Шкоднаснае праграмнае забеспячэнне для выкрадальніка буфера абмену і атака атручвання адрасоў: замена крыпта-кашалька або IBAN на ўстаўку, праверка сярэдняга і апошняга сімвалаў¶

Калі вы капіруеце адрас кашалька з криптовалютой (BTC, ETH, USDT, SOL, TRX) або міжнародны нумар банкаўскага рахунку (IBAN / SWIFT / ABA) і націсніце ўставіць (Ctrl+V або Cmd+V), дзве розныя пагрозы могуць незаўважна перанакіраваць вашыя сродкі ў злачынны сіндыкат: лакальная шкоднасная праграма Clipboard Hijacker ("Clipper"), якая працуе ў памяці вашага камп'ютара і замяняе тэкст у сістэмным буферы абмену менш чым за 5 мілісекунд, або Vanity Address Poisoning Attack у ланцужку, якая забруджвае гісторыю транзакцый вашага кашалька падробленым адрасам, падобным на першыя 4 да 6 і апошнія 4-6 сімвалаў вашага сапраўднага пункта прызначэння. У гэтым кіраўніцтве прыводзяцца неадкладныя крокі для адмены незавершаных транзакцый блокчейн або трансакцый, выяўлення і выдалення лакальных шкоднасных праграм, якія кантралююць буфер абмену, і праверкі сярэдніх сімвалаў кожнага адраса прызначэння перад падпісаннем на экране апаратнага кашалька.

Зрабіце гэта зараз¶

1. Спроба неадкладнай замены Nonce (Speed Up / Cancel), калі крыптавалютная транзакцыя ўсё яшчэ знаходзіцца ў чаканні ў mempool. Адкрыйце кашалёк (MetaMask, Rabby, Ledger Live, Electrum, Sparrow) і праверце, ці статус транзакцыі па-ранейшаму У чаканні / Не пацверджана. У ланцужках Ethereum і EVM неадкладна націсніце Адмена (або адпраўце паведамленне 0 ETH здзелка на ваш уласны адрас з выкарыстаннем таго ж карыстальніцкага разавага рэжыму з 30-працэнтнай большай камісіяй за прыярытэтны газ). На біткойнах выканайце Replace-By-Fee (RBF) адмена для накіравання ўваходных дадзеных назад у ваш уласны кашалёк перад здабычай наступнага блока.
2. Неадкладна патэлефануйце ў аддзел барацьбы з махлярствам вашага банка IBAN, ABA, або Sort Code быў заменены на ўстаўку. Калі шкоднасная праграма буфера абмену змяніла ўстаўлены нумар банкаўскага рахунку на ўнутраным провадзе, SWIFT перадача, або SEPA аплаты, патэлефануйце на лінію па барацьбе з махлярствам вашага банка або на мясцовы нумар службы экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 ва ўсім Еўрапейскім Саюзе, 999 у Вялікабрытаніі), каб атрымаць даведачныя нумары паліцыі па крымінальных справах; бачыць нумары экстраных службаў для міжнародных кантактаў. Патрабуйце неадкладнага SWIFT MT192 / SEPA SCT Recall і спасылайцеся на несупадзенне паміж імем бенефіцыяра і імем, замешчаным Clipper IBAN.
3. Вызначце, ці сутыкнуліся вы са шкоднасным ПЗ Local Clipper або з атручваннем адрасоў у ланцужку. Адкрыйце рэдактар звычайнага тэксту (Notepad на Windows або TextEdit у macOS), скапіруйце вядомы адрас кашалька або ўзор радка (0x71C...89A), і ўстаўце яго ў тэкставы файл. Калі ўстаўлены тэкст ператвараецца ў іншы адрас у момант націску Ctrl+V, ваша прылада актыўна заражана Clipper Malware; неадкладна адключыце кампутар ад Wi-Fi і Ethernet. Калі ўстаўлены тэкст не змяняецца ў нататніку, значыць, вы скапіявалі Атручаны адрас ганарыстасці непасрэдна са спісу апошніх транзакцый вашага кашалька.
4. Замарозьце цэнтралізаваныя рампы абмену і падайце Tether (USDT) або Круг (USDC) запыт чорнага спісу смарт-кантрактаў. У выпадку крадзяжу стейблкоинов (USDT або USDC) былі адпраўлены на атручаны кашалёк або кашалёк на Ethereum, Tron (TRC-20), або Салана, прасачыць хэш транзакцыі (TXID) у аглядальніку блокаў (Etherscan, Tronscan, Solscan) і адправіць у Tether (tether.to) або Круг (circle.com), якія валодаюць адміністрацыйнымі ключамі смарт-кантракту (AddedBlackList / freeze) здольны замарозіць крадзенае USDT/USDC непасрэдна ў кашальку зламысніка.
5. Выдаліце рэшткі сродкаў з заражанага ПК з дапамогай асобнай чыстай прылады. Паколькі шкоднасная праграма Clipper (Laplas Clipper, ClipBanker, Lumma, RedLine) амаль заўсёды ў камплекце з больш шырокім інфармацыйна-выкрадальнікам уліковых дадзеных і пачатковых фраз, выкажам здагадку, што кожны праграмны кашалёк (MetaMask, Phantom, Exodus) і захаваны пароль на гэтым кампутары ўзламаны. Не ўводзьце пачатковую фразу або прыватныя ключы ў заражаную машыну.

