Arka plan

SonWeb3 Güvenlik Başlangıç Kılavuzu, çoklu imzaları içeren kimlik avı saldırılarına odaklandık, çoklu imzaların nasıl çalıştığı, onları neyin oluşturduğu ve cüzdanınızın nasıl istismar edilmemesi gerektiği konusunda. Bu sefer, hem geleneksel endüstrilerde hem de kripto para birimi alanında kullanılan popüler bir pazarlama taktiğini ele alacağız: airdrop'lar.

Airdroplar, projelerin hızla görünürlük kazanmasına ve hızlı bir kullanıcı tabanı oluşturmasına yardımcı olan hızlı bir yöntemdir. Web3 projelerine katılan kullanıcılardan token talep etmek için linklere tıklamaları ve ekiple etkileşimde bulunmaları istenir, ancak hackerlar süreç boyunca tuzaklar kurmuştur. Sahte web sitelerinden gizli kötü amaçlı araçlara kadar riskler gerçektir. Bu kılavuzda, tipik airdrop dolandırıcılıklarını ele alacak ve kendinizi korumanıza yardımcı olacağız.

Airdrop nedir?

Bir airdrop, Web3 projenin belirli cüzdan adreslerine ücretsiz jetonlar dağıttığı ve görünürlüğü arttırmak ve kullanıcıları çekmek için kullanılan bir yöntemdir. Projelerin ivme kazanmasının basit bir yoludur. Airdroplar, nasıl talep edildiklerine göre kategorilendirilebilir:

• Görev tabanlı: Paylaşma, beğenme veya diğer eylemler gibi belirli görevleri tamamlayın.
• Etkileşimli: Token takas etme, token gönderme/alma veya çapraz zincir işlemleri gibi eylemleri tamamlayın.
• Holding bazlı: Airdrop'lardan yararlanmak için belirli token'ları elde tutun.
• Staking tabanlı: Stake tokenlarınızı, likidite sağlamayı veya varlıkları bir süre kilitli tutmayı sağlayarak airdrop tokenları kazanın.

Airdrop Taleplerinin Riskleri

Sahte Airdrop Dolandırıcılıkları

İşte bazı yaygın sahte airdrop dolandırıcılığı türleri:

1. Hackerlar, bir projenin resmi hesabını sahte airdrop duyuruları yapmak için ele geçiriyor. Sık sık şu tür uyarılar görüyoruz: 'Bir projenin X hesabı veya Discord hesabı hacklendi. Lütfen hacker tarafından paylaşılan phishing linkine tıklamayın.' SlowMist'in 2024 raporuna göre, yalnızca yılın ilk yarısında 27 projenin hesabı hacklendi. Kullanıcılar, resmi hesaplara güvenerek bu linklere tıklar ve airdrop gibi görünen phishing sitelerine yönlendirilir. Eğer özel anahtarınızı veya seed cümlenizi girer veya bu sitelere izin verirseniz, hackerlar varlıklarınızı çalabilir.

1. Hackerlar, sahte mesajlar yayınlamak için proje ekibi hesaplarının yüksek kaliteli kopyalarını kullanarak resmi proje hesabının yorum bölümüne kandırıcı kullanıcıları balık tutmaya yönlendiren phishing linklerine tıklamaya teşvik ediyor. SlowMist güvenlik ekibi daha önce bu yöntemi analiz etti ve karşı önlemler aldı (bkz.Sahte Proje Ekipleri: Taklit Hesapların Yorum Bölümündeki Kimlik Avına DikkatAyrıca, resmi proje bir airdrop duyurduktan sonra, hackerlar hızla taklit hesapları kullanarak sosyal platformlarda çok sayıda phishing bağlantısı içeren güncellemeler yayınlamaya başlarlar. Sahte hesapları teşhis edemeyen birçok kullanıcı, sahte uygulamaları yükler veya imza yetkilendirme işlemlerini gerçekleştirdikleri phishing web sitelerini açar.

