Czym grozi podłączenie portfela do fałszywego smart kontraktu?

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema! Dobrze, że poruszasz ten temat, bo to, co się teraz odwala na rynku, to jakaś rzeź niewiniątek. Pytasz tak wprost: czym grozi podłączenie portfela do fałszywego smart kontraktu? Krótka piłka – stratą całego hajsu, na który tyrałeś miesiącami. Niestety, w krypto jeden fałszywy ruch, jedno chybione kliknięcie i jesteś wyzerowany, a scamerzy zacierają ręce.

Twój kumpel i tak dostał twardą, ale cenną lekcję. Ludzie często myślą, że samo wpięcie walleta (zwykły connect) na jakąś lewą stronę to już wyrok śmierci dla ich środków. Nie do końca tak to działa. Prawdziwe ryzyko autoryzacji złośliwych dAppów wchodzi do gry dopiero w momencie, gdy zlecamy podpisanie konkretnej transakcji. Kiedy wyskakuje okienko i klikasz Approve albo Sign. To tutaj de facto dajesz protokołowi prawne pozwolenie na transfer swoich tokenów. Scamerzy o tym wiedzą i kodują drainery tak, żeby to okienko wyglądało jak zwykła, niewinna opłata za gas fee.

Pytałeś o to, czy da się to szybko cofnąć. Teoretycznie tak. Jeśli uświadomisz sobie, że kliknąłeś coś głupiego, to natychmiast odpalasz stronę Revoke.cash. To absolutny must-have dla każdego, kto siedzi w DeFi. Łączysz się z nimi i zdejmujesz uprawnienia ze wszystkich podejrzanych adresów. Problem polega na tym, że złośliwy kod i boty są zazwyczaj o wiele szybsze niż spanikowany człowiek z myszką. Jak automat wyczai, że dałeś nielimitowany dostęp np. do swoich USDC, to ułamki sekund pozbawią cię płynności.

Wspomniałeś o wtyczkach, które drą japę. Złota rada – wywal Metamaska do codziennego klikania i przesiądź się na Rabby Wallet. Ten portfel ma wbudowane potężne symulacje transakcji. Zanim cokolwiek klepniesz, Rabby wypluwa wielki alert pokazujący dokładnie: "jeśli to podpiszesz, z portfela ubędzie ci tyle i tyle". Dodatkowo polecam zainstalować rozszerzenie Pocket Universe. Jak tylko trafisz na chamski phishing i fałszywy smart kontrakt spróbuje uderzyć w twoje saldo, wtyczka blokuje ekran wielkim czerwonym popupem. Ratuje to tyłek w 99% przypadków.

Co do twojego pytania o patenty na bezpieczne testowanie airdropów i wchodzenie w nowe protokoły. Odpowiedź brzmi: bezwzględna segregacja środków. Nie wyobrażam sobie klikać w ciemno głównym portfelem, gdzie trzymam grubsze bagi. Do airdropów i degenowania zawsze używam osobnego burner walleta. Przelewam tam tylko trochę krypto na opłaty sieciowe i tyle. Skutki podłączenia krypto portfela pod fałszywy kontrakt na takim burnerze to po prostu strata drobniaków na kawę, z którą można się pogodzić. Grube oszczędności potrafia bezpiecznie leżeć tylko i wyłącznie na portfelu sprzętowym (Ledger albo Trezor), którym NIGDY nie loguję się do żadnych nowinek z Twittera czy Discorda.

Na koniec te fejk tokeny, które masowo spamują nam adresy. Sytuacja jest prosta – totalnie to ignorować. Ta kosmiczna wycena to tylko przynęta. Odpalasz DEXa, chcesz spieniężyć darmowy hajs, a niebezpieczeństwo łączenia portfela ujawnia się w ułamku sekundy. Podpisujesz fałszywy kontrakt i zostajesz w samych skarpetkach. Naszym największym wrogiem w Web3 nie są hakerzy, tylko nasza własna chciwość i zryte FOMO. A jak już ktoś spali wallet tak jak twój ziomek, to nie ma co go ratować. Generujesz nowy seed, starą apkę usuwasz i jedziesz od nowa, mądrzejszy o jedno doświadczenie. Trzymajcie się tam i pilnujcie swoich bagów!

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema, poprzednik mega dobrze wyczerpał temat z Rabby i burnerami, ale ja dorzucę jeszcze dwie sprawy, o których ludzie w tym całym szaleństwie często zapominają.

Wszyscy trąbią dookoła, że hardware wallet (Ledger czy inny Trezor) to absolutny święty Graal bezpieczeństwa w Web3. I spoko, zgadza się, ale tu tkwi pułapka. Prawda jest taka, że skutki podłączenia krypto portfela pod fałszywy kontrakt mogą być opłakane nawet na sprzętowym urządzeniu! Dlaczego? Bo masa ludzi robi blind signing (ślepe podpisywanie). Klepią na tym małym ekraniku guziczki totalnie nie patrząc na to, jaki ciąg znaków tam leci. Sprzętowy portfel trzyma twój seed w izolacji, ale nie obroni cię przed twoją własną głupotą. Jak autoryzujesz złośliwy kod i dasz mu nielimitowany allowance, to hakerzy wydoją ci cold walleta tak samo gładko jak zwykłego Metamaska.

Druga sprawa, i to jest prawdziwy gamechanger prewencyjny dla każdego, kto farmi airdropy albo klika we wczesne fazy projektów – słyszeliście o Delegate.xyz? To taki bajer, który totalnie zmienia zasady gry i eliminuje ryzyko interakcji dla waszych głównych bagów. Działa to tak, że na bezpiecznym, zweryfikowanym kontrakcie delegujecie uprawnienia ze swojego głównego portfela (tego z grubszym hajsem albo cennymi NFT) na zupełnie pusty burner.

Strona od mintu czy dApp widzi wtedy, że wasz pusty burner ma "prawo" działać w imieniu bogatego portfela. I wy łączycie się z tą niepewną stronką TYLKO tym pustym walletem! Nawet jak okaże się, że to chamski phishing i odpalony skrypt typu drainer wjedzie na pełnej, to zassie wam okrągłe zero. Na burnerze nie ma środków, a do głównego skrytpu oszuści nie mają absolutnie żadnego bezpośredniego dostępu.

Jak już musicie wchodzić w jakieś podejrzane degeny, to przed kliknięciem czegokolwiek przepuśćcie chociaż adres samej strony przez skanery takie jak De.Fi Antivirus. Często od razu wywala tam wielką czerwoną flagę, że w kodzie siedzi backdoor na kradzież tokenów ERC-20. Zawsze zakładajcie, że nowy link z Telegrama to scam. Lepiej przepuścić okazję na parę dolców, niż zastanawiać się czym grozi podłączenie portfela do fałszywego smart kontraktu, jak już zobaczycie u siebie same zera na saldzie.