Дыягностыка атакі: лакальнае шкоднаснае праграмнае забеспячэнне Clipper супраць атручвання адрасоў у ланцугу¶

Хаця абедзве атакі прыводзяць да таго, што вашы грошы трапляюць на кашалёк зламысніка, а не на адрас меркаванага атрымальніка, іх тэхнічная механіка зусім іншая. Вы павінны вызначыць, якая атака адбылася на працягу першых 60 секунд, таму што Local Clipper Malware азначае, што ваша аперацыйная сістэма ўзламана, у той час як Address Poisoning адбываецца цалкам у агульнадаступным блокчейне без якіх-небудзь шкоднасных праграм на вашай прыладзе.

1. Як працуе шкоднасная праграма Local Clipboard Hijacker («Clipper»)¶

машынка для стрыжкі (Trojan.Clipper, Cryxos, ClipBanker, Laplas) - гэта лёгкі фонавы працэс, шкоднаснае пашырэнне браўзера Chrome/Firefox або траянізаваны пакет з адкрытым зыходным кодам, які рэгіструе перахоп у API буфера абмену аперацыйнай сістэмы (AddClipboardFormatListener на Windows або NSPasteboard на macOS). * Супастаўленне шаблону рэгулярных выразаў у рэжыме рэальнага часу: Кожны раз, калі вы націскаеце Ctrl+C (Капіяваць), шкоднасная праграма правярае скапіраваны радок на адпаведнасць рэгулярным выразам (Regex) пошук шаблонаў, якія адпавядаюць біткойн-адрасу (bc1q..., 1..., 3...), адрас Ethereum/EVM (0x за якім ідуць 40 шаснаццатковых знакаў), Tron TRC-20 адрас (T за якім ідуць 33 сімвалы), адрас Solana або еўрапейскі/брытанскі IBAN (DE89..., GB29...). * Імгненная замена: На працягу ад 2 да 5 мілісекунд, перш чым вашы пальцы адыдуць ад Ctrl+C каб Ctrl+V, шкоднасная праграма перазапісвае буфер буфера абмену вашай сістэмы адрасам, які належыць зламысніку. Пашыраныя паслугі, такія як Laplas Clipper нават ствараць у рэжыме рэальнага часу марны адрас на лета з велізарнай загадзя вылічанай базы дадзеных мільёнаў адрасоў зламыснікаў, каб першыя 3-4 сімвалы і апошнія 3-4 сімвалы замененага адраса буфера абмену адпавядалі таму, што вы толькі што скапіявалі.

