В сети работают 70 сайтов, которые выдают себя за известные криптоплатформы. Посетителям предлагают проголосовать за дату ближайшей раздачи наград, а за активность обещают надбавку - чаще всего 1,25 к будущей выплате. Голосование ненастоящее. Кнопка "Проголосовать" открывает окно подключения криптокошелька, и с этого начинается цепочка запросов, способных довести до кражи токенов. Расчёт сделан на владельцев криптовалюты, которые следят за раздачами и привыкли подключать кошелёк к незнакомым сервисам.
Описание
Скопированы бренды xStocks от Kraken, Pendle, Zama, Kinetiq, Yield Basis, Firelight, а также менее крупные Umia, Keeta и NetNet. Ни один из этих сайтов не связан с проектом, чьё имя использует. Копии выполнены аккуратно: совпадают логотипы, меню, шрифты и цветовые схемы. На странице, повторяющей Firelight, опубликовано подлинное объявление о лимите депозитов. Похоже, содержимое снимали с работающих сайтов, а не собирали заново. Отличить подделку можно только по адресу.
Уловка варьируется. Копия Pendle добавляет выдуманные даты и таймер обратного отсчёта, чтобы торопить человека. Страница Keeta обещает баллы вместо надбавки. Копия NetNet не предлагает голосовать и предупреждает, что невостребованные токены сожгут через 48 часов. Выбор целей, как показало исследование, не случаен.
Несколько проектов за последний год провели размещение токенов, раздачу (аирдроп) или публичный аукцион. Zama провела открытый аукцион в январе, торги её токеном стартовали в феврале. Kinetiq выпустила управляющий токен вместе с раздачей ранним пользователям в ноябре 2025 года. Аукцион Umia шёл с 29 августа по 2 сентября. Firelight начисляет баллы тем, кто внёс средства первым, а Pendle запустилась на Robinhood Chain 4 сентября. Аудитория таких проектов привыкла к сообщениям о наградах, начислениях и правах на выплаты. Уловка рассчитана на тех, кто держит токен или пользовался самим сервисом: они ждут распределения и хотят получить больше.
Кнопка голосования не ведёт к бюллетеню. Она открывает окно подключения кошелька, одинаковое для всех поддельных брендов. В списке WalletConnect; MetaMask; Trust Wallet; OKX Wallet; Binance Wallet; Bitget Wallet; Rabby, а также возможность выбрать ещё более 28 кошельков. Окно напоминает то, что показывают легальные криптосервисы, поэтому запрос кажется рутинным. Выбор из десятков знакомых названий тоже снижает подозрения.
Механика здесь важнее оформления. Кошелёк хранит ключи, а операции выполняет программа, работающая в блокчейне. Подключение лишь сообщает ей адрес владельца и позволяет оценить содержимое счёта. Права тратить токены оно не даёт. Разрешение на списание выдаётся отдельно и часто без ограничения по сумме и сроку. Получив его, злоумышленник распоряжается средствами как своими. Владелец узнаёт о переводе уже после того, как операция прошла. Поэтому страница просит подписать сообщение или подтвердить транзакцию - якобы для того действия, за которым человек пришёл. Отменить перевод в блокчейне нельзя, вернуть украденное почти невозможно.
Несколько деталей указывают на одну операцию или общий фишинговый набор, то есть готовый комплект поддельных страниц. Адреса таких сайтов строятся по одной схеме: набор случайных символов в недорогой доменной зоне. Шаблоны переиспользуются между брендами, текст почти дословно совпадает на страницах Zama, Firelight и Yield Basis - вплоть до записи коэффициента как 1,25 с запятой вместо точки. Окно подключения кошелька тоже одинаковое. Случайные имена избавляют организатора от подбора похожего адреса для каждого бренда, а потеря отдельного сайта обходится дёшево. Подделать внешний вид проще, чем получить доступ к официальному домену проекта. Именно адресная строка становится самым заметным признаком обмана.
Жертвой может стать и опытный пользователь: таймер и обещание надбавки отодвигают проверку адреса на второй план. Поскольку одобрения действуют до отзыва, часть пострадавших узнаёт о потере лишь при следующей операции со счётом.
Проверять заявления о голосовании и выплатах стоит в официальных каналах проекта, причём до подключения кошелька: знакомый логотип скопировать легко. Смотрите на адрес, а не на оформление; если домен не совпадает с официальным, закройте вкладку. Переходите на сайт проекта напрямую - по закладке или набрав адрес вручную, а не по ссылке из сообщения, рекламы или ответа в соцсети. Читайте, что именно просит подписать кошелёк: голосование не требует разрешения тратить ваши токены. Запрос с упоминанием одобрений, разрешений или переводов лучше отклонить. Настораживайтесь, когда обещают надбавки и бонусы или называют жёсткие сроки. Основную часть средств держите в отдельном кошельке, а к незнакомым сайтам подключайте тот, где лежит небольшая сумма.
Тем, кто уже подключил кошелёк, стоит отключиться от сайта. Если к тому же была подписана транзакция или выдано одобрение, проверьте разрешения. Сделать это можно через средства управления кошелька или доверенный сервис проверки одобрений; подозрительные отзовите. Отключение само по себе одобрения не снимает. Секретная фраза для восстановления доступа и закрытый ключ дают полный контроль над счётом. Если они попали к посторонним, остаток средств переводят в новый кошелёк, созданный с новой фразой.
Индикаторы компрометации
