Undang-undang Kripto/Tahap IV · Perangkap pemegang/4.2 Penipuan di mata undang-undang/Pelajaran 3

Penipuan pengosong dompet dan penipuan kelulusan

Bagaimana tandatangan yang anda berikan kepada sebuah laman web boleh membolehkan orang lain mengosongkan dompet anda, apa sebenarnya yang dibenarkan oleh piawaian token, dan kedudukan undang-undang apabila persetujuan diperoleh melalui penipuan.

Pendidikan, bukan nasihat undang-undang, cukai atau pelaburan. Undang-undang kripto berbeza antara negara dan negeri, dan kerap berubah. Semak peraturan semasa di tempat anda tinggal dengan peguam atau penasihat cukai yang berkelayakan sebelum anda bertindak.

Laluan paling ringan

Laluan paling murah, paling rendah cukai, paling mudah dan paling peribadi yang dibenarkan undang-undang, bermula dengan yang terbaik. Setiap langkah menyatakan peraturan yang menjadi asasnya dan syarat yang mengekalkannya sah.

Langkah pertama tanpa kos: baca setiap permintaan tanda tangan, tolak kelulusan tanpa had dan benarkan tanda tangan hanya pada laman web yang dicapai melalui mesej, iklan atau airdrop; kelulusan ERC-20 dan permit ERC-2612 kekal boleh digunakan sehingga habis digunakan, dicabut, atau tamat tempoh.
Cabut kelulusan yang sudah lapuk menggunakan penyemak kelulusan token peneroka blok (block explorer), seperti yang disyorkan oleh FBI; setiap pencabutan hanya menanggung yuran rangkaian dan tidak dapat membatalkan curi yang berlaku sebelum itu.
Simpan sebahagian besar aset dalam dompet berasingan yang tidak pernah disambungkan kepada laman web, dan gunakan dompet baki rendah untuk aplikasi; pemindahan antara dompet anda sendiri bukan merupakan objek cukai AS, tetapi simpan rekod kos asas (basis) bagi setiap satu.
Selepas pengurasan, rekod hash dan laporkan secara percuma ke ic3.gov serta-merta, kerana dana yang sampai ke platform pertukaran (exchange) atau stablecoin yang boleh dibekukan kadangkala dapat dibekukan; frasa yang diketik ke dalam laman web bermaksud pemindahan segala-galanya ke dompet baharu.

BahanTeks standard token ERC-20, bahagian mengenai approve dan transferFrom (eips.ethereum.org)ERC-2612, lanjutan ‘permit’ yang membolehkan kelulusan diberikan melalui mesej yang ditandatangani.Pengumuman perkhidmatan awam FBI I-072122-PSA (21 Julai 2022) mengenai penipuan perlombongan kecairanPemeriksa kelulusan token untuk alat peneroka blok, digunakan untuk melihat kelulusan pada alamat anda sendiri

Ingin tahu

Bagaimana seseorang boleh kosongkan dompet saya jika saya tidak pernah beritahu sesiapa pun frasa benih saya?
Apa sebenarnya yang saya setujui apabila sebuah laman web meminta saya untuk bersambung atau mendaftar?
Jika saya sendiri yang klik ‘setuju’, adakah ia masih dianggap pencurian menurut undang-undang?