2. Як працуе атручванне адрасоў у ланцужку (Нуль шкоднасных праграм)¶

Пры атацы Address Poisoning ваш кампутар, тэлефон і кашалёк не ўзламаны. Замест гэтага суб'екты пагроз блокчейна запускаюць аўтаматызаваных ботаў, якія кантралююць кожную паблік USDT, USDC, ETH, TRX, і WBTC перадача на Ethereum, Tron, Arbitrum, BSC і Solana. * Гэнератар прэфікса/суфікса марнасці: у той момант, калі вы адпраўляеце законную перадачу (нават практычную тэставую перадачу смарт-кантракту $10) на сапраўдны адрас атрымальніка, напрыклад: * Сапраўдны адрас: 0x89205A3A3b2A69De6Dbf7f01ED13B2108B2c43e7 * Зламыснік выкарыстоўвае кластары GPU для стварэння падробленага адраса кашалька, першыя 5 сімвалаў (0x89205...) і апошнія 5 сімвалаў (...c43e7) на 100 працэнтаў супадаюць з адрасам вашага рэальнага атрымальніка, у той час як сярэднія 30 сімвалаў цалкам адрозніваюцца: * Атручаны падобны адрас: 0x89205f91c48012b3847109ab84910283749c43e7 * Забруджванне вашай гісторыі транзакцый (Zero-Value або Fake Token Падробка): Паколькі смарт-кантракты ERC-20 і TRC-20 (transferFrom) дазволіць любому выпраменьваць a 0 USDT перадаць падзею з кашалька без прыватнага ключа (або адправіць $0.0001 "пыл" або падробка з падробкай Unicode USDТ токен), зламыснік устаўляе фальшывую транзакцыю ў публічны журнал транзакцый вашага кашалька, так што іх атручаны падобны адрас знаходзіцца ў самым версе вашага спісу «Апошнія транзакцыі». * Пастка UI Truncation Trap: Паколькі мабільныя і браўзерныя кашалькі (MetaMask, Trust Wallet, Ledger Live, TronLink, Etherscan) скарачаць доўгія 42-значныя адрасы на экране як 0x89205...c43e7 каб зэканоміць месца, як рэальны адрас, так і атручаны адрас выглядаюць візуальна аднолькава ў вашай гісторыі транзакцый. На наступным тыдні, калі вы пойдзеце адправіць сапраўдны $50,000 перадачы і ляніва скапіяваць адрас з вашай уласнай «апошняй транзакцыі» ў гісторыі кашалька замест вашай адраснай кнігі, вы капіруеце атручаны адрас зламысніка. * Create2 Smart Contract Pre-Computation: У прасунутых атаках, накіраваных на каштоўныя казначэйствы, зламыснікі выкарыстоўваюць EVM CREATE2 код аперацыі для папярэдняй генерацыі мільёнаў неактыўных адрасоў смарт-кантрактаў з супадзеннямі 6-знакавага прэфікса і 6-знакавага суфікса (12 matching hex characters total). Калі ахвяра адпраўляе сродкі на бяздзейны адрас, зламыснік разгортвае кантракт на прыбіральшчык CREATE2 адрас для аўтаматычнага зліцця сродкаў.

Экстраны працоўны працэс: сартаванне абмененага кашалька або пераводу IBAN¶

Прытрымлівайцеся гэтага дрэва рашэнняў адразу ж пасля таго, як выявіце, што ўстаўлены адрас не адпавядае меркаванаму прызначэнню.

flowchart TD
    A["Выяўлены няправільны крыпта-адрас або IBAN пасля ўстаўкі"] --> B{"Ці была трансакцыя ўжо транслявана/адпраўлена?"}
    B -- "Не (Злоўлены перад падпісаннем)" --> C["Праверце буфер абмену ў нататніку: скапіруйце сапраўдны адрас і ўстаўце"]
    B -- "Так (ужо адпраўлена)" --> D{"Гэта Crypto у Mempool, Confirmed Crypto або Bank IBAN?"}
    C --> E{"Ці змяніўся ўстаўлены тэкст у нататніку?"}
    E -- "Так: лакальная шкоднасная праграма Clipper" --> F["Неадкладна адключыце Інтэрнэт; Службы сканавання/Пашырэнні/Задачы"]
    E -- "Не: атручванне адрасоў у ланцужку" --> G["Выдаліць атручаны кантакт; Рэальны адрас у белым спісе ў апаратным кашальку"]
    D -- "Crypto ўсё яшчэ чакае ў Mempool" --> H["Трансляцыя Nonce Cancel (EVM +30% Gas) або Bitcoin RBF неадкладна"]
    D -- "Пацверджаны Crypto On-Chain" --> I["Адсочванне TXID: экстраная замарозка файла з Tether (USDT) / Circle (USDC) / CEX"]
    D -- "Банкаўскі IBAN / Банкаўскі пераклад" --> J["Call Bank Fraud Desk: патрабаванне адклікання SWIFT MT192 / SEPA + неадпаведнасць назваў цытавання"]

Параўнанне вектараў захопу буфера абмену і атручвання адрасоў¶

Выкарыстоўвайце гэтую даведачную табліцу, каб вызначыць, як адбылася замена адрасоў і якія крыміналістычныя артэфакты існуюць у вашай сістэме або аглядальніку блокчейна.

Пакрокавыя экстранныя дзеянні, калі сродкі былі адпраўлены не на той адрас¶

Калі вы націснулі «Адправіць» або падпісалі транзакцыю, перш чым заўважылі, што сярэднія сімвалы адраса належаць Кліперу або Атручвальніку адрасоў, неадкладна выканайце гэтыя дзеянні.

