Fałszywa strona zwykle wygląda wystarczająco dobrze
Phishing nie musi wyglądać prymitywnie. Fałszywa strona giełdy, portfela albo aplikacji DeFi może mieć poprawne logo, podobny układ i przyciski działające tak jak w oryginale. Różnica bywa w jednej literze domeny, nietypowej końcówce adresu albo linku z reklamy, który podszywa się pod popularną usługę.
Najprostsza zasada: nie wchodź do portfela, giełdy ani DEX-a z przypadkowej reklamy, komentarza, wiadomości prywatnej lub linku z grupy. Zapisz własne zakładki do najważniejszych usług i za każdym razem sprawdzaj domenę przed podłączeniem portfela.
Uważaj na fałszywe aplikacje portfeli
Szczególnie groźne są fałszywe rozszerzenia przeglądarki i aplikacje mobilne udające znane portfele. Ich celem jest wyciągnięcie seed phrase albo skłonienie użytkownika do podpisania operacji, która oddaje kontrolę nad tokenami.
Portfel instaluj wyłącznie z oficjalnej strony projektu albo z linku prowadzącego do zweryfikowanego profilu w sklepie z aplikacjami. Nie wpisuj seed phrase na stronie internetowej. Prawdziwy portfel prosi o nią przy odtwarzaniu portfela w aplikacji, a nie w formularzu obiecującym airdrop, odblokowanie konta lub weryfikację.
Podpis w portfelu jest ważniejszy niż wygląd przycisku
Strona może pokazywać niewinny przycisk, ale portfel wyświetla właściwy typ operacji. Jeśli widzisz transfer, approval, setApprovalForAll albo zgodę na bardzo wysoki limit tokenów, zatrzymaj się i sprawdź, czy taka operacja ma sens. Samo kliknięcie connect zwykle nie powinno przenosić środków.
Najbardziej ryzykowne są nieograniczone zgody dla nieznanych kontraktów oraz podpisy, których portfel nie potrafi czytelnie opisać. Jeżeli nie rozumiesz, co zatwierdzasz, lepiej przerwać transakcję i sprawdzić adres kontraktu w eksploratorze albo użyć małego, testowego portfela.
Jak ograniczyć straty, gdy coś wygląda podejrzanie?
Po kontakcie z podejrzaną stroną odłącz portfel od aplikacji, sprawdź aktywne zgody tokenów i cofnij te, których nie rozpoznajesz. Jeśli seed phrase mogła zostać ujawniona, cofanie zgód nie wystarczy. Taki portfel trzeba traktować jako spalony i przenieść środki na nowy adres z nową frazą.
Dobrym nawykiem jest podział portfeli. Jeden adres do codziennych interakcji z DeFi i airdropami, drugi do długoterminowego przechowywania, bez eksperymentów i bez podłączania do przypadkowych stron. To nie usuwa ryzyka, ale ogranicza skutki pojedynczej pomyłki.