Udklipsholderkaprer malware og adresseforgiftningsangreb: udskiftning af kryptotegnebog eller IBAN ved indsæt, bekræftelse af midterste og sidste tegn¶

Når du kopierer en cryptocurrency wallet-adresse (BTC, ETH, USDT, SOL, TRX) eller et internationalt bankkontonummer (IBAN / SWIFT / ABA) og tryk på sæt ind (Ctrl+V eller Cmd+V), kan to adskilte trusler stille og roligt omdirigere dine penge til et kriminelt syndikat: lokal Clipboard Hijacker ("Clipper") Malware, der kører i din computers hukommelse, og som udskifter teksten inde i dit system-udklipsholder på under 5 millisekunder, eller et on-chain Vanity Address Poisoning Attack, der forurener din tegnebogs-transaktionshistorik, og som sidst matcher din tegnebogs-transaktionshistorik 6 . 4 til 6 tegn af din rigtige destination. Denne vejledning indeholder øjeblikkelige trin til at annullere afventende blockchain- eller wire-transaktioner, opdage og fjerne lokal udklipsholder-overvågning og verificere de midterste tegn på hver destinationsadresse, før du logger på en hardware wallet-skærm.

Gør dette nu¶

1. Forsøg en øjeblikkelig ikke-udskiftning (Speed Up / Cancel) hvis en kryptovaluta-transaktion stadig afventer i mempoolen. Åbn din tegnebog (MetaMask, Rabby, Ledger Live, Electrum, Sparrow) og kontroller, om transaktionsstatus stadig er Afventer / Ikke bekræftet. På Ethereum- og EVM-kæder skal du straks klikke på Annuller (eller send en 0 ETH transaktion til din egen adresse ved hjælp af nøjagtig samme Custom Nonce med et 30 procent højere Priority Gas Fee). På Bitcoin skal du udføre et Erstat-ved-gebyr (RBF) annullering for at dirigere inputs tilbage til din egen tegnebog, før den næste blok mines.
2. Ring straks til din banks banksvindelenhed, hvis en IBAN, ABA, eller Sort Code blev byttet ved indsættelse. Hvis udklipsholder-malware ændrede et indsat bankkontonummer på en indenlandsk ledning, SWIFT overførsel, eller SEPA betaling skal du ringe til din banks svindellinje eller dit lokale alarmnummer (911 i USA og Canada, 112 i hele EU, 999 i Storbritannien) for at få referencenumre til politiets kriminalitet; se alarmnumre for internationale kontakter. Kræv en øjeblikkelig SWIFT MT192 / SEPA SCT Recall og citer misforholdet mellem modtagerens navn og den Clipper-substituerede IBAN.
3. Afgør, om du står over for Local Clipper-malware eller On-Chain-adresseforgiftning. Åbn en almindelig tekst-editor (Notepad på Windows eller TextEdit på macOS), kopier en kendt tegnebogsadresse eller prøvestreng (0x71C...89A), og indsæt det i tekstfilen. Hvis den indsatte tekst forvandles til en anden adresse i det øjeblik, du trykker Ctrl+V, din enhed er aktivt inficeret med Clipper Malware; afbryd computeren fra Wi-Fi og Ethernet med det samme. Hvis den indsatte tekst ikke ændres i Notesblok, kopierede du en Poisoned Vanity Address direkte fra din tegnebogs seneste transaktionshistorikliste.
4. Frys centraliserede udvekslingsramper og indsend en Tether (USDT) eller Cirkel (USDC) anmodning om smart kontrakts sortliste. Hvis stjålne stablecoins (USDT eller USDC) blev sendt til en forgiftet eller klipper tegnebog på Ethereum, Tron (TRC-20), eller Solana, spor Transaction Hash (TXID) på en blokudforsker (Etherscan, Tronscan, Solscan) og indsend en nødbillet til retshåndhævelse til Tether (tether.to) eller Cirkel (circle.com), som besidder administrative smart-kontrakt nøgler (AddedBlackList / freeze) i stand til at fryse stjålet USDT/USDC direkte inde i angriberens pung.
5. Evakuer resterende midler fra den inficerede pc ved hjælp af en separat, ren enhed. Fordi Clipper Malware (Laplas Clipper, ClipBanker, Lumma, RedLine) er næsten altid bundtet i en bredere legitimations- og seed-phrase infostealer, antag hver software wallet (MetaMask, Phantom, Exodus) og gemt adgangskode på den computer er kompromitteret. Indtast ikke din frøsætning eller private nøgler i den inficerede maskine.

