Lommeboktømming av kryptovaluta, ondsinnede smarte kontrakter og kompromisser med frøfraser¶

Å oppdage at kryptovaluta-lommeboken din (som MetaMask, Rabby, Phantom, Trust Wallet, Coinbase Wallet eller en maskinvarelommebok som Ledger eller Trezor) aktivt tappes for tokens og NFT-er er en akutt, sekund for sekund digital økonomisk nødsituasjon. Fordi offentlige blokkjedetransaksjoner på Ethereum, Bitcoin, Solana, Arbitrum, Base, Polygon og BNB Chain er kryptografisk irreversible når de er bekreftet i en blokk, avhenger din evne til å lagre eventuelle gjenværende eiendeler helt av hva du gjør i løpet av de første fem minuttene.

Hvert tømming av kryptovaluta-lommebok faller inn i en av to forskjellige tekniske kategorier: enten signerte du en ondsinnet smart kontraktsgodkjenning eller Permit2-signatur på et phishing-nettsted (som lar en angriper trekke spesifikke tokens fra adressen din uten å ha startfrasen din), ELLER 12-til-privat nøkkelordet ** var kompromittert/privat nøkkelord** selv. falsk lommebokside, skadelig programvare på utklippstavlen, hacking av skybackup eller infostealer-virus). Å diagnostisere hvilket av de to angrepene som skjer, lage en ren redningslommebok med lufthull på en kompromissløs enhet, tilbakekalle ubegrensede token-kvoter og spore stjålne midler til sentraliserte utvekslingsavkjøringer gir deg den beste sjansen til å stoppe dreneringen og fryse stjålne eiendeler.

Gjør dette nå¶

Hvis du ser uautoriserte utgående transaksjoner tapper kryptovaluta-lommeboken din eller innser at du nettopp har koblet til et phishing-nettsted eller lekket frøfrasen din, utfør disse seks trinnene i nøyaktig rekkefølge:

1. IKKE bruk den samme datamaskinen til å generere en ny redningslommebok: Hvis PC-en eller Mac-en din er infisert med infostealer-malware (som Lumma Stealer, Atomic macOS Stealer eller Poseiden) eller en ondsinnet nettleserutvidelse, gir en ny lommebok på den samme datamaskinen umiddelbart den nye startfrasen til angriperen. Plukk opp en separat, ren smarttelefon- eller maskinvarelommebok for å lage en ny, kompromissløs destinasjonslommebokadresse akkurat nå.
2. Overfør dine overlevende innfødte gass-tokens og overførbare mynter til den nye rene lommeboken FØRST: Før du gjør noe annet, send de gjenværende overførbare myntene dine (ETH, BTC, SOL, USDC, USDT, WBTC) fra den kompromitterte lommeboken direkte til den splitter nye, rene lommebokadressen din. Legg igjen bare noen få dollar med innfødt gass (som 3 til 5 USD i ETH, SOL eller BNB) hvis du trenger å tilbakekalle smarte kontraktsgodkjenninger på gjenværende låste posisjoner.
3. Finn ut om angriperen har din seed-frase eller bare en ondsinnet token-godkjenning:
   • Tegn på en ondsinnet smartkontrakt / Permit2-godkjenning: Bare ett spesifikt token (som USDT eller en NFT-samling) ble hentet via TransferFrom etter at du klikket på "Godkjenn" eller "Signer" på et nettsted, mens din opprinnelige ETH/SOL-gassbalanse står urørt.
   • Tegn på en kompromittert frøsetning / privat nøkkel: Hver mynt på tvers av flere forskjellige blokkkjeder (Ethereum, Solana, Bitcoin, Arbitrum) blir feid ut via direkte Transfer anrop, og eventuell ETH/SOL du sender inn blir stjålet innen 1 sekund av en automatisert sweeper-bot.
4. Tilbakekall alle aktive godkjenninger for smartkontrakttoken umiddelbart: Hvis din opprinnelige ETH/SOL-gass fortsatt er i lommeboken din, åpne en pålitelig kvoteadministrator (revoke.cash, Etherscan Token Approval Checker på etherscan.io/tokenapprovalchecker, eller Rabby Wallets innebygde Approval Manager) og Opphev alle ubegrensede godkjenninger for tokenutgifter og Permit2-signaturer gitt til ukjente kontraktsadresser.
5. Koble fra alle aktive dApp-økter og WalletConnect-koblinger: Åpne lommebokinnstillingene dine -> Tilkoblede nettsteder / WalletConnect-økter og klikk på Koble fra alle slik at phishing-nettstedet ikke lenger kan dukke opp signaturforespørsler.
6. Hvis en "Sweeper Bot" øyeblikkelig stjeler gass du setter inn for å redde stakede tokens, bruk en Flashbots / MEV redningsbunter: Aldri fortsett å sende ETH inn i en lommebok kontrollert av en sweeper-bot, botens automatiserte skript overvåker mempoolen og stjeler ETH-en din på millisekunder før du klikker "Unsta". Bruk i stedet en privat ERC-4337 / Flashbots MEV atombunt-redningstjeneste (som f.eks. flashbots.net whitehat verktøy eller revoke.cash delegerte avgiftsfunksjoner) for å finansiere gass og trekke ut tokens i en enkelt blokk som ikke kan kjøres i forkant.

