям доступ до ваших файлів.

Отримавши лист від невідомого відправника, дотримуйтеся таких правил:

• Ніколи не переходьте за посиланнями та не відкривайте вкладення в листах, надісланих із незнайомої адреси електронної пошти.
• Нікому не розголошуйте свою особисту інформацію або паролі.
• Видаляйте листи від невідомих відправників.

Докладніше про уникнення фішингового шахрайстваopens in a new tab

Шахрайство з брокерами для криптотрейдингу

Шахраї-брокери для криптотрейдингу видають себе за спеціалізованих криптовалютних брокерів, які пропонуватимуть взяти ваші гроші та інвестувати їх від вашого імені. Щойно шахрай отримає ваші гроші, він повністю зникне або може й далі спілкуватися з вами та просити надіслати більше коштів, щоб не втратити додатковий прибуток від інвестицій.

Ці шахраї часто знаходять жертв, використовуючи фальшиві акаунти на YouTube, щоб розпочати на вигляд природні розмови про «брокера». Ці розмови часто мають велику підтримку серед інших користувачів, що може посилювати відчуття справжності, але всі ці «користувачі» насправді боти.

Не довіряйте незнайомцям в інтернеті інвестувати від вашого імені. Ви втратите свою криптовалюту.

Шахрайство з майнінг-пулами криптовалют

Станом на вересень 2022 року майнінг на Ethereum уже неможливий. Однак шахрайство з майнінг-пулами все ще існує. Шахрайство з пулом для майнінгу полягає в тому, що люди самі зв’язуються з вами та стверджують, що ви можете отримати великі прибутки, приєднавшись до пулу для майнінгу Ethereum. Шахрай не припинятиме повторювати це та підтримувати з вами зв’язок. По суті, шахрай намагатиметься переконати вас, що коли ви приєднаєтеся до майнінг-пулу Ethereum, ваша криптовалюта буде використовуватися для створення ETH і що вам будуть виплачуватися дивіденди в ETH. Тоді ви побачите, що ваша криптовалюта приносить невеликі прибутки. Це робиться для того, щоб змусити вас інвестувати більше. Врешті-решт усі ваші кошти буде надіслано на невідому адресу, а шахрай або зникне, або в деяких випадках буде надалі виходити на зв'язок, як це сталося в одному з нещодавніх випадків.

Підсумок: остерігайтеся людей, які зв’язуються з вами в соціальних мережах і пропонують стати частиною майнінг-пулу. Ви ризикуєте втратити свою криптовалюту назавжди.

Деякі правила, про які потрібно пам’ятати:

• Будьте обережними з тими, хто звертається до вас із пропозицією заробити на вашій криптовалюті.
• Вивчіть інформацію про стейкінг, пули ліквідності й інші способи інвестування криптовалюти.
• Якщо такі пропозиції й бувають справжніми, то дуже рідко. Якби вони були поширеними, про них би говорили всі й ви б теж про них чули.

Чоловік втратив $200 тис. через шахрайство з майнінг-пуломopens in a new tab

Шахрайство з аірдропами

Шахрайство з роздачею передбачає, що зловмисний проєкт надсилає актив (NFT, токен) у ваш гаманець і спрямовує вас на шахрайський сайт, на якому потрібно його отримати. За спроби отримати актив вам буде запропоновано ввійти в систему за допомогою гаманця Ethereum і «схвалити» транзакцію. Ця транзакція скомпрометує ваш обліковий запис, надсилаючи шахраєві ваші відкриті й приватні ключі. Альтернативною формою цієї схеми може бути підтвердження транзакції, яка надсилає кошти на рахунок шахрая.

Докладніше про шахрайство з аірдропамиopens in a new tab

Основи веббезпеки 101

Використовуйте надійні паролі

Понад 80% зламів акаунтів є результатом слабких або вкрадених паролівopens in a new tab. Довга комбінація знаків, цифр та символів допоможуть зробити ваш акаунт захищеним.

Поширеною помилкою є використання комбінації кількох поширених, пов’язаних між собою слів. Такі паролі є ненадійними, оскільки вони вразливі до хакерської техніки, що називається атакою за словником.

Приклад слабкого пароля: CuteFluffyKittens!

Приклад надійного пароля: ymv\*azu.EAC8eyp8umf

Ще одна поширена помилка — це використання паролів, які можна легко вгадати або дізнатися за допомогою соціальної інженеріїopens in a new tab. Включення до вашого пароля дівочого прізвища матері, імен ваших дітей або домашніх тварин, чи дат народження збільшить ризик зламу.

