Криптовалюти і шахрайство: як захистити свої кошти

Інвестиційне шахрайство залишається найбільшою категорією фінансових злочинів, і криптовалюта в ній — головний інструмент зловмисників. Шахрайство, пов'язане з криптовалютними інвестиціями, становить більшу частину всіх втрат від інвестиційних афер, а типова схема з фальшивим «наставником» з трейдингу і фейковою платформою забирає в однієї жертви в середньому понад десять тисяч доларів.

Зворотний бік цієї цифри важливіший за саму цифру. Криптопереказ не можна відкликати, тому шанс повернути вкрадене після того, як гроші пішли, вкрай малий — за деякими оцінками, менше одного відсотка для шахрайства з переказом у криптовалюті. Це не означає, що криптовалюта небезпечна сама по собі. Це означає, що захист коштів тут працює тільки до переказу, а не після.

Розберемо, чому шахраї так люблять саме криптовалюту, які схеми трапляються найчастіше, які помилки роблять навіть досвідчені користувачі і що реально допомагає не стати наступною жертвою статистики.

Чому криптовалюти приваблюють шахраїв

Три структурні особливості криптовалюти роблять її зручним полем для афер, і розуміння цих причин пояснює логіку всіх інших розділів статті.

Незворотність транзакцій. Підтверджений криптопереказ не можна скасувати чи заблокувати заднім числом, на відміну від банківської картки, де спірний платіж можна оскаржити. Для чесного користувача це захист від довільного заморожування рахунку. Для шахрая — гарантія, що жертва не зможе повернути гроші через банк, навіть усвідомивши обман через хвилину після переказу.

Відсутність централізованого контролю. У криптовалюти немає єдиного оператора, який перевіряє кожну операцію і може її зупинити. Це фундаментальна властивість децентралізованих мереж, але вона ж означає, що перед шахраєм не стоїть бар'єр у вигляді банківського комплаєнсу, який міг би зловити підозрілий переказ до його завершення.

Брак знань у нових користувачів. Криптовалюта приваблює багато людей, які тільки починають розбиратися в темі, а шахраї спеціально націлюються на аудиторію, яка ще не виробила захисні рефлекси, — не вміє відрізнити офіційний сайт від підробки чи розпізнати сигнали соціальної інженерії.

Основні види шахрайства в криптовалютах

Чотири схеми трапляються частіше за інші, і у кожної є впізнаваний патерн поведінки.

Фальшиві інвестиційні проєкти

Це найдорожча за сумами збитків категорія шахрайства в криптовалюті. Класична схема починається з безневинного контакту — знайомство в соцмережі, повідомлення «не туди» в месенджері, випадковий збіг інтересів. Далі вибудовується довірливе спілкування, часто розтягнуте на тижні, і лише потім з'являється «можливість» вкластися в криптовалютну платформу, яку рекомендує новий знайомий.

Підроблена платформа при цьому виглядає переконливо — професійний дизайн, зростаючий баланс на екрані, іноді навіть чуйна служба підтримки в чаті. Проблема починається в момент, коли жертва намагається вивести «зароблене» — сайт знаходить причину затримати вивід, вимагає доплатити комісію чи податок, і на цьому схема закінчується зникненням усієї суми.

Підроблені гаманці і сервіси

Копії популярних криптогаманців і бірж — застосунки і сайти, візуально невідрізнювані від справжніх, — крадуть дані доступу в момент, коли користувач вводить їх, думаючи, що потрапив на офіційний ресурс. Підсумок один — доступ до коштів отримує не власник, а автор підробки.

Окремий і особливо підступний різновид — атака через схожу адресу. Шахрай надсилає на гаманець жертви невелику суму з адреси, яка візуально майже збігається з адресою, куди жертва дійсно раніше переказувала кошти, — збігаються перші й останні символи. Далі жертва копіює цю адресу з історії своїх операцій для наступного переказу, не перевіривши її повністю, і надсилає велику суму шахраю. Саме так один користувач втратив понад 50 мільйонів доларів, скопіювавши адресу з власної історії транзакцій без повної перевірки.