Diagnosticering af angrebet: Local Clipper-malware vs. On-Chain-adresseforgiftning¶

Selvom begge angreb resulterer i, at dine penge ankommer til en angribers pung i stedet for din påtænkte modtagers adresse, er deres tekniske mekanik helt anderledes. Du skal identificere, hvilket angreb der fandt sted inden for de første 60 sekunder, fordi Local Clipper Malware betyder, at dit operativsystem er brudt, hvorimod Adresseforgiftning opstår udelukkende på den offentlige blockchain uden malware på din enhed.

1. Hvordan Local Clipboard Hijacker ("Clipper") Malware virker¶

en klipper (Trojan.Clipper, Cryxos, ClipBanker, Laplas) er en letvægts baggrundsproces, ondsindet Chrome/Firefox-browserudvidelse eller trojaniseret open source-pakke, der registrerer en hook i operativsystemets udklipsholder API (AddClipboardFormatListener på Windows eller NSPasteboard på macOS). * Regex-mønstermatchning i realtid: Hver gang du trykker Ctrl+C (Kopi), malwaren inspicerer den kopierede streng mod regulære udtryk (Regex) leder efter mønstre, der matcher en Bitcoin-adresse (bc1q..., 1..., 3...), en Ethereum/EVM-adresse (0x efterfulgt af 40 hexadecimale tegn), en Tron TRC-20 adresse (T efterfulgt af 33 tegn), en Solana-adresse eller en europæisk/UK IBAN (DE89..., GB29...). * Øjeblikkelig udskiftning: Inden for 2 til 5 millisekunder, før dine fingre bevæger sig fra Ctrl+C til Ctrl+V, overskriver malwaren din systemudklipsholderbuffer med en angriber-ejet adresse. Avancerede tjenester som Laplas Clipper endda generere en forfængelig adresse i realtid fra en massiv forudberegnet database med millioner af angriberadresser, så de første 3 til 4 tegn og sidste 3 til 4 tegn af den erstattede udklipsholderadresse matcher det, du lige har kopieret.

