Fałszywy komunikat WalletConnect: jak odróżnić zwykłe połączenie od zgody na utratę tokenów

Rynek cyfrowych aktywów rozwija się w tempie, które fascynuje inwestorów, ale równocześnie stwarza olbrzymie pole do popisu dla wyrafinowanych cyberprzestępców. Przeglądając nowości technologiczne oraz korzystając z aplikacji zdecentralizowanych, nieustannie nawiązujemy interakcje z różnorodnymi protokołami, z których najważniejszym i najbardziej rozpowszechnionym stał się WalletConnect. Niestety, wygoda, jaką oferuje ten standard, stała się również jego najsłabszym ogniwem w starciu z ludzką nieuwagą. Przestępcy coraz częściej wykorzystują fałszywe komunikaty WalletConnect oraz zmanipulowane interfejsy Web3, aby pod pretekstem zwykłego połączenia portfela wyłudzić od użytkowników krytyczne podpisy i uprawnienia transakcyjne. W niniejszym przewodniku przeanalizujemy od podstaw architekturę tych ataków, opiszemy najgroźniejsze techniki stosowane przez tak zwane skrypty drainer oraz przedstawimy jasne zasady pozwalające błyskawicznie odróżnić bezpieczną sesję od podstępnej próby kradzieży tokenów.

Czym jest WalletConnect i jak naprawdę działa bezpieczne połączenie

WalletConnect to otwarty protokół komunikacyjny służący do bezpiecznego łączenia aplikacji zdecentralizowanych (dApps) z mobilnymi lub wtyczkowymi portfelami kryptowalutowymi. Zamiast instalować dedykowane rozszerzenia dla każdej sieci blockchain, użytkownik skanuje kod QR lub klika dedykowany odnośnik typu deep link. Działanie to ustanawia zaszyfrowane połączenie punkt-punkt (peer-to-peer) za pośrednictwem serwera przekaźnikowego (Relayer). Serwer ten nie posiada wglądu w przesyłane treści, ponieważ klucze szyfrujące generowane są bezpośrednio na urządzeniach użytkownika i aplikacji.

Samo ustanowienie sesji WalletConnect przypomina zalogowanie się na stronie internetowej za pomocą profilu społecznościowego. Przekazuje ono do dApp jedynie podstawowe informacje publikowane w sieci: Twój publiczny adres portfela, identyfikator wybranej sieci (np. Ethereum Mainnet, Polygon, Arbitrum) oraz bilans dostępnych środków. Gdy podłączasz swój portfel do zaufanego serwisu, takiego jak giełda zdecentralizowana czy agregator płynności, nie przekazujesz żadnych kluczy prywatnych ani nie wyrażasz zgody na dysponowanie Twoim majątkiem. Niestety, dynamiczny rozwój branży, w której dominują nowoczesne kryptowaluty, stworzył również niszę dla wyrafinowanych narzędzi manipulacji społecznej.

Różnica między zestawieniem sesji a podpisaniem transakcji

Kluczem do zrozumienia bezpieczeństwa w sieciach opartych na Ethereum Virtual Machine (EVM) jest rozróżnienie dwóch całkowicie odmiennych operacji. Pierwszą z nich jest nawiązanie sesji (Session Proposal), a drugą zatwierdzenie zapytania transakcyjnego (Request Payload). Podczas nawiązywania sesji aplikacja proponuje zestaw uprawnień odczytu. Portfel wyświetla wówczas okno z pytaniem, czy chcesz połączyć się z daną domeną. Akceptacja tej prośby nie kosztuje opłat opartych na paliwie (gas fee) i nie powoduje wpisania żadnych zmian do łańcucha bloków.

Sytuacja drastycznie się zmienia, gdy dApp prosi o wykonanie transakcji lub złożenie cyfrowego podpisu. Przesłane zapytanie trafia do portfela jako wymagające weryfikacji zadanie. Jeśli interfejs prosi Cię o zatwierdzenie operacji, która ma zmienić stan łańcucha (np. transfer tokenów, udzielenie licencji dla inteligentnego kontraktu lub podpisanie struktury danych off-chain), Twój portfel musi bezwzględnie wyświetlić dokładny podgląd tego, co zostanie zrealizowane. Oszuści wykorzystują niewiedzę użytkowników, mieszając te dwa etapy i prezentując groźne wywołania funkcji pod płaszczykiem rutynowej weryfikacji połączenia.