Beslutningstre: stopp av et aktivt tømming av kryptolommebok¶

Følg dette flytskjemaet for teknisk triage i sanntid for å stoppe blødningen og redde dine overlevende digitale eiendeler:

flowchart TD
    A["Uautoriserte utgående kryptotransaksjoner oppdaget"] --> B["Generer splitter ny Clean Wallet på en separat Clean Device / Hardware Wallet"]
    B --> C{"Skrev du frøsetningen på 12/24 ord eller lastet ned en fil, eller bare klikket Signer/Godkjenn på et nettsted?"}
    C -->|"Bare klikket Signer / Godkjenn / Krav på en dApp"| D["Ondsinnet smart kontrakt eller Permit2 Drain"]
    D --> E["Gå umiddelbart til revoke.cash eller Etherscan Token Approvals og tilbakekall ondsinnede kvoter"]
    E --> F["Overfør gjenværende flytende tokens til din nye rene lommebok som en forholdsregel"]
    C -->|"Skrev Seed Phrase, eksporterte Private Key, eller kjørte PC-skadevare"| G["Full frøsetning / kompromiss med privat nøkkel"]
    G --> H{"Stjeler en automatisert Sweeper Bot øyeblikkelig eventuell ETH/SOL-gass du setter inn?"}
    H -->|"Nei: Naturgass fungerer fortsatt"| I["Evakuer alle flytende mynter og fjern DeFi-posisjoner umiddelbart til ny ren lommebok"]
    H -->|"Ja: Sweeper Bot stjeler gass på < 2 sekunder"| J["SLUTT å sende gass. Bruk Flashbots private RPC-atombunt for å redde stake/airdrop-tokens"]
    F --> K["Spor angriperlommebok på Block Explorer, rapporter til Exchange Compliance & FBI IC3 / Police"]
    I --> K
    J --> K

Diagnostisering av angrepsvektoren: Smart Contract Drainer vs. Seed Phrase Compromise¶

For å unngå å tape mer penger mens du prøver å redde lommeboken din, må du først forstå hvordan angriperen flytter pengene dine ved å slå opp lommebokadressen din på en offentlig blokkutforsker (etherscan.io, solscan.io, arbiscan.io, basescan.org, eller mempool.space).

