Визначення
Phishing (фішинг) — це вид соціальної інженерії, коли зловмисники вигадують привабливий привід, щоб змусити користувача самостійно передати їм контроль над гаманцем чи активами. У контексті Solana це найчастіше підроблені сайти, які імітують відомі dApps, NFT-маркетплейси або airdrop-кампанії.
Головна небезпека фішингу на Solana — швидкість і незворотність транзакцій. Якщо ви підписали шкідливу транзакцію і кошти пішли, повернути їх практично неможливо, оскільки мережа не має центрального органу, який міг би скасувати операцію.
Як працює
Схема фішингової атаки на Solana зазвичай складається з кількох кроків:
- Приманка. Зловмисник створює повідомлення в Twitter, Discord або Telegram із «ексклюзивною» пропозицією: безкоштовний airdrop, ранній доступ до токену, розіграш NFT або вимога «підключити гаманець для верифікації».
- Перехід на підроблений сайт. Посилання веде на домен, що візуально копіює справжній проєкт, але має іншу адресу (наприклад, інше розширення, додатковий дефіс або заміну літери).
- Запит на підпис. Сайт пропонує підключити гаманець (Phantom, Solflare тощо) і підписати транзакцію. Текст транзакції часто непомітно відрізняється від очікуваного — замість безпечного повідомлення це може бути переказ SOL або SPL-токенів на адресу атакувальника.
- Крадіжка. Після підпису кошти миттєво пересилаються, а зловмисник може додатково створити дрейн-транзакцію, яка автоматично зчистить усі доступні токени з гаманця.
Важливо розуміти: фішинг не вимагає злому самого гаманця чи мережі Solana. Він спирається на те, що користувач сам добровільно підписує шкідливу транзакцію, не перевіривши її зміст.
Приклад
Користувач бачить у Discord-каналі повідомлення: «Учасники раннього доступу отримують бонусні токени — підключіть гаманець для клейму». Посилання веде на сайт magicdrap-solana.com замість справжнього magicdrop-solana.com. Після підключення гаманця з'являється вікно підпису транзакції. Користувач натискає «Approve», не розгорнувши деталі. У результаті з його гаманця списуються всі SOL та SPL-токени.
Типова помилка
Найпоширеніша помилка — довіряти візуалу сайту, а не адресі. Підроблений ресурс може мати ідентичний логотип, кольори, макет і навіть скопійований текст. Але домен завжди буде іншим. Перевірка URL-рядка браузера перед підключенням гаманця — це єдиний надійний спосіб виявити підробку на цьому етапі.
Друга помилка — підписувати транзакцію, не розгорнувши деталі в гаманці. Навіть якщо сайт виглядає справжнім, завжди перевіряйте, що саме ви підписуєте: повідомлення (безпечно) чи транзакцію з переказом коштів (небезпечно).