Perampas papan keratan perisian hasad dan alamat serangan keracunan: menukar dompet crypto atau IBAN pada tampal, mengesahkan aksara tengah dan terakhir¶

Apabila anda menyalin alamat dompet mata wang kripto (BTC, ETH, USDT, SOL, TRX) atau nombor akaun bank antarabangsa (IBAN / SWIFT / ABA) dan tekan tampal (Ctrl+V atau Cmd+V), dua ancaman berbeza boleh mengubah hala dana anda secara senyap kepada sindiket jenayah: Perampas Papan Klip ("Penggunting") tempatan yang berjalan dalam ingatan komputer anda yang menukar teks dalam papan keratan sistem anda dalam masa kurang daripada 5 milisaat, atau rantai Vanity Address Poisoning Attack yang mencemarkan dompet anda dengan sejarah transaksi 4toit yang pertama dengan alamat 4toit terakhir dengan alamat 4toit yang terakhir. 6 aksara destinasi sebenar anda. Panduan ini menyediakan langkah segera untuk membatalkan transaksi rantaian blok atau wayar yang belum selesai, mengesan dan mengalih keluar perisian hasad pemantauan papan keratan tempatan dan mengesahkan aksara tengah setiap alamat destinasi sebelum menandatangani pada skrin dompet perkakasan.

Lakukan ini sekarang¶

1. Cuba Penggantian Nonce serta-merta (Speed Up / Cancel) jika transaksi mata wang kripto masih belum selesai dalam mempool. Buka dompet anda (MetaMask, Rabby, Ledger Live, Electrum, Sparrow) dan semak sama ada status transaksi masih Belum selesai / Tidak Disahkan. Pada rantaian Ethereum dan EVM, klik segera Batal (atau hantar a 0 ETH transaksi ke alamat anda sendiri menggunakan Nonce Tersuai yang sama dengan Yuran Gas Keutamaan 30 peratus lebih tinggi). Pada Bitcoin, laksanakan Ganti-Dengan-Yuran (RBF) pembatalan untuk mengarahkan input kembali ke dompet anda sendiri sebelum blok seterusnya dilombong.
2. Hubungi unit penipuan wayar bank anda dengan segera jika a IBAN, ABA, atau Sort Code telah ditukar pada tampal. Jika perisian hasad papan keratan mengubah nombor akaun bank yang ditampal pada wayar domestik, SWIFT pemindahan, atau SEPA pembayaran, hubungi talian penipuan bank anda atau nombor kecemasan tempatan anda (911 di Amerika Syarikat dan Kanada, 112 di seluruh Kesatuan Eropah, 999 di United Kingdom) untuk nombor rujukan jenayah polis; lihat nombor kecemasan untuk hubungan antarabangsa. Tuntut segera SWIFT MT192 / SEPA SCT Recall dan nyatakan ketidakpadanan antara Nama Penerima dan Penggunting yang digantikan IBAN.
3. Tentukan sama ada anda menghadapi Perisian Hasad Clipper Tempatan atau Keracunan Alamat On-Chain. Buka editor teks biasa (Notepad pada Windows atau TextEdit pada macOS), salin alamat dompet yang diketahui atau rentetan sampel (0x71C...89A), dan tampalkannya ke dalam fail teks. Jika teks yang ditampal bertukar menjadi alamat lain sebaik sahaja anda menekan Ctrl+V, peranti anda dijangkiti secara aktif dengan Clipper Malware; putuskan sambungan komputer daripada Wi-Fi dan Ethernet serta-merta. Jika teks yang ditampal tidak berubah dalam Notepad, anda menyalin Alamat Vanity Beracun terus daripada senarai sejarah transaksi terkini dompet anda.
4. Bekukan pertukaran terpusat di luar tanjakan dan failkan Tether (USDT) atau Bulatan (USDC) permintaan senarai hitam kontrak pintar. Jika stablecoin dicuri (USDT atau USDC) telah dihantar ke dompet beracun atau clipper di Ethereum, Tron (TRC-20), atau Solana, jejaki Hash Transaksi (TXID) pada penjelajah blok (Etherscan, Tronscan, Solscan) dan serahkan tiket pembekuan penguatkuasaan undang-undang kecemasan kepada Tambat (tether.to) atau Bulatan (circle.com), yang mempunyai kunci kontrak pintar pentadbiran (AddedBlackList / freeze) mampu membekukan dicuri USDT/USDC terus di dalam dompet penyerang.
5. Singkirkan baki dana daripada PC yang dijangkiti menggunakan peranti yang berasingan dan bersih. Kerana Hasad Clipper (Laplas Clipper, ClipBanker, Lumma, RedLine) hampir selalu disertakan di dalam bukti kelayakan yang lebih luas dan infostealer frasa benih, anggap setiap dompet perisian (MetaMask, Phantom, Exodus) dan kata laluan yang disimpan pada komputer itu terjejas. Jangan taip frasa benih atau kunci peribadi anda ke dalam mesin yang dijangkiti.