2. Hvordan On-Chain Vanity Address Poisoning virker (Zero Malware)¶

I et adresseforgiftningsangreb bliver din computer, telefon og tegnebog ikke hacket. I stedet kører blockchain-trusselsaktører automatiserede bots, der overvåger enhver offentlighed USDT, USDC, ETH, TRX, og WBTC overførsel på Ethereum, Tron, Arbitrum, BSC og Solana. * The Vanity Prefix/Suffix Generator: I det øjeblik du sender en lovlig overførsel (selv en smart-kontrakt praksistestoverførsel af $10) til en rigtig modtageradresse, for eksempel: * rigtig adresse: 0x89205A3A3b2A69De6Dbf7f01ED13B2108B2c43e7 * Angriberen bruger GPU-klynger til at generere en falsk tegnebogsadresse, hvis første 5 tegn (0x89205...) og sidste 5 tegn (...c43e7) er 100 procent identiske med din rigtige modtagers adresse, mens de midterste 30 tegn er helt forskellige: * Poisoned Lookalike-adresse: 0x89205f91c48012b3847109ab84910283749c43e7 * Forurener din transaktionshistorik (Zero-Value eller Fake Token Spoofing): Fordi ERC-20 og TRC-20 smarte kontrakter (transferFrom) tillade enhver at udsende en 0 USDT overfør begivenhed fra din tegnebog uden din private nøgle (eller send $0.0001 "støv" eller en falsk unicode-forfalsket USDТ token), indsætter angriberen en falsk transaktion i din tegnebogs offentlige transaktionslog, så deres forgiftede lookalike-adresse er helt øverst på din "Seneste transaktioner"-liste. * ** UI Truncation Trap:** Fordi mobil- og browserpunge (MetaMask, Trust Wallet, Ledger Live, TronLink, Etherscan) afkort lange 42-tegns adresser på skærmen som 0x89205...c43e7 for at spare plads ser både den rigtige adresse og den forgiftede adresse visuelt identiske ud i din transaktionshistorik. Næste uge, når du går for at sende den rigtige $50,000 overføre og dovent kopiere adressen fra din egen "sidste transaktion" i din tegnebogshistorik i stedet for din adressebog, kopierer du angriberens forgiftede adresse. * Create2 Smart Contract Pre-Computation: I avancerede angreb rettet mod skattekasser med høj nettoværdi bruger angribere EVM CREATE2 opcode til at prægenerere millioner af sovende smarte kontraktadresser med 6-tegns præfiks og 6-tegns suffiksmatches (12 matching hex characters total). Når et offer sender penge til den hvilende adresse, indsætter angriberen en fejekontrakt med præcis den CREATE2 adresse for at dræne midlerne automatisk.

Nødarbejdsgang: triaging af en ombyttet tegnebog eller IBAN-overførsel¶

Følg dette beslutningstræ umiddelbart efter at have opdaget, at en indsat adresse ikke matchede din tilsigtede destination.

flowchart TD
    A["Opdaget forkert kryptoadresse eller IBAN efter indsættelse"] --> B{"Blev transaktionen allerede udsendt/afsendt?"}
    B -- "Nej (fanget før underskrift)" --> C["Test udklipsholder i Notesblok: Kopiér rigtig adresse og sæt ind"]
    B -- "Ja (allerede sendt)" --> D{"Er det krypto i Mempool, bekræftet krypto eller bank-IBAN?"}
    C --> E{"Er indsat tekst ændret i Notesblok?"}
    E -- "Ja: Lokal Clipper Malware" --> F["Afbryd internettet med det samme; Scan Services/Udvidelser/Opgaver"]
    E -- "Nej: On-Chain adresseforgiftning" --> G["Slet forgiftet kontakt; Whitelist reel adresse i hardware wallet"]
    D -- "Krypto afventer stadig i Mempool" --> H["Broadcast Nonce Cancel (EVM +30 % gas) eller Bitcoin RBF med det samme"]
    D -- "Bekræftet Crypto On-Chain" --> I["Spor TXID: File Emergency Freeze with Tether (USDT) / Circle (USDC) / CEX"]
    D -- "Bank IBAN / Bankoverførsel" --> J["Ringebanksvindelskranke: Krav om SWIFT MT192 / SEPA-tilbagekaldelse + citer navnemismatch"]

Sammenligning af clipboard-kapring og adresseforgiftningsvektorer¶

Brug denne referencetabel til at identificere, hvordan adresseskiftet fandt sted, og hvilke retsmedicinske artefakter, der findes på dit system eller din blockchain explorer.

Trin-for-trin nødhandlinger, hvis midler bare blev sendt til den forkerte adresse¶

Hvis du trykkede på "Send" eller underskrev transaktionen, før du bemærkede, at de midterste tegn i adressen tilhørte en Clipper eller Address Poisoner, skal du udføre disse trin med det samme.

