Що таке соціальна інженерія

Соціальна інженерія — це спосіб викрадення доступу до ваших коштів через маніпуляцію людиною, а не через технічну вразливість. Шахрай не зламує код гаманця чи блокчейн Solana. Він змушує вас самостійно виконати дію, яка передає контроль над активами: відкрити шкідливе посилання, підключити гаманець до підробленого сайту, продиктувати секретні слова або підписати транзакцію, яку ви не розумієте.

Усі схеми соціальної інженерії будуються на одному принципі: створити ситуацію, де ви відчуваєте тиск, поспіх, вигоду або страх, і діяти без перевірки. Технічні засоби захисту — апаратний гаманець, довга seed-фраза, двофакторна автентифікація — не допоможуть, якщо ви самі передасте шахраєві те, що він просить.

Поширені схеми в екосистемі Solana

Підроблена підтримка проєкту

Ви стикаєтесь із проблемою: транзакція зависла, токен не відображається, гаманець не підключається. Шукаєте допомогу в пошуковику й знаходите сторінку «підтримки» з номером телефону, посиланням на чат або формою зворотного зв'язку. Це не офіційна команда проєкту, а шахраї, які створили сайт, що виглядає достовірно.

Типовий сценарій: «співробітник підтримки» пояснює, що для вирозв’язання проблеми потрібно синхронізувати гаманець, перевірити баланс або оновити смарт-контракт. Для цього просить відкрити певний сайт і підключити гаманець. Наслідок — підключення до фішингового ресурсу, який отримує дозвіл на виведення коштів.

Перевірка: офіційна підтримка Solana та перевірених застосунків ніколи не просить підключити гаманець до стороннього сайту для діагностики. Адреса сайту підтримки має збігатися з офіційним доменом проєкту, а не бути копією з додатковими символами.

Фальшиві адміністратори в Telegram та Discord

У спільнотах навколо проєктів Solana шахраї створюють акаунти з іменами, аватарами та ролями, що імітують справжніх адміністраторів, модераторів або учасників команди. Вони пишуть особисто або в загальному чаті з повідомленнями про «ексклюзивний дроп», «термінове оновлення безпеки» або «безкоштовний розподіл токенів».

Мета — спонукати перейти за посиланням і підключити гаманець. Іноді замість посилання пропонують завантажити «офіційний клієнт» або «інструмент для клейму» — це шкідливе програмне забезпечення, яке чекає на введення seed-фрази або викрадає її з буфера обміну.

Перевірка: справжні адміністратори мають позначку підтвердженого акаунта в Discord або відповідний статус у Telegram-групі, керованій офіційним каналом. Якщо повідомлення надходить у особисті повідомлення від особи з «роллю адміністратора» — це червоний прапор. Офіційні анонси завжди публікуються в загальних каналах, а не розсилаються приватно.

Пропозиції «допомоги» з налаштуванням гаманця

Нова людина в крипті просить поради в спільноті й отримує повідомлення від «досвідченого користувача», який пропонує допомогти створити гаманець, налаштувати безпеку або зробити першу транзакцію. Для цього просить продиктувати seed-фразу, скинути скріншот екрана з фразою або передати приватний ключ «для перевірки».

Наслідок: миттєвий повний доступ шахрая до всіх коштів на гаманці. Жодних технічних дій для відновлення не існує — активи виведено незворотно.

Перевірка: ніхто, за жодних обставин, з жодною метою не повинен знати вашу seed-фразу. Якщо хтось просить її назвати, показати, продиктувати чи переслати — це шахрай. Правильна допомога з налаштуванням полягає в покрокових інструкціях, які ви виконуєте самостійно на своєму пристрої.

Як розпізнати маніпуляцію

Соціальна інженерія завжди містить хоча б один із цих ознак, незалежно від форми подачі:

  • Терміновість. «Ваші токени будуть спалені через 24 години», «Тільки сьогодні», «Термінове оновлення». Реальні проєкти не ставлять ультиматумів з такими наслідками.
  • Вигода без підстав. Безкоштовний розподіл токенів, які ви не очікували, подарунок за «активність», подвоєння депозиту. Якщо ви не брали участі в кампанії — розподілу не існує.
  • Просьба обійти звичний процес. «Не підключайте через офіційний сайт, використовуйте це посилання», «Оновіть гаманець через наш інструмент». Будь-яка альтернатива офіційному шляху — привід зупинитися.
  • Особисте звернення від «адміністрації». Справжні команди не пишуть приватно з пропозиціями, що вимагають підключення гаманця чи передачі секретів.
  • Невідповідність адреси. Домен відрізняється від офіційного на один символ, використовує іншу зону або підміняє літери (наприклад, латинська «a» замість кириличної «а»). Завжди порівнюйте адресу символ за символом з офіційним джерелом.

Якщо ви сумніваєтесь — не дійте. Жодна транзакція в Solana не є настільки терміновою, щоб не дозволити вам перевірити інформацію з офіційних джерел.

Правила захисту

  1. Ніколи не передавайте seed-фразу. Не диктуйте, не фотографуйте, не копіюйте в чат, не надсилайте поштою. Ніхто з розробників, підтримки, адміністраторів чи знайомих не має законної причини її знати.
  2. Підключайте гаманець лише через офіційні сайти. Адресу перевіряйте вручну, а не переходьте за посиланнями з чатів чи пошукової видачі без перевірки. Збережіть офіційні домени у закладки.
  3. Ігноруйте приватні повідомлення з пропозиціями. Якщо хтось пише особисто з пропозицією, пов'язаною з вашими коштами чи гаманцем — це маніпуляція. Блокуйте й повідомляйте модераторам.
  4. Не завантажуйте «клієнти» та «інструменти» з чатів. Офіційне програмне забезпечення поширюється лише через офіційні сайти та перевірені магазини додатків.
  5. Перевіряйте кожну транзакцію перед підписанням. Навіть якщо ви перейшли на підроблений сайт, підписання транзакції, яка виводить кошти, є остаточним кроком. Детальний розбір перевірки підписів викладено в окремому матеріалі про шкідливі підписи.
  6. Майте окремий гаманець для тестування. Підключайтеся до нових застосунків з гаманця, де тримаєте лише мінімальну суму, достатню для оцінки функціональності. Основні заощадження зберігайте на гаманці, який ніколи не підключається до неперевірених сервісів.
  7. Якщо ви підключили гаманець до підозрілого сайту — негайно відключіть його. У налаштуваннях гаманця знайдіть розділ підключених застосунків і видаліть доступ. Після цього перевірте історію транзакцій: якщо кошти вже виведено, транзакцію в блокчейні скасувати неможливо. У такому випадку створіть новий гаманець і переведіть туди залишки коштів.

Наступний крок

Соціальна інженерія спрямована на те, щоб ви самі передали доступ. Але навіть якщо ви не піддалися маніпуляції, підключення гаманця до ненадійного застосунку може призвести до втрати коштів через шкідливі транзакції. Наступний крок — навчитися як перевірити застосунок перед підключенням гаманця, щоб мінімізувати ризики вже на етапі технічної взаємодії.