Mendiagnosis serangan: Perisian Hasad Clipper Tempatan lwn. Keracunan Alamat Dalam Rangkaian¶

Walaupun kedua-dua serangan menyebabkan wang anda tiba di dompet penyerang dan bukannya alamat penerima yang anda maksudkan, mekanik teknikal mereka adalah berbeza sama sekali. Anda mesti mengenal pasti serangan yang berlaku dalam masa 60 saat pertama kerana Local Clipper Malware bermakna sistem pengendalian anda dilanggar, manakala Alamat Keracunan berlaku sepenuhnya pada blok blok awam tanpa sebarang perisian hasad pada peranti anda.

1. Cara Perampas Papan Klip Tempatan ("Clipper") Malware berfungsi¶

Pemotong (Trojan.Clipper, Cryxos, ClipBanker, Laplas) ialah proses latar belakang yang ringan, sambungan penyemak imbas Chrome/Firefox yang berniat jahat atau pakej sumber terbuka Trojan yang mendaftarkan cangkuk ke dalam API papan keratan sistem pengendalian (AddClipboardFormatListener pada Windows atau NSPasteboard pada macOS). * Padanan corak Regex masa nyata: Setiap kali anda menekan Ctrl+C (Salin), perisian hasad memeriksa rentetan yang disalin terhadap Ungkapan Biasa (Regex) mencari corak yang sepadan dengan alamat Bitcoin (bc1q..., 1..., 3...), alamat Ethereum/EVM (0x diikuti dengan 40 aksara heksadesimal), satu Tron TRC-20 alamat (T diikuti dengan 33 aksara), alamat Solana atau Eropah/UK IBAN (DE89..., GB29...). * Penggantian serta-merta: Dalam masa 2 hingga 5 milisaat, sebelum jari anda bergerak dari Ctrl+C kepada Ctrl+V, perisian hasad menimpa penimbal papan keratan sistem anda dengan alamat milik penyerang. Perkhidmatan lanjutan seperti Laplas Clipper malah menjana alamat sia-sia masa nyata dengan segera daripada pangkalan data pra-pengiraan besar-besaran berjuta-juta alamat penyerang supaya 3 hingga 4 aksara pertama dan 3 hingga 4 aksara terakhir alamat papan keratan yang diganti sepadan dengan yang baru anda salin.

2. Cara Keracunan Alamat Vanity Dalam Rangkaian berfungsi (Sifar Hasad)¶

Dalam serangan Keracunan Alamat, komputer, telefon dan dompet anda tidak digodam. Sebaliknya, pelaku ancaman blockchain menjalankan bot automatik yang memantau setiap orang awam USDT, USDC, ETH, TRX, dan WBTC pemindahan pada Ethereum, Tron, Arbitrum, BSC dan Solana. * The Vanity Prefix/Suffix Generator: Pada saat anda menghantar pemindahan yang sah (malah pemindahan ujian amalan kontrak pintar $10) ke alamat penerima sebenar, contohnya: * Alamat Sebenar: 0x89205A3A3b2A69De6Dbf7f01ED13B2108B2c43e7 * Penyerang menggunakan kluster GPU untuk menjana alamat dompet palsu yang 5 aksara pertama (0x89205...) dan 5 aksara terakhir (...c43e7) adalah 100 peratus sama dengan alamat penerima sebenar anda, manakala 30 aksara tengah berbeza sama sekali: * Alamat Serupa Beracun: 0x89205f91c48012b3847109ab84910283749c43e7 * Mencemarkan sejarah transaksi anda (Zero-Value atau Fake Token Spoofing): Kerana kontrak pintar ERC-20 dan TRC-20 (transferFrom) membenarkan sesiapa sahaja mengeluarkan a 0 USDT pindahkan acara daripada dompet anda tanpa kunci peribadi anda (atau hantar $0.0001 "debu" atau palsu unicode-palsu USDТ token), penyerang memasukkan transaksi palsu ke dalam log urus niaga awam dompet anda supaya alamat mereka yang kelihatan beracun berada di bahagian paling atas senarai "Transaksi Terbaharu" anda. * Perangkap Pemangkasan UI: Kerana dompet mudah alih dan penyemak imbas (MetaMask, Trust Wallet, Ledger Live, TronLink, Etherscan) potong alamat 42 aksara yang panjang pada skrin sebagai 0x89205...c43e7 untuk menjimatkan ruang, kedua-dua alamat sebenar dan alamat beracun kelihatan secara visual serupa dalam sejarah transaksi anda. Minggu depan, apabila anda pergi untuk menghantar yang sebenar $50,000 pindahkan dan dengan malas menyalin alamat daripada "urus niaga terakhir" anda sendiri dalam sejarah dompet anda dan bukannya buku alamat anda, anda menyalin alamat beracun penyerang. * Create2 Smart Contract Pra-Computation: Dalam serangan lanjutan yang menyasarkan perbendaharaan bernilai tinggi, penyerang menggunakan EVM CREATE2 opcode untuk pra-menjana berjuta-juta alamat kontrak pintar tidak aktif dengan awalan 6 aksara dan padanan akhiran 6 aksara (12 matching hex characters total). Apabila mangsa menghantar dana ke alamat tidak aktif, penyerang menggunakan kontrak penyapu pada tepat itu CREATE2 alamat untuk mengalirkan dana secara automatik.