Anatomia fałszywego komunikatu i ataku typu Drainer

Strony wyłudzające środki (phishing dApps) rzadko budują własne skomplikowane systemy od zera. Zamiast tego wykupują gotowe skrypty kradnące, określane w branży jako Wallet Drainers lub Web3 Drainers. Twórcy tych skryptów analizują strukturę najpopularniejszych portfeli oraz oficjalnych nakładek graficznych WalletConnect, tworząc ich wierne kopie. Gdy wchodzisz na niebezpieczną stronę – na przykład podszywającą się pod darmowy rozdział tokenów (airdrop) lub popularny marketplace NFT – strona prosi o kliknięcie przycisku Connect Wallet.

W momencie kliknięcia na ekranie pojawia się wyskakujące okno (modal), które wyglądem w pełni naśladuje autentyczne okno WalletConnect. Zamiast jednak wygenerować wyłącznie prośbę o udostępnienie adresu, skrypt w tle automatycznie prześwietla Twój portfel. Analizuje, jakie tokeny ERC-20, NFT (ERC-721/ERC-1155) oraz natywne monety (ETH, BNB) posiadasz, a następnie natychmiast układa najbardziej optymalną dla hakera sekwencję transakcji wyłudzających. Komunikat, który widzisz, twierdzi, że musisz zweryfikować połączenie lub podpisać bezpieczny token sesyjny, podczas gdy w rzeczywistości zatwierdzasz przekazanie praw do zarządzania całym swoim portfelem.

Złośliwe podpisy i uprawnienia – co podstępnie wyciągają hakerzy

Cyberprzestępcy nieustannie modyfikują swoje techniki, dopasowując je do aktualnych standardów sieciowych. Aby skutecznie uchronić się przed utratą cyfrowych oszczędności, warto poznać konkretne funkcje Smart Contractów oraz metody składania podpisów cyfrowych, które są najczęściej nadużywane przez oszustów działających na rynku.

Pamiętaj: autentyczne połączenie z aplikacją przez WalletConnect nigdy nie wymaga uiszczenia opłaty za gaz ani składania podpisu cryptographic pod tekstem zawierającym skomplikowane parametry kodu lub nieczytelne ciągi szesnastkowe.

Skrypty drainer dostosowują atak do zasobności portfela ofiary. Jeśli w portfelu znajdują się unikalne cyfrowe dzieła sztuki, użyta zostanie funkcja przekazująca prawa do całej kolekcji. Jeśli dominują płynne tokeny, oszust wykorzysta najnowsze standardy bezgazowego zatwierdzania limitów (Permit). Spójrzmy na szczegóły tych operacji, aby zrozumieć, co naprawdę dzieje się pod maską.

Metoda SetApprovalForAll oraz Approve – ciche czyszczenie portfela

Tradycyjne protokoły DeFi opierają się na standardzie ERC-20 oraz ERC-721. Aby giełda zdecentralizowana mogła zamienić Twoje tokeny na inne aktywa, musisz najpierw wywołać funkcję Approve. Poinstruuje ona kontrakt tokena, że dany adres sprawnie zarządzający (Spender) może wypłacić określoną kwotę z Twojego konta. Oszuści prośbę o wywołanie tej funkcji ukrywają pod przyciskami takimi jak Verify Wallet, Claim Airdrop czy Update Network Settings.

W przypadku tokenów niewymienialnych (NFT) najgroźniejszą bronią hakerów jest funkcja SetApprovalForAll. Wywołanie tej metody powoduje przekazanie pełnych praw do zarządzania wszystkimi Twoimi NFT z danej kolekcji określonemu adresowi atakującego. Jeśli podpiszesz taką transakcję, oszust nie musi znać Twojego klucza prywatnego – wystarczy, że wywoła funkcję transferFrom bezpośrednio ze swojego komputera, pobierając z Twojego konta wartościowe aktywa bez jakiejkolwiek dodatkowej wiedzy czy prośby z Twojej strony. Warto podkreślić, jak dynamicznie zmienia się cały rynek kryptowalut, na którym technologie ułatwiające handel bywają natychmiast przekształcane w narzędzia kradzieży.

