Чтобы рассказывать о последующих скам-кейсах, нужно изучить одну из основ, которая лежит в большинстве из них - это дрейнеры

⚠️ Дрейнер - это связка-сайт или бот, которая добивается от вас законного с точки зрения блокчейна доступа к активам, кошелёк при этом не взламывают, вы сами подтверждаете права, после чего деньги уезжают без вашего участия

Как происходит сам процесс?

1) Условно, вы кликаете на фишинговый сайт, но обычно чаще это реклама или ссылка в соц.сетях. Домен похож на оригинальные проекты, интерфейс полностью скопирован

2) После захода на ресурс, сайт запрашивает подключение к вашему кошельку.
В окне кошелька вы подтверждаете запрос и выбранные адреса и сеть будут видны сайт: он сможет запрашивать подписи, но без вашего отдельного подтверждения ничего списать не сможет

3) В окне кошелька появится запрос: "Разрешить этому сайту сменить сеть?" или кнопка "сменить сеть". Одна из самых частых уловок дрейнеров это увести на другую сеть, чтобы запутать жертву и подменить адреса

4) Сайт начинает запрашивать подписи
Дальше в окне кошелька пойдут действия вроде "разрешить тратить токены" (Approve), "подписать данные" (Permit/Permit2) или "разрешить управлять всеми NFT" (SetApprovalForAll)

✏️ Коротко про сами подписи

Approve (ERC-20)
Ончейн-транзакция.
В окне кошелька будет "разрешить тратить токены", "лимит расходов"
Даёт указанному адресу право списывать ваши токены до лимита. Если подпись содержит "без ограничений/max", это фактически постоянный доступ, пока вы его не отзовёте

Permit / EIP-2612
Результат тот же, что у Approve появляется лимит на списание, но оформляется через "подписать данные" без газа
Вы подписываете сообщение с полями адрес получателя доступа, сумма или лимит, срок действия.
Позже эту подпись отправляют в сеть и устанавливают лимит без вашего дополнительного клика

Permit2
Имеет два режима:
"AllowanceTransfer" задаёт лимит и срок действия, риски как у Approve при большом лимите и длинном сроке.
"SignatureTransfer" разовая отправка по вашей подписи. Часто одной подписи достаточно, чтобы при первом вызове сразу увести токены

SetApprovalForAll (NFT)
Полный доступ ко всей NFT коллекции, после такой подписи их можно вывести одним действием

❕ Где они чаще всего прячутся

Реклама в поиске и соцсетях: спонсированные ссылки по названию проекта или кошелька. Регулярно фиксируются кейсы с дрейнерами в Google и X-рекламе

Реплаи и взломанные официальные аккаунты: постят про клейм/airdrop от имени проекта или медиа, зачастую удитория кликает на доверии

Троян в виджете: когда сторонний компонент на легитимном dApp временно подменяют и он раздаёт дрейнер (самый яркий пример - инцидент с Ledger Connect Kit в декабре 2023)

Discord/Telegram/X: фальш-верификации, боты и инвайты, ведущие на вредные скрипты или страницы, которые крадут учётки и криптоданные

Антиботы/Cloudflare/капча-клоны на фишинговых страницах, чтобы обходить блокировки и маскировать дрейнер


🔎 Как распознать дрейнер?

⚠️ Сразу после подключения просят подпись, а в интерфейсе ничего не меняется

⚠️ В окне кошелька видно Approve: "разрешить тратить токены", "лимит расходов", стоит функция "без ограничений/max"

⚠️ В окне кошелька "подписать данные" без комиссии, в подписи видны поля: адрес получателя доступа, сумма или лимит, срок действия - это Permit/Permit2

⚠️ Для NFT всплывает окно "установить одобрение для всех" или "разрешить этому адресу управлять всеми вашими NFT"

⚠️ Адрес получателя доступа незнаком и отсутствует в официальной документации проекта

⚠️ Торопят сменить сеть "для начисления"

⚠️ Идёт цепочка из нескольких подписей подряд без понятной цели.

⚠️ Вы вставили адрес получателя перевода в форму на сайте, а в окне кошелька в строке получатель виден другой адрес

Учитывая, что в 2024 году, убыток от дрейнеров составил почти полумиллиард долларов нужно подвести к ключевой мысли: дрейнеры живут исключительно на спешке и невнимательных подписях. Читайте медленно и внимательно окно кошелька и входящие туда подписи, ограничивайте доступы, если непонятно, что произойдёт после подписи, то не подтверждайте