Aliran kerja kecemasan: mencuba dompet yang ditukar atau pemindahan IBAN¶

Ikuti pepohon keputusan ini serta-merta selepas mendapati bahawa alamat yang ditampal tidak sepadan dengan destinasi yang anda inginkan.

flowchart TD
    A["Menemui Alamat Kripto yang Salah atau IBAN Selepas Tampal"] --> B{"Adakah Transaksi Sudah Disiarkan / Dihantar?"}
    B -- "Tidak (Ditangkap Sebelum Menandatangani)" --> C["Papan Klip Ujian dalam Notepad: Salin Alamat Sebenar dan Tampal"]
    B -- "Ya (Sudah Dihantar)" --> D{"Adakah Kripto di Mempool, Kripto yang Disahkan, atau Bank IBAN?"}
    C --> E{"Adakah Teks Tampal Berubah dalam Notepad?"}
    E -- "Ya: Perisian Hasad Clipper Tempatan" --> F["Putuskan sambungan Internet dengan serta-merta; Perkhidmatan Imbas/Sambungan/Tugas"]
    E -- "No: Keracunan Alamat Dalam Rangkaian" --> G["Padamkan Kenalan Beracun; Senarai Putih Alamat Sebenar dalam Dompet Perkakasan"]
    D -- "Kripto Masih Tertunda di Mempool" --> H["Siarkan Nonce Cancel (EVM +30% Gas) atau Bitcoin RBF Serta-merta"]
    D -- "Crypto On-Chain yang Disahkan" --> I["Jejak TXID: Pembekuan Kecemasan Fail dengan Penambat (USDT) / Bulatan (USDC) / CEX"]
    D -- "Bank IBAN / Pindahan Wayar" --> J["Call Bank Fraud Desk: Demand SWIFT MT192 / SEPA Recall + Petikan Nama Tidak Padan"]

Perbandingan rampasan papan keratan dan alamat vektor keracunan¶

Gunakan jadual rujukan ini untuk mengenal pasti cara pertukaran alamat berlaku dan artifak forensik yang wujud pada sistem atau penjelajah blok anda.

Tindakan kecemasan langkah demi langkah jika dana hanya dihantar ke alamat yang salah¶

Jika anda menekan "Hantar" atau menandatangani urus niaga sebelum menyedari bahawa aksara tengah alamat adalah milik Clipper atau Address Poisoner, laksanakan langkah ini dengan segera.

