Селф-инсерт — вид криптовалютных мошенничеств¶
Селф-инсерт (англ. self-insert, буквально «самовставка») — вид криптовалютного мошенничества, при котором злоумышленник подсовывает жертве поддельный цифровой кошелёк или подменяет адрес получателя при переводе криптовалюты с целью похищения средств. Термин получил распространение в русскоязычном криптосообществе в середине 2020-х годов и обозначает атаки, основанные на подмене криптографического адреса или подсунутого жертве «пустого» кошелька.
¶Принцип работы
При типичной атаке селф-инсерт злоумышленник действует на этапе, когда жертва готовится отправить криптовалюту. Вместо подлинного адреса получателя жертве подсовывается адрес, контролируемый мошенником. Это может происходить несколькими способами:
- Подмена адреса в буфере обмена. Злоумышленник устанавливает в систему жертвы вредоносное программное обеспечение, которое отслеживает скопированные криптоадреса и тихо заменяет их на адреса мошенника. Жертва, не проверив адрес вручную, отправляет средства на подменённый кошелёк.
- Подмена QR-кода. При оплате или переводе с помощью QR-кода мошенник подменяет код на поддельный, ведущий на его кошелёк.
- Поддельный кошелёк-обёртка. Жертве предлагается установить программу-кошелёк, внешне неотличимую от легитимного приложения, но контролируемую злоумышленником. Средства, внесённые в такой кошелёк, фактически попадают на счёт мошенника.
Название «self-insert» отражает суть атаки: злоумышленник «вставляет» свой адрес вместо чужого в момент, когда жертва уверена, что работает с доверенным получателем.
¶Распространённые схемы
Селф-инсерт чаще всего применяется в сочетании с другими видами криптомошенничества:
¶Фейковые биржи и обменники
Жертве предлагается обменять или продать криптовалюту через онлайн-сервис, который имитирует интерфейс известной биржи или обменника. При попытке вывести средства сервис подставляет подменённый адрес, и криптовалюта уходит на счёт мошенника.
¶Поддельные инвестиционные платформы
Жертву убеждают вложить средства в «выгодный проект» или «сигналы для трейдинга». После того как жертва переводит криптовалюту на указанный адрес, мошенник подменяет адрес при повторных переводах или при попытке вывода «прибыли».
¶Фишинг через поддельные кошельки
Вредоносные версии популярных кошельков распространяются через поддельные сайты, рекламу или заражённые ссылки. Установив такой кошелёк, жертва передаёт контроль над своими средствами злоумышленнику.
¶Масштабы и статистика
По данным ряда аналитических компаний, занимающихся блокчейн-расследованиями, криптовалютные мошенничества, включая селф-инсерт, наносят ущерб в миллиарды долларов ежегодно. В России число обращений в правоохранительные органы по делам, связанным с криптомошенничеством, растёт год от года. МВД и Следственный комитет РФ фиксируют случаи, когда граждане теряют крупные суммы, переведённые на подменённые адреса.
¶Защита
Основные меры предосторожности при работе с криптовалютой:
- Проверка адреса вручную. Перед отправкой средств необходимо сверить адрес получателя по крайней мере дважды, желательно — вслух или через второй канал связи.
- Использование официальных источников. Кошельки и приложения следует скачивать только с официальных сайтов и из проверенных магазинов приложений.
- Антивирус и защита системы. Установка проверенного антивирусного ПО снижает риск заражения вредоносным программным обеспечением, подменяющим адреса в буфере обмена.
- Тестовый перевод. При работе с новым адресом или сервисом рекомендуется сначала отправить небольшую сумму и убедиться, что средства дошли по назначению.
- Хранение средств на аппаратных кошельках. Для крупных сумм предпочтительнее использовать аппаратные (холодные) кошельки, не подключённые к интернету.
¶Правовой аспект
В Российской Федерации криптовалюта не является законным средством платежа, однако её владение и использование не запрещены. Мошенничество с криптовалютой квалифицируется по статье 159 Уголовного кодекса РФ (мошенничество), а также по статье 272 (неправомерный доступ к компьютерной информации), если применялось вредоносное ПО. Наказание зависит от суммы ущерба и может достигать лишения свободы на срок до 10 лет при совершении преступления в особо крупном размере.
¶Интересные факты
Термин «self-insert» изначально использовался в фандоме и литературе для обозначения персонажа, представляющего автора, и лишь позже был переосмыслен криптосообществом для описания техники подмены адреса.