Зловмисне програмне забезпечення, що викрадає адреси та викрадач буфера обміну: зупинка змінених криптографічних і банківських переказів¶

Через кілька секунд після натискання «Надіслати» на переказі криптовалюти чи банківському переказі ви розумієте, що адреса призначення на екрані не гаманець або IBAN, які ви мали намір заплатити, навіть якщо перші 4-6 символів і останні 4-6 символів адреси виглядають ідентично (0x71C9...89A4), означає, що ви постраждали від Атаки з отруєнням адреси в ланцюжку або Зловмисного програмного забезпечення, що викрадає буфер обміну ("Clipper"). На відміну від a виснаження гаманця криптовалюти або компрометація початкової фрази коли зловмисник викрадає вашу фразу відновлення з 12 слів, ані отруєння адреси, ані зловмисне програмне забезпечення кліпера не вимагають від зловмисника знання ваших особистих ключів. Натомість обидві атаки використовують людську звичку копіювати та вставляти довгі рядки (42-character Ethereum/EVM addresses, 34-to-62-character Bitcoin/Solana/Tron addresses, або 15-to-34-character international IBAN bank account numbers) і лише візуально перевіряючи перші чотири та останні чотири символи. Якщо змінена адреса з’явилася у вашому веб-переглядачі чи на робочому столі в ту мілісекунду, яку ви натиснули Ctrl+V (Cmd+V), ваш комп’ютер або телефон має активний троян для моніторингу буфера обміну або фальшиве розширення браузера; зверніться до нашого посібника шкідливі розширення браузера, викрадачі буфера обміну та видалення рекламного ПЗ. Якщо змінений переказ був внутрішнім або міжнародним банківським переказом (SWIFT / SEPA / Fedwire / Faster Payments), негайно виконайте кроки відкликання в компроміс корпоративної електронної пошти (BEC) і відкликання шахрайства. Якщо вам загрожує здирництво або безпосередня загроза життю, зателефонуйте за місцевим номером служби екстреної допомоги (911 в Сполучених Штатах і Канаді, 112 по всьому Європейському Союзу, 999 у Сполученому Королівстві) або перегляньте наш каталог міжнародних номери екстрених служб.