Sammenligning av de 4 store tømmemekanismene for kryptovaluta-lommebok¶

Protokoll 1: Stoppe en ondsinnet smartkontrakt eller Permit2 Drainer¶

Når du samhandler med desentraliserte finansprotokoller (DeFi) på Ethereum og EVM-kompatible blokkkjeder (Arbitrum, Optimism, Base, Polygon, Avalanche, BNB Chain), bruker tokens som USDC, USDT, DAI, PEPE eller WETH ERC-20-standarden. Ved design kan ikke en smart kontrakt flytte ERC-20-tokens ut av lommeboken din med mindre du først gir den en godtgjørelse. Phishing-sett ("Drainers-as-a-Service" som Angel Drainer, Pink Drainer eller Inferno Drainer) lurer brukere til å gi en Ubegrenset kvote (115792089237316195423570985008687907853269984665640564039457584007913129639935 enheter) eller signere en off-chain EIP-2612 Permit / Uniswap Permit2 melding direkte til svindlerens kontrakt.

Slik tilbakekaller du ondsinnede token-godkjenninger på 60 sekunder¶

1. Åpne et legitimt, uavhengig verktøy for tilbakekalling av godtgjørelser:
   • Revoke.cash (revoke.cash), Støtter over 100 EVM-blokkjeder og viser både standard ERC-20/ERC-721-godkjenninger og Permit2 signaturer med utløpsdatoer.
   • Blokker Explorer offisielle godkjenningssjekker:
     • Ethereum: etherscan.io/tokenapprovalchecker
     • BNB-kjede: bscscan.com/tokenapprovalchecker
     • Polygon: polygonscan.com/tokenapprovalchecker
     • Arbitrum: arbiscan.io/tokenapprovalchecker
     • Base: basescan.org/tokenapprovalchecker
   • Rabby Wallet innebygd sikkerhetsfane: Hvis du bruker Rabby Wallet, klikker du på Godkjenninger-skjoldikonet direkte inne i lommebokgrensesnittet for å tilbakekalle risikable kontrakter uten å åpne en nettside.
2. Sorter godkjenninger etter «Nyeste» eller «Value at Risk»:
   • Se på Spender-kolonnen. Legitime protokoller vil vise bekreftede etiketter som Uniswap: Universal Router eller Aave: Pool V3.
   • Ondsinnede tapper vises vanligvis som en ubekreftet rå heksadesimal adresse (f.eks. 0x4f8a...9c12) eller en nylig distribuert falsk kontrakt.
3. Klikk på "Opphev" og bekreft transaksjonen i lommeboken din:
   • Ved å klikke på Opphev sendes en transaksjon i kjeden som overskriver brukerens godtgjørelse tilbake til 0.
   • Når den transaksjonen bekreftes på blokkjeden (vanligvis innen 2 til 12 sekunder), blir avløpskontrakten matematisk kuttet fra lommeboken din og kan ikke trekke enda en cent av det tokenet.

Protokoll 2: Beseire en automatisert "Sweeper Bot" på en kompromittert frøfrase¶

Hvis en hacker har stjålet den faktiske 12-ords eller 24-ords gjenopprettingsseed-frasen (eller den ubehandlede private nøkkelen), laster de umiddelbart den private nøkkelen inn i et automatisert serverskript kalt en Sweeper Bot.

Hvordan en Sweeper Bot fanger ofre¶

Anta at den kompromitterte Ethereum-lommeboken din fortsatt har $15 000 verdi av innsatspoletter i en Aave-, Lido- eller EigenLayer-kontrakt (eller en kommende fordringspliktig token-airdrop), ELLER fortsatt har et ERC-20-token som angriperen ikke har flyttet ennå, men angriperen feide ETH-balansen din ned mot native 0.0000 ETH.

1. For å fjerne eller overføre dine 15 000 dollar med tokens til sikkerhet, trenger lommeboken din til en verdi av $2,00 i ETH for å betale gassavgiften for blockchain-nettverket.
2. Du sender $5,00 av ETH fra Coinbase-kontoen din til den kompromitterte lommeboken din, slik at du kan klikke "Unstake".
3. I løpet av 0,8 sekunder etter at ditt ETH-innskudd på $5,00 har landet, før de menneskelige fingrene dine til og med kan klikke på "Unstake"-knappen, oppdager hackerens automatiserte Sweeper Bot den innkommende ETH i den offentlige mempoolen og avfyrer øyeblikkelig en høyprioritert gasstransaksjon som stjeler $5,00-adressen din rett ut av ETH-adressen til hackeren.
4. Ofre prøver ofte å sende ETH 10 ganger på rad, og taper $50 eller $100 i gass til Sweeper Bot hver eneste gang mens deres innsatte tokens forblir fanget inne i den kompromitterte lommeboken.