1. Адмена непацверджанай криптовалютной транзакцыі ў mempool (першыя 10-60 секунд)¶

Калі сетка блокчейн перагружана або вы ўстанавілі нізкую плату за газ/сатошы, ваша транзакцыя ўсё яшчэ можа знаходзіцца ў агульнадаступным mempool і чакаць уключэння ў блок: * На Ethereum, Arbitrum, Polygon, Optimism, Base і BSC (EVM Ланцужкі): 1. Адкрыты MetaMask, Rabby, або Trust Wallet і паглядзіце на ўкладку Актыўнасць. Калі ў транзакцыі напісана У чаканні, неадкладна націсніце кнопку Адмена і выберыце Агрэсіўная / высокая плата за бензін. 2. Ручная перазапіс аднаразовых транзакцый (больш надзейная): Уключыце Наладзіць аднаразовыя транзакцыі у дадатковых наладах кашалька. Паглядзіце незавершаную транзакцыю на Etherscan каб знайсці яго дакладны Nonce нумар (напрыклад, Nonce: 42). Неадкладна ініцыяваць новую адпраўку транзакцыі 0 ETH на адрас вашага кашалька, увядзіце ўручную 42 у полі Custom Nonce і ўсталюйце Максімальную плату за прыярытэт (Gwei) прынамсі на 30% да 50% вышэй, чым транзакцыя, якая затрымалася. Майнеры/валідатары апрацуюць вашу больш высокую плату 0 ETH першая транзакцыя, робячы несапраўднай шкоднасную перадачу з Nonce 42. * На біткойнах (BTC): 1. Большасць сучасных кашалькоў (Electrum, Sparrow, Ledger Live, BlueWallet) уключыць Уключыць замену на плату (BIP-125 RBF) па змаўчанні. 2. Пстрыкніце правай кнопкай мышы непацверджаную выходную транзакцыю ў гісторыі кашалька і абярыце Адмяніць транзакцыю (Double-Spend to Self) або Прыёмная плата / Змена вываду, усталёўваючы значна больш высокую плату (sat/vB праверана mempool.space), таму майнеры пацвярджаюць транзакцыю замены на ваш уласны адрас змены.

2. Замарозка скрадзенага USDT (Tether) або USDC (Круг) праз чорны спіс смарт-кантрактаў¶

У адрозненне ад натыўных Bitcoin або Ethereum, дзве найбуйнейшыя стабільныя манеты ў доларах ЗША, Tether (USDT) і Круг (USDC), утрымліваюць цэнтралізаваныя адміністрацыйныя функцыі (blacklist, freeze, destroyBlackFunds), запісаныя непасрэдна ў смарт-кантракты іх токенаў на Ethereum (ERC-20), Трон (TRC-20), Solana, Polygon і Avalanche. 1. Адкрыты Etherscan.io або Tronscan.org і ўстаўце свой хэш транзакцыі (TXID). Праверце, ці не скралі USDT або USDC усё яшчэ знаходзіцца ў кашальку зламысніка/кашальку для стрыжкі або ў кашальку-пасярэдніку. Адрас атручвальнікаў часта пакідаюць скрадзенае USDT у асабістым адрасе на працягу некалькіх гадзін або дзён, перш чым абмяняць яго праз дэцэнтралізаваныя біржы (DEXs) або папярочныя ланцуговыя масты. 2. Неадкладна падайце экстранную справаздачу ў ФБР IC3 (ic3.gov) і мясцовыя праваахоўныя органы, а таксама адначасова звязацца з аддзелам па захаванні патрабаванняў Tether / службай падтрымкі праваахоўных органаў (tether.to/en/contact-us) або Абвядзіце кружком запыты праваахоўных органаў з дакладным: * Адрас кашалька ахвяры * Адрас мэтавага кашалька зламысніка, які змяшчае бягучы USDT/USDC баланс * Хэш транзакцыі (TXID) і пазнака часу 3. Таксама паведамляйце аб крадзяжы адначасова ў сеткі рэагавання на інцыдэнты выведкі блокчейна, такія як Chainalysis, TRM Labs (Chainabuse.com), ПЕЧАТКА 911 (Security Alliance экстраны Telegram бот @seal_911_bot для вострых узломаў крыпты), а таксама службы адпаведнасці любой цэнтралізаванай біржы (Binance, Coinbase, OKX, Kraken, Bybit, FixedFloat, ChangeNOW), калі зламыснік пераводзіць сродкі на адрас абменнага дэпазіту.

