БЕЗОПАСНОСТЬ В КРИПТЕ
«Наставничество по заработку на криптовалюте»
CRYPTO CAMP ACADEMY
ЦИФРОВАЯ ГИГИЕНА
УЧЕТНАЯ ЗАПИСЬ ПОЧТЫ
Для работы с криптовалютой желательно заводить новую почту для бирж и каких-либо важных сервисов, а старую оставить для различных других активностей в сети. Если вы сомневаетесь, нужно ли вам заводить новую почту или нет, то рекомендую обратиться к порталу, где вы сможете проверить – «утекла» ли куда-нибудь ваша учётка.

Взломы через почты не редкость, приведу в пример забавный взлом одной крупной (уже скам) биржи. Взлом биржи был осуществлен через сотрудника, которому отправили приглашение на какой-то важный «форум» на почту и он перешел по ссылке. Так что это не редкость и нужно подумать о безопасности вашей почты.
Настоятельно рекомендую завести отдельные почтовые сервисы для разных нужд – так вы не пропустите важное письмо и обеспечите безопасность своих данных. Например, делить ящики имеет смысл на следующие категории:

1. Личный: вся текущая переписка, регистрация в сервисах, уведомления от которых важны.
2. Секретный: все, что связано с финансами и любой иной чувствительной информацией. Рекомендую пользоваться сервисом с типом шифрования End-to-end (например, Voltage SecureMail я пользуюсь им).
3. Облачный: привязки сервисов типа iCloud, Google Drive, мессенджеры. Желательно иметь несколько ящиков на каждый сервис.
4. Спам: почтовые рассылки и интернет-магазины, случайные регистрации.

Сделать прямо сейчас:

• Разделить личное и рабочее.
• Очистить почту от спама.
• Удалить файлы с конфиденциальной информацией и письма с восстановлением парольных данных, если есть.
ПАРОЛИ
Далее важно обезопасить ваши пароли. Рекомендую использование сложных и неповторяющихся паролей для каждого сервиса(особенно биржи). Лично я использую пароли следующего вида:

Например, типичный пароль Ivan1994 можно записать хотя бы как 1IvAan1994! и уже будет более безопасно для учетки или используйте менеджер паролей для генерации новых паролей, делайте пароли от 12 знаков со специальными символами, максимально сложные.

Сделать прямо сейчас:

• Придумайте сейчас нормальные пароли на биржах/почтах/важных сервисах

2FA АУТЕНТИФИКАЦИЯ
Важнейшим шагом является использование двухфакторной аутентификации для каждого сервиса. В большинстве сервисов 2FA – это использование СМС. Но это не самый безопасный вариант. Поэтому, скачайте и установите приложения типа Google Authenticator(не включаем режим сохранения в облаке, это важно).

Сделать прямо сейчас:

• Установите двухфактурки везде, где только можно

ТЕЛЕФОН
Что касается телефонов: есть две основные операционные системы, которые используются по всему миру – Andoid и IOS. Подробно говорить мы о них не будем. Запомните, что Android самая уязвимая ОС, т. к. она самая популярная, как и Windows.

Поэтому, не качайте лишнего и не устанавливайте сомнительные программы не из официального магазина. Что касается Apple, у них очень сильная команда по безопасности, и они педантично следят за ней. Ну и эта ОС менее популярна, чем Android, поэтому на нее гораздо меньше эксплойтов. Все что популярно – всегда притягивает больше внимания.

    Сделать прямо сейчас
    :

    • Скачать антивирус на Windows (вполне подойдет Kaspersky)
    • Установить пин на симку(по желанию)

    СОЦИАЛЬНЫЕ СЕТИ
    WhatsApp, Telegram – самые популярные мессенджеры у обывателя. Wickr Me, Threema и Signal – популярны в кибербезе. Но каждый из них не гарантирует 100% защиты. Это не панацея. Везде необходимо усиливать безопасность. Handbook: что нужно делать на регулярной основе:

    1. Регулярно обновлять ПО для каждого из используемых мессенджеров. Большая часть обновлений всегда касается безопасности. Попросту говоря, разработчики закрывают всевозможные дыры в ПО, которые могли быть проэксплуатированы злодеями в прошлой версии ПО. Будьте на чеку и регулярно обновляйтесь.
    2. Включайте двухфакторную аутентификацию и не выключайте ее никогда.
    3. Больше относится в обладателях Android. Внимательно смотрите откуда скачиваете мессенджер. Только из Google Play.