(https://x.com/im23pds/status/1765577919819362702)

1. Üçüncü dolandırıcılık yöntemi daha da kötü ve klasik bir dolandırıcılıktır. Dolandırıcılar Web3 proje gruplarında pusuda bekler, hedef kullanıcıları seçer ve sosyal mühendislik saldırıları gerçekleştirir. Bazen airdropları yem olarak kullanırlar, kullanıcılara jetonları almak için airdropları nasıl transfer edeceklerini 'öğretirler'. Kullanıcılar dikkatli olmalı ve onlarla 'resmi müşteri hizmetleri' olarak iletişime geçen veya onlara 'nasıl işlem yapacaklarını öğreteceklerini' iddia eden herkese kolayca güvenmemelidir. Bu kişiler muhtemelen dolandırıcıdır. Belki sadece bir airdrop talep ettiğinizi düşünebilirsiniz, ama ağır kayıplar yaşayabilirsiniz.

"Ücretsiz" Airdrop Jetonları: Riskleri Anlama

Airdroplar, genellikle kullanıcıların ücretsiz token kazanmak için belirli görevleri tamamlaması gereken kripto alanında yaygındır. Bununla birlikte, bu fırsatlardan faydalanmak için kötü niyetli uygulamalar bulunmaktadır. Örneğin, hacker'lar, gerçek değeri olmayan token'ları kullanıcıların cüzdanlarına airdrop yapabilir. Bu kullanıcılar daha sonra bu token'larla etkileşimde bulunmaya çalışabilir - onları transfer etme, değerlerini kontrol etme veya hatta merkezi olmayan borsalarda ticaret yapma. Ancak, bir Dolandırıcılık NFT sözleşmesini ters mühendislik yaparak, NFT'yi aktarma veya listeleme girişimlerinin başarısız olduğunu ve yanıltıcı bir hata mesajının göründüğünü tespit ettik: "Öğenizi kilitlemek için web sitesini ziyaret edin", bu da kullanıcıları bir phishing sitesini ziyaret etmeye yönlendirir.

Eğer kullanıcılar buna düşer ve sahte siteyi ziyaret ederse, hacker'lar birkaç zararlı eylem yapabilir:

• Değerli NFT'lerin "sıfır maliyetli" bir mekanizma aracılığıyla toplu olarak satın alınması (bkz.Zero-Maliyetli NFT Phishing" daha fazla ayrıntı için).
• Yüksek değerli jeton onaylarını veya imza izinlerini çalın.
• Kullanıcının cüzdanından yerel varlıkları çalmak.

Şimdi, hacker'ların nasıl dikkatle hazırlanmış kötü niyetli bir sözleşmeyi kullanarak kullanıcıların gaz ücretlerini çaldığına bakalım. İlk olarak, hacker, kullanıcıları etkilemeye çekmek için bedava dağıtılan jetonları kullanan BSC üzerinde GPT (0x513C285CD76884acC377a63DC63A4e83D7D21fb5) adlı kötü niyetli bir sözleşme oluşturur. Kullanıcılar bu kötü niyetli sözleşmeyle etkileşime geçtiğinde, kullanıcının cüzdanındaki jetonları sözleşmenin kullanmasına izin vermek için bir istek açılır. Kullanıcı bu isteği onaylarsa, kötü niyetli sözleşme otomatik olarak kullanıcının cüzdan bakiyesine dayanarak gaz limitini artırır ve sonraki işlemlerin daha fazla gaz ücreti tüketmesine neden olur.

Kullanıcı tarafından sağlanan yüksek Gaz limitini kullanarak, kötü amaçlı sözleşme fazladan Gaz kullanarak CHI jetonları basar (CHI jetonları Gaz tazminatı için kullanılabilir). Büyük miktarda CHI jetonu biriktirdikten sonra, hacker bu jetonları yakarak sözleşme yok edildiğinde Gaz tazminatı alabilir.