3. Адкліканне банкаўскага провада, замененага Clipper або IBAN перадача¶

Калі шкоднаснае праграмнае забеспячэнне Clipper накіравана на камерцыйных або асабістых банкаўскіх карыстальнікаў, яно сочыць за капіраваннем IBAN радкі (напрыклад, капіраванне an IBAN з PDF-рахунка-фактуры пастаўшчыка ў Adobe Reader і ўставіць яго на інтэрнэт-банкаўскі партал) і замяняе IBAN з уліковым запісам грашовага мула, пакідаючы Імя бенефіцыяра некранутым. * Выклікаць праверку атрымальніка (VoP / Confirmation of Payee) і Правілы неадпаведнасці імёнаў: Неадкладна патэлефануйце ў аддзел барацьбы з махлярствам вашага банка. Растлумачце, што Clipper Malware змяніла ўстаўленую IBAN нумар на вашым кампутары і што Імя рахунку бенефіцыяра ў плацежным даручэнні не супадае з законным уладальнікам замененага IBAN. * У адпаведнасці з Палажэннем аб імгненных плацяжах Еўрапейскага саюза (EU Regulation 2024/886) і брытанскае пацверджанне атрымальніка (CoP) frameworks: Пастаўшчыкі плацежных паслуг павінны правяраць, што IBAN і імя бенефіцыяра супадаюць перад выкананнем і павінны неадкладна перадаць SEPA Credit Transfer (SCT) Recall (camt.056) за махлярства ў акне міжбанкаўскага клірынгу. * Захаванне EIP-55 Checksum і Mod-97 IBAN Evidence: Задакументуйце дакладны IBAN які быў у вашым зыходным PDF-рахунку-фактуры ў параўнанні з IBAN перадаецца ў журнал аўдыту інтэрнэт-банкінгу. Таму што IBAN радкі ўключаюць 2-значную кантрольную суму ISO 7064 Mod-97-10 адразу пасля кода краіны (напрыклад, GB29 або DE89), чалавечая памылка друку амаль заўсёды не праходзіць матэматычную праверку банкаўскага партала Mod-97 неадкладна. Даказваючы, што няправільна IBAN меў матэматычна сапраўдную кантрольную лічбу Mod-97, што даказвае следчым за махлярствам вашага банка, што аўтаматызаваны Clipper замяніў увесь радок уліковага запісу, а не карыстальнік, які зрабіў памылку пры націсканні клавішы.

Пошук і знішчэнне шкоднасных праграм Local Clipper (Windows, macOS і браўзеры)¶

Калі ваш тэст Notepad даказаў, што ваш буфер абмену актыўна змяняе скапіраваныя адрасы кашалькоў або IBAN лічбаў, ваша машына працуе з актыўнай карыснай нагрузкай Clipper. Выканайце наступныя дзеянні па-за сеткай, каб ізаляваць і выдаліць яго.

Этап 1: праверце, ці знаходзіцца Clipper у пашырэннях вэб-браўзера¶

Перш чым капацца ў сістэмных файлах, вызначыце, ці нясе адказнасць фальшывае пашырэнне браўзера: 1. Адкрыты Notepad.exe (Windows) або TextEdit (macOS) з цалкам закрытым вашым вэб-браўзерам (праверце праз дыспетчар задач Ctrl+Shift+Esc што без фону chrome.exe або msedge.exe працэсы запушчаны). 2. Увядзіце падроблены адрас Ethereum (0x1111222233334444555566667777888899990000) у нататніку, вылучыце яго, націсніце Ctrl+C, перайдзіце на новы радок і націсніце Ctrl+V. 3. Калі адрас НЕ змяняецца ў Нататніку, калі браўзер зачынены, але МЕНЯЕЦЦА пры капіраванні з Chrome/Edge/Brave: У вас ёсць шкоднаснае пашырэнне браўзера (Malicious Clipper Extension). * Адкрыйце браўзер, набярыце chrome://extensions (або edge://extensions / about:addons), і выдаліце ўсе нераспазнаныя пашырэнні, асабліва фальшывыя блакіроўшчыкі рэкламы, канвертары PDF, пераключальнікі цёмнага рэжыму, узмацняльнікі гучнасці або фальшывыя Ledger/Uniswap/MetaMask дапаможныя пашырэнні. * Скінуць сінхранізацыю браўзера на chrome.google.com/sync таму Google не аўтаматычна пераўсталёўвае шкоднаснае пашырэнне пры паўторным ўваходзе ў сістэму.

Фаза 2: Ідэнтыфікацыя і спыненне працэсаў Clipper на ўзроўні АС у бяспечным рэжыме¶

Калі зменіцца адрас нават унутры Notepad калі ўсе браўзеры зачыненыя, у вас ёсць Clipper на ўзроўні аперацыйнай сістэмы (ClipBanker, Laplas, Phemedrone, RedLine).