Фішинг і соціальна інженерія

Фішинг — це спроба виманити дані доступу чи гроші під виглядом законного запиту. У криптовалюті він найчастіше приходить через месенджери і соцмережі — повідомлення від «підтримки» біржі з проханням підтвердити акаунт, лист про «підозрілу активність» із посиланням на підроблену сторінку входу, особисте повідомлення від акаунта, що видає себе за співробітника відомого проєкту.

Спільна ознака в усіх варіантів одна. Відправнику потрібно, щоб ви ввели пароль, seed-фразу чи код двофакторної автентифікації на сторінці, яка виглядає офіційною, але нею не є.

Шахрайство з роздачами і подарунками

Схема експлуатує просту психологічну пастку — обіцянку подвоїти чи потроїти будь-яку суму, яку ви «на пробу» надішлете на вказану адресу, нібито від імені відомого проєкту чи публічної персони. Реальні компанії і проєкти ніколи не проводять роздачі за принципом «надішліть монети — отримайте більше монет назад», і це єдине правило, яке потрібно запам'ятати, щоб повністю закрити цю категорію шахрайства.

Поширені помилки користувачів

Чотири помилки повторюються в жертв найчастіше, і більшість із них не вимагають високої кваліфікації шахрая — вони експлуатують звичайну неуважність.

Зберігання коштів без резервних копій. Якщо доступ до гаманця прив'язаний до одного пристрою без збереженої фрази відновлення, втрата чи поломка телефону рівнозначна втраті грошей — без жодного шахрая.

Передача приватних даних третім особам. Seed-фраза, приватний ключ і код двофакторної автентифікації не потрібні нікому, крім власника гаманця, за жодних обставин, включно зі зверненням до «служби підтримки».

Перехід за підозрілими посиланнями. Посилання з непроханого повідомлення, навіть якщо воно виглядає як адреса знайомого сервісу, — найчастіший шлях на підроблену сторінку входу.

Використання одного пароля всюди. Витік даних з будь-якого стороннього сайту, де використано той самий пароль, що й від криптогаманця, відкриває шахраю прямий шлях до ваших коштів.

Як захистити свої криптовалютні кошти

Три напрямки захисту покривають більшість реальних загроз.

Безпечне зберігання

Розділяйте кошти між гаманцем для повсякденних операцій і гаманцем для основних заощаджень, до якого звертаєтеся рідко. Зберігайте seed-фразу в кількох надійних місцях окремо від пристрою, на якому встановлено гаманець, — втрата телефону не повинна означати втрату доступу до грошей.

Цифрова гігієна

Використовуйте унікальний складний пароль для кожного сервісу і менеджер паролів, щоб не покладатися на пам'ять. Вмикайте двофакторну автентифікацію через окремий застосунок, а не тільки через SMS, яке можна перехопити. Перевіряйте адресу сайту в браузері перед введенням будь-яких даних — один зайвий символ в адресі означає підробку.

Контроль транзакцій

Перед надсиланням великого переказу звіряйте адресу отримувача повністю, а не тільки перші й останні символи, — атака через схожу адресу розрахована саме на таку неуважність. Заведіть звичку спершу надсилати тестову суму на нову адресу і тільки потім — основну.

Як розпізнати шахрайський проєкт

Чотири ознаки майже завжди вказують на аферу, і достатньо помітити одну з них, щоб насторожитися.

Відсутність прозорої інформації. Немає зрозумілого опису, чим саме займається проєкт і на чому він заробляє гроші для інвесторів, — тільки загальні фрази про «унікальний алгоритм» чи «інсайдерську стратегію».

Анонімна команда без репутації. Жодного перевірюваного імені, жодного зв'язку з реальними людьми чи минулими проєктами, який можна було б незалежно підтвердити.

Тиск і термінові пропозиції. Вимога прийняти рішення негайно, «поки не закінчилися місця» чи «поки діє спеціальний курс», — класичний прийом, який не залишає часу на перевірку.