Hvordan slå en Sweeper Bot med Flashbots / Private MEV Atomic Bundles¶

Slutt å sende vanlige ETH-innskudd til en lommebok overvåket av en Sweeper Bot. Sweeper-boter ser på offentlige transaksjons-mempool og trenger 1 blokk (eller en offentlig ventende transaksjon) for å se og stjele din innsatte ETH. Du kan beseire enhver Sweeper Bot ved å bruke Flashbots Protect / MEV Atomic Bundling (på Ethereum- og EVM-kjeder) eller Jito Bundles (på Solana):

1. Hvordan en Atomic Rescue Bundle fungerer: I stedet for å sende ETH i blokk #1 og prøve å klikke "Transfer/Unstake" i blokk #2, pakker en atombunt to separate transaksjoner i en enkelt privat array sendt direkte til blokkbyggere via en Privat RPC (helt usynlig for den offentlige botpoolen):
   • Bundletransaksjon #1 (fra Clean Safe Wallet): Sender eksakt gass (0.0015 ETH) til den kompromitterte lommeboken.
   • Bundletransaksjon #2 (forhåndssignert av den kompromitterte lommeboken): Utfører umiddelbart unstake() eller transfer() av dine verdifulle tokens ut til Clean Safe Wallet, og bruker 100 % av det 0.0015 ETH gass i nøyaktig samme blokk på nøyaktig samme mikrosekund.
2. Fordi begge transaksjonene utføres atomært i samme blokk med null offentlig mempool-synlighet, ser hackerens Sweeper Bot aldri ETH ankomme og drar med 0.0000 ETH til overs mens tokens lander trygt i den rene lommeboken din.
3. Trusted Whitehat Rescue Resources for Sweeper Bot Victims:
   • Seal 911 (Security Alliance Whitehat Emergency Hotline): Laget av Paradigm og ledende blockchain-sikkerhetsforskere. Hvis du har betydelige midler fanget bak en sweeper-bot eller en aktiv smart kontraktsutnyttelse, kontakt den offisielle bekreftede SEAL 911-boten på seal911.org (eller via deres offisielle Telegram-lenke på securityalliance.org) for gratis whitehat MEV-redningspakkehjelp.
   • Flashbots Whitehat Rescue Documentation: Åpen kildekode-skript (flashbots/searcher-sponsored-tx) kl docs.flashbots.net lar deg sponse gass fra en ren lommebok for å redde ERC-20/ERC-721-eiendeler fra en kompromittert nøkkel uten å skrive tilpasset kode.
   • EIP-7702 / Delegerte gassverktøy: Moderne redningsverktøy integrert i verktøy som revoke.cash og Ambire/Rabby tillater å betale tilbakekall eller redningsgass fra en sekundær lommebok.

Protokoll 3: Sporing av stjålne midler, frysing av utvekslingsramper og politirapportering¶

Selv om ingen kan reversere en transaksjon på en desentralisert blokkjede, vil nettkriminelle til slutt konvertere stjålet krypto til brukbare penger eller rene stablecoins. Når stjålne midler berører en Centralized Exchange (CEX) (som Binance, Coinbase, Kraken, OKX, Bybit eller KuCoin) eller forblir holdt i sentraliserte stablecoins (Tether / USDT og Circle / USDC), KAN disse midlene fryses av utstederen eller børsens overholdelsesteam hvis du handler raskt og sender inn en offisiell politimyndighet.