У Windows 10 і Windows 11¶

1. Неадкладна адключыцеся ад Wi-Fi і адключыце Ethernet.
2. Адкрыйце Дыспетчар задач (Ctrl + Shift + Esc), пстрыкніце ўкладку Прыкладанні для запуску і адключыце ўсе незнаёмыя праграмы (Clippers часта маскіруюцца пад Realtek HD Audio Helper, Windows Updater, Java Update Scheduler, або OneDrive Sync Host размешчаны ўнутры AppData\Roaming\ замест таго, каб C:\Windows\System32\).
3. Адкрыйце Планіроўшчык задач (Win + R -> taskschd.msc). Правярайце кожную задачу ў Бібліятэцы планавальніка задач. Clippers у пераважнай большасці настойваюць, ствараючы запланаванае заданне, якое выконваецца кожную 1 хвіліну або пры ўваходзе карыстальніка, выклікаючы схаваную каманду PowerShell, .vbs сцэнар, AutoIt3.exe сцэнар, або .exe захоўваецца ўнутры:
4. C:\Users\<Username>\AppData\Roaming\
5. C:\Users\<Username>\AppData\Local\Temp\
6. C:\ProgramData\
7. Прэса Win + R, тыпу regedit, і праверце чатыры асноўныя клавішы запуску, дзе Clippers рэгіструюцца для запуску пры запуску:
8. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
9. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
10. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

У macOS (NSPasteboard Выкрадальнікі: Atomic Stealer AMOS, Poseidon)¶

1. Адключыцеся ад Wi-Fi.
2. Адкрыйце Манітор актыўнасці і знайдзіце непадпісаныя працэсы або схаваны маніторынг сцэнарыяў Python/osascript NSPasteboard.
3. Прэса Cmd + Shift + G у Finder і праверце /Library/LaunchAgents/, /Library/LaunchDaemons/, і /Users/<YourUsername>/Library/LaunchAgents/ для жуліка .plist файлы захаванасці.

Апаратная абарона кашалька: як зрабіць немагчымымі атакі Clipper і Poisoning¶

Нават калі ваш камп'ютар заражаны самай перадавой шкоднаснай праграмай Clipper на зямлі, або ваша гісторыя транзакцый перапоўнена сотнямі атручаных дармаедных адрасоў, ні адна атака не можа скрасці вашы сродкі, калі вы будзеце прытрымлівацца строгіх патрабаванняў Hardware Wallet (Ledger, Trezor, Keystone, Coldcard, GridPlus) пратакол праверкі фізічнага экрана:

1. Правіла праверкі знакаў "Сярэдзіна-8 + Пачатак-4 + Канец-4": Ніколі не глядзіце на манітор кампутара, каб праверыць адрас, таму што шкоднаснае пашырэнне браўзера можа адлюстроўваць сапраўдны адрас на экране вашага ПК, адначасова адпраўляючы адрас зламысніка на ваш кашалёк у фонавым рэжыме. Замест гэтага паглядзіце прама на фізічны экран OLED/E-Ink вашага апаратнага кашалька і параўнайце яго з другім, незалежным каналам сувязі (напрыклад, фота QR-кода атрымальніка на вашым смартфоне або праверанае галасавое чытанне сярэдніх сімвалаў):

0x 8920 [5A3A3b2A69De6Dbf7f01ED13B2108B] 2c43e7
   ====              ==========            ======
  Start-4          Verify Middle-10        End-6

1. Ніколі не капіруйце адрас з вашых «Апошніх транзакцый» або гісторыі Block Explorer: Апрацаваць гісторыю транзакцый вашага кашалька (Activity у MetaMask, Ledger Live, Trust Wallet або Etherscan) як ненадзейныя публічныя графіці. Любы чалавек на зямлі можа ўвесці фальшывыя радкі ў вашу публічную гісторыю транзакцый. Замест гэтага:
2. Захоўвайце кожны перыядычны контрагент, адрас абменнага дэпазіту і кашалёк для халоднага захоўвання ў роднай Адраснай кнізе / Белым спісе кантактаў вашага кашалька (Settings -> Contacts у MetaMask/Rabby) з выразнай этыкеткай чалавека ("My Coinbase USDC Deposit").
3. Пасля таго, як адрас захаваны ў вашай адраснай кнізе, сучасныя кашалькі замяняюць усечаныя 0x1234...5678 шаснаццатковы радок з значкам захаванага імя кантакту праз інтэрфейс. Калі транзакцыя ў вашай гісторыі паказвае неапрацаваныя шаснаццатковыя сімвалы замест вашага захаванага значка кантакту, вы адразу разумееце, што гэта атручаны адрас самазванца.
4. Пераключыцеся на кліент кашалька, арыентаваны на бяспеку (Rabby, Frame, або Ledger Clear Signing) з выяўленнем атручвання: Такія кашалькі, як Rabby Wallet і Апавяшчэнні бяспекі MetaMask Blockaid, аўтаматычна пазначаюць першыя пераводы на адрас, які ніколі раней не атрымліваў ад вас сродкі, папярэджваюць вас, калі адрас візуальна імітуе папярэдні кантакт (Similarity Warning), і схавацца 0-value падробленыя перадачы токенаў з вашай асноўнай стужкі дзейнасці.