1. Annullering af en ubekræftet cryptocurrency-transaktion i mempoolen (første 10 til 60 sekunder)¶

Hvis blockchain-netværket er overbelastet, eller du angiver et lavt gas/satoshi-gebyr, kan din transaktion stadig sidde i den offentlige mempool og vente på at blive inkluderet i en blok: * På Ethereum, Arbitrum, Polygon, Optimisme, Base og BSC (EVM Kæder): 1. Åbn MetaMask, Rabby, eller Trust Wallet og se på fanen Aktivitet. Hvis transaktionen siger Afventer, skal du straks klikke på knappen Annuller og vælge Aggressivt/højt gasgebyr. 2. Manuel Nonce Overwrite (mere pålidelig): Aktiver Tilpas transaktion nonce i din tegnebogs avancerede indstillinger. Slå din afventende transaktion op på Etherscan for at finde dets nøjagtige Nonce-nummer (f.eks. Nonce: 42). Start straks en ny transaktion afsendelse 0 ETH til din egen tegnebogsadresse, indtast manuelt 42 i feltet Custom Nonce, og indstil Max Priority Fee (Gwei) mindst 30 % til 50 % højere end den fastlåste transaktion. Minearbejdere/validatorer vil behandle dit højere gebyr 0 ETH transaktion først, ugyldiggør den ondsindede overførsel med Nonce 42. * På Bitcoin (BTC): 1. De fleste moderne tegnebøger (Electrum, Sparrow, Ledger Live, BlueWallet) aktiver Opt-in Erstat-By-Fee (BIP-125 RBF) som standard. 2. Højreklik på den ubekræftede udgående transaktion i din tegnebogshistorik, og vælg Annuller transaktion (Double-Spend to Self) eller Bump Fee / Modify Output, der indstiller en væsentligt højere gebyrsats (sat/vB tjekket op imod mempool.space) så minearbejdere bekræfter erstatningstransaktionen tilbage til din egen ændringsadresse.

2. Frysning stjålet USDT (Tether) eller USDC (Cirkel) via smart kontrakt blacklisting¶

I modsætning til indfødte Bitcoin eller Ethereum, de to største amerikanske dollar stablecoins, Tether (USDT) og Cirkel (USDC), indeholder centraliserede administrative funktioner (blacklist, freeze, destroyBlackFunds) skrevet direkte ind i deres token smarte kontrakter på Ethereum (ERC-20), Tron (TRC-20), Solana, Polygon og Avalanche. 1. Åbn Etherscan.io eller Tronscan.org og indsæt din Transaction Hash (TXID). Tjek om den stjålne USDT eller USDC sidder stadig inde i angriberens forfængelighed/klipperpung eller en mellemliggende pung. Adresseforgiftninger efterlader ofte stjålet USDT i forfængelighedsadressen i timer eller dage, før den byttes via decentrale udvekslinger (DEXs) eller krydskædede broer. 2. Indgiv straks en nødrapport til FBI IC3 (ic3.gov) og lokal retshåndhævelse, og samtidig kontakte Tether Compliance/lovhåndhævelsessupport (tether.to/en/contact-us) eller Cirkel retshåndhævelsesanmodninger med det nøjagtige: * Offerets pungadresse * Angriberdestinationspungadresse, der holder den aktuelle USDT/USDC balance * Transaktions-hash (TXID) og tidsstempel 3. Rapportér også tyveriet samtidigt til blockchain-efterretnings-hændelsesresponsnetværk såsom Chainalysis, TRM Labs (Chainabuse.com), SEAL 911 (Security Alliance nødsituation Telegram bot @seal_911_bot for akutte kryptohack) og compliance-desks på enhver centraliseret udveksling (Binance, Coinbase, OKX, Kraken, Bybit, FixedFloat, ChangeNOW) hvis angriberen overfører midlerne til en indbetalingsadresse.

