MSTR Cat

Криптоправо/Уровень IV · Ловушки для держателей/4.2 Мошенничество глазами закона/Урок 3

Слив кошельков и мошенничества с одобрениями

Как подпись, которую вы даёте сайту, позволяет кому-то другому опустошить ваш кошелёк; что на самом деле разрешают стандарты токенов; и какова правовая ситуация, когда согласие получено обманным путём.

Это образовательный материал, а не юридическая, налоговая или инвестиционная консультация. Законодательство о криптоактивах различается от страны к стране и от штата к штату и часто меняется. Прежде чем действовать, уточните действующие правила по месту жительства у квалифицированного юриста или налогового консультанта.

Экономный путь

Самый дешёвый, с наименьшими налогами, самый простой и самый приватный путь, который допускает закон, — от лучшего к худшему. Для каждого шага указано, на какой норме он основан и при каком условии остаётся законным.

  1. Бесплатная первая линия: читайте каждый запрос на подпись, отклоняйте неограниченные одобрения и подписи permit на сайтах, найденных через сообщение, рекламу или аирдроп; одобрения ERC-20 и разрешения ERC-2612 остаются действующими, пока не будут использованы, отозваны или истечёт срок их действия.
  2. Отзывайте устаревшие одобрения с помощью проверщика одобрений токенов в блок-эксплорере, как рекомендует FBI; каждый отзыв стоит только сетевой комиссии и не может отменить предшествующую кражу.
  3. Храните большинство активов в отдельном кошельке, который никогда не подключается к сайтам, и используйте кошелёк с низким балансом для приложений; переводы между вашими собственными кошельками не облагаются налогом в США, но ведите учёт стоимости приобретения (basis) для каждого.
  4. После слива запишите хеши и бесплатно подайте заявление на ic3.gov немедленно, поскольку средства, попавшие на биржу или в замораживаемый стейблкоин, иногда могут быть заморожены; если фраза была введена на сайт, это означает перенос всего в новый кошелёк.

МатериалыТекст стандарта токенов ERC-20, разделы об approve и transferFrom (eips.ethereum.org)ERC-2612, расширение 'permit', позволяющее выдавать одобрения через подписанное сообщениеОбщественный информационный бюллетень FBI I-072122-PSA (21 июля 2022 г.) о мошенничестве с ликвидностью майнингаПроверщик одобрений токенов в блок-эксплорере, используемый для просмотра одобрений на вашем собственном адресе

Любопытство

  1. Как кто-то может опустошить мой кошелёк, если я никому не сообщал свою сид-фразу?
  2. На что именно я соглашаюсь, когда сайт просит меня подключиться или подписать что-либо?
  3. Если я сам нажал «одобрить», это всё ещё кража с точки зрения закона?

Исследование

  1. Слив кошелька (wallet drainer) — это вредоносный сайт, приложение или смарт-контракт, который обманом заставляет владельца кошелька подписать что-то, позволяющее злоумышленнику перевести активы владельца. В отличие от украденной сид-фразы (урок 4.1.5), работу выполняет собственная подпись владельца, поэтому кошелёк рассматривает эту кражу как авторизованную. Подключение кошелька к сайту обычно просто раскрывает ваш публичный адрес; опасность кроется в последующих запросах на одобрение или подпись. Сливщики приходят через поддельные аирдропы, поддельные страницы минта, сайты-двойники, поисковую рекламу и сообщения от фейковой «поддержки» (урок 4.2.4). Поскольку результатом является обычный перевод в блокчейне, ни один оператор не может его отменить (урок 1.1.6).
  2. Механика берёт начало из стандартов токенов. Большинство токенов на Ethereum и подобных цепочках следуют стандарту ERC-20. Его функция approve позволяет «расходнику» (spender) снимать средства с вашего аккаунта «несколько раз, но не более» установленной вами суммы, а transferFrom — это то, как расходник затем перемещает токены. Децентрализованные биржи и другие приложения используют одобрения по законным причинам, и многие интерфейсы запрашивают очень большую или «неограниченную» сумму для удобства. Одобрение остаётся в силе, пока не будет использовано полностью или изменено. Таким образом, одобрение, выданное вредоносному контракту, может быть использовано через дни или месяцы, чтобы забрать все токены данного типа, включая те, что были получены после вашей подписи.
  3. Две более новые функции расширяют риск. ERC-2612, окончательный стандарт Ethereum, добавляет функцию permit, которая устанавливает одобрение через подписанное сообщение вместо транзакции в цепочке; тот, кто владеет подписью, может отправить её до истечения срока действия. Таким образом, всплывающее окно, которое выглядит как «подпишите для входа» или «подпишите для получения», может быть permit — без комиссии и без транзакции, которая бы вас предупредила. Для NFT функция setApprovalForAll стандарта ERC-721 позволяет «оператору» управлять всеми токенами владельца в коллекции. Некоторые сливщики вообще пропускают одобрения и запрашивают сид-фразу на поддельной форме, что передаёт весь кошелёк.
  4. FBI задокументировал эти схемы. Его предупреждение от июля 2022 года о мошенничестве с «майнингом ликвидности» описывало жертв, которым обещали гарантированную доходность от 1 до 3 процентов в день; они подключали свои кошельки и принимали всплывающее окно, спроектированное так, чтобы имитировать интерфейс кошелька, неосознанно разрешая мошенникам снимать неограниченную сумму; с января 2019 года было зафиксировано убытков более чем на $70 миллионов. Предупреждение от июня 2025 года описывало NFT «аирдропы» в сети Hedera, чьи ссылки в примечаниях вели на сайты, запрашивавшие сид-фразы. Оба предупреждения рассматривают результат как кражу, и FBI рекомендует периодически использовать сторонний проверщик разрешений на токены.
  5. В праве США разрешение, полученное обманом, не является настоящим согласием. Схема получения имущества ложными предлогами с использованием интернета является мошенничеством по проводам (wire fraud) согласно 18 U.S.C. §1343, что карается лишением свободы сроком до 20 лет, а законы штатов о краже обычно распространяются на имущество, полученное обманом. Возможность подать в суд или привлечь к ответственности — это одно, а возврат активов — другое, поскольку операторы сливов часто анонимны и находятся за рубежом. В налоговых целях Меморандум Главного юрисконсульта IRS 202511015 рассматривал убытки от фишинга и взломанных аккаунтов, удерживаемых для инвестиций, как вычитаемые убытки от кражи; он касался банковских и пенсионных счетов, поэтому то, как это применяется к опустошённому кошельку, зависит от обстоятельств.
  6. Практические проверки: читайте, что именно разрешает запрос на подпись, включая адрес расходника и сумму; относитесь с подозрением к любому запросу на сайте, который вы нашли через сообщение, рекламу или аирдроп; и проверяйте и отзывать старые одобрения с помощью проверщика. Отзыв сам по себе является транзакцией, которая стоит сетевой комиссии, и он не может отменить кражу, которая уже произошла. Если вы когда-либо ввели свою сид-фразу на сайт, отзыва одобрений недостаточно, потому что весь кошелёк скомпрометирован. После слива запишите хеши транзакций и адреса и немедленно подайте заявление (урок 4.2.7), поскольку средства, попавшие на криптобиржу или в замораживаемый стейблкоин, иногда могут быть заморожены.

Ключевые факты

  • Согласно стандарту ERC-20, approve позволяет расходнику снимать средства с аккаунта несколько раз, но не более утверждённой суммы.
  • Функция transferFrom стандарта ERC-20 позволяет одобренному расходнику перемещать токены от имени владельца.
  • ERC-2612 добавляет функцию permit, которая изменяет разрешения на токены с помощью подписанного сообщения, а не транзакции в цепочке, отправленной владельцем.
  • Функция setApprovalForAll стандарта ERC-721 авторизует оператора управлять всеми NFT владельца в данном контракте.
  • Предупреждение FBI I-072122-PSA сообщило об убытках более чем на $70 миллионов с января 2019 года от мошенничества с майнингом ликвидности, использующего разрешения кошелька.
  • Мошенничество по проводам (wire fraud) согласно 18 U.S.C. §1343 карается лишением свободы сроком до 20 лет или до 30 лет, если оно затрагивает финансовое учреждение.

Упражнение девять, шесть, три, один

9СобратьПеречислите до 9 видов запросов или уведомлений в кошельке, которые вы видели, например: подключение, одобрение (approve), разрешение (permit), «установить одобрение для всех», подпись сообщения, ввод сид-фразы или получение аирдропа.
6СгруппироватьРаспределите их по 6 категориям: раскрытие адреса, одобрения токенов, подписанные сообщения, одобрения оператора NFT, прямые переводы и запросы секретных ключей или фраз.
3Выделить главноеСведите эти 6 категорий к 3 уровням риска: безвредное само по себе; рискованное, если сайт вредоносный; то, что никогда не безопасно передавать какому-либо сайту.
1КристаллизоватьНапишите 1 предложение о том, что вы хотели бы знать перед подписанием любого запроса на одобрение в кошельке.

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

Открыть в интерактивной академии →

EN PT ES ZH JA KO DE FR MS