Зробіть це зараз¶

1. Через 10 секунд запустіть «Тест копіювання та вставлення блокнота», щоб визначити, чи заражено ваш комп’ютер/телефон шкідливим ПЗ Clipper АБО ви випадково скопіювали заражену адресу з історії транзакцій:
2. Відкрийте текстовий редактор (Notepad, TextEditабо адресний рядок браузера), введіть або скопіюйте справжню адресу гаманця (0x71C95911E9a5D330f4D621842EC243EE1343292e), і натисніть Ctrl+V (Cmd+V).
3. Результат A (вставлений рядок змінюється між Ctrl+C і Ctrl+V): Ваш пристрій активно заражено зловмисним програмним забезпеченням Clipboard Hijacker ("Clipper") (або фоновим виконуваним файлом Windows/macOS, або зловмисним розширенням браузера Chrome/Brave/Edge), яке перехоплює API буфера обміну операційної системи (AddClipboardFormatListener / NSPasteboard) і замінює будь-який рядок, що відповідає регулярному виразу для Bitcoin, Ethereum, Solana, Tron (USDT) або IBAN з адресою зловмисника менш ніж за 5 мілісекунд. Негайно від’єднайте комп’ютер від Інтернету та більше не підписуйте на ньому транзакції.
4. Результат B (вставлений рядок НЕ змінюється, коли ви копіюєте справжню адресу, тому що ви випадково скопіювали неправильну адресу зі списку «Останні транзакції» вашого гаманця або Etherscan/Tronscan): вас вразила шахрайська операція з отруєнням адреси в ланцюжку, де бот спостерігав за вашими загальнодоступними переказами в блокчейні, створив схожу на «марну» адресу гаманця з точно такою самою початковий і кінцевий символи як вашого частого одержувача, і надіслано a $0.00 (або $0.00001 dust) транзакції у ваш гаманець, щоб їхня схожа адреса знаходилась у самому верху історії транзакцій вашого гаманця й чекала, поки ви її скопіюєте. Ваш комп’ютер і особисті ключі НЕ зламані; ваша початкова фраза гаманця все ще безпечна.
5. Якщо ваша транзакція з криптовалютою все ще перебуває в стані "Очікування" в mempool (Unconfirmed), транслюйте Replace-By-Fee (RBF) / Трансакція скасування Same-Nonce одразу:
6. На Ethereum, Arbitrum, Optimism, Polygon, Base або BSC (MetaMask, Rabby, Ledger Live, Coinbase Wallet): Якщо транзакцію ще не було включено до блокування, негайно натисніть "Скасувати" або ввімкніть Custom Nonce у налаштуваннях гаманця та надішліть 0 ETH на власну адресу гаманця, використовуючи те саме Nonce номер із 50% вищою комісією за пріоритетний газ (Max Priority Fee), щоб перезаписати пошкоджену транзакцію до того, як її підтвердять валідатори.
7. На біткойн (Electrum, Sparrow, BlueWallet, Ledger): клацніть правою кнопкою миші непідтверджену транзакцію та виберіть Скасувати (подвійне витрачання з RBF) або Дитина платить за батьків (CPFP) повернення коштів на вашу власну змінену адресу з вищою ставкою комісії sat/vB.
8. Якщо ви надсилали USDT (Tether) або USDC (Обведіть) на отруєну або захоплену машиною кліпер адресу, негайно надішліть запит на екстрене заморожування емітента (Blacklist / Freeze):
9. На відміну від рідних біткойнів або ETH, смарт-контракти для USDT (Tether) на Ethereum, Tron (TRC-20), Solana, і Avalanche і USDC (Circle) мають вбудований адміністративний addBlackList() / blacklist() функція, яка може заморозити вкрадені токени прямо в гаманці зловмисника до того, як зловмисник підключить або переведе їх на біржу.
10. Негайно збережіть хеш транзакції (TxID), адресу призначення зловмисника та вашу адресу надсилання, подайте онлайн-звіт до FBI IC3 (ic3.gov) або місцева кіберполіція, повідомте про інцидент на Chainabuse (chainabuse.com) і надішліть заявку на термінове заморожування в Tether (tether.to/en/contact-us -> Запит на заморожування юридичних/правоохоронних органів) або Обведіть (circle.com) під час відстеження коштів на Etherscan/Tronscan/Arkham, щоб попередити будь-який централізований обмін (Binance, Coinbase, Kraken, OKX, Bybit, HTX) момент, коли зловмисник вносить кошти.
11. Якщо змінений переказ був банківським переказом (IBAN / SWIFT / ACH / Faster Payments змінено зловмисним програмним забезпеченням banking clipper), зателефонуйте до служби Wire Fraud Recall Desk вашого банку протягом перших 30 хвилин:
12. Запит негайно SWIFT MT192 / MT199 (pacs.004) Скасування та відкликання через шахрайство, попросіть свій банк надіслати сповіщення про призупинення відшкодування безпосередньо між банками до служби відповідності банку-одержувача та повідомте про змінені IBAN.
13. Видаліть шкідливе програмне забезпечення Clipper зі свого браузера та операційної системи перед копіюванням іншого конфіденційного рядка:
14. ВІДЧИНЕНО chrome://extensions (або edge://extensions, brave://extensions, about:addons) і негайно видаліть усі нерозпізнані розширення.
15. У Windows відкрийте Диспетчер завдань / Microsoft Sysinternals Autoruns і перевірити заплановані завдання, HKCU\Software\Microsoft\Windows\CurrentVersion\Run, і %APPDATA% / %LOCALAPPDATA%\Temp для шахрайських фонових виконуваних файлів, які прослуховують буфер обміну.

Дерево рішень: Діагностика зловмисного ПЗ Address Poisoning проти Clipper та реагування¶

Використовуйте цю блок-схему, щоб визначити, який вектор атаки змінив вашу адресу призначення та які негайні дії можуть зберегти ваші кошти або пристрій:

flowchart TD
    Incident["Надіслано (або майже надіслано) крипто чи банківський переказ на неправильну схожу адресу"] --> NotepadTest{"Виконайте перевірку блокнота: скопіюйте завідомо справну адресу гаманця/IBAN і вставте її в блокнот (Ctrl+C -> Ctrl+V). Чи зміниться вставлений текст?"}

    NotepadTest -->|"ТАК: вставлений текст автоматично змінюється місцями за мілісекунди"| ClipperPath["ВЕКТОР A: Зловмисне програмне забезпечення Active Clipboard Hijacker («Clipper») на вашому ПК, Mac, телефоні або у розширенні веб-переглядача"]

    NotepadTest -->|"НІ: вставлений текст залишається ідентичним (ви скопіювали схожу адресу з власної історії транзакцій)"| PoisonPath["ВЕКТОР Б: шахрайство з отруєнням адресою в мережі (ваш пристрій і початкова фраза НЕ заражені)"]