3. Genkaldelse af en Clipper-byttet bankoverførsel eller IBAN overførsel¶

Når Clipper malware retter sig mod forretningsbrugere eller privatbankbrugere, holder den øje med kopiering IBAN strenge (såsom kopiering af en IBAN fra en leverandørs PDF-faktura i Adobe Reader og indsætte den i en netbankportal) og bytter IBAN med en penge-mule-konto, mens du forlader Begunstigelsesnavn urørt. * ** Påkald bekræftelse af betalingsmodtager (VoP / Confirmation of Payee) og regler for navnemismatch:** Ring straks til din banks banksvindelenhed. Forklar, at Clipper Malware ændrede det indsatte IBAN nummer på din computer, og at Begunstigelseskontonavnet på betalingsordren ikke stemmer overens med den juridiske ejer af den erstattede IBAN. * I henhold til EU-forordningen om øjeblikkelige betalinger (EU Regulation 2024/886) og Storbritanniens bekræftelse af betalingsmodtager (CoP) rammer: Betalingstjenesteudbydere skal verificere, at IBAN og modtagerens navn matcher før udførelse og skal transmittere en øjeblikkelig SEPA Credit Transfer (SCT) Recall (camt.056) for bedrageri inden for interbank-clearing-vinduet. * Bevarelse af EIP-55 Checksum og Mod-97 IBAN-beviser: Dokumenter den nøjagtige IBAN det var inde i din originale PDF-faktura i forhold til IBAN overføres i din netbanks revisionslog. Fordi IBAN strenge inkluderer en 2-cifret ISO 7064 Mod-97-10 kontrolsum lige efter landekoden (f.eks. GB29 eller DE89), fejler en menneskelig tastefejl næsten altid bankportalens Mod-97 matematiske validering med det samme. Beviser, at det er forkert IBAN havde et matematisk gyldigt Mod-97 kontrolciffer beviser over for din banks svindelefterforskere, at en automatisk Clipper erstattede hele kontostrengen i stedet for, at en bruger lavede en tastetryksfejl.

Jagt og udryddelse af Local Clipper Malware (Windows, macOS og browsere)¶

Hvis din Notesblok-test viste, at dit udklipsholder aktivt muterer kopierede tegnebogsadresser eller IBAN numre, kører din maskine en aktiv Clipper-nyttelast. Følg disse trin offline for at isolere og fjerne det.

Fase 1: Tjek, om Clipperen er inde i dine webbrowserudvidelser¶

Før du graver i systemfiler, skal du afgøre, om en useriøs browserudvidelse er ansvarlig: 1. Åbn Notepad.exe (Windows) eller TextEdit (macOS) med din webbrowser helt lukket (bekræft via Task Manager Ctrl+Shift+Esc at ingen baggrund chrome.exe eller msedge.exe processer kører). 2. Indtast en falsk Ethereum-adresse (0x1111222233334444555566667777888899990000) i Notesblok, marker den, tryk på Ctrl+C, flyt til en ny linje, og tryk på Ctrl+V. 3. Hvis adressen IKKE ændres i Notesblok, når browseren lukkes, men ændres ved kopiering fra Chrome/Edge/Brave: Du har en ondsindet browserudvidelse (Malicious Clipper Extension). * Åbn din browser, skriv chrome://extensions (eller edge://extensions / about:addons), og fjern alle ikke-genkendte udvidelser, især falske annonceblokkere, PDF-konvertere, mørk-mode skifter, volumenboostere eller falske Ledger/Uniswap/MetaMask hjælperudvidelser. * Nulstil browsersynkronisering kl chrome.google.com/sync så Google geninstallerer ikke automatisk den ondsindede udvidelse, når du logger ind igen.

Fase 2: Identifikation og aflivning af Clipper-processer på OS-niveau i fejlsikret tilstand¶

Hvis adressen ændres selv indenfor Notepad med alle browsere lukkede har du en Clipper på operativsystemniveau (ClipBanker, Laplas, Phemedrone, RedLine).