Podpisy off-chain: Permit, Permit2 oraz bezobsługowa kradzież

Aby uniknąć konieczności płacenia opłat za gaz przy każdym zatwierdzeniu limitu wydatków, społeczność Web3 wprowadziła standard EIP-2612 (Permit) oraz jego nowocześniejszą wariację stworzoną przez Uniswap – Permit2. Mechanizmy te pozwalają użytkownikowi złożyć podpis cyfrowy poza łańcuchem (off-chain), wykorzystując standard ustrukturyzowanych danych EIP-712. Użytkownik podpisuje wiadomość portfelem, a podpis ten jest przekazywany do podmiotu trzeciego, który opłaca gaz i przesyła go do blockchaina.

Dla oszustów to prawdziwa żyła złota. Fałszywe okno WalletConnect wyświetla zapytanie wyglądające jak niewinna wiadomość tekstowa. Portfel często informuje jedynie o podpisaniu spójnej struktury danych z parametrami takimi jak owner, spender, value oraz deadline. Użytkownicy myślą, że składają niegroźny podpis logowania. W rzeczywistości podpisują bezwarunkową zgodę na pobranie nielimitowanej liczby tokenów (często oznaczonej jako Max Uint256). Po wyłudzeniu takiego podpisu drainer wysyła go do łańcucha bloków i w tej samej sekundzie wyciąga wszystkie zgromadzone na koncie środki.

Zatarta granica: Metoda eth_sign i ślepe podpisywanie danych

Metoda eth_sign to jedna z najstarszych i zarazem najbardziej niebezpiecznych metod składania podpisów w standardzie Ethereum. Pozwala ona na podpisanie dowolnego ciągu bajtów. Oznacza to, że za pomocą tej samej metody można poświadczyć zarówno zwykły komunikat tekstowy, jak i w pełni uformowaną, surową transakcję przelewu wszystkich środków lub interakcji ze złośnym kontraktem.

Ze względu na brak czytelnej struktury danych, portfel kryptowalutowy nie jest w stanie zaprezentować użytkownikowi czytelnego podglądu tego, co podpisuje. Widoczny na ekranie ciąg znaków to jedynie nieczytelny ciąg szesnastkowy (hex). Współczesne, bezpieczne portfele wyświetlają drastyczne ostrzeżenia przed użyciem eth_sign lub całkowicie blokują tę funkcję, jednak nieświadomi użytkownicy wciąż bywają instruowani przez oszustów, jak wyłączyć te zabezpieczenia w ustawieniach zaawansowanych portfela, co niemal zawsze kończy się natychmiastową utratą środków.

Jak krok po kroku odróżnić zwykłe połączenie od zgody na transfer środków

Odróżnienie niegroźnej inicjalizacji sesji WalletConnect od próby wyłudzenia uprawnień wymaga wyrobienia w sobie nawyku dokładnej weryfikacji każdego okna dialogowego, które pojawia się na Twoim ekranie. Zwrócenie uwagi na kilka kluczowych elementów interfejsu pozwala zablokować niemal sto procent prób wyłudzenia.

Przede wszystkim należy zweryfikować cel wyświetlenia komunikatu. Prawdziwe łączenie portfela odbywa się wyłącznie na początku interakcji ze stroną. Jeżeli okno z prośbą o akceptację pojawia się ponownie w trakcie przeglądania serwisu, przy próbie odebrania nagrody lub po odświeżeniu strony, z dużą dozą prawdopodobieństwa masz do czynienia ze skryptem drainer. Każda prośba, która wymaga zatwierdzenia opłaty transakcyjnej (Network Fee / Gas Fee), jest transakcją blockchainową, a nie nawiązaniem połączenia.

Tabela porównawcza: Zwykłe połączenie vs niebezpieczna zgoda

Poniższa tabela zestawiamy najważniejsze cechy, które pozwalają natychmiast odróżnić bezpieczną sesję od podstępnego ataku wyłudzającego uprawnienia do Twoich aktywów:

Analizując powyższe zestawienie, łatwo zauważyć prostą prawidłowość. Połączenie portfela jest operacją bierną. Nie nadaje ono dAppowi żadnych uprawnień wykonawczych w odniesieniu do Twojego majątku. Jeśli cokolwiek w oknie wyskakującym sugeruje modyfikację stanu konta lub zezwolenie na operowanie tokenami, kategorycznie odrzuć taką prośbę.