    ClipperPath --> IsolateDevice["КРОК 1A: Відключіть інфікований ПК/телефон від Інтернету -> Аудит chrome://extensions і процесів запуску -> Перевірте, чи Broader Infostealer також не вкрав файли cookie/паролі браузера"]

    PoisonPath --> TxStatus{"Ви вже транслювали трансакцію та чи підтверджено її?"}
    IsolateDevice --> TxStatus

    TxStatus -->|"Ще не надіслано (спіймано перед підписанням)"| SafeStop["Оновіть свою адресну книгу/білий список Wallet за допомогою перевірених повних 42-символьних адрес і ніколи не копіюйте з історії транзакцій"]

    TxStatus -->|"Очікує на розгляд у Мемпулі (непідтверджено)"| RBF["ТЕРМІНОВО: транслюйте Same-Nonce 0-ETH Self-Transfer (EVM) або RBF Double-Spend (Bitcoin) із 50% вищою комісією за газ для скасування"]

    TxStatus -->|"Підтверджене надіслане через мережу або банківський переказ"| AssetCheck{"Який тип ресурсу було надіслано?"}

    AssetCheck -->|"USDT (Tether) або USDC (Circle)"| FreezeToken["Подати поліцейський звіт/звіт IC3 + надіслати терміновий чорний список токенів/запит на заморожування в Tether/Circle + відстежити адресу зловмисника для депозиту CEX"]
    AssetCheck -->|"Рідний BTC / ETH / SOL"| TraceCEX["Відстеження коштів через Etherscan/Arkham/MistTrack -> Надіслати квиток на заморожування правоохоронних органів на цільову біржу (Binance, Coinbase, Kraken, OKX) після внесення"]
    AssetCheck -->|"Банківський переказ / SEPA IBAN / Швидші платежі"| WireRecall["Негайне відділення банківського шахрайства, що надсилає виклик, для відкликання SWIFT MT192 / SEPA + сповіщення відповідності банку-одержувача"]

Як працюють дві атаки: отруєння Vanity Address Poisoning проти Clipper Trojans¶

Хоча обидві атаки призводять до того, що ваші гроші переходять на гаманець або банківський рахунок зловмисника, їхні технічні механізми та те, що вони означають для безпеки вашого пристрою, абсолютно протилежні:

Етап 1: що робити, якщо ви щойно надіслали кошти на отруєну або зламану адресу¶

Час вимірюється в хвилинах під час відстеження мережевих переказів або відкликання банківських переказів. Негайно виконайте такі дії:

1. Відстеження та заморожування викраденого USDT (Tether) або USDC (Коло) На ланцюжку¶

Тому що понад 75 відсотків усіх втрат через отруєння адрес у ланцюжку відбувається в USDT (на Трон TRC-20 і Ethereum ERC-20) і USDC жертви мають важливу перевагу відновлення, якої не вистачає біткойнам і рідному ETH: централізоване заморожування смарт-контрактів. 1. Відкрийте блокчейн-провідник (etherscan.io, tronscan.org, solscan.io, arbiscan.io) і вставте хеш транзакції (TxID): - Клацніть на Адреса одержувача зловмисника, щоб перевірити, чи вас не вкрали USDT або USDC все ще знаходиться в їхньому гаманці або якщо вони перемістили його до проміжного гаманця. 2. Якщо USDT або USDC все ще сидить у зовнішньому гаманці (EOA) на Ethereum, Tron, Solana, Polygon, Arbitrum, Base або Avalanche: - Тетер (USDT) і Круг (USDC) заморозили понад 1,8 мільярда доларів США вкрадених коштів за тисячами адрес, звернувшись до смарт-контрактів AddedBlackList функціонувати після отримання правоохоронними органами або перевірених звітів про шахрайство. - Негайно подати: 1. Екстрений звіт у FBI IC3 (ic3.gov), Action Fraud UK, Europol або відділ боротьби з кіберзлочинністю у місцевій поліції, щоб отримати контрольний номер звіту. 2. Публічний звіт про шахрайство на Chainabuse (chainabuse.com) і ** Etherscan / Tronscan «Повідомити / позначити адресу»**, тому API безпеки гаманця (Blockaid, Blowfish, Wallet Guard, Rabby, MetaMask) негайно позначити адресу зловмисника червоним кольором для інших користувачів. 3. Терміново заморозити квиток до Tether Support (tether.to/en/contact-us) і MistTrack / SlowMist / Seal 911 (@Seal_911 у Telegram, цілодобовій гарячій лінії Web3 Security Alliance для реагування на надзвичайні ситуації) з вашим TxID, точна мітка часу UTC і посилання на поліцію/IC3. 3. Якщо зловмисник переміщує викрадену криптовалюту в централізований обмін (CEX) Адреса депозиту (Binance, Coinbase, OKX, Kraken, Bybit, HTX, KuCoin, Gate.io): - Зверніть увагу на точну назву Exchange Hot Wallet, позначену на Etherscan/Tronscan/Arkham, і точну назву TxID депозиту в цю біржу. - Кожна велика централізована біржа має Цілодобовий портал правоохоронних органів і заморожування активів потерпілих (Binance Law Enforcement Request / Customer Support Case, Coinbase Support, OKX Risk Control). Надішліть Депозит TxID негайно зв’яжіться зі службою підтримки цієї біржі та попросіть їх розмістити тимчасове 7-денне заморожування субрахунку, який отримав депозит TxID [Hash] поки правоохоронні органи передають офіційний наказ про заморожування.

