Мошенничество с AirDrop: как можно защититься?

Аналитики по безопасности компании Slowmist раскрыли новый вид мошенничества TransferFrom в сети TRON (TRX). Они отметили, что многие пользователи заметили, что на их адреса поступают так называемые нулевые переводы, то есть транзакции нулевой стоимости. После этого они становились жертвами мошенников.

Характер атаки

По словам пользователей, пострадавших от недавнего взлома кошельков TRON, они заранее получили 0 переводов USDT с неизвестных адресов. Эти транзакции отображались в истории пользователей сети TRON, и в каждом случае автоматически вызывалась функция TransferFrom.

Нажав на обзор этой случайной транзакции, владелец кошелька инициировал функцию процесса, которая позволяла адресу, начинающемуся с TCwd, перевести 0 USDT. Все транзакции осуществлялись из одного и того же хранилища кошелька. Ни один перевод не превышал сумму в $0,001. Это напомнило экспертам Slowmist об аналогичной афере с airdrop, состоящей из адресов с одинаковыми конечными номерами.

Благодаря TransferFrom можно инициировать перевод 0 USDT с любого аккаунта пользователя, поскольку функция токен-контракта не требует, чтобы одобренная сумма перевода была больше нуля. Это условие используется злоумышленником для повторного запуска действий TransferFrom для активных пользователей и инициирования событий перевода.

Возможные контрмеры

Эксперты предупредили: если инвестор обнаружил запись транзакции, которая ему не принадлежит, ему следует опасаться того, что кошелек скомпрометирован. Когда пользователь пытается изменить доступ к своему кошельку или перезагрузить в него данные, он может быть ограблен. Если история транзакций пользователя была перехвачена злоумышленником, он рискует потерять активы, скопировав один из предыдущих адресов перевода, которые могли быть поменяны местами.

В этой связи стоит вспомнить заявление аналитиков Condair, в котором говорилось о неадекватном аудите смарт-контрактов, проводимом крипто-стартапами. Аналитики рассказали о нескольких блокчейн-стартапах, которые прошли аудит смарт-контрактов, прежде чем были взломаны хакерами. Например, BadgerDAO пострадал от кражи злоумышленниками более 120 миллионов долларов. Преступники смогли получить доступ к сайту приложения, используя скомпрометированный API-ключ, который был создан без ведома или разрешения инженеров. Затем им удалось внедрить вредоносный код javascript.