Введение
Дренажные кошельки украли миллиарды долларов у пользователей криптовалюты, и почти ни одно из этих преступлений не связано с украденными паролями или взломанными блокчейнами. Это происходит потому, что жертвы подписывают транзакции, которые не понимают. Этот гид объясняет, как на самом деле работают дренажные кошельки, механизм одобрения токенов, который они эксплуатируют, и как именно защитить свой кошелек.
Как работают дренажные кошельки
Самая успешная техника кражи в криптовалюте не взламывает ничего. Она запрашивает разрешение, и жертва его предоставляет. Дренажные кошельки — это злонамеренные инструменты, которые опустошают криптовалютный кошелек от его токенов и NFT за одну одобренную транзакцию. Поразительный факт почти каждого случая заключается в том, что блокчейн работал идеально, криптография была надежной, и ни один пароль никогда не был украден.
«Жертва была обманута, подписав транзакцию, которая разрешала кражу, и блокчейн, выполняя именно то, для чего он предназначен, верно исполнил авторизацию.»
Это определяющая черта эпохи дренажей: поверхность атаки переместилась от протокола к человеку. Блокчейны сделали кражу монет путем взлома фактически невозможной, поэтому воры перестали пытаться и вместо этого обратились к одному компоненту, который никакая криптография не может защитить — к человеку, который решает, что подписать.
Механизм одобрения токенов
Чтобы понять дренажные кошельки, нужно понять одобрения токенов, потому что вся атака является злоупотреблением законной и необходимой функцией. Когда вы используете децентрализованное приложение, DEX, протокол кредитования или рынок NFT, ему нужно разрешение на перемещение ваших токенов от вашего имени.
Одобрения могут быть на неограниченные суммы, одна подпись может авторизовать контракт на перемещение всех токенов, которые вы когда-либо будете держать, и они сохраняются. Одобрение, которое вы предоставили однажды, остается активным, пока вы его не отзовете, иногда на протяжении многих лет.
Процесс атаки дренажного кошелька
Атака дренажного кошелька проходит последовательный процесс, и знание этого делает опасность понятной. Она начинается с приманки: жертва сталкивается с чем-то, что предназначено для того, чтобы заставить ее подключить кошелек и подписать.
«Задача приманки — поставить жертву перед запросом на подпись кошелька, пока она считает, что делает что-то законное.»
Затем приходит запрос на подпись, сердце атаки. Злонамеренный сайт запрашивает у кошелька жертвы подписать транзакцию, и транзакция составлена так, чтобы предоставить контракту злоумышленника разрешение на активы жертвы.
Изъятие активов
Изъятие происходит мгновенно. В момент, когда одобрение поступает, инфраструктура дренажного кошелька перемещает авторизованные активы из кошелька, часто в пределах одного блока. Украденные активы затем отмываются через миксеры и кросс-цепочные маршруты.
Защита от дренажных кошельков
Защита кошелька от дренажных кошельков сводится к набору привычек и одной задаче по обслуживанию. Привычки: рассматривайте каждый запрос на подпись как решение, а не как формальность, и никогда не подписывайте в состоянии срочности.
«Проверяйте сайты независимо, вводя известные URL или используя закладки вместо того, чтобы нажимать на ссылки.»
Задача по обслуживанию — это отзыв одобрений. Каждое одобрение, которое вы когда-либо предоставляли, все еще активно, пока не будет отозвано, что означает, что старые, забытые разрешения остаются в вашем кошельке как постоянный риск.
Заключение
Честное резюме заключается в том, что дренажные кошельки — это зрелая форма кражи криптовалюты в эпоху, когда криптография не может быть сломана. Никакое обновление блокчейна не исправляет это, потому что с блокчейком ничего не пошло не так, и защита соответственно человеческая: информированное подозрение, читаемые транзакции, минимальная подверженность и отозванные одобрения.
Последнее замечание, которое стоит запомнить: дренажные кошельки — это цена за величайшую силу самоуправления. Это постоянное напоминание о том, что быть своим собственным банком означает быть своим собственным отделом безопасности.
Отказ от ответственности: Эта статья предназначена только для образовательных целей и не является инвестиционным или финансовым советом.