2. Відкликання зміненого банківського переказу (IBAN / Account Number Замінено шкідливим ПЗ Clipper)¶

Якщо троян банківського кліпера (ClipBanker, Qakbot, ZeuS/ZLoader) помінявся постачальником або орендодавцем IBAN або номер маршруту/рахунку, коли ви вставили його на свій портал онлайн-банкінгу: 1. Протягом першої години зателефонуйте у службу Шахрайство через шахрайство/Відкликання казначейства вашого банку та подайте запит на негайне Відкликання шахрайства (SWIFT MT192 / SEPA SCT Recall / Faster Payments APP Fraud Claim). 2. Знайдіть Ідентифікаційний код банку (BIC) / номер маршрутизації, вбудований у номер зловмисника IBAN (символи з 5 по 8 будь-якого європейського/британського IBAN визначте точний банк-отримувач) і зателефонуйте безпосередньо у відділ шахрайства банку-отримувача, щоб повідомити про цей рахунок [Attacker IBAN] це обліковий запис грошового мула, який отримує доходи від шахрайства зловмисного програмного забезпечення буфера обміну.

Етап 2: Виявлення та видалення зловмисного програмного забезпечення викрадача буфера обміну («Clipper»)¶

Якщо ваш тест на копіювання-вставлення в Блокноті показав, що копіювання криптографічної адреси або IBAN і його вставлення негайно змінюють текст (або якщо ви підозрюєте, що на вашому ПК, Mac або телефоні Android працює кліпер), виконайте цю послідовність видалення, перш ніж використовувати пристрій для будь-якої фінансової діяльності:

1. Спочатку перевірте розширення веб-переглядача (Джерело № 1 для кросплатформних Clippers)¶

Сучасні зловмисники часто ховають JavaScript для заміни буфера обміну всередині, здавалося б, невинних розширень браузера (PDF converters, ad blockers, volume boosters, dark mode toggles, fake MetaMask/Phantom/Ledger helper extensions, або ChatGPT sidebar tools) за допомогою браузера navigator.clipboard.writeText() або document.execCommand('copy') API: 1. ВІДЧИНЕНО chrome://extensions (або edge://extensions, brave://extensions, about:addons у Firefox). 2. Вимкніть або видаліть кожне розширення, якому ви не довіряєте на 100%, або протестуйте вставлення в Анонімному/Приватному вікні (де розширення вимкнено за умовчанням). 3. Якщо заміна буфера обміну припиниться, щойно ви вимкнете певне розширення веб-переглядача, натисніть Повідомити про порушення та Видалити, а потім дотримуйтесь нашого повного посібника з очищення веб-переглядача: шкідливі розширення браузера, викрадачі буфера обміну та видалення рекламного ПЗ.