    Сделать прямо сейчас
    :

    • Обновите ПО для мессендеров
    • Двухфактурки вездее

    WI-FI
    Не пользоваться общедоступными wi-fi, например в аэропорту.

    Если ваш Wi-Fi-роутер древний, то самое время его сменить. Незащищенный роутер и беспроводная сеть могут стать точкой входа для соседа, который практикует свои знания, или для настоящего злоумышленника.

    • Откажитесь от паролей по умолчанию. Да опять пароли...В первую очередь необходимо сменить пароль для входа в настройках роутера. Для этого вам потребуется IP-адрес устройства, который можно узнать, посмотрев на обратной стороне устройство специальную наклейку. Далее необходимо по данному IP-адресу перейти в браузере и ввести логин/пароль.
    • Установите сложные пароли к сети Wi-Fi и к административной панели роутера (см. выше).
    • Измените стандартное имя административной учетной записи
    Для продвинутых:
    • Измените стандартный IP-адрес устройства.
    • Обновите прошивку и установите новые версии ПО.
    • Отключите WPS.
    • Отключите удаленный доступ к роутеру.
    • В качестве технологии, по которой работает Wi-Fi сеть, установите, как минимум WPA2, а лучше WPA3. Можно также включить комбинированный режим WPA2+WPA3 (если в вашем роутере нет WPA3 — пора заменить его на новый).
    Сделать прямо сейчас:

    • Установить сложный пароль для входа в настройках роутера
    • Измените стандартное имя административной учетной записи
    • Отключите свой компьютер/телефон от различных вайфаев
    КОМПЬЮТЕР
    1. Выключать компьютер, если вы им не пользуетесь.
    2. Не оставлять на компьютере открытыми программы, позволяющие удаленно управлять вашим компьютером (teamviewer и т.д.)
    Сделать прямо сейчас:

    • Наведите, наконец, порядок на своем рабочем столе и удалите все ненужные файлы. Все разложите по папкам и, если, не дай бог, у вас где-то на компьютере есть сид-фразы — убирайте их оттуда!
    БЕЗОПАСНОСТЬ В КРИПТЕ
    ЛИЧНЫЕ СООБЩЕНИЯ
    Когда вы заполняете формы для попадания в Whitelist, или даже просто следите за проектом, вы вступаете в официальные группы Telegram и Discord (возможны и другие соц. сети) и тут неожиданно вам приходит личное сообщение, что "вы выиграли" или "вы были выбраны" или незадолго до выхода токена на рынок может прийти сообщение с контрактом токена. 100% это будут мошенники или, как принято их называть в криптосообщест-ве, скамеры. Они мониторят пользователей вступивших в группы и начинают рассылать личные сообщения.

    Никогда не переходите по ссылкам из личных сообщений, не отвечайте им и сразу же удаляйте/блокируйте чат, чтобы не потерять свои средства.

    Это относится как к Телеграм так и к Дискорд.

    Обращаясь за решением проблем в официальные чаты, вам постоянно будут писать в личку люди под видом администраторов проекта, отправляйте в черный список, не отвечайте и не отправляйте никаких данных этим людям — это мошенники.
    Пример скам-сообщения в телеграмм
    Сделать прямо сейчас:
    • в Telegram мы рекомендуем запретить добавлять вас в группы.

    Входим в настройки вашего телеграма; Производим вход в "конфиденциальность"; Заходим в "группы и каналы"; Выбираем необходимое вам действие.

    • в Discord есть функция запрета написания личных сообщений.
    Не бойтесь закрывать и удалять личные сообщения от неизвестных контактов

    Войдите в меню аккаунта; Выберите пункт «Отключить отправку личных сообщений».
    E-MAIL
    Иногда вы можете получить сообщение о выигрыше или с какой-то другой информацией от проекта на почту.

    Первое что вы должны сделать — это проверить отправителя сообщения. В 99% случаев проекты сообщают через свои официальные средства информации, что они разослали письма пользователям и указывают email с которого должно прийти такое письмо.

    Также хотели бы вас предостеречь от скачивания каких либо файлов из писем неизвестных отправителей (даже текстовые) — это может повлечь установку вредоносного ПО.
    ФИШИНГ-САЙТЫ
    Довольно часто встречаются фишинг-сайты. Это копии сайтов проектов, игр или целых бирж, подключившись к которым, или подписав контракт, вы можете потерять свои средства. "Фишинг" переводится как рыбалка, но только "рыба" это вы. Не будьте "рыбой".

    Ниже пример фишинг-копии сайта DAO Maker и оригинального сайта. Копия выполнена очень точно, различие вы можете заметить только лишь обратив внимание на домен.

    Вы можете задаться вопросом: а как узнать официальный канал проекта?

    • Во первых, публикуя информацию на канале, присылая вам задания мы
      всегда прикрепляем ссылки на сайт/канал или другой официальный источник.
    • Во вторых, вы так же можете найти необходимые вам ссылки
    на таких сайтах-агрегаторах как CoinMarketCap или CoinGecko

    (если проект уже запустился, там есть и адрес контракта токена, а если токен еще не вышел на рынок, то учтите, что его НИГДЕ не купить, что бы вам не писали в личные сообщения скамеры).

    Прежде чем переходить по ссылкам в группах, чатах, пабликах, социальных сетях (например в телеграм или дискорд) убедитесь что это официальная группа и сообщение опубликовал админ группы (чтобы проверить официальную группу, перейдите на официальный сайт проекта и там перейдите по ссылке нужной вам социальной сети). Мошенники создают копии групп проектов и приглашают туда всех подписчиков официальных групп, публикуют какие-то очень халявные предложения и скамят людей.

    Пример:

    Вы перешли по непонятной ссылке и думаете, что подключаете кошелёк к привычному Uniswap, а на самом деле это Unɪswąp, который задеплоили злоумышленники специально чтобы уводить сид-фразы у доверчивых пользователей. Либо вообще созданный копипейстом сайт-однодневка, который просит вашу сид-фразу для логина.

    Примеры хитрого фишинга:

    В случае с массовым фишингом атакующие, как хорошие маркетологи, стремятся угадать «боли» криптанов и сыграть на эмоциях. Среди самых популярных тем тут фейковые копии токенсейлов, в которые трудно попасть, фальшивая служба поддержки, которая стремится решить вашу техническую проблему, и скамные раздачи бесплатных денег, где любые отправленные средства вам обещают вернуть в двойном размере. Однако «наживка» может меняться от ситуации к ситуации и быть практически любой.

    А вот я просто вбила в поиск DAOMaker и что мы видим:))
    ПРЕДОНОСНОЕ ПО
    Действует более скрытно, чем фишинговые атаки, ворует сид-фразы и подменяет адреса при отправке средств. Может поступить откуда угодно, поэтому стоит по умолчанию с подозрением относиться к любым файлам, которые попадают на ваше устройство.

    Как противостоять таким атакам:
    • Не скачивайте файлы из мутных источников. Это касается любых расширений, не только *.exe. Избегайте кряков.
    • Будьте внимательны с расширениями браузера. Самые параноидальные могут устанавливать их локально, чтобы не допустить автообновления, при котором экплойт может прилететь даже в ранее легитимное приложение. В наиболее тяжелых случаях фейковым может оказаться и MetaMask.
    ВРЕДОНОСНЫЕ СМАРТ-КОНТРАКТЫ
    Сюда относятся опасности разрешений на расходование средств, различные скам-токены, токены-подделки, иногда даже обычные подписи.

    Один из подвидов — ханипот-токены (интересно, что в кибербезопаности honeypot обозначает ресурс-приманку для злоумшленников, а в крипте по сути наоборот). Их можно купить, но нельзя продать — это опасно в первую очередь для любителей полудить свежие щитки на Pancakeswap, если такие ещё остались.

    Также распространены скамные эйрдропы — большинство «дропов», которые прилетают на кошелёк сами, особенно за пределами сети Ethereum, к сожалению, фейк. Их основная цель — побудить вас перейти на сайт проекта и либо отдать приватный ключ, либо подписать скамную транзакцию — в общем, опустошить кошелёк.

    Наконец, вам могут попадаться фальшивые токены и NFT, имитирущие известные названия. OpenSea пытается с этим бороться, но во-первых, есть и другие маркетплейсы, а во-вторых, исключить такую вероятность полностью всё равно пока не удаётся.

    Как противостоять таким атакам:
    • Не давайте безлимитных апрувов смарт-контрактам, даже доверенным — нет гарантий, что позже в них не найдут дыру и не используют существующие апрувы для опустошения кошельков. Одобряйте лишь то количество токенов, которое необходимо для конкретной транзакции.
    • Всегда сверяйте адрес токена/NFT-коллекции с официальным перед покупкой.
    • При получении непонятных токенов, про которые вы слышите впервые, всегда проводите собственный ресёрч.
    • Проверять токен на предмет ханипота можно либо чтением контракта, либо через специальные сервисы, например, этот, этот или вот этот. Можно понаблюдать за историей торгов токена — правда, были случаи, когда скамеры отключали возможность продажи уже через некоторое время после начала торгов.
    НЕОЖИДАННЫЙ АИРДРОП
    На адрес приходит ничтожно малое количество какой-нибудь криптовалюты, которая используется для дальнейшего отслеживания транзакций и связей между адресами. Альтернативный вариант — фишинговые ссылки в мемо.

    Что делать?
    • Не трогайте токены, происхождения которых вы не знаете.

    ФАЛЬШИВЫЕ ХОЛОНЫЕ КОШЕЛЬКИ
    Сюда же относятся кошельки с вредоносными закладками или просто б/ушные — не забывайте, что приватный ключ от них будет известен и продавцу.

    Поэтому:
    • Покупайте только новые кошельки только у официальных продавцов и дистрибьюторов.
    ОТС-РЫНОК
    Когда вы попадете в вайтлист какого-либо проекта (или не попадете), возможно, вы захотите продать свой кошелек или наоборот купить еще один. Для этого все мы используем своеобразные «рынки» — ОТС.

    Но, как и на любом рынке, здесь нас тоже будут ожидать любители наживы. Гарант может быть в сговоре с продавцом или продавец может списать ваши средства с приобретенного кошелька. Существует еще много других ситуаций которые могут возникнуть и принести вам убыток.

    Рекомендуем использовать только проверенные ОТС (например, OTC Whitelist), всегда обращаться к гарантам и проверять совпадает ли гарант
    указанный в ОТС с тем человеком, с которым вы общаетесь.

    Проверяйте источники информации очень тщательно.
    Это поможет сохранить вам свои средства.
    МОШЕННИЧЕСТВО
    СКАМЫ «ИНФЛЮЕНСЕРОВ»
    Не видитесь на халяву — чем более вкусно звучит предложение, тем выше шанс что это скам и вас кинут на деньги.

    Недавний скандал с Blondychain — хороший тому пример. Это уже ближе к традиционному мошенничеству, жертвы которого добровольно отдают деньги скамеру в надежде заработать.

    Как не попасть на мошенничество?
    • Внимательно относитесь к людям, которые предлагают «сотрудничество» — мы в крипте конечно не обманываем друг друга, но ведь и деньги для многих не пахнут.
    СХЕМА «ЛЕГКИЕ ИКСЫ»
    Распространенная схема, которая выглядит следующим образом:

    1. Создать фейковый токен (занимаете около 30 минут)
    2. Распиарить его в соц. сетях (чаще всего в телеграмм каналах) и дать людям четкую инструкцию, куда и как нажать, чтобы купить (пара недель)
    3. Люди покупают, покупают, цена токена улетает вверх на десятки тысяч %
    4. Пользователи хотят "продать" актив, но неожиданно оказывается, что в коде токена прописан запрет на продажу, и вы в принципе никак не можете это сделать. Деньги вложили - а вывести нельзя.
    5. Вывести их может только создатель токена на свой исходный кошелек, что он в конце концов и делает
    6. Спустя какое-то время биржа блокирует токен, и начинаем схему заново

    Главный аргумент мошенников в этой схеме следующий: "Мы нашли токен, который в ближайшее время будет листиться (появление на рынке) на крупных биржах, а сейчас можно выкупить его по "закупочной цене", на отдельной бирже, где он уже появился и сейчас цена там 0,00001, но как только пройдет листинг - она уже будет ~1$. Рост 10.000%!!"

    Сервис, которым я пользуюсь для проверки контракта токена – https://desk.lsr.finance/
    Made on
    Tilda