Належні практики щодо паролів:

• Створюйте паролі якнайдовшими, наскільки дозволяє генератор або форма, яку ви заповнюєте.
• Використовуйте комбінацію великих і малих літер, цифр і символів.
• Не використовуйте персональні дані, як-от прізвища.
• Уникайте поширених слів

Докладніше про створення надійних паролівopens in a new tab

Використовуйте унікальні паролі для всього

Надійний пароль, який був розкритий у результаті витоку даних, більше не є надійним. Вебсайт Have I Been Pwnedopens in a new tab дає змогу перевірити, чи були ваші акаунти задіяні в будь-яких публічних витоках даних. Якщо так, негайно змініть ці паролі. Використання унікальних паролів для кожного акаунта знижує ризик того, що хакери отримають доступ до всіх ваших акаунтів, якщо один із ваших паролів буде скомпрометовано.

Використовуйте менеджер паролів

Запам’ятовування надійних унікальних паролів для кожного облікового запису — не найкраще рішення. Менеджер паролів пропонує безпечне зашифроване сховище для всіх ваших паролів, до яких можна отримати доступ за допомогою одного надійного головного пароля. Він також пропонує надійні паролі під час реєстрації в новому сервісі, тому вам не доведеться створювати їх самостійно. Багато менеджерів паролів також повідомлять, якщо ваші паролі зачепили витоки даних, що дасть вам змогу замінити їх до потенційної атаки.

Спробуйте менеджер паролів:

• Bitwardenopens in a new tab
• KeePassopens in a new tab
• 1Passwordopens in a new tab
• Або ознайомтеся з іншими рекомендованими менеджерами паролівopens in a new tab

Використовуйте двофакторну автентифікацію

Іноді вас можуть попросити підтвердити вашу особу за допомогою унікальних доказів. Вони відомі як фактори. Три основні фактори:

• щось, що ви знаєте (пароль або запитання системи безпеки);
• щось, що вас ідентифікує (відбиток пальця, сканування райдужної оболонки ока або обличчя);
• щось, чим ви володієте (ключ безпеки або програма автентифікації на телефоні).

Використання двофакторної автентифікації (2FA) забезпечує додатковий фактор безпеки для ваших онлайн-акаунтів. 2FA гарантує, що простого знання вашого пароля недостатньо для доступу до акаунта. Найчастіше другим фактором є випадковий 6-значний код, відомий як одноразовий пароль на основі часу (TOTP), до якого ви можете отримати доступ через програму-автентифікатор, таку як Google Authenticator або Authy. Вони працюють як фактор «щось, чим ви володієте», оскільки початкове число, яке генерує тимчасовий код, зберігається на вашому пристрої.

Ключі безпеки

Ключ безпеки — це більш досконалий і надійний тип 2FA. Ключі безпеки — це фізичні апаратні пристрої автентифікації, які працюють подібно до застосунків-автентифікаторів. Використання ключа безпеки є найбезпечнішим варіантом двофакторної автентифікації. Більшість із цих ключів використовують стандарт FIDO Universal 2nd Factor (U2F). Дізнайтеся більше про FIDO U2Fopens in a new tab.

Дивіться більше про 2FA:

Видаліть розширення браузера

Розширення для браузера, такі як розширення Chrome або додатки для Firefox, можуть покращити функціональність браузера, але також несуть ризики. За замовчуванням більшість розширень запитують доступ до «читання та зміни даних сайту», що дає їм змогу їм робити з вашими даними майже все завгодно. Розширення Chrome завжди оновлюються автоматично, тому початково безпечне розширення може пізніше оновитися й отримати в коді шкідливі зміни. Більшість розширень браузера не намагаються викрасти ваші дані, але ви повинні знати, що вони можуть це зробити.

Залишайтеся в безпеці, дотримуючись таких правил:

• Встановлюйте розширення для браузера лише з надійних джерел.
• Видаляйте розширення браузера, якими не користуєтеся.
• Встановлюйте розширення Chrome локально, щоб зупинити автоматичне оновлення (додатково).

Докладніше про ризики розширень для браузераopens in a new tab

Для подальшого читання

Веббезпека

• До 3 мільйонів пристроїв інфіковано шкідливими доповненнями для Chrome та Edgeopens in a new tab — Ден Гудін
• Як створити надійний пароль, який ви не забудетеopens in a new tab — AVG
• Що таке ключ безпеки?opens in a new tab — Coinbase

Криптобезпека

• Захист себе та своїх коштівopens in a new tab — MyCrypto
• Проблеми безпеки в поширеному програмному забезпеченні для криптокомунікаційopens in a new tab — Salus
• Посібник з безпеки для чайників і розумних людейopens in a new tab — MyCrypto
• Криптобезпека: паролі та автентифікаціяopens in a new tab — Андреас М. Антонопулос

Освіта щодо шахрайства

• Посібник: як розпізнати шахрайські токени
• Залишайтеся в безпеці: поширені види шахрайстваopens in a new tab — MyCrypto
• Уникнення шахрайстваopens in a new tab — Bitcoin.org
• Тред у Twitter про поширені фішингові електронні листи та повідомлення у сфері криптовалютopens in a new tab — Тейлор Монаган