2. Виявлення та знищення троянів Clipper рідної ОС у Windows, macOS та Android¶

Якщо буфер обміну все ще змінює адресу вашого гаманця, навіть якщо ви копіюєте та вставляєте всередину Notepad.exe або TextEdit коли ваш веб-браузер повністю закритий, кліпер працює як фоновий процес рідної операційної системи:

У Windows 10/11:¶

1. Негайно від’єднайте ПК від Wi-Fi та Ethernet (багато машин для стрижки, як Laplas Clipper запитуйте онлайн-сервер C2 кожного разу, коли ви копіюєте адресу, щоб вони могли повернути спеціальну схожу адресу; припинення доступу до Інтернету або зупиняє обмін, або змушує зловмисне програмне забезпечення повертатися до жорстко закодованої адреси та запобігає одночасній шкідливе програмне забезпечення infostealer від завантаження файлів).
2. Використовуйте Process Explorer або PowerShell, щоб виявити шахрайський процес, який утримує ланцюжок буфера обміну: Відкрийте вікно Administrator PowerShell і перелічіть усі запущені процеси, що не належать Microsoft, які виконуються з доступних для користувача каталогів (%APPDATA%, %LOCALAPPDATA%, %TEMP%, C:\ProgramData):

   Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -match "AppData|Temp|ProgramData|Public" } | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-Table -AutoSize
   

3. Перевірте стійкість запуску Windows (Scheduled Tasks і Run Ключі): 90 відсотків кліперів Windows зберігаються через приховане Заплановане завдання або Реєстр Run ключ, який запускає a .vbs, .bat, .ps1, або .exe захований всередині %APPDATA%:

   Get-ScheduledTask | Where-Object { $_.TaskPath -notmatch "\\Microsoft\\" -and $_.State -ne "Disabled" } | Select-Object TaskName, TaskPath, @{N="Actions";E={$_.Actions.Execute + " " + $_.Actions.Arguments}}
   

   І перевірте ключі реєстру запуску поточного користувача:

   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
   

4. КРИТИЧНЕ ПОПЕРЕДЖЕННЯ: машини для стрижки майже ніколи не подорожують поодинці в Windows або macOS: У сучасних кампаніях кіберзлочинності (Lumma Stealer, RedLine, Vidar, Stealc, Atomic macOS Stealer), Модуль Clipper , це лише останнє постійне корисне навантаження, яке залишилося ПІСЛЯ того, як Infostealer уже очистив усі збережені паролі, файли cookie сеансу та програмне сховище крипто-гаманця (MetaMask Local Extension Settings .ldb файли, Electrum, Exodus, Atomic) з комп’ютера.
5. Якщо ви виявите на своєму ПК чи Mac зловмисне програмне забезпечення для кліпера, припустіть, що кожен програмний гаманець (MetaMask, Phantom, Rabby, Trust, Exodus) і кожен сеанс браузера, під час якого ви ввійшли в систему на цьому комп’ютері, також було зламано.
6. Використовуйте окремий чистий комп’ютер або телефон, щоб перенести всі залишки криптовалюти з програмних гарячих гаманців у абсолютно новий Апаратний гаманець (Ledger, Trezor, Keystone, Coldcard) початкова фраза, скасувати всі активні сеанси браузера та виконати чисту перевстановлення ОС.

У macOS:¶

1. Відкрийте Термінал і перевірте не-Apple LaunchAgent і фонові процеси:

   ls -la "$HOME/Library/LaunchAgents" /Library/LaunchAgents /Library/LaunchDaemons
   

2. Якщо побачиш незнайомого .plist файл, з якого запускається двійковий файл /tmp/, /Users/Shared/, або $HOME/Library/Application Support/, вивантажте та видаліть його, а потім скануйте за допомогою Malwarebytes для Mac або Objective-See KnockKnock.

На смартфонах Android:¶

• Машинки для стрижки Android часто маскуються під підробку з боковим завантаженням .apk програми (Fake Telegram, Fake WhatsApp, Fake Authenticatorабо зламані ігри) надано дозволи Accessibility Service (оскільки Android 10+ обмежує фонове читання буфера обміну, якщо програма не є клавіатурою методу введення за умовчанням IME або містить активне накладання спеціальних можливостей).
• Перейдіть до Налаштування > Спеціальні можливості > Установлені програми та Налаштування > Система > Клавіатура > Екранна клавіатура та негайно видаліть усі нерозпізнані програми.

Фаза 3: Постійний захист як від отруєння адрес, так і від зловмисного ПЗ Clipper¶

Після того, як ви приймете ці п’ять операційних звичок, ані ферма отруєння адресами GPU вартістю 100 000 доларів США, ані таємний троян буфера обміну ніколи не зможуть знову змусити вас надіслати кошти не туди:

• 1. Правило візуальної перевірки "Середні 6 + перші 4 + останні 4":
• Ніколи не перевіряйте лише перші 4 і останні 4 символи адреси гаманця або IBAN.
• Оскільки створення адреси, що відповідає 8 зовнішнім символам (4 prefix + 4 suffix, приблизно 4,29 мільярда комбінацій) займає сучасний кластер GPU менше ніж 2 секунди, зловмисники завжди можуть зіставити кінці вашої адреси.
• Однак зіставлення додаткових 6 символів прямо в середині адреси (приблизно 72 квадрильйони комбінацій) є обчислювально неможливим для опортуністичних отруйних ботів. Завжди перевіряйте перші 4 символи, 6 символів посередині та останні 4 символи перед тим, як підписувати.
• 2. НІКОЛИ не копіюйте адресу з історії «Останніх транзакцій» або вкладки активності Etherscan/Tronscan:
• Сприймайте вкладку «Історія транзакцій/діяльність» свого гаманця як ненадійне загальнодоступне графіті, де будь-хто на Землі може ввести підробку $0.00 перекази та схожі адреси.
• Натомість зберігайте кожного повторюваного одержувача, гаманець холодного зберігання та адресу обмінного депозиту у вбудованій адресній книзі/білому списку контактів вашого гаманця з чіткою міткою, яку можна прочитати людиною ("My Coinbase USDC Deposit", "Hardware Ledger Vault #1") і виберіть одержувача виключно зі збереженої адресної книги.
• 3. Перейдіть на гаманці Security-First, які автоматично позначають отруєні та перші адреси (Rabby, MetaMask Blockaid, Phantom):
• Сучасні гаманці Web3, такі як Rabby Wallet і MetaMask (з увімкненими сповіщеннями безпеки Blockaid) попереджають вас яскраво-червоним кольором перед підписом, якщо:
  • Це вперше ви надіслали справжню цінність саме на цю 42-символьну адресу ("Warning: First-time transfer to this address"), миттєво виявити отруєння адреси, тому що ви думаєте, що надсилаєте на стару знайому адресу, хоча насправді ви ніколи раніше не надсилали гроші на схожу адресу зловмисника.
  • Адреса призначення має високий бал подібності (Levenshtein distance) на іншу адресу у вашій історії ("Address Poisoning Detected").
• 4. Завжди перевіряйте повну адресу призначення на фізичному екрані апаратного гаманця (Ledger, Trezor, Keystone, Coldcard, GridPlus):
• Навіть якщо зловмисне програмне забезпечення Clipper на вашому зараженому комп’ютері змінює адресу на моніторі вашого комп’ютера (або навіть якщо просунуте зловмисне програмне забезпечення підхоплює DOM вашого браузера, щоб відобразити реальну адресу в Chrome, одночасно передаючи адресу зловмисника до запиту підпису USB), зловмисне програмне забезпечення на вашому ПК не може змінити те, що відображається на ізольованому екрані EAL5+/EAL6+ Secure Element вашого фізичного апаратного гаманця.
• Порівняйте адресу, що відображається на фізичному OLED/сенсорному екрані вашого апаратного гаманця, з другим незалежним пристроєм (наприклад, дивлячись на рахунок-фактуру одержувача або QR-код на своєму смартфоні під час підписання на апаратному гаманці ПК).
• 5. Надішліть невелику тестову транзакцію лише за умови повторного копіювання з оригінального перевіреного джерела:
• Зверніть увагу на тонку пастку: багато жертв Отруєння марнославної адреси були настільки обережні, що справді надсилали $10 test transaction перший. Вони все одно втратили 50 000 доларів на другій транзакції, тому що через 60 секунд після підтвердження їх тестової транзакції на 10 доларів у ланцюжку автоматизований бот зловмисника отруїв їхню історію транзакцій схожою адресою, а коли жертва пішла відправити решту 50 000 доларів, вона скопіювала «адресу, на яку я щойно надіслав 10 доларів» зі свого списку останніх транзакцій.
• Якщо ви надсилаєте тестову транзакцію, збережіть підтверджену адресу в Адресній книзі перед надсиланням тестової операції та виберіть саме цей запис адресної книги для основного переказу.

Регіональні номери екстрених служб і протоколи агентств¶

Незалежно від того, чи були ваші кошти перенаправлені через отруєння персональної адреси в ланцюжку чи зловмисне програмне забезпечення для буфера обміну, потрібно негайно повідомити правоохоронні органи та служби розвідки блокчейну, щоб змусити централізовані обміни (CEXs) та емітенти стейблкойнів (Tether / Circle) заморозити та повернути викрадені активи:

• Сполучені Штати та Канада:
• Екстренні служби: наберіть 911 якщо є будь-яка фізична загроза.
• Центр скарг на злочини в Інтернеті ФБР (IC3): Негайно надішліть звіт про криптовалюту або шахрайство за адресою ic3.gov (для великих крадіжок проводів або крипто за останні 72 години позначте скаргу для Команди відновлення активів IC3 RAT і включити точні TxID, мережа блокчейн, контракт на токени та адреса гаманця зловмисника).
• США секретна служба (USSS) Робоча група з питань кібершахрайства та CISA: зверніться до місцевого польового офісу USSS щодо основних криптографічних/дротових перенаправлень або повідомте про ознаки зловмисного програмного забезпечення до cisa.gov/report.
• Канадський центр боротьби з шахрайством (CAFC): Звітувати за адресою antifraudcentre-centreantifraude.ca або 1-888-495-8501 і подайте заяву до відділу боротьби з кіберзлочинністю у вашій муніципальній поліції.
• Великобританія:
• Екстренні служби: наберіть 999 (або 101 для ненадзвичайної поліції).
• Дія Шахрайство: Телефонуйте 0300 123 2040 негайно (цілодобово і без вихідних для кібер/фінансових злочинів, що відбуваються в прямому ефірі) або повідомте за адресою actionfraud.police.uk. Для банківських переказів, змінених зловмисним програмним забезпеченням, негайно зверніться до свого банку за UK Faster Payments Authorized Push Payment (APP) Правила відшкодування за шахрайство.
• Європейський Союз:
• Екстренні служби: наберіть 112 у всіх країнах-членах ЄС.
• Національні відділи боротьби з кіберзлочинністю Європолу: негайно подайте заяву в поліцію через europol.europa.eu/report-a-crime/report-cybercrime-online (вимагають Tether, Circle і основні біржі в ЄС MiCA / системи протидії відмиванню коштів для збереження заморожування активів після початкового екстреного утримання).
• Австралія та Нова Зеландія:
• Екстренні служби: наберіть 000 в Австралії або 111 в Новій Зеландії.
• ReportCyber (ACSC Австралія): повідомте в cyber.gov.au/report-and-recover/report або телефонуйте 1300 CYBER1 (1300 292 371).
• CERT NZ (Нова Зеландія): звіт за cert.govt.nz.
• Індія та Азіатсько-Тихоокеанський регіон:
• Національна лінія довіри щодо боротьби з кіберзлочинністю Індії: наберіть 1930 негайно або повідомте за cybercrime.gov.in.
• Поліція Сінгапуру (SPF) Центр боротьби з шахрайством і поліція Гонконгу (ADCC): Телефонуйте 1800-722-6688 (Сінгапур) або 18222 (Anti-Deception Coordination Centre Гонконг).

Часті запитання¶

Якщо a $0.00 USDT Переказ з’явився в моєму гаманці як «Надіслано З моєї адреси» на незнайому адресу, чи означає це, що хакер має мою початкову фразу чи закритий ключ?¶

Ні, ваша початкова фраза та приватні ключі повністю безпечні. У стандартному Ethereum (ERC-20), Трон (ТРЦ-20), і мережа BNB (БЕП-20) смарт-контракти токенів, transferFrom(відправник, одержувач, сума) функція перевіряє, чи абонент має дозвіл на переміщення сума токени від вашого імені (`allowance >= amount`). Тому що ваша надбавка за замовчуванням до незнайомця 0, і незнайомець проходить сума = 0, смарт-контракт перевіряє чи 0 >= 0 (що є правда) і дозволяє будь-кому на Землі випускати фейк 0,00 USDT подія передачі з вашим гаманцем, указаним як відправник, навіть без вашого приватного ключа чи схвалення. Зловмисник зробив це лише для того, щоб додати свою схожу адресу в список «Останні дії» вашого гаманця.

Як хакер створив адресу гаманця, яка починається з тих самих 5 символів і закінчується тими самими 5 символами, що й моя справжня адреса?¶

Адреси криптовалютних гаманців , це загальнодоступні хеші, отримані математично з випадкового закритого ключа. Хоча неможливо сконструювати закритий ключ вашої конкретної 42-символьної адреси, зловмисник використовує кластер споживчих відеокарт (`GPUs` запуск інструментів, як `profanity2` або `vanity-eth`) може генерувати мільярди випадкових пар ключів за секунду і просто відкиньте будь-яку адресу, яка не починається з перших 4-5 символів і не закінчується останніми 4-5 символами. Оскільки зіставлення від 8 до 10 шістнадцяткових символів вимагає лише тестування від 4,3 мільярда до 1 трильйона хешів, сервер із кількома відеокартами може створити переконливу адресу, схожу на префікс і суфікс у секунд, а середні 30 символів залишаються абсолютно випадковими.