1. Umiddelbar sporing på kjeden og varsler om frysing av stabile mynter¶

1. Kopier transaksjons-hashen (TxID) og angriperens mottaksadresse: Åpne blokkutforskeren for kjeden din, kopier den eksakte transaksjons-hashen til tyveriet, og klikk på mottakerens lommebokadresse som mottok pengene dine.
2. Slett aldri nettleserloggen eller lommebokloggene: Rettsmedisinske etterforskere trenger den eksakte nettfisking-URLen du besøkte og de nøyaktige tidsstemplene.
3. Hvis store mengder av USDT (Tether) eller USDC (Sirkel) ble stjålet: I motsetning til desentralisert ETH eller BTC, begge Tether (USDT) og Sirkel (USDC) har en innebygd smart kontraktsfunksjon (addBlackList() / blacklist()) som kan permanent fryse stjålne USDT eller USDC direkte inne i hackerens selvforvaringslommebok ved mottak av en presserende forespørsel fra rettshåndhevelse eller rettskjennelse.
4. Spor hvor hackeren flytter pengene ved hjelp av gratis visuelle sporere:
   • Lim inn hackerens lommebokadresse i MetaSleuth (metasleuth.io), MistTrack (misttrack.io), Brødsmuler (breadcrumbs.app), eller Arkham Intelligence (platform.arkhamintelligence.com).
   • Sett opp en gratis Etherscan / Solscan Watch Alert på hackerens lommebokadresse, slik at du mottar en e-post så snart hackeren sender de stjålne myntene til en sentralisert utvekslingsadresse (for eksempel en adresse merket Binance 14, OKX, FixedFloat, eller ChangeNOW).

2. Kontakte sentraliserte Exchange Compliance Desks og arkivere politirapporter¶

Øyeblikket ditt spor på kjeden viser stjålne midler som skriver inn en sentralisert utvekslingsadresse eller umiddelbar byttetjeneste:

1. Send inn en hastebillett for frysingsforespørsel for lovhåndhevelse til den spesifikke børsen: Hver større børs driver en billettportal for nødsvindel/stjålne midler (som Binance Law Enforcement / Stolen Funds-støtte, Coinbase Support, Kraken Security eller FixedFloat/ChangeNOW-støtte). Oppgi:
   • Adressen til offerets lommebok, angriperens mellomadresser, den nøyaktige innskuddsadressen på børsen og Transaksjons-hash (TxID) som viser midlene som går inn i deres børs-hot wallet.
   • De fleste børser vil sette en midlertidig 24-til-72-timers intern etterlevelse på mistenkelig flaggede innskuddskontoer for å gi deg tid til å laste opp et offisielt politirapportnummer og få etterforskningsoffiseren til å sende en e-post til børsens lovhåndhevelsesportal (kodexglobal.com eller sentralens direkte LE-portal).
2. Send inn offisielle nasjonale rapporter om nettkriminalitet umiddelbart (100 % gratis):
   • USA: Send en umiddelbar rapport til FBI Internet Crime Complaint Center (IC3) på ic3.gov (velg virtuell valuta og inkluder hver transaksjons-hash, token-ticker, USD-verdi og mottakers lommebokadresse), rapporter til Secret Service lokale feltkontor for cybersvindel, og send inn en lokal politirapport for å få et formelt Saksnummer.
   • Storbritannia: Send inn en nettrapport med Action Fraud på actionfraud.police.uk eller ring 0300 123 2040 slik at National Fraud Intelligence Bureau and Police Cyber Crime Unit kan utstede en melding om bevaring av utveksling.
   • EU, Canada og Australia: Fil via Chainabuse (chainabuse.com, drevet av TRM Labs), som automatisk deler svindlerlommebokadresserapporten din på tvers av store børser, svartelister for lommeboksikkerhet og politipartnere, sammen med Canadian Anti-Fraud Center (CAFC), Australian Cyber Security Center (cyber.gov.au), eller din nasjonale Europol-desk for nettkriminalitet.

