Как распознать фишинговое уведомление кошелька: 7 признаков по следам атаки на NGRAVE

Разбираем с нуля, как распознать фишинговое уведомление, если оно пришло от настоящего приложения твоего кошелька. Повод свежий: 17 октября пользователи приложения LIQUID от бельгийского производителя аппаратных кошельков NGRAVE получили пуш «на ваш портфель зашли с нового устройства», и около 70 кошельков опустели за считаные минуты. Само устройство никто не взламывал — люди сами ввели сид-фразу на поддельном сайте.

Что случилось с NGRAVE

Около 21:30 UTC 17 октября пользователи LIQUID получили пуш, а в самом приложении появился такой же баннер: «Оповещение безопасности. Ваш портфель LIQUID синхронизирован на новом устройстве — Pixel 9, Москва. Если это были не вы, проверьте сейчас». Сообщение было сделано так, чтобы человек испугался и начал действовать быстро.

Ссылка вела на копию сайта NGRAVE с таймером и кнопкой «Отклонить». Нажатие на неё открывало страницу, где просили 24 слова сид-фразы или Perfect Key — якобы чтобы заблокировать чужака. Кто вводил, отдавал полный контроль над кошельком, и скрипты выводили деньги за минуты.

Как туда попали атакующие: они получили один ключ доступа к сервису рассылки уведомлений, а через него — второй, с более широкими правами. Самые ранние следы этого доступа NGRAVE нашла 11 октября, то есть за шесть дней до атаки. Команда заметила фейковый пуш через минуту, первый ключ отрезала к 21:40, но сообщения шли через второй, пока в 22:45 рассылку не выключили полностью. Последняя кража, которую удалось отследить, — 03:51 UTC 18 октября.

По данным TokenPost, на биткоин пришлось около $1,77 млн потерь, XRP — около $454 тыс., активы в Ethereum — около $316 тыс., Stellar — около $18 тыс. XRP ушли на обменник ChangeNOW 54 депозитами, а ETH — через мост LI.FI в другие сети.

Пуш может прийти от настоящего отправителя и всё равно быть ловушкой — проверяется не канал, а то, что тебя просят сделать.

Как распознать фишинговое уведомление: 7 признаков

Признаки ниже собраны по разбору атаки на NGRAVE, но работают для любого кошелька, биржи или сервиса.

1. Просят сид-фразу, приватный ключ или резервный ключ. Это главный и стопроцентный признак. NGRAVE прямо пишет, что никогда не просит сид-фразу, Perfect Key или оплату. Так ведёт себя любой честный сервис.
2. Давят срочностью. Таймер, «проверьте сейчас», «доступ будет заблокирован через 10 минут» — всё это нужно, чтобы ты не успел подумать.
3. Пугают входом с чужого устройства. «Новое устройство, другой город» — классический крючок. Реальный доступ к твоим монетам виден в блокчейне, а не в пуше.
4. Ведут по ссылке наружу. Настоящему приложению незачем отправлять тебя на внешний сайт, чтобы что-то «подтвердить». Сайт выглядит как родной — это ничего не значит.
5. «Защитное» действие на деле отдаёт доступ. В случае NGRAVE ловушкой была именно кнопка «Отклонить»: желание защититься вело прямо к вводу слов.
6. Предлагают установить «центр безопасности». NGRAVE отдельно предупредила: веб-приложение NGRAVE Security Center, которое могло попасть на домашний экран после нажатия, к ней не относится — его нужно удалить.
7. После инцидента пишут «спасатели». Любые предложения вернуть украденную крипту за деньги, по словам NGRAVE, — обман, даже если отправитель ссылается на компанию.

Что делать, если уже нажал

Порядок действий из отчёта NGRAVE подходит для любого похожего случая:

• Только открыл ссылку или нажал кнопки, но ничего не вводил — средства в безопасности: сайт мог украсть только то, что в него ввели. Удали лишние веб-приложения с домашнего экрана.
• Ввёл сид-фразу или её часть — считай кошелёк скомпрометированным во всех сетях, даже если сайт написал, что слова неверные. Создай новый кошелёк с новой сид-фразой, переведи остатки и больше ничего не отправляй на старые адреса. Пошагово это разобрано в гайде как сменить кошелёк.
• Деньги уже ушли — сохрани хэши транзакций, свои адреса и адреса получателей, примерное время ввода. Подай заявление в полицию: по словам NGRAVE, биржи обычно замораживают средства только по номеру дела.

Ещё один неприятный момент: атакующие скопировали список уведомлений — модель телефона, систему, язык, страну, часовой пояс и, возможно, IP с примерным местоположением. Значит, следующие фишинговые письма пострадавшим будут точнее: в них могут знать твоё устройство и суммы последних обменов.

Как настроить себя заранее

• Относись к любому пушу и письму как к поводу проверить самому, а не как к команде. Открой приложение или обозреватель блоков вручную, не по ссылке.
• Держи сид-фразу только офлайн и никогда не вводи её в браузере или телефоне «для проверки». Как правильно создать и хранить фразу, есть в гайде как создать сид-фразу.
• Раздели средства: крупные суммы держи отдельно от кошелька, которым пользуешься каждый день.
• Отключи пуши, которые тебе не нужны. Меньше каналов — меньше точек атаки.

FAQ

Как распознать фишинговое уведомление, если оно пришло из настоящего приложения? Смотри не на отправителя, а на просьбу: если для «защиты» нужно ввести сид-фразу, ключ или заплатить — это фишинг.

Взломали ли сами кошельки NGRAVE ZERO? Нет. По данным компании, устройство и ключи в нём не пострадали, деньги потеряли те, кто сам ввёл слова на фейковом сайте.

Поможет ли смена пароля, если я ввёл сид-фразу? Нет. Нужен новый кошелёк с новой сид-фразой и перевод всех средств.

Итог: как распознать фишинговое уведомление — помнить одно правило: никакой сервис не просит сид-фразу, даже в пуше с настоящим логотипом. Срочность, «вход из Москвы», ссылка наружу и кнопка «защитить себя» — сигнал остановиться и проверить всё вручную.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.