Кантрольны спіс ліквідацыі наступстваў аварыі¶

• Эвакуіруйце астатнія крыпта-актывы ў зусім новы пачатковы апаратны кашалёк: Выкарыстоўваючы чысты смартфон або бескампрамісны камп'ютар, згенеруйце новую пачатковую фразу з 24 слоў на апаратным кашальку і перанясіце ўсе астатнія токены, NFT і ўласныя газавыя актывы з любога праграмнага кашалька (MetaMask, Phantom, Trust Wallet, Exodus), якія існавалі на заражаным Clipper кампутары.
• Ануляваць актыўныя зацвярджэння токенаў ERC-20 / TRC-20: Выкарыстоўвайце revoke.cash (з чыстай прылады), каб адклікаць любыя неабмежаваныя ліцэнзіі на расходаванне токенаў, звязаныя з узламанымі гарачымі кашалькамі.
• Выканайце поўную чыстую пераўсталёўку АС праз USB, калі шкоднасная праграма Local Clipper была пацверджана: Стварыце рэзервовую копію толькі асабістых дакументаў і ачысціце ўсе раздзелы дыска з дапамогай чыстай праграмы ўсталёўкі Windows/macOS USB, створанай на асобным кампутары (гл. наш Кіраўніцтва па выдаленні шкоднасных пашырэнняў браўзера і выкрадальнікаў буфера абмену).
• Памяняйце ўсе захаваныя ў браўзеры паролі і адклікайце актыўныя сеансы: Зменіце паролі для электроннай пошты, банкаўскіх паслуг і цэнтралізаваных абменаў (Coinbase, Binance, Kraken), а таксама выйсці з усіх актыўных сеансаў.
• Падайце афіцыйныя справаздачы праваахоўных органаў і блокчейн-разведкі:
• Злучаныя Штаты: Падайце ФБР IC3 (ic3.gov) справаздача з дакладным хэшам транзакцыі (TXID), адрас вашага кашалька і адрас кашалька Clipper/Poisoned зламысніка.
• Вялікабрытанія: Паведаміць у Action Fraud (actionfraud.police.uk).
• Еўрапейскі саюз / Глабальны: Справаздача праз нацыянальныя парталы кіберзлачыннасці Еўрапола, Chainabuse (chainabuse.com) і Etherscan / Tronscan "Паведаміць/Пазначыць адрас", каб адрас зламысніка быў публічна пазначаны чырвоным Fake_Phishing / Address Poisoning папераджальны банер для будучых ахвяр.

Часта задаюць пытанні¶

Як махляр прымусіў Etherscan або Tronscan паказваць a $0 USDT пераклад паступае з майго кашалька (From: My Wallet -> To: Scammer Wallet) калі ў іх няма майго прыватнага ключа або пачатковай фразы?¶

Гэта асаблівасць стандартных смарт-кантрактаў **ERC-20 і TRC-20 токенаў** (`transferFrom` функцыя) напісаны на Ethereum, Tron і BSC. Калі тэлефануе трэці бок `transferFrom(Sender, Recipient, Amount)`, смарт-кантракт правярае, ці мае абанент дазволены дазвол (`approve`) для гэтага `Amount`. Таму што ваша надбаўка па змаўчанні да незнаёмца `0`, тэлефануючы `transferFrom(Your_Wallet, Scammer_Vanity_Wallet, 0)` патрабуецца дапаможнік `0 <= 0`, які ацэньваецца як **True** і выконваецца без неабходнасці вашага подпісу або закрытага ключа. Ваш кашалёк ніколі не быў узламаны; зламыснік проста заплаціў некалькі цэнтаў бензінам, каб кантракт USDT стаў публічным `Transfer` часопіс падзей з указаннем вашага адраса ў `From` таму іх падобны адрас з'яўляецца ў гісторыі выходных пасылак вашага кашалька.

Чаму махляр адправіў мне фальшывую транзакцыю 50,000 USDT адразу пасля таго, як я адправіў a $10 праверыць транзакцыю майму сябру?¶

Дасведчаныя карыстальнікі крыпты часта дасылаюць невялікія `$10` спачатку праверце транзакцыю, пераканайцеся, што яе сябар атрымаў, а потым перайдзіце на ўкладку «Апошняя актыўнасць» кашалька, каб скапіяваць адрас прызначэння для асноўнага `$50,000` перадача. Адрасныя атручвальнікі спецыяльна сочаць за малымі `$1 to $100` перадачы. На працягу 10 секунд пасля вашага `$10` тэставая перадача, якая пацвярджае ў ланцужку, аўтаматызаваны бот зламысніка генеруе спецыяльны адрас, які адпавядае першым і апошнім 5 сімвалам адраса вашага сябра, і транслюе фальшывы перавод токена з вашага кашалька на яго асабісты адрас, так што **іх атручаны адрас знаходзіцца на адзін радок вышэй у вашым спісе апошніх дзеянняў, чым ваш рэальны `$10` тэставы пераказ**.

