Ice Phishing: Przycisk 'Zaloguj', który czyści twój portfel

Streszczenie: Ice Phishing nie kradnie twojego hasła; kradnie twoje "Zezwolenie". Oszukując cię, byś podpisał zatwierdzenie tokena (Token Approval), oszuści mogą wydrenować twoje aktywa, kiedy tylko zechcą. Ten artykuł wyjaśnia funkcję 'Approve' i jak korzystać z Revoke.cash.

---

---

1. Koncepcja: Zatwierdź (Approve) vs Przelej (Transfer)

W Ethereum/EVM inteligentne kontrakty (takie jak Uniswap) nie mogą dotknąć twoich tokenów, dopóki im na to nie pozwolisz.

Istnieją dwa sposoby interakcji:

1. Transfer: "Wyślij 10 USDT do Boba" (Jednorazowo).
2. Approve: "Pozwól Uniswap wydać do 1000 USDT z mojego portfela" (Stałe pozwolenie).

Luka: Większość dApps prosi o "Nielimitowane Zatwierdzenie" (Unlimited Approval) dla wygody, abyś nie musiał podpisywać za każdym razem, gdy handlujesz. Oszuści to wykorzystują.

2. Atak: "Aktualizacja Bezpieczeństwa"

Dostajesz e-maila lub widzisz link na Twitterze: "OpenSea Security Update: Zweryfikuj swój portfel, aby zapobiec utracie aktywów."

Klikasz w link. Wygląda dokładnie jak OpenSea.

Klikasz "Weryfikuj" (Verify).

Twój portfel wyświetla żądanie transakcji.

• Nie mówi "Wyślij ETH".
• Mówi "SetApprovalForAll" lub "Approve WETH".
• Adres "Spender" (Wydający) to kontrakt hakera.

Pułapka: Myślisz, że się logujesz lub weryfikujesz tożsamość. W rzeczywistości podpisujesz dokument prawny, który mówi: "Pozwalam temu hakerowi przenieść wszystkie moje NFT i WETH, kiedy tylko zechce."

Nie kradną od razu. Czekają, aż wpłacisz więcej, a potem czyszczą wszystko za jednym zamachem.

3. Jak czytać transakcje?

Zanim klikniesz "Potwierdź" (Confirm), spójrz na zakładkę Dane (Data) lub symulację transakcji.

Czerwone Flagi (Red Flags) 🚩

1. Funkcja: SetApprovalForAll (To oddaje 100% kontroli nad twoją kolekcją NFT).
2. Funkcja: Approve (Z gigantyczną liczbą obok, np. 1.1579e+59).
3. Spender: Nieznany kontrakt (Sprawdź na Etherscan - Czy jest Zweryfikowany? Czy nazywa się "Uniswap Router"?).

4. Rozwiązanie: Revoke.cash

Jeśli podejrzewasz, że zatwierdziłeś coś złego:

1. Wejdź na Revoke.cash.
2. Połącz swój portfel (najpierw w trybie tylko do odczytu).
3. Skanuj w poszukiwaniu "Nielimitowanych Zezwoleń" (Unlimited Allowances) dla dziwnych kontraktów.
4. Odwołaj (Revoke) natychmiast. Zapłacisz trochę za gas, ale to odcina połączenie z hakerem.

Więcej: Dowiedz się, jak zamknąć te "tylne furtki" z naszym przewodnikiem Ukryte Tylne Drzwi. Uważaj też na Zatruwanie Adresu, gdzie oszukują cię, byś sam wysłał pieniądze.

Wnioski

Twoja fraza odzyskiwania to klucz do sejfu. "Approvals" to pełnomocnictwa. Nie dałbyś pełnomocnictwa do konta bankowego nieznajomemu – więc nie dawaj SetApprovalForAll losowej stronie internetowej.