1. Membatalkan transaksi mata wang kripto yang belum disahkan dalam mempool (10 hingga 60 saat pertama)¶

Jika rangkaian blockchain sesak atau anda menetapkan bayaran gas/satoshi yang rendah, transaksi anda mungkin masih berada di mempool awam menunggu untuk dimasukkan ke dalam blok: * Pada Ethereum, Arbitrum, Poligon, Optimisme, Pangkalan dan BSC (EVM Rantai): 1. Buka MetaMask, Rabby, atau Trust Wallet dan lihat pada tab Aktiviti. Jika transaksi menyatakan Belum selesai, klik butang Batal serta-merta dan pilih Yuran Agresif / Gas Tinggi. 2. Tulis Ganti Nonce Manual (Lebih Dipercayai): Dayakan Sesuaikan transaksi nonce dalam Tetapan Lanjutan dompet anda. Cari transaksi anda yang belum selesai pada Etherscan untuk mencari nonce nonce yang tepat (contohnya, Nonce: 42). Segera mulakan penghantaran transaksi baharu 0 ETH ke alamat dompet anda sendiri, masukkan secara manual 42 dalam medan Nonce Tersuai, dan tetapkan Yuran Keutamaan Maks (Gwei) sekurang-kurangnya 30% hingga 50% lebih tinggi daripada transaksi yang tersekat. Pelombong/pengesah akan memproses yuran anda yang lebih tinggi 0 ETH transaksi dahulu, membatalkan pemindahan berniat jahat dengan Nonce 42. * Mengenai Bitcoin (BTC): 1. Kebanyakan dompet moden (Electrum, Sparrow, Ledger Live, BlueWallet) dayakan Opt-in Ganti-Oleh-Yuran (BIP-125 RBF) secara lalai. 2. Klik kanan transaksi keluar yang belum disahkan dalam sejarah dompet anda dan pilih Batalkan Transaksi (Double-Spend to Self) atau Yuran Bump / Ubah Suai Output, menetapkan kadar yuran yang jauh lebih tinggi (sat/vB diperiksa terhadap mempool.space) jadi pelombong mengesahkan transaksi penggantian kembali ke alamat pertukaran anda sendiri.

2. Pembekuan dicuri USDT (Tambat) atau USDC (Bulatan) melalui senarai hitam kontrak pintar¶

Tidak seperti Bitcoin atau Ethereum asli, dua syiling kandang dolar AS terbesar, Tether (USDT) dan Bulatan (USDC), mengandungi fungsi pentadbiran berpusat (blacklist, freeze, destroyBlackFunds) ditulis terus ke dalam kontrak pintar token mereka di Ethereum (ERC-20), Tron (TRC-20), Solana, Poligon dan Avalanche. 1. Buka Etherscan.io atau Tronscan.org dan tampal Hash Transaksi anda (TXID). Semak sama ada dicuri USDT atau USDC masih masih duduk di dalam dompet solek/clipper penyerang atau dompet pementasan perantara. Alamat peracun sering meninggalkan dicuri USDT dalam alamat solek selama berjam-jam atau hari sebelum menukarnya melalui pertukaran terdesentralisasi (DEXs) atau jambatan rantaian silang. 2. Segera failkan laporan kecemasan dengan FBI IC3 (ic3.gov) dan penguatkuasaan undang-undang tempatan, dan pada masa yang sama menghubungi Tether Compliance / Law Enforcement Support (tether.to/en/contact-us) atau Permintaan Penguatkuasaan Undang-undang Bulatan dengan tepat: * Alamat dompet mangsa * Alamat dompet destinasi penyerang memegang arus USDT/USDC imbangan * Hash Transaksi (TXID) dan cap masa 3. Juga laporkan kecurian secara serentak kepada rangkaian tindak balas insiden perisikan blockchain seperti Chainalysis, TRM Labs (Chainabuse.com), SEAL 911 (Security Alliance bot Telegram kecemasan @seal_911_bot untuk penggodaman kripto akut), dan meja pematuhan mana-mana pertukaran terpusat (Binance, Coinbase, OKX, Kraken, Bybit, FixedFloat, ChangeNOW) jika penyerang memindahkan dana ke alamat deposit pertukaran.