Ці можа шкоднасная праграма Clipper заразіць iPhone (iOS) ці тэлефон Android, ці гэта ўплывае толькі на кампутары Windows і Mac?¶

У той час як класічныя фонавыя праслухоўвальнікі буфера абмену часцей за ўсё сустракаюцца ў Windows і macOS, мабільныя прылады таксама мішэнню. Пачынаючы з **iOS 14+** і **Android 12+**, аперацыйная сістэма адлюстроўвае бачны банер у верхняй частцы экрана (`"App pasted from Chrome"`) кожны раз, калі праграма чытае ваш буфер абмену і блакуе фонавым праграмам бясшумнае чытанне або перазапіс буфера абмену без фокусу на пярэднім плане. Аднак падробленыя праграмы для мабільных кашалькоў (`fake Ledger Live`, `fake Trust Wallet`, або Android з бакавой загрузкай `.apk` як траяны `SharkBot` і `Xenomorph`) і шкоднасныя мабільныя клавіятуры ўсё яшчэ могуць перахопліваць і мяняць месцы `IBAN` і крыпта-адрасы, калі праграма адкрыта на экране.

Калі я выпадкова даслаў $25,000 ст USDT на атручаны адрас, ці ёсць шанец, што зламыснік дамовіцца аб вяртанні "ўзнагароды за белую капялюш", калі я дашлю ім паведамленне ў ланцужку (IDM)?¶

У вельмі рэдкіх, гучных выпадках, звязаных з актывамі, якія можна адсочваць, на мільёны долараў, ціск праваахоўных органаў у спалучэнні з паведамленнем уводных даных у ланцужку (`UTF-8 hex message` адпраўлены ў малюсенькай транзакцыі ETH на адрас зламысніка з прапановай ўзнагароды ад 10 да 20 працэнтаў або папярэджаннем аб непазбежным замарожванні Tether і ўздзеянні CEX KYC), прывёў да частковага вяртання. Тым не менш, **ніколі не плаціце староннім «хакерам для аднаўлення крыпты» або авансавыя зборы** і аддавайце перавагу атрыманню **Tether (`USDT`) або Круг (`USDC`) у чорны спіс і спачатку замарозіць баланс смарт-кантракту**. Пасля таго, як Tether замарозіць крадзенае `USDT` ўнутры адраса зламысніка зламыснік ніколі не можа выдаткаваць або перамясціць гэтыя токены, а Tether можа спаліць замарожаныя токены і перавыдаць (`re-mint`) вяртаць іх праверанай ахвяры пасля атрымання сапраўднага рашэння праваахоўных органаў або суда.

Звязаныя даведнікі¶

• Шкоднаснае праграмнае забеспячэнне Clipper і атручэнне дармаедных адрасоў у крыптаграфіі і банкаўскіх пераводах IBAN
• Шкоднасныя пашырэнні браўзера, выкрадальнікі буфера абмену і выдаленне рэкламнага ПЗ
• Уцечка кашалька криптовалюты і кампраметацыя пачатковай фразы
• Падробленая CAPTCHA ClickFix PowerShell Win+R шкоднасная праграма буфера абмену і выпраўленне Lumma Infostealer
• Узлом карпаратыўнай дзелавой электроннай пошты (BEC) і адкліканне аб махлярстве
• Нумары экстраных службаў па краінах

Крыніцы і афіцыйнае кіраўніцтва¶

• Федэральнае бюро расследаванняў (FBI) Цэнтр скаргаў на злачынствы ў Інтэрнэце (IC3) (Злучаныя Штаты): Аб'явы грамадскага абслугоўвання аб атручванні крыптавалютных адрасоў і шкоднасных праграмах Infostealer/Clipper.
• Tether Operations Limited (tether.to) & Circle Internet Financial (circle.com): Замарозка праваахоўных органаў, чорны спіс (AddedBlackList), а таксама працэдуры вяртання скрадзеных актываў USDT і USDC.
• Еўрапейскі плацежны савет (EPC) і Еўрапейскі саюз (Regulation (EU) 2024/886): Крэдытны пераклад SEPA (SCT) Працэдуры адклікання ў выпадку махлярства і праверкі атрымальніка (VoP / IBAN-Праверка назвы) Стандарты.
• Нацыянальны цэнтр кібербяспекі (NCSC) (Вялікабрытанія): Зніжэнне шкоднасных праграм, узлом пашырэнняў браўзера і махлярства з перанакіраваннем плацяжоў.
• MITRE ATT&CK® Framework: Тэхніка T1115 (Збор і апрацоўка дадзеных буфера абмену).