Teroka

Drainer dompet ialah laman web, aplikasi atau kontrak pintar yang berniat jahat, yang menipu pemilik dompet untuk menandatangani sesuatu yang membolehkan penyerang mengalihkan aset milik pemilik tersebut. Berbeza dengan frasa kunci yang dicuri (pelajaran 4.1.5), tandatangan sendiri pemilik itulah yang digunakan, jadi dompet akan menganggap tindakan itu sebagai sah. Menghubungkan dompet ke sebuah laman web biasanya hanya berkongsi alamat awam anda; bahaya terletak pada permintaan untuk meluluskan atau menandatangani yang berikutnya. Drainer ini datang melalui airdrop palsu, halaman penciptaan kripto palsu, laman web yang serupa, iklan carian dan mesej “ sokongan” palsu (pelajaran 4.2.4). Oleh kerana hasilnya merupakan pemindahan data dalam blockchain biasa, tiada siapa yang boleh membatalkannya (pelajaran 1.1.6).
Mekaniknya berasal daripada standard token. Kebanyakan token di Ethereum dan rangkaian serupa mengikut ERC-20. Fungsi “approve” membolehkan ‘spender’ menarik dana dari akaun anda ‘beberapa kali, sehingga’ jumlah yang ditetapkan, manakala fungsi “transferFrom” digunakan oleh ‘spender’ untuk memindahkan token tersebut. Pertukaran terdesentralisasi dan aplikasi lain menggunakan fungsi kelulusan ini atas sebab-sebab yang sah, dan banyak antaramuka meminta jumlah yang sangat besar atau ‘tanpa had’ demi kemudahan. Kelulusan tersebut kekal berkuat kuasa sehingga ia digunakan sepenuhnya atau diubah. Oleh itu, kelulusan yang diberikan kepada kontrak jahat boleh digunakan beberapa hari atau bulan kemudian untuk mengambil semua token jenis tersebut, termasuk token yang diterima selepas anda menandatangani.
Dua ciri terbaru ini meningkatkan risiko. ERC-2612, standard terakhir Ethereum, menambah fungsi kebenaran yang membolehkan kelulusan diberikan melalui mesej yang ditandatangani, bukannya melalui transaksi dalam rangkaian; sesiapa sahaja yang memiliki tandatangan tersebut boleh mengemukakannya sebelum tarikh akhir. Tetingkap pop-up yang menunjukkan mesej seperti “Tandatangani untuk log masuk” atau “Tandatangani untuk menuntut” sebenarnya boleh menjadi alat untuk mendapatkan kebenaran, tanpa sebarang yuran atau transaksi yang perlu diberitahu kepada pengguna. Bagi NFT pula, standard ERC-721 membolehkan “pengendali” menguruskan semua token milik pemilik dalam satu koleksi. Ada penipu yang mengelak proses kelulusan sama sekali dan meminta frasa kunci pada borang palsu, yang seterusnya akan memberikan akses penuh ke dompet tersebut.
FBI telah mendokumentasikan corak-corak penipuan ini. Amaran yang dikeluarkan pada Julai 2022 mengenai penipuan “liquidity mining” menerangkan bahawa mangsa dijanjikan pulangan sebanyak 1 hingga 3 peratus setiap hari; mereka menyambungkan dompet mereka dan menerima antaramuka yang direka untuk meniru antaramuka dompet tersebut, tanpa sedar memberi kebenaran kepada penipu untuk mengambil wang secara tidak terhad. Kerugian yang dicatatkan sejak Januari 2019 melebihi $70 juta. Amaran pada Jun 2025 pula menerangkan tentang program “airdrops” NFT di rangkaian Hedera, di mana pautan yang diberikan membawa ke laman web yang meminta frasa rahsia dompet tersebut. Kedua-dua amaran ini menganggap tindakan tersebut sebagai pencurian, dan FBI mengesyorkan agar pengguna menggunakan alat pemeriksa ketersediaan token daripada pihak ketiga secara berkala.
Menurut undang-undang AS, kebenaran yang diperoleh melalui penipuan bukanlah persetujuan sebenar. Rancangan untuk memperoleh harta dengan cara penipuan menggunakan Internet dianggap sebagai penipuan kewangan di bawah 18 U.S.C. §1343, yang boleh dikenakan hukuman penjara sehingga 20 tahun. Undang-undang kecurian di peringkat negeri pula umumnya meliputi harta yang diperoleh melalui penipuan. Kemampuan untuk menyaman atau mendakwa merupakan perkara yang berbeza daripada usaha untuk mendapatkan semula aset tersebut, kerana pelaku penipuan sering kali tidak dikenali dan berada di luar negara. Dari segi cukai, Memorandum Penasihat Kanan IRS 202511015 menganggap kerugian akibat phishing dan akaun yang digodam untuk tujuan pelaburan sebagai kerugian kecurian yang boleh ditolak; ia melibatkan akaun bank dan akaun persaraan, jadi cara ia digunakan dalam kes dompet yang dirampas bergantung pada fakta-faktanya.
Pemeriksaan praktikal: baca apa yang sebenarnya dibenarkan oleh permintaan tandatangan, termasuk alamat pemegang wang dan jumlahnya; anggap semua permintaan dari laman web yang diperoleh melalui mesej, iklan atau airdrop sebagai mencurigakan; semak dan batalkan kelulusan lama menggunakan alat pemeriksa kelulusan. Proses pembatalan itu sendiri merupakan transaksi yang memerlukan yuran rangkaian, dan ia tidak dapat memulihkan wang yang telah dicuri. Jika anda pernah memasukkan frasa kunci anda ke dalam laman web, membatalkan kelulusan sahaja tidak mencukupi, kerana keseluruhan dompet akan terdedah. Selepas berlaku pengeluaran wang, rekodkan hash transaksi dan alamatnya serta laporkannya dengan segera (pelajaran 4.2.7), kerana dana yang sampai ke bursa atau stablecoin yang boleh dibekukan kadangkala boleh dibekukan.

Fakta utama

Di bawah piawaian ERC-20, fungsi “approve” membenarkan pengguna untuk menarik dana daripada akaun tersebut beberapa kali, sehingga jumlah yang diluluskan.
Fungsi transferFrom ERC-20 membolehkan pengguna yang diluluskan mengalihkan token atas nama pemilik.
ERC-2612 menambahkan fungsi kebenaran yang mengubah kuantiti token menggunakan mesej yang ditandatangani, bukannya transaksi dalam rangkaian yang dihantar oleh pemiliknya.
Fungsi ERC-721 “setApprovalForAll” memberi kuasa kepada pengendali untuk menguruskan semua NFT milik pemilik dalam kontrak tersebut.
Amaran FBI I-072122-PSA melaporkan kerugian melebihi $70 juta sejak Januari 2019 akibat penipuan “liquidity mining” yang menggunakan kebenaran dompet.
Pemalsuan melalui wayar di bawah 18 U.S.C. §1343 boleh dihukum dengan hingga 20 tahun penjara, atau hingga 30 tahun jika ia menjejaskan institusi kewangan.

Latihan sembilan, enam, tiga, satu

9KumpulSenaraikan sehingga 9 jenis permintaan atau arahan dompet yang pernah anda lihat, seperti sambung, luluskan, benarkan, tetapkan kelulusan untuk semua, tandatangani mesej, masukkan frasa seed, atau tuntut airdrop.

6KelompokkanSusunnya ke dalam 6 kategori: berkongsi alamat, kelulusan token, mesej yang ditandatangani, kelulusan pengendali NFT, pemindahan langsung, dan permintaan untuk kunci atau frasa rahsia.

3SaringKurangkan 6 kategori tersebut kepada 3 tahap risiko: tidak berbahaya dengan sendirinya, berisiko jika laman web itu berniat jahat, dan tidak pernah selamat untuk diberikan kepada mana-mana laman web.

1KristalkanSaya ingin tahu butiran terperinci mengenai kos dan syarat yang berkaitan sebelum menandatangani sebarang permohonan kelulusan untuk dompet tersebut.

Semakan fakta

Tarikh, angka dan dakwaan telah disemak berbanding dengan sumber yang diterbitkan yang disenaraikan di bawah.

Buka dalam akademi interaktif →

EN PT ES ZH JA KO RU DE FR