3. Memanggil semula wayar bank yang ditukar Clipper atau IBAN pemindahan¶

Apabila perisian hasad Clipper menyasarkan pengguna perniagaan atau perbankan peribadi, ia memerhati untuk disalin IBAN rentetan (seperti menyalin an IBAN daripada invois PDF pembekal dalam Adobe Reader dan menampalnya ke dalam portal perbankan dalam talian) dan menukar IBAN dengan akaun keldai wang sambil membiarkan Nama Penerima tidak disentuh. * Panggil Pengesahan Penerima (VoP / Confirmation of Payee) dan Peraturan Tidak Padanan Nama: Hubungi unit penipuan wayar bank anda dengan segera. Terangkan bahawa Clipper Malware telah mengubah tampalan IBAN nombor pada komputer anda dan bahawa Nama Akaun Penerima pada pesanan pembayaran tidak sepadan dengan pemilik sah bagi yang digantikan. IBAN. * Di bawah Peraturan Pembayaran Segera Kesatuan Eropah (EU Regulation 2024/886) dan Pengesahan UK Penerima (CoP) rangka kerja: Pembekal perkhidmatan pembayaran diperlukan untuk mengesahkan bahawa IBAN dan padanan Nama Penerima sebelum pelaksanaan, dan mesti menghantar ** serta-mertaSEPA Credit Transfer (SCT) Recall (camt.056)** untuk Penipuan dalam tetingkap penjelasan antara bank. * Memelihara Bukti EIP-55 Checksum dan Mod-97 IBAN: Dokumen yang tepat IBAN yang terdapat di dalam invois PDF asal anda berbanding dengan IBAN dihantar dalam log audit perbankan dalam talian anda. Kerana IBAN rentetan termasuk 2 digit ISO 7064 Mod-97-10 checksum sejurus selepas kod negara (contohnya, GB29 atau DE89), kesilapan kesilapan manusia hampir selalu gagal dalam pengesahan matematik Mod-97 portal bank serta-merta. Membuktikan bahawa itu salah IBAN mempunyai digit semakan Mod-97 yang sah secara matematik membuktikan kepada penyiasat penipuan bank anda bahawa Clipper automatik menggantikan keseluruhan rentetan akaun dan bukannya pengguna yang membuat ralat ketukan kekunci.

Memburu dan membasmi Perisian Hasad Clipper Tempatan (Windows, macOS dan Penyemak Imbas)¶

Jika ujian Notepad anda membuktikan bahawa papan keratan anda sedang aktif mengubah alamat dompet yang disalin atau IBAN nombor, mesin anda menjalankan muatan Clipper aktif. Ikuti langkah ini di luar talian untuk mengasingkan dan mengalih keluarnya.

Fasa 1: Semak sama ada Clipper tinggal di dalam Sambungan Penyemak Imbas Web anda¶

Sebelum menggali fail sistem, tentukan sama ada sambungan penyemak imbas jahat bertanggungjawab: 1. Buka Notepad.exe (Windows) atau TextEdit (macOS) dengan pelayar web anda ditutup sepenuhnya (sahkan melalui Pengurus Tugas Ctrl+Shift+Esc bahawa tiada latar belakang chrome.exe atau msedge.exe proses sedang berjalan). 2. Taip alamat Ethereum palsu (0x1111222233334444555566667777888899990000) dalam Notepad, serlahkannya, tekan Ctrl+C, beralih ke baris baharu dan tekan Ctrl+V. 3. Jika alamat TIDAK berubah dalam Notepad apabila penyemak imbas ditutup, tetapi TIDAK berubah apabila menyalin daripada Chrome/Edge/Brave: Anda mempunyai sambungan penyemak imbas yang berniat jahat (Malicious Clipper Extension). * Buka penyemak imbas anda, taip chrome://extensions (atau edge://extensions / about:addons), dan alih keluar setiap sambungan yang tidak dikenali, terutamanya penyekat iklan palsu, penukar PDF, togol mod gelap, penggalak volum atau palsu Ledger/Uniswap/MetaMask sambungan pembantu. * Tetapkan semula penyegerakan penyemak imbas di chrome.google.com/sync jadi Google tidak memasang semula sambungan berniat jahat secara automatik apabila anda log masuk semula.

Fasa 2: Mengenal pasti dan mematikan proses Clipper peringkat OS dalam Mod Selamat¶

Jika alamat bertukar walaupun di dalam Notepad dengan semua penyemak imbas ditutup, anda mempunyai Clipper peringkat sistem pengendalian (ClipBanker, Laplas, Phemedrone, RedLine).

Pada Windows 10 dan Windows 11¶

1. Putuskan sambungan daripada Wi-Fi dan cabut palam Ethernet dengan serta-merta.
2. Buka Task Manager (Ctrl + Shift + Esc), klik tab Apl Permulaan dan lumpuhkan mana-mana program yang tidak dikenali (Clippers kerap menyamar sebagai Realtek HD Audio Helper, Windows Updater, Java Update Scheduler, atau OneDrive Sync Host terletak di dalam AppData\Roaming\ bukannya C:\Windows\System32\).
3. Buka Penjadual Tugas (Win + R -> taskschd.msc). Periksa setiap tugas dalam Pustaka Penjadual Tugas. Clippers sangat berterusan dengan mencipta Tugas Berjadual yang berjalan setiap 1 minit atau semasa log masuk pengguna, menggunakan arahan PowerShell tersembunyi, .vbs skrip, AutoIt3.exe skrip, atau .exe disimpan di dalam:
4. C:\Users\<Username>\AppData\Roaming\
5. C:\Users\<Username>\AppData\Local\Temp\
6. C:\ProgramData\
7. Tekan Win + R, taip regedit, dan semak empat kekunci Run utama di mana Clippers mendaftarkan diri mereka untuk dilancarkan pada permulaan:
8. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
9. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
10. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