Нереалістичні обіцянки прибутковості. Будь-яка обіцянка гарантованого доходу в криптовалюті — уже сигнал небезпеки, тому що ринок за своєю природою непередбачуваний, і ніхто не може гарантувати прибуток.

Що робити, якщо ви зіткнулися з шахрайством

Дві дії, які варто виконати одразу, поки шанси на розгляд ще є.

Зафіксуйте всі дані. Збережіть адреси гаманців, хеші транзакцій — унікальні номери операцій у блокчейні, — листування з шахраєм, скриншоти сайту чи профілю, через який відбувся контакт. Ці дані знадобляться при зверненні до будь-якої інстанції і самі по собі швидко зникають, якщо шахрайський сайт закривається.

Зверніться до підтримки сервісів. Якщо переказ ішов через біржу чи платіжний сервіс, негайно повідомте їм про шахрайство — деякі майданчики здатні заморозити кошти шахрая, якщо він не встиг їх вивести. Також варто повідомити місцевим правоохоронним органам, навіть якщо шанс повернення невеликий, — це допомагає статистиці і іноді призводить до успішних розслідувань проти цілих шахрайських мереж.

Тут важливо керувати очікуваннями чесно. Враховуючи незворотність криптопереказів, про яку йшлося на початку статті, повне повернення коштів — швидше виняток, ніж правило. Профілактика значить для збереження грошей набагато більше, ніж реакція постфактум.

Кому особливо важливо дотримуватися заходів безпеки

Чотири групи людей, для яких ціна помилки вища за середню.

Новачкам у криптовалюті. Відсутність досвіду робить уразливим саме до тих схем, які для досвідченого користувача виглядають очевидним обманом.

Активним трейдерам та інвесторам. Часті операції і робота з різними платформами збільшують кількість точок, де може статися витік даних чи помилка з адресою.

Власникам великих сум. Що більший баланс, то привабливіша ціль для цілеспрямованої атаки, а не масової розсилки навмання.

Розробникам і власникам крипто-проєктів. Окрім особистих коштів, тут на кону репутація проєкту і гроші користувачів, які довірили йому свої операції, — а отже, і відповідальність за захист від шахрайства стає на порядок вищою.

Що це означає для бізнесу, який приймає криптовалюту

Власникам крипто-проєктів і бізнесу, який працює з криптоплатежами, варто враховувати дві речі одночасно — захист власного акаунта і захист від отримання коштів із сумнівною історією.

Heleket закриває обидва завдання інструментами, які прямо продовжують логіку цієї статті. Двофакторна автентифікація і білі списки адрес для виведення — це той самий принцип цифрової гігієни і контролю транзакцій, про який йшлося вище, тільки стосовно бізнес-акаунта. Ключ API для приймання платежів відокремлений від ключа для виплат, тому витік одного не відкриває доступ до всіх операцій одразу.

Головне завдання — не отримати на баланс кошти з кримінальним походженням, що теж пов'язано з темою шахрайства напряму, оскільки вкрадені у жертв гроші нерідко проходять через ланцюг переказів у пошуках місця для обготівкування. AML-перевірка Heleket аналізує походження вхідних монет до їх зарахування, тому проблема виявляється на вході, а не спливає пізніше при спробі виведення.

Висновок

Шахрайство з криптовалютою будується на трьох стовпах — незворотності переказів, відсутності центрального контролера і браку досвіду в частини користувачів, — і всі три особливості одночасно пояснюють, чому криптовалюта зручна і чесному користувачу, і зловмиснику.

Реальний захист працює до переказу, а не після. Перевірка адреси отримувача повністю, недовіра до обіцянок гарантованої прибутковості, відмова ділитися seed-фразою за жодних обставин і розділення коштів між гаманцями — це не абстрактні поради, а конкретні дії, кожна з яких закриває одну з реальних схем, розібраних у цій статті. Той, хто виробив ці звички до того, як зіткнувся з шахраєм, а не після, зберігає гроші з набагато більшою ймовірністю, ніж будь-хто, хто намагається розібратися в ситуації постфактум.