På Windows 10 og Windows 11¶

1. Afbryd forbindelsen til Wi-Fi, og tag Ethernet-stikket ud med det samme.
2. Åbn Task Manager (Ctrl + Shift + Esc), klik på fanen Startup Apps, og deaktiver ethvert ukendt program (Clippers forklæder sig ofte som Realtek HD Audio Helper, Windows Updater, Java Update Scheduler, eller OneDrive Sync Host placeret inde AppData\Roaming\ i stedet for C:\Windows\System32\).
3. Åbn Opgaveplanlægning (Win + R -> taskschd.msc). Undersøg hver opgave i Task Scheduler Library. Clippers fortsætter i overvejende grad ved at oprette en planlagt opgave, der kører hvert 1. minut eller ved brugerlogon, og kalder på en skjult PowerShell-kommando, .vbs manuskript, AutoIt3.exe script, eller .exe opbevaret inde:
4. C:\Users\<Username>\AppData\Roaming\
5. C:\Users\<Username>\AppData\Local\Temp\
6. C:\ProgramData\
7. Tryk på Win + R, type regedit, og tjek de fire primære Run-taster, hvor Clippers registrerer sig selv for at starte ved opstart:
8. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
9. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
10. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

På macOS (NSPasteboard Tyvere: Atomic Stealer AMOS, Poseidon)¶

1. Afbryd forbindelsen til Wi-Fi.
2. Åbn Activity Monitor og søg efter usignerede processer eller skjult Python/osascript-script-overvågning NSPasteboard.
3. Tryk på Cmd + Shift + G i Finder og tjek /Library/LaunchAgents/, /Library/LaunchDaemons/, og /Users/<YourUsername>/Library/LaunchAgents/ for slyngel .plist persistens filer.

Hardware wallet-forsvar: hvordan man gør Clipper- og forgiftningsangreb umulige¶

Selvom din computer er inficeret med den mest avancerede Clipper-malware på jorden, eller din transaktionshistorik er oversvømmet med hundredvis af forgiftede forfængelighedsadresser, ** kan ingen af angrebene stjæle dine penge, hvis du følger en streng Hardware Wallet (Ledger, Trezor, Keystone, Coldcard, GridPlus) fysisk skærmbekræftelsesprotokol**:

1. Reglen for "Middle-8 + Start-4 + End-4" tegnbekræftelse: Se aldrig på din computerskærm for at bekræfte en adresse, fordi en ondsindet browserudvidelse kan vise den rigtige adresse på din pc-skærm, mens den sender angriberens adresse til din tegnebog i baggrunden. Se i stedet direkte på den fysiske OLED/E-Ink-skærm på din hardwarepung og sammenlign den med en anden, uafhængig kommunikationskanal (såsom et billede af modtagerens QR-kode på din smartphone eller en bekræftet stemmegenlæsning af de midterste tegn):

0x 8920 [5A3A3b2A69De6Dbf7f01ED13B2108B] 2c43e7
   ====              ==========            ======
  Start-4          Verify Middle-10        End-6

1. Kopiér aldrig en adresse fra din "Seneste transaktioner" eller Block Explorer-historik: Behandl din tegnebogs transaktionshistorik (Activity fanen i MetaMask, Ledger Live, Trust Wallet eller Etherscan) som offentlig graffiti, der ikke er tillid. Enhver på jorden kan injicere falske rækker i din offentlige transaktionshistorik. I stedet:
2. Gem alle tilbagevendende modparter, veksle indbetalingsadresser og køleopbevaringspung inde i din tegnebogs oprindelige Adressebog / Whitelist Kontaktpersoner (Settings -> Contacts i MetaMask/Rabby) med en tydelig menneskelig etiket ("My Coinbase USDC Deposit").
3. Når en adresse er gemt i din adressebog, erstatter moderne tegnebøger de afkortede 0x1234...5678 hex-streng med kontaktens gemte navneskilt på tværs af grænsefladen. Hvis en transaktion i din historie viser rå hex-tegn i stedet for dit gemte kontaktbadge, ved du med det samme, at det er en forgiftet bedrageradresse.
4. Skift til en sikkerhedsfokuseret tegnebogsklient (Rabby, Frame, eller Ledger Clear Signing) med forgiftningsdetektion: Tegnebøger som Rabby Wallet og MetaMask Blockaid sikkerhedsadvarsler markerer automatisk førstegangsoverførsler til en adresse, der aldrig har modtaget penge fra dig før, advarer dig, hvis en adresse visuelt efterligner en tidligere kontakt (Similarity Warning), og skjul 0-value forfalskede token-overførsler fra dit hovedaktivitetsfeed.

