Команда безпеки Trust Wallet підтвердила, що вебсайт, який рекламує криптовалютну платіжну картку з надзвичайно щедрими перевагами, є шахрайським, і попередила користувачів не підключати свої гаманці до цієї платформи.
Короткий огляд
- Команда безпеки Trust Wallet підтвердила, що вебсайт, який рекламує криптовалютну платіжну картку з преміальними перевагами, є шахрайським, і попередила користувачів не підключати свої гаманці.
- Фальшивий вебсайт обіцяє ліміт витрат у розмірі 100 000 доларів, кешбек до 8%, відсутність вимог KYC та доступ до аеропортових лаунжів, а випуск картки рекламується лише за 1 долар.
- Дослідник безпеки Деніел виявив цей вебсайт після того, як з'ясував, що він використовує брендинг Trust Wallet для просування трьох рівнів карток і заявляє про наявність ліцензій у чотирьох країнах.
- Trust Wallet пояснила, що її легітимні пропозиції доступні через офіційний застосунок і вебсайт, і попередила користувачів не схвалювати підозрілі запити на підключення гаманця або підписи.
Дослідник криптобезпеки Деніел, відомий як @0xDani на X, повідомив про фальшиву картку Trust Wallet у публікації від 28 жовтня, вказавши на вебсайт, який використовував брендинг постачальника гаманця для просування платіжної картки з лімітом витрат у 100 000 доларів, винагородами у вигляді кешбеку до 8% та кількома преміальними перевагами.
Вебсайт рекламував картку як спосіб витрачати криптовалюту будь-де, з підтримкою Apple Pay і Google Pay, нульовими комісіями за обмін іноземної валюти та без вимог до верифікації особи.
Джеймс Бро, який представився як представник команди безпеки Trust Wallet, відреагував на попередження та підтвердив, що вебсайт не пов'язаний з компанією.
Фальшива картка Trust Wallet обіцяє преміальні переваги за 1 долар
Згідно зі скриншотами Деніела, шахрайський вебсайт представляв те, що виглядало як повністю розроблена пропозиція криптовалютної картки, разом із кількома рівнями членства та преміальною металевою карткою.
Його рекламні матеріали рекламували ліміт витрат до 100 000 доларів разом із винагородами у вигляді кешбеку, що сягають 8% для користувачів, які обирають найвищий рівень картки.
Пропозиція включала доступ до аеропортових лаунжів, нульові комісії за обмін іноземної валюти, підтримку сервісів мобільних платежів і фізичну металеву картку, при цьому стверджуючи, що користувачам потрібно буде сплатити лише 1 долар за випуск картки.
Однією з більш незвичайних особливостей була обіцянка відсутності верифікації Know Your Customer, зазвичай званої KYC, попри те, що вебсайт рекламував платіжні послуги та заявляв про наявність ліцензій у чотирьох країнах.
Скриншоти, якими поділився Деніел, показували три рівні карток, зокрема Lite, Signature та Metal, кожен з яких носив назву та логотип Trust Wallet.
Початкова картка Lite обіцяла кешбек до 3%, тоді як версія Signature рекламувала винагороди, що сягають 5%, разом із нульовими комісіями за обмін іноземної валюти та пріоритетною підтримкою.
Тим часом рівень Metal просувався з кешбеком 8%, необмеженим доступом до аеропортових лаунжів і цілодобовими консьєрж-послугами.
Однак пропозиція вимагала від користувачів підключити свої криптовалютні гаманці, що Деніел визначив як небезпечну частину схеми.
Команда безпеки Trust Wallet заперечує зв'язок із вебсайтом
Відповідаючи на попередження Деніела в X, Джеймс Бро підтвердив, що вебсайт не належить Trust Wallet, і скерував користувачів до офіційного застосунку та вебсайту компанії.
Він пояснив, що легітимні пропозиції Trust Wallet доступні через її офіційні канали, і попередив користувачів не підключати свої гаманці та не схвалювати підозрілі запити для отримання платіжної картки.
Попередження конкретно стосувалося вимоги вебсайту щодо підключення гаманця, яка подавалася як частина процесу отримання рекламованих переваг.
Хоча вебсайт використовував назву Trust Wallet, дизайн платіжних карток і рекламні матеріали, відповідь команди безпеки встановила, що ця пропозиція не була авторизованим продуктом компанії.
У публікаціях не було надано підтверджених фінансових втрат, постраждалих адрес гаманців або деталей про операторів, які стоять за шахрайським вебсайтом.
Це попередження з'явилося після попередніх випадків, коли злочинці видавали себе за Trust Wallet через неофіційні застосунки та вебсайти.
У червні 2024 року crypto.news повідомив, що Trust Wallet попередив користувачів про підроблені версії свого застосунку, які з'явилися в магазинах застосунків Xiaomi та Amazon.
На той час компанія заявила, що подала запити на видалення шахрайських застосунків, і закликала користувачів отримувати своє програмне забезпечення для гаманця через перевірені канали завантаження.
Фальшиві криптовалютні вебсайти можуть використовувати дозволи гаманця для крадіжки коштів
Шахрайські криптовалютні вебсайти зазвичай намагаються отримати доступ до активів користувачів, переконуючи їх схвалити шкідливі транзакції або підписати дозволи, які виглядають як частина легітимного сервісу.
Саме лише підключення гаманця не дає вебсайту автоматичного дозволу на переказ криптовалюти. Однак зловмисники можуть використовувати наступні запити на транзакції або підписи, щоб отримати дозволи на витрачання конкретних токенів.
Такі дозволи можуть дозволити контрольованому зловмисником смартконтракту переказувати активи без необхідності, щоб жертва розкрила свою фразу відновлення.
У липні користувач Ethereum за повідомленнями втратив майже 1 мільйон доларів після схвалення шкідливої транзакції, яка дозволила зловмисникам перемістити криптовалюту з постраждалого гаманця.
Цей інцидент стався після іншої зафіксованої крадіжки на суму приблизно 1,65 мільйона доларів, коли жертва підключилася до шахрайського вебсайту обміну та підписала шкідливий смартконтракт.
Схожі методи були виявлені раніше цього місяця, коли блокчейн-компанія з безпеки Salus пов'язала несанкціоновані зняття USDG з підписами дозволів, які надали зловмисникам необмежені дозволи на витрачання токенів.
Згідно з висновками компанії, зловмисники використовували ці дозволи для переказу коштів після отримання авторизації, без потреби доступу до приватних ключів жертв.