Praktyczny przewodnik bezpieczeństwa i narzędzia do weryfikacji

Zachowanie pełnego bezpieczeństwa podczas korzystania ze zdecentralizowanego ekosystemu wymaga wdrożenia wielowarstwowej strategii ochrony. Zastosowanie odpowiednich narzędzi i nawyków znacząco ogranicza ryzyko padnięcia ofiarą nawet najbardziej zaawansowanych ataków socjotechnicznych opartych na fałszywych komunikatach WalletConnect.

Oto najważniejsze zasady, które warto wdrożyć w codziennej aktywności Web3:

• Używaj portfeli z funkcją symulacji transakcji: Nowoczesne portfele oraz wtyczki ochronne (takie jak Pocket Universe, Wallet Guard czy Rabby Wallet) wykonują symulację transakcji w odizolowanym środowisku testowym zanim podpiszesz cokolwiek. Pokazują one dokładnie, co ubędzie z Twojego portfela i co do niego trafi po zatwierdzeniu operacji.
• Stosuj portfele typu Burner Wallet: Do interakcji z nowymi, niesprawdzonymi aplikacjami, udziału w airdropach czy mintowania nowych NFT używaj osobnego portfela pomocniczego, na którym przechowujesz jedynie niewielkie kwoty przeznaczone na opłaty sieciowe. Nigdy nie łącz głównego portfela oszczędnościowego ze niesprawdzonymi platformami.
• Korzystaj z urządzeń sprzętowych z funkcją Clear Signing: Portfele sprzętowe (np. Ledger, Trezor) posiadają fizyczny ekran, który jest odizolowany od Twojego komputera. Wybieraj urządzenia i oprogramowanie wspierające przejrzyste podpisywanie (Clear Signing), które prezentuje na ekranie fizycznym pełny adres odbiorcy oraz kwotę, eliminując ryzyko oszukania przez zainfekowaną przeglądarkę.
• Regularnie weryfikuj i cofaj uprawnienia: Korzystaj z serwisów takich jak Revoke.cash lub oficjalnych skanerów bloków (np. Etherscan Token Approval tool), aby regularnie sprawdzać, jakim kontraktom udzieliłeś praw do dysponowania Twoimi tokenami i cofaj (revoke) zbędne zgody.
• Weryfikuj adresy URL oraz źródła pochodzenia: Zawsze wchodź na strony dApps poprzez sprawdzone zakładki lub oficjalne profile w serwisach branżowych. Pamiętaj, że oszuści bardzo często kupują reklamy w wyszukiwarkach internetowych, które pozycjonują fałszywe strony na samym szczycie wyników wyszukiwania.

Niezależnie od poziomu zaawansowania technologicznego, kluczem do ochrony majątku jest ciągłe podnoszenie świadomości w zakresie bezpieczeństwa w świecie kryptowalut. Jeśli masz jakiekolwiek wątpliwości dotyczące komunikatu pojawiającego się na ekranie, zawsze lepiej jest odrzucić transakcję i skonsultować się ze specjalistami, niż zaryzykować utratę dorobku życia w ułamku sekundy.

Często zadawane pytania (FAQ)

Czy samo połączenie portfela przez WalletConnect ze złośliwą stroną może doprowadzić do utraty środków?

Samo nawiązanie sesji (czyli odczytanie Twojego publicznego adresu) nie pozwala złośliwej stronie na kradzież środków z Twojego portfela. Do utraty tokenów dochodzi dopiero w momencie, gdy oprócz samego połączenia zatwierdzisz niebezpieczny podpis off-chain (np. Permit), wywołasz funkcję udzielenia licencji (Approve / SetApprovalForAll) lub wyślesz surową transakcję transferu. Niemniej jednak, po wykryciu nieznanej lub podejrzanej strony zaleca się natychmiastowe rozłączenie sesji w ustawieniach portfela.

Czym różni się podpis off-chain (EIP-712 / Permit) od standardowej transakcji w sieci Ethereum?

Standardowa transakcja wymaga wysłania operacji do sieci blockchain i bezpośredniego opłacenia opłaty transakcyjnej (paliwa/gas) z Twojego portfela. Podpis off-chain polega na cyfrowym poświadczeniu określonej struktury danych na Twoim urządzeniu bez wysyłania jej do blockchaina w tym samym momencie. Podpis ten jest przekazywany do dAppu, który może wykorzystać go do wywołania transakcji w Twoim imieniu (często pokrywając koszty gazu). Z punktu widzenia użytkownika jest to bardzo podstępne, ponieważ podpisanie wiadomości off