Pada macOS (NSPasteboard pencuri: Atomic Stealer AMOS, Poseidon)¶

1. Putuskan sambungan daripada Wi-Fi.
2. Buka Activity Monitor dan cari proses yang tidak ditandatangani atau pemantauan skrip Python/osaskrip yang tersembunyi NSPasteboard.
3. Tekan Cmd + Shift + G dalam Finder dan semak /Library/LaunchAgents/, /Library/LaunchDaemons/, dan /Users/<YourUsername>/Library/LaunchAgents/ untuk penyangak .plist fail kegigihan.

Pertahanan dompet perkakasan: cara membuat serangan Clipper dan Keracunan mustahil¶

Walaupun komputer anda dijangkiti perisian hasad Clipper paling canggih di bumi, atau sejarah transaksi anda dibanjiri dengan ratusan alamat sia-sia beracun, sebarang serangan tidak boleh mencuri dana anda jika anda mengikuti Dompet Perkakasan yang ketat (Ledger, Trezor, Keystone, Coldcard, GridPlus) protokol pengesahan skrin fizikal:

1. Peraturan Pengesahan Aksara "Middle-8 + Start-4 + End-4": Jangan sekali-kali melihat monitor komputer anda untuk mengesahkan alamat, kerana sambungan penyemak imbas berniat jahat boleh memaparkan alamat sebenar pada skrin PC anda semasa menghantar alamat penyerang ke dompet anda di latar belakang. Sebaliknya, lihat terus pada skrin OLED/E-Ink fizikal dompet perkakasan anda dan bandingkan dengan saluran komunikasi bebas kedua (seperti foto kod QR penerima pada telefon pintar anda atau bacaan balik suara yang disahkan bagi aksara tengah):

0x 8920 [5A3A3b2A69De6Dbf7f01ED13B2108B] 2c43e7
   ====              ==========            ======
  Start-4          Verify Middle-10        End-6

1. Jangan sekali-kali menyalin alamat daripada "Transaksi Terbaharu" anda atau sejarah Sekat Penjelajah: Rawat sejarah transaksi dompet anda (Activity tab dalam MetaMask, Ledger Live, Trust Wallet atau Etherscan) sebagai graffiti awam yang tidak dipercayai. Sesiapa sahaja di bumi boleh menyuntik baris palsu ke dalam sejarah transaksi awam anda. Sebaliknya:
2. Simpan setiap rakan niaga yang berulang, alamat deposit pertukaran dan dompet simpanan sejuk di dalam dompet asal anda Buku Alamat / Kenalan Senarai Putih (Settings -> Contacts dalam MetaMask/Rabby) dengan label manusia yang jelas ("My Coinbase USDC Deposit").
3. Setelah alamat disimpan dalam Buku Alamat anda, dompet moden menggantikan yang dipotong 0x1234...5678 rentetan hex dengan lencana nama yang disimpan kenalan merentas antara muka. Jika urus niaga dalam sejarah anda menunjukkan aksara hex mentah dan bukannya lencana kenalan anda yang disimpan, anda akan tahu dengan serta-merta ia adalah alamat penipu yang beracun.
4. Tukar kepada pelanggan dompet berfokuskan keselamatan (Rabby, Frame, atau Ledger Clear Signing) dengan Pengesanan Keracunan: Dompet seperti Rabby Wallet dan Makluman keselamatan MetaMask Blockaid secara automatik membenderakan pemindahan kali pertama ke alamat yang tidak pernah menerima dana daripada anda sebelum ini, memberi amaran kepada anda jika alamat secara visual meniru kenalan sebelumnya (Similarity Warning), dan sembunyikan 0-value pemindahan token palsu daripada suapan aktiviti utama anda.