Dekontaminering etter hendelsen: rengjøring av enhetene dine og herding av fremtidige lommebøker¶

Før du bruker den nye kryptovaluta-lommeboken din til daglige transaksjoner, eliminer rotsårbarheten som forårsaket kompromisset:

1. Hvis Seed-frasen din ble stjålet mens du brukte en Windows-PC eller Mac, antar du at du har et Infostealer-virus: Skadelig programvare gjemt i falske spillsprekker, falske Zoom-/Calendly-koblinger, falske Notion/PDF-sponsorer eller piratkopiert programvare leser stille de lokale LevelDB-hvelvfilene til nettleserutvidelsene (Metaklipp)masken din, og Phantomklippmasken din. Koble PC-en fra Wi-Fi, sikkerhetskopier kun vanlige dokumenter, og utfør en fullstendig USB-reninstallering av Windows eller macOS.
2. Bruk en dedikert maskinvarelommebok (kald lagring) for å spare penger, og en separat "Hot Wallet" for daglige dApps:
   • Vault / Cold Wallet (90 %+ av midlene): Hold dine langsiktige Bitcoin-, Ethereum-, Solana- og stablecoins på en dedikert maskinvarelommebok (som Trezor, Ledger, Coldcard eller Keystone) der den private nøkkelen er lagret inne i en offline Secure Element-brikke som aldri berører datamaskinens RAM. Koble aldri Cold Vault-adressen din til tilfeldige nettsteder, NFT-mynter eller airdrops.
   • Brenner / Hot Wallet (< 10 % av midlene): Ha en separat nettleserlommebok som inneholder kun den lille mengden midler du planlegger å bytte eller bytte med den dagen. Hvis du noen gang klikker på en ondsinnet lenke på Hot Wallet, forblir Cold Vault 100 % urørt.
3. Installer en sanntidsutvidelse for Web3-transaksjonssimulator: Moderne lommebøker som Rabby Wallet og Phantom, eller gratis nettlesersikkerhetsutvidelser som Pocket Universe og Wallet Guard, simuler hver transaksjon før du signerer den, og dukker opp en knallrød advarsel som leser: "ADVARSEL: Hvis du signerer denne meldingen på en USDC og ikke-betrodde NFT-adresser."
4. Aldri lagre 12/24-ords seed-frasen digitalt: Ta aldri et smarttelefonbilde av seed-frasen (sikkerhetskopi av skybilder er et hovedmål for hackere), aldri lagre det i en passordbehandling, Apple Notes, Google Docs eller Draft-e-poster, og skriv aldri inn startfrasen på noen nettside eller tastatur. Skriv kun frøsetningen din på fysisk papir eller stem den på brannsikre plater av rustfritt stål som er lagret i en fysisk safe.

Ofte stilte spørsmål¶

Kilder sjekket¶

• Federal Bureau of Investigation (FBI, USA): Internet Crime Complaint Center (IC3) Rapporter om svindel med kryptovaluta og kunngjøringer om offentlige tjenester på DeFi Smart Contract Drainers (ic3.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, USA) og NSA: Cryptocurrency Security, Phishing-Resistant Authentication og Infostealer Malware Advisories (cisa.gov).
• Consumer Financial Protection Bureau (CFPB) og Federal Trade Commission (FTC, USA): Unngå kryptosvindel og falske gjenopprettingstjenester (consumer.ftc.gov).
• National Cyber Security Center (NCSC) & Action Fraud (Storbritannia): Cryptoasset Security Veiledning og rapportering stjålne digitale eiendeler (ncsc.gov.uk, actionfraud.police.uk).
• Ethereum Foundation & EIP-standarder (internasjonale): ERC-20 Token Standard (EIP-20), Permit Gasless Approvals (EIP-2612) og kontoabstraksjon/bunting (ethereum.org, eips.ethereum.org).
• Security Alliance (SEAL 911) & Flashbots Whitehat Collective (International): Emergency Whitehat Sweeper-Bot Rescue Protocols og MEV Atomic Bundling (securityalliance.org, docs.flashbots.net).

Relaterte guider¶

• Respons på datainnbrudd og passordlekkasjer
• MFA-phishing og motstander-i-midten-omgåelse
• SIM-bytte
• Svindel og svindel