Чи може шкідливе програмне забезпечення Clipper змінити адресу Ethereum або Bitcoin ПІСЛЯ того, як я вже вставив його на веб-сторінку?¶

Стандартне зловмисне програмне забезпечення кліпера операційної системи змінює лише текст, який знаходиться в системному буфері буфера обміну між моментом натискання Ctrl+C і в момент натискання Ctrl+V. Однак якщо зловмисне програмне забезпечення працює у вашому веб-переглядачі як a шкідливе розширення Chrome/Edge/Firefox, він має повний доступ для читання та запису до об’єктної моделі документа веб-сторінки (DOM) і може мовчки поміняти адресу призначення всередині веб-поля введення відразу після натискання кнопки «Надіслати». Тому ви завжди повинні перевіряти повну адресу на фізичний екран апаратного гаманця перед натисканням кнопки фізичного підтвердження.

Чи використовує назву ENS (vitalik.eth) або Солана .sol домен захистити мене від отруєння адреси та шкідливого програмного забезпечення кліпера?¶

Використання зрозумілих для людини імен ENS (`alice.eth`) допомагає запобігти копіюванню шкідливої ​​шістнадцяткової адреси з вашої історії транзакцій, за умови, що ви вводите назву ENS безпосередньо вручну, а не копіюєте та вставляєте її. Будьте обережні з двома пастками ENS: по-перше, зловмисники реєструють домени ENS із омографом / друкарськими помилками, використовуючи невидимі символи нульової ширини Unicode або кириличні схожі літери (`aIice.eth`). По-друге, завжди перевіряйте, що вирішений базовий 0x... шістнадцяткова адреса, що відображається на екрані вашого апаратного гаманця, збігається зі справжньою адресою одержувача.

Якщо я випадково надіслав кошти на заражену адресу, чи можу я надіслати хакеру повідомлення в ланцюжку з пропозицією 10% або 20% «нагороди за білий капелюх», щоб повернути решту?¶

Так, надсилання повідомлення UTF-8 у ланцюжку, вбудованого в Вхідні дані (шістнадцятковий) поле невеликої транзакції на адресу зловмисника (що чітко вказує, що правоохоронні органи та запити на заморожування Tether/Circle/Exchange подаються, і пропонує чисту винагороду від 10% до 20%, якщо від 80% до 90% коштів буде повернено протягом 24 годин) досяг успіху в кількох резонансних випадках отруєння адреси, особливо коли вкрадений актив USDT або USDC що зловмисник знає, що Tether або Circle все одно збираються занести в чорний список і назавжди заморозити їх гаманець. Завжди надсилайте запит на блокування Tether/Circle і поліцейський звіт одночасно без зволікання.

Пов'язані посібники¶

• Шкідливі розширення браузера, викрадачі буфера обміну та видалення рекламного ПЗ
• Вичерпання гаманця криптовалюти та компрометація початкової фрази
• Відкликання корпоративної бізнес-електронної пошти (BEC) і шахрайства
• Викрадення файлів cookie сеансу, зловмисне програмне забезпечення infostealer і відкликання ключа доступу
• Шахрайство з криптоінвестиціями, пов’язане зі різанням свиней, і романтичне шахрайство з відновленням DeFi
• Номери екстрених служб по країнах

Джерела та офіційне керівництво¶

• Федеральне бюро розслідувань (FBI) Центр скарг на злочини в Інтернеті (IC3) і Секретна служба США (USSS): Попередження громадських служб про отруєння персональною адресою криптовалюти (Zero-Value Token Transfer) Атаки та зловмисне програмне забезпечення, що викрадає буфер обміну.
• Агентство з кібербезпеки та безпеки інфраструктури (CISA) & MITRE ATT&CK Framework (Technique T1115: Clipboard Data): Виявлення та пом’якшення моніторингу буфера обміну та заміни шкідливих програм (ClipBanker, Laplas Clipper).
• SlowMist & Web3 Security Alliance (SEAL 911) Звіти про дослідження: Аналіз ERC-20 / TRC-20 у мережі transferFrom Отруєння адресою нульового значення, отруєння невеликою кількістю пилу та USDT/USDC Процедури екстреного чорного списку.
• Національний центр кібербезпеки (NCSC) (Велика Британія) та Агентство Європейського Союзу з кібербезпеки (ENISA): Захист транзакцій цифрових активів, перевірка апаратного гаманця та захист від шахрайства при перенаправленні платежів.