Senarai semak pemulihan selepas kejadian¶

• Alihkan baki aset kripto kepada benih dompet perkakasan serba baharu: Menggunakan telefon pintar yang bersih atau komputer tanpa kompromi, hasilkan frasa benih 24 perkataan baharu pada dompet perkakasan dan pindahkan semua token, NFT dan aset gas asli yang tinggal daripada mana-mana dompet perisian (MetaMask, Phantom, Trust Wallet, Exodus) yang wujud pada komputer yang dijangkiti Clipper.
• Batalkan kelulusan token ERC-20 / TRC-20 yang aktif: Gunakan revoke.cash (daripada peranti bersih) untuk membatalkan sebarang elaun perbelanjaan token tanpa had yang dikaitkan dengan dompet panas yang terjejas.
• Lakukan pemasangan semula OS bersih sepenuhnya melalui USB jika Local Clipper Malware telah disahkan: Sandarkan hanya dokumen peribadi dan padam semua partition cakera menggunakan pemasang USB Windows/macOS bersih yang dibuat pada komputer berasingan (lihat kami sambungan pelayar berniat jahat dan panduan penyingkiran perampas papan keratan).
• Putar semua kata laluan yang disimpan penyemak imbas dan batalkan sesi aktif: Tukar kata laluan untuk e-mel, perbankan dan pertukaran terpusat (Coinbase, Binance, Kraken), dan log keluar daripada semua sesi aktif.
• Failkan penguatkuasaan undang-undang rasmi dan laporan perisikan blockchain:
• Amerika Syarikat: Failkan FBI IC3 (ic3.gov) laporan termasuk Hash Transaksi yang tepat (TXID), alamat dompet anda dan alamat dompet Clipper/Beracun penyerang.
• United Kingdom: Laporkan kepada Penipuan Tindakan (actionfraud.police.uk).
• Kesatuan Eropah / Global: Laporan melalui portal jenayah siber kebangsaan Eropah, Chainabuse (chainabuse.com), dan Etherscan / Tronscan "Laporan/Alamat Bendera" supaya alamat penyerang ditandakan secara terbuka dengan tanda merah Fake_Phishing / Address Poisoning sepanduk amaran untuk mangsa akan datang.

Soalan lazim¶

Bagaimanakah penipu membuat Etherscan atau Tronscan menunjukkan a $0 USDT pemindahan keluar *dari dompet saya (From: My Wallet -> To: Scammer Wallet) jika mereka tidak mempunyai kunci peribadi atau frasa benih saya?¶

Ini adalah keanehan cara kontrak pintar token **ERC-20 dan TRC-20 standard** (`transferFrom` fungsi) ditulis pada Ethereum, Tron, dan BSC. Apabila pihak ketiga memanggil `transferFrom(Sender, Recipient, Amount)`, kontrak pintar menyemak sama ada pemanggil mempunyai elaun yang dibenarkan (`approve`) untuk itu `Amount`. Kerana elaun lalai anda kepada orang yang tidak dikenali adalah `0`, memanggil `transferFrom(Your_Wallet, Scammer_Vanity_Wallet, 0)` memerlukan elaun sebanyak `0 <= 0`, yang menilai kepada **Benar** dan berjaya tanpa memerlukan tandatangan atau kunci peribadi anda. Dompet anda tidak pernah digodam; penyerang hanya membayar beberapa sen dalam gas untuk membuat kontrak USDT dipancarkan kepada umum `Transfer` log peristiwa menyenaraikan alamat anda dalam `From` lajur supaya alamat serupa mereka muncul dalam sejarah keluar dompet anda.

Mengapa penipu menghantar transaksi palsu kepada saya 50,000 USDT sejurus selepas saya menghantar a $10 menguji transaksi kepada rakan saya?¶

Pengguna crypto yang berpengalaman sering menghantar kecil `$10` uji transaksi dahulu, sahkan bahawa rakan mereka menerimanya, dan kemudian pergi ke tab "Aktiviti Terkini" dompet mereka untuk menyalin alamat destinasi untuk `$50,000` pemindahan. Alamat bot keracunan khusus menonton untuk kecil `$1 to $100` pemindahan. Dalam masa 10 saat anda `$10` pemindahan ujian yang mengesahkan pada rantaian, bot automatik penyerang menjana alamat solek yang sepadan dengan 5 aksara pertama dan terakhir alamat rakan anda dan menyiarkan pemindahan token palsu daripada dompet anda ke alamat solek mereka supaya **alamat beracun mereka terletak satu baris lebih tinggi dalam senarai Aktiviti Terkini anda daripada sebenar anda `$10` pemindahan ujian**.