Tjekliste for afhjælpning efter hændelse¶

• Evakuer resterende kryptoaktiver til et splinternyt hardware wallet-seed: Brug en ren smartphone eller kompromisløs computer, generer en frisk 24-ords seed-frase på en hardware wallet og overfør alle resterende tokens, NFT'er og native gasaktiver ud af enhver software wallet (MetaMask, Phantom, Trust Wallet, Exodus), der fandtes på den Clipper-inficerede computer.
• Tilbagekald aktive ERC-20 / TRC-20 token-godkendelser: Brug revoke.cash (fra en ren enhed) for at tilbagekalde eventuelle ubegrænsede token-udgifter forbundet med kompromitterede hot wallets.
• Udfør en fuldstændig ren OS-geninstallation via USB, hvis Local Clipper Malware blev bekræftet: Sikkerhedskopier kun personlige dokumenter og slet alle diskpartitioner ved hjælp af et rent Windows/macOS USB-installationsprogram oprettet på en separat computer (se vores guide til fjernelse af ondsindede browserudvidelser og udklipsholdere).
• Rotér alle browsergemte adgangskoder og tilbagekald aktive sessioner: Skift adgangskoder til e-mail, bank og centraliserede udvekslinger (Coinbase, Binance, Kraken), og logge ud af alle aktive sessioner.
• Indgiv officielle retshåndhævelses- og blockchain-efterretningsrapporter:
• USA: Indsend en FBI IC3 (ic3.gov) rapport inklusive den nøjagtige Transaction Hash (TXID), din tegnebogsadresse og angriberens Clipper/Poisoned wallet-adresse.
• Storbritannien: Rapporter til Action Fraud (actionfraud.police.uk).
• Den Europæiske Union/Global: Rapport via Europols nationale cyberkriminalitetsportaler, Chainabuse (chainabuse.com) og Etherscan / Tronscan "Rapportér/flagadresse", så angriberens adresse er offentligt mærket med en rød Fake_Phishing / Address Poisoning advarselsbanner til fremtidige ofre.

Ofte stillede spørgsmål¶

Hvordan fik en svindler Etherscan eller Tronscan til at vise en $0 USDT overførsel kommer ud af min pung (From: My Wallet -> To: Scammer Wallet) hvis de ikke har min private nøgle eller frøsætning?¶

Dette er et særpræg af, hvordan standard **ERC-20 og TRC-20 token smarte kontrakter** (`transferFrom` funktion) er skrevet på Ethereum, Tron og BSC. Når en tredjepart ringer `transferFrom(Sender, Recipient, Amount)`, tjekker den smarte kontrakt, om den, der ringer, har en autoriseret godtgørelse (`approve`) for det `Amount`. Fordi din standardydelse til en fremmed er `0`, ringer `transferFrom(Your_Wallet, Scammer_Vanity_Wallet, 0)` kræver et tilskud på `0 <= 0`, som evalueres til **True** og lykkes uden at skulle bruge din signatur eller private nøgle. Din tegnebog blev aldrig hacket; angriberen betalte simpelthen et par cent i gas for at få USDT-kontrakten til at udsende offentligheden `Transfer` hændelseslog med din adresse i `From` kolonne, så deres lookalike-adresse vises i din tegnebogs udgående historik.

Hvorfor sendte svindleren mig en falsk transaktion af 50,000 USDT lige efter jeg sendte en $10 teste transaktion til min ven?¶

Erfarne kryptobrugere sender ofte en lille `$10` test transaktionen først, bekræft, at deres ven har modtaget den, og gå derefter ind i deres tegnebogs fane "Seneste aktivitet" for at kopiere destinationsadressen for hoved `$50,000` overførsel. Adresse forgiftning bots specielt se efter små `$1 to $100` overførsler. Inden for 10 sekunder efter din `$10` testoverførsel bekræfter på kæden, angriberens automatiserede bot genererer en forfængelighedsadresse, der matcher de første og sidste 5 tegn i din vens adresse og udsender en falsk token-overførsel fra din tegnebog til deres forfængelighedsadresse, så **deres forgiftede adresse sidder en række højere på din seneste aktivitetsliste end din rigtige `$10` prøveoverførsel**.