(https://x.com/SlowMist_Team/status/1640614440294035456)

Bu yöntemle, hacker akıllıca kullanıcının Gaz ücretinden kar elde eder ve kullanıcı ek Gaz ücreti ödediğinin farkında bile olmayabilir. Kullanıcı başlangıçta airdrop edilen jetonları satarak kar elde edebileceğini düşünürken aslında yerel varlıklarının çalındığını fark eder.

Arka kapı araçları

(https://x.com/evilcos/status/1593525621992599552)

Airdrop talepleri sürecinde, bazı kullanıcıların nadirlik sorgulaması veya çeviri gibi işlevler gerçekleştirebilmek için eklenti indirmesi gerekmektedir. Bu eklentilerin güvenliği sorgulanabilir ve bazı kullanıcılar resmi olmayan kaynaklardan indirmektedir, böylece arka kapılı eklentiler indirme riski artmaktadır.

Ayrıca, airdrop scriptlerini otomatikleştirdiğini iddia eden çevrimiçi hizmetlerin farkına vardık. Bu verimli görünebilir, ancak kullanıcılar doğrulanmamış scriptleri indirmenin son derece riskli olduğuna dikkat etmelidir. Scriptin kaynağı veya gerçek işlevi konusunda emin olamazsınız. Zararlı yazılım içerebilir ve özel anahtarları veya seed ifadelerini çalmak veya diğer yetkisiz işlemleri gerçekleştirmek için potansiyel bir tehdit oluşturabilir. Dahası, bazı kullanıcılar antivirüs yazılımı olmadan bu tür riskli işlemleri gerçekleştirir, bu da tespit edilmeyen Truva atı enfeksiyonlarına yol açabilir ve cihazlarına zarar verebilir.

Özet

Bu kılavuz, sahte işlemleri analiz ederek airdrop talepleriyle ilişkili riskleri açıklamaktadır. Birçok proje şimdi airdropları bir pazarlama aracı olarak kullanmaktadır. Kullanıcılar, airdrop talepleri sırasında varlık kaybı riskini azaltmak için aşağıdaki önlemleri alabilirler:

• Çoklu Doğrulama: Bir airdrop web sitesini ziyaret ettiğinizde, URL'yi dikkatlice kontrol edin. Resmi proje hesabı veya duyuru kanalları aracılığıyla onaylayın. Ayrıca, balıkçılık riskini engelleyen eklentileri (örneğin Dolandırıcılık Algılayıcı) kurabilirsiniz phishing web sitelerini tanımak için.
• Cüzdan Bölümleme: Airdrop talepleri için küçük miktarlarla bir cüzdan kullanın ve büyük miktarları soğuk cüzdanınızda saklayın.
• Airdrop Tokenleri Konusunda Dikkatli Olun: Bilinmeyen kaynaklardan gelen airdrop tokenleri konusunda dikkatli olun. Hızlı bir şekilde işlem yetkilendirmek veya imzalamaktan kaçının.
• Gaz Limitlerini Kontrol Edin: İşlemler için Gaz limitinin olağandışı yüksek olup olmadığına dikkat edin.
• Antivirüs Yazılımı Kullanın: Gerçek zamanlı korumayı etkinleştirmek ve virüs tanımlarının güncel olduğundan emin olmak için tanınmış antivirüs yazılımı (örneğin Kaspersky, AVG vb.) kullanın.

Açıklama:

1. Bu makale yeniden yayınlandıSlowMist Teknolojisi, telif hakkı orijinal yazar [SlowMist Güvenlik Ekibi]'ne aittir. Bu yeniden basım konusunda itirazlarınız varsa, lütfen iletişime geçin.Gate Öğrenekip, ve bunu hızlı bir şekilde ele alacaklar.
2. Sorumluluk Feragati: Bu makalede yer alan görüşler yalnızca yazarına aittir ve herhangi bir yatırım tavsiyesi teşkil etmez.
3. Gate Learn ekibi makaleyi diğer dillere çevirdi. Çevrilen makalelerin kopyalanması, dağıtılması veya çalınması, belirtilmedikçe yasaktır.