Bolehkah perisian hasad Clipper menjangkiti iPhone (iOS) atau telefon Android, atau adakah ia hanya menjejaskan komputer Windows dan Mac?¶

Walaupun pendengar papan keratan latar belakang klasik adalah yang paling biasa pada Windows dan macOS, peranti mudah alih turut disasarkan. Bermula dalam **iOS 14+** dan **Android 12+**, sistem pengendalian memaparkan sepanduk roti bakar yang boleh dilihat di bahagian atas skrin (`"App pasted from Chrome"`) setiap kali apl membaca papan keratan anda dan menyekat apl latar belakang daripada membaca secara senyap atau menimpa papan keratan tanpa fokus latar depan. Walau bagaimanapun, aplikasi dompet mudah alih palsu (`fake Ledger Live`, `fake Trust Wallet`, atau Android yang dimuatkan secara sampingan `.apk` trojan seperti `SharkBot` dan `Xenomorph`) dan papan kekunci mudah alih berniat jahat masih boleh memintas dan swap ditampal `IBAN` dan alamat kripto semasa apl dibuka pada skrin.

Jika saya tidak sengaja menghantar $25,000 dalam USDT ke alamat beracun, adakah terdapat sebarang kemungkinan penyerang akan merundingkan pulangan "hadiah topi putih" jika saya menghantar mesej dalam rantaian kepada mereka (IDM)?¶

Dalam kes berprofil tinggi yang sangat jarang berlaku yang melibatkan berjuta-juta dolar dalam aset yang boleh dikesan, tekanan penguatkuasaan undang-undang digabungkan dengan mesej input-data dalam rantaian (`UTF-8 hex message` dihantar dalam transaksi ETH yang kecil ke alamat penyerang yang menawarkan kurniaan 10 hingga 20 peratus atau amaran akan berlaku pembekuan Tether dan pendedahan CEX KYC) telah menghasilkan pulangan separa. Walau bagaimanapun, **jangan sekali-kali membayar mana-mana "penggodam pemulihan crypto" pihak ketiga atau yuran pendahuluan**, dan utamakan mendapatkan **Tambat (`USDT`) atau Bulatan (`USDC`) untuk menyenaraihitamkan dan membekukan baki kontrak pintar dahulu**. Setelah Tether membekukan yang dicuri `USDT` di dalam alamat penyerang, penyerang tidak boleh membelanjakan atau mengalihkan token tersebut, dan Tether boleh membakar token beku dan mengeluarkan semula (`re-mint`) mereka kembali kepada mangsa yang disahkan setelah menerima penguatkuasaan undang-undang atau perintah mahkamah.

Panduan berkaitan¶

• Alat hasad clipper dan kesombongan menangani keracunan dalam pemindahan kripto dan IBAN bank
• Sambungan penyemak imbas berniat jahat, perampas papan keratan dan penyingkiran perisian iklan
• Kekosongan dompet mata wang kripto dan kompromi frasa benih
• Perisian hasad papan keratan CAPTCHA ClickFix PowerShell Win+R palsu dan pemulihan Lumma Infostealer
• Kompromi e-mel perniagaan korporat (BEC) dan penarikan balik penipuan wayar
• Nombor kecemasan mengikut negara

Sumber dan panduan rasmi¶

• Biro Penyiasatan Persekutuan (FBI) Pusat Aduan Jenayah Internet (IC3) (Amerika Syarikat): Pengumuman Perkhidmatan Awam mengenai Keracunan Alamat Kesombongan Matawang Kripto dan Perisian Hasad Infostealer/Clipper.
• Operasi Penambatan Terhad (tether.to) & Circle Internet Financial (circle.com): Pembekuan Penguatkuasaan Undang-undang, Senarai Hitam (AddedBlackList), dan Prosedur Pemulihan Aset untuk Dicuri USDT dan USDC.
• Majlis Pembayaran Eropah (EPC) & Kesatuan Eropah (Regulation (EU) 2024/886): Pindahan Kredit SEPA (SCT) Prosedur Pemanggilan Balik untuk Penipuan dan Pengesahan Penerima (VoP / IBAN-Semak Nama) Piawaian.
• Pusat Keselamatan Siber Negara (NCSC) (United Kingdom): Mengurangkan Perisian Hasad, Kompromi Sambungan Penyemak Imbas dan Penipuan Ubah Arah Pembayaran.
• Rangka Kerja MITER ATT&CK®: Teknik T1115 (Pengumpulan dan Manipulasi Data Papan Keratan).