Kan Clipper malware inficere en iPhone (iOS) eller Android-telefon, eller påvirker det kun Windows- og Mac-computere?¶

Mens klassiske baggrundsudklipsholdere er mest almindelige på Windows og macOS, er mobile enheder også målrettet. Fra og med **iOS 14+** og **Android 12+** viser operativsystemet et synligt toastbanner øverst på skærmen (`"App pasted from Chrome"`) når en app læser dit udklipsholder og blokerer baggrundsapps fra lydløst at læse eller overskrive udklipsholderen uden forgrundsfokus. Dog forfalskede mobilpung-apps (`fake Ledger Live`, `fake Trust Wallet`, eller sideindlæst Android `.apk` trojanske heste kan lide `SharkBot` og `Xenomorph`) og ondsindede mobiltastaturer kan stadig opsnappe og bytte indsat `IBAN` og kryptoadresser, mens appen er åben på skærmen.

Hvis jeg ved et uheld sendte $25,000 ind USDT til en forgiftet adresse, er der nogen chance for, at angriberen vil forhandle en "white-hat bounty" retur, hvis jeg sender dem en on-chain besked (IDM)?¶

I meget sjældne, højprofilerede sager, der involverer millioner af dollars i sporbare aktiver, blev pres fra retshåndhævelsen kombineret med en kæde-input-datameddelelse (`UTF-8 hex message` sendt i en lille ETH-transaktion til angriberens adresse, der tilbyder en dusør på 10 til 20 procent eller advarsel om forestående Tether-frysninger og CEX KYC-eksponering), har resulteret i delvise afkast. Dog **betal aldrig nogen tredjeparts "crypto recovery hacker" eller forhåndsgebyr**, og prioriter at få **Tether (`USDT`) eller Cirkel (`USDC`) for at blackliste og fryse den smarte kontraktsaldo først**. Når Tether fryser det stjålne `USDT` inde på angriberens adresse kan angriberen aldrig bruge eller flytte disse tokens, og Tether kan brænde de frosne tokens og genudstede (`re-mint`) dem tilbage til det verificerede offer efter modtagelse af en gyldig retshåndhævelse eller retskendelse.

Relaterede guider¶

• Clipper malware og forfængelighed adresserer forgiftning i krypto- og bank-IBAN-overførsler
• Ondsindede browserudvidelser, udklipsholdere og fjernelse af adware
• Cryptocurrency tegnebogsdræn og seed phrase kompromis
• Falsk CAPTCHA ClickFix PowerShell Win+R udklipsholder malware og Lumma Infostealer remediering
• Corporate business email compromise (BEC) og tilbagekaldelse af wire fraud
• Nødnumre efter land

Kilder og officiel vejledning¶

• Federal Bureau of Investigation (FBI) Internet Crime Complaint Center (IC3) (USA): Offentlige servicemeddelelser om forgiftning af kryptovaluta-forfængelighed og Infostealer/Clipper-malware.
• Tether Operations Limited (tether.to) & Circle Internet Financial (circle.com): Frost af retshåndhævelse, sortliste (AddedBlackList), og procedurer for inddrivelse af aktiver for stjålne USDT og USDC.
• European Payments Council (EPC) & EU (Regulation (EU) 2024/886): SEPA-kreditoverførsel (SCT) Tilbagekaldelsesprocedurer for bedrageri og verifikation af betalingsmodtager (VoP / IBAN-Navnetjek) Standarder.
• Nationalt Cybersikkerhedscenter (NCSC) (Storbritannien): Afhjælpning af malware, kompromittering af browserudvidelser og svindel med betalingsomdirigering.
• MITRE ATT&CK® Framework: Teknik T1115 (Clipboard Data Collection and Manipulation).