העמוד נראה בדיוק כמו של הפרויקט: אותו לוגו, אותם צבעים, אותו תפריט. במרכזו הצבעה אחת פשוטה על מועד חלוקת התגמולים, ולמי שמשתתף מובטח בונוס של פי 1.25 כשהחלוקה תגיע. הכפתור לא שולח שום הצבעה. הוא פותח את חלון חיבור הארנק.

מה קרה

סטפן דאסיק, חוקר נוזקות ב-ThreatLabs של Malwarebytes, פרסם ב-1 באוקטובר רשימה של 70 אתרים מזויפים שבנויים כולם על אותה תבנית. כתובות הדומיין נראות כמו רעש מקלדת, בסגנון sitemufl06qs0r4o.xyz, והתוכן שעליהן מחזה לפרויקטי קריפטו מוכרים: xStocks של Kraken, וגם Pendle, Zama, Kinetiq, Yield Basis, Firelight, Umia, Keeta ו-NetNet.

כשמשתמש לוחץ על ההצבעה נפתחת בקשת חיבור ארנק עם כל השמות המצפים: WalletConnect, MetaMask, Trust Wallet, Binance Wallet, OKX, Bitget ו-Rabby. לפי Malwarebytes, החיבור עצמו חושף בשלב הראשון רק את כתובת הארנק, ואין בו עוד נזק. הנזק מתחיל בבקשה הבאה, שהיא בקשה לחתום על הודעה או לאשר עסקה.

וכאן נמצא כל הסיפור, כי החתימה הזאת אינה העברה של כסף. היא הרשאה. מי שחותם עליה אומר לקוד שבצד השני שהוא רשאי למשוך מהארנק סוג מטבע מסוים, בכמות שנקבעה בהרשאה, מתי שיבחר ובלי לבקש אישור נוסף. התוקפים לא צריכים את הסיסמה שלכם ולא את מפתח הארנק. הם צריכים חתימה אחת. לאתרים שבנויים לשם כך קוראים wallet drainer.

הפתיון של "הצבעה" נבחר היטב. בפרויקטי קריפטו רבים באמת מתקיימות הצבעות של מחזיקי המטבע על החלטות, ולכן בקשה להצביע נשמעת כמו חלק מהשגרה ולא כמו משהו חריג.

למה זה חשוב לכם

בישראל יש לא מעט אנשים שמחזיקים מטבעות קריפטו בארנק על הטלפון או בתוסף בדפדפן, ורובם מכירים את ההנחיה הראשונה בתחום: לא למסור לאף אחד את צירוף המילים לשחזור הארנק. ההונאה הזאת לא מבקשת את צירוף המילים, ולכן היא עוברת מתחת לרדאר של מי שמחפש בדיוק את הסכנה הזאת. גם אין פה חולשה שהארנק צריך לתקן: הארנק עשה בדיוק את מה שהתבקש. וזה גם מה שהופך את זה לבלתי הפיך, כי העברה שאושרה כהלכה אינה טעות שאפשר לבטל מול מישהו.

מה עושים?

אל תגיעו לאתר של פרויקט קריפטו דרך קישור בהודעה, בפוסט או במודעה. הקלידו את הכתובת או השתמשו בסימנייה ששמרתם בעצמכם, ואם מוצעת לכם הצבעה או חלוקת תגמולים, בדקו אותה בערוץ הרשמי של הפרויקט לפני כל לחיצה.

לפני שאתם חותמים, קראו מה הארנק מציג על המסך. אם מדובר בהרשאת משיכה של מטבע לטובת כתובת שאינכם מכירים, ובמיוחד בכמות לא מוגבלת, בטלו.

החזיקו ארנק נפרד עם סכום קטן לכל התנסות באתרים חדשים, ואת היתר בארנק שלא מתחבר לשום דבר.

אם כבר חיברתם ארנק לאתר כזה, היכנסו למסך ההרשאות בארנק, בטלו את ההרשאות שנתתם, והעבירו את היתרה לארנק אחר.

אין כאן סיסמה שנגנבה ואין כאן פריצה. התוקפים ביקשו רשות, והקורבן נתן אותה בלחיצה אחת, וזאת בדיוק הסיבה שאחר כך אין למי לפנות.