Команда безопасности Trust Wallet подтвердила, что веб-сайт, рекламирующий криптовалютную платежную карту с необычайно щедрыми преимуществами, является мошенническим, и предупредила пользователей о недопустимости подключения своих кошельков к этой платформе.
Краткое содержание
- Команда безопасности Trust Wallet подтвердила, что веб-сайт, рекламирующий криптовалютную платежную карту с премиальными преимуществами, является мошенническим, и предупредила пользователей о недопустимости подключения своих кошельков.
- Фальшивый веб-сайт обещает лимит расходов в размере 100 000 долларов, кэшбэк до 8%, отсутствие требований KYC и доступ в аэропортовые лаунжи, при этом выпуск карты рекламируется всего за 1 доллар.
- Исследователь безопасности Дэниел обнаружил этот веб-сайт после того, как выяснил, что он использовал брендинг Trust Wallet для продвижения трех уровней карт и утверждал о наличии лицензий в четырех странах.
- Trust Wallet пояснила, что ее легитимные предложения доступны через официальное приложение и веб-сайт компании, предупредив пользователей о недопустимости одобрения подозрительных запросов на подключение кошелька или подписей.
Исследователь криптобезопасности Дэниел, известный как @0xDani в X, сообщил о фальшивой карте Trust Wallet в посте от 28 октября, указав на веб-сайт, который использовал брендинг поставщика кошелька для продвижения платежной карты с лимитом расходов в 100 000 долларов, вознаграждениями в виде кэшбэка до 8% и несколькими премиальными преимуществами.
Веб-сайт рекламировал карту как способ тратить криптовалюту где угодно, с поддержкой Apple Pay и Google Pay, нулевыми комиссиями за обмен валют и отсутствием требований к верификации личности.
Джеймс Бро, представившийся как представитель команды безопасности Trust Wallet, ответил на предупреждение и подтвердил, что веб-сайт не связан с компанией.
Фальшивая карта Trust Wallet обещает премиальные преимущества за 1 доллар
Согласно скриншотам Дэниела, мошеннический веб-сайт представлял то, что выглядело как полностью разработанное предложение криптовалютной карты, включая несколько уровней членства и премиальную металлическую карту.
В его рекламных материалах указывался лимит расходов до 100 000 долларов, а также вознаграждения в виде кэшбэка, достигающие 8% для пользователей, выбирающих высший уровень карты.
Предложение включало доступ в аэропортовые лаунжи, нулевые комиссии за обмен валют, поддержку сервисов мобильных платежей и физическую металлическую карту, при этом утверждалось, что пользователям нужно будет заплатить всего 1 доллар за выпуск карты.
Одной из наиболее необычных особенностей было обещание отсутствия верификации Know Your Customer, обычно называемой KYC, несмотря на то, что веб-сайт рекламировал платежные услуги и утверждал о наличии лицензий в четырех странах.
Скриншоты, которыми поделился Дэниел, показывали три уровня карт, включая Lite, Signature и Metal, каждый из которых нес имя и логотип Trust Wallet.
Начальная карта Lite обещала кэшбэк до 3%, в то время как версия Signature рекламировала вознаграждения, достигающие 5%, наряду с нулевыми комиссиями за обмен валют и приоритетной поддержкой.
Тем временем уровень Metal продвигался с кэшбэком 8%, неограниченным доступом в аэропортовые лаунжи и круглосуточными консьерж-услугами.
Однако предложение требовало от пользователей подключения своих криптовалютных кошельков, что Дэниел определил как опасную часть схемы.
Команда безопасности Trust Wallet отрицает связь с веб-сайтом
Отвечая на предупреждение Дэниела в X, Джеймс Бро подтвердил, что веб-сайт не принадлежит Trust Wallet, и направил пользователей к официальному приложению и веб-сайту компании.
Он объяснил, что легитимные предложения Trust Wallet доступны через ее официальные каналы, и предупредил пользователей о недопустимости подключения своих кошельков или одобрения подозрительных запросов для получения платежной карты.
Предупреждение конкретно касалось требования веб-сайта о подключении кошелька, которое представлялось как часть процесса получения рекламируемых преимуществ.
Хотя веб-сайт использовал название Trust Wallet, дизайн платежных карт и рекламные материалы, ответ команды безопасности установил, что это предложение не является авторизованным продуктом компании.
В публикациях не было предоставлено подтвержденных финансовых потерь, затронутых адресов кошельков или сведений об операторах, стоящих за мошенническим веб-сайтом.
Это предупреждение последовало за более ранними случаями, когда преступники выдавали себя за Trust Wallet через неофициальные приложения и веб-сайты.
В июне 2024 года crypto.news сообщил, что Trust Wallet предупредил пользователей о поддельных версиях своего приложения, появляющихся в магазинах приложений Xiaomi и Amazon.
В то время компания заявила, что запросила удаление мошеннических приложений, и призвала пользователей загружать свое программное обеспечение для кошелька через проверенные каналы загрузки.
Поддельные криптовалютные веб-сайты могут использовать одобрения кошелька для кражи средств
Мошеннические криптовалютные веб-сайты обычно пытаются получить доступ к активам пользователей, убеждая их одобрить вредоносные транзакции или подписать разрешения, которые выглядят как часть легитимного сервиса.
Одного подключения кошелька недостаточно, чтобы автоматически дать веб-сайту разрешение на перевод криптовалюты. Однако злоумышленники могут использовать последующие запросы транзакций или подписи для получения разрешений на расходование определенных токенов.
Такие разрешения могут позволить контролируемому злоумышленником смарт-контракту переводить активы без необходимости раскрытия жертвой своей фразы восстановления.
В июле пользователь Ethereum якобы потерял почти 1 миллион долларов после одобрения вредоносной транзакции, которая позволила злоумышленникам перевести криптовалюту с пострадавшего кошелька.
Этот инцидент последовал за еще одной предполагаемой кражей на сумму около 1,65 миллиона долларов, когда жертва подключилась к мошенническому веб-сайту обмена и подписала вредоносный смарт-контракт.
Аналогичные методы были выявлены ранее в этом месяце, когда блокчейн-компания по безопасности Salus связала несанкционированные выводы USDG с подписями разрешений, предоставившими злоумышленникам неограниченные права на расходование токенов.
Согласно выводам компании, злоумышленники использовали эти разрешения для перевода средств после получения авторизации, не нуждаясь в доступе к закрытым ключам жертв.
