ChatGPT предложил фишинговый сайт: как проверять ссылки от ИИ

Что произошло

Пользователь под именем Alex спросил у ChatGPT, где обменять токен sFLR на WFLR. В ответе появился домен sceptre.network, визуально похожий на настоящий сервис Sceptre с адресом sceptre.fi.

Пользователь подключил криптокошелек и подписал неограниченное разрешение approve. Такой доступ позволил вредоносному контракту списывать токены без отдельного подтверждения каждой операции. В результате было выведено 1 904 513 FXRP — около 2,1 миллиона долларов на момент события.

Независимый исследователь блокчейна связал тот же сайт с другими эпизодами; общая сумма потерь превысила 2,2 миллиона долларов. Эти цифры относятся к описанному расследованию, а не ко всем ответам ChatGPT.

Как работает approval-фишинг

Мошенники копируют дизайн настоящего сервиса и регистрируют похожий домен. Отличаться может одна буква, дефис или доменная зона. Затем сайт просит подключить кошелек и подписать разрешение на управление токенами.

Транзакция approve сама по себе не переводит деньги, поэтому выглядит безобидно. Но неограниченное разрешение дает контракту право списать доступные токены позже и без нового запроса.

Почему проблема шире криптовалют

Тот же принцип используется для банковских кабинетов, облачных хранилищ, почты и форм оплаты. Если ИИ предложил страницу входа, это не превращает ее в официальную.

Модель может опираться на устаревшие данные, ошибочно собрать адрес или найти страницу, которую мошенники специально продвигают. Поэтому ИИ полезен для объяснения, но не должен быть единственным источником критически важной ссылки.

Как безопасно проверять ссылки

1. Не открывайте финансовый сервис прямо из ответа чат-бота.
2. Найдите официальный домен через независимый источник: документацию, приложение или ранее сохраненную закладку.
3. Сравните адрес посимвольно, включая доменную зону.
4. Проверьте, что менеджер паролей распознает домен. Если автозаполнение не сработало, остановитесь и перепроверьте адрес.
5. Не подписывайте непонятные операции и ограничивайте сумму разрешения.
6. Включите двухфакторную защиту там, где она доступна.

Один неосторожный клик также часто запускает заражение программой-вымогателем. Защитить обычные аккаунты помогает менеджер паролей и двухфакторная аутентификация.

Как проверить сайт до подключения аккаунта

Смотрите на адрес в строке браузера, а не в рекламном тексте. Совпадения названия бренда недостаточно: важны доменная зона, каждый символ, HTTPS и отсутствие лишних поддоменов. Замок в браузере означает шифрование соединения, но не доказывает принадлежность сайта нужной компании.

Не подключайте криптокошелек или банковский аккаунт для «проверки», если не понимаете подписываемую операцию. В разрешениях токенов ищите неограниченное списание или передачу активов. Для обычных учетных записей не вводите пароль на странице из ответа ИИ: откройте сервис через официальное приложение, закладку или документацию.

Что делать после подозрительного действия

Если пароль уже введен, немедленно смените его на официальном сайте, завершите другие сеансы и проверьте двухфакторную защиту. Если пароль повторялся где-то еще, смените его и там. Проверьте почту на правила пересылки, новые устройства и сообщения о восстановлении доступа.

После опасного разрешения токенов отзовите его через проверенный инструмент сети, а оставшиеся активы переведите на новый кошелек. Не отвечайте «поддержке», которая сама написала после инцидента: мошенники часто используют второй этап и обещают вернуть средства.

Как использовать ИИ без ложного чувства гарантии

ИИ хорошо объясняет термины, сравнивает варианты и помогает составить чек-лист. Он не является реестром официальных доменов и может повторить устаревший адрес или ошибочную рекомендацию. Простое правило: модель подсказывает, что проверить, но окончательную ссылку нужно брать из независимого источника.

Обновляйте систему ноутбука, используйте менеджер паролей и не отключайте многофакторную защиту. Если после подозрительной страницы появились неизвестные программы или странное поведение, нужна диагностика, а не только очистка истории браузера.

Как проверять разрешения после подключения кошелька

Пользователь может решить, что кнопка «подключить кошелек» сама по себе передает средства. На практике опасной бывает следующая транзакция или разрешение на неограниченное списание токенов. Внимательно прочитайте текст подтверждения, сравните адрес контракта с официальным источником и не подписывайте сообщение, смысл которого непонятен. Если сайт просит seed-фразу или приватный ключ, это однозначный признак мошенничества.

После подозрительной транзакции откройте историю операций в проверенном обозревателе блокчейна. Отзовите лишние разрешения через официальный инструмент сети, переведите остаток активов на новый кошелек и смените пароль электронной почты, если он использовался при входе. Не устанавливайте «защиту кошелька» из рекламного сообщения: под видом помощи может скрываться вторая атака.

На компьютере проверьте список расширений браузера, автозапуск и недавно установленные программы. Сохраните скриншоты адресов и время событий. Если появились неизвестные расширения, перенаправления или повторные окна входа, закажите диагностику и не вводите важные пароли на этом устройстве до проверки.

Как снизить риск повторной атаки

Разделите устройства и учетные записи по уровню важности. Для криптокошелька, почты и банковских сервисов используйте разные длинные пароли, менеджер паролей и двухфакторную защиту через приложение или ключ безопасности. Не храните seed-фразу в заметках, облачном диске или скриншотах. Финансовые операции подтверждайте на отдельном экране и проверяйте сумму перед подписью.

Проверьте разрешения браузера: доступ ко всем сайтам, уведомления, камера, микрофон и расширения. Удалите ненужное и обновите браузер из официального источника. Если подозрительная страница открылась через рекламу, не возвращайтесь к ней для «проверки» и не звоните по номеру из ее сообщения.

Для рабочего ноутбука полезно иметь отдельный порядок реагирования: отключить сеть, сохранить доказательства, сменить пароли с чистого устройства и проверить автозапуск. Если браузер сам открывает неизвестные адреса или появились программы, которых вы не ставили, обратитесь на диагностику до возвращения устройства в работу.

Что проверить после инцидента

После смены паролей проверьте активные сессии почты, облачных сервисов и биржи. Отзовите неизвестные устройства, обновите резервные коды двухфакторной защиты и убедитесь, что в браузере не осталось подозрительных расширений. Если у вас сохранились seed-фраза или ключ на зараженном компьютере, считайте их скомпрометированными и создайте новый кошелек на чистом устройстве.

Не удаляйте сразу историю браузера и переписку, если планируете сообщать об атаке: эти данные могут помочь восстановить последовательность событий. Сохраните адреса, хэши транзакций и время действий, а затем обратитесь за диагностикой при странном поведении ноутбука.

Как проверить подозрительную ссылку

Посмотрите на домен, а не только на логотип и текст письма. Подмена одной буквы, лишний дефис, редирект через сокращатель и запрос полного пароля — серьёзные признаки риска. Не вводите данные после перехода из неожиданного сообщения, даже если страница выглядит знакомо.

Откройте официальный сайт вручную через закладку, проверьте активные сессии и включите двухфакторную защиту. Если пароль уже введён, смените его с чистого устройства и завершите все чужие сеансы. Не отправляйте в чат ключи API, резервные коды и содержимое рабочих документов.

При загрузке файла проверьте расширение и источник. Если после ссылки браузер стал показывать рекламу, менять поисковик или открывать неизвестные вкладки, обратитесь на диагностику и не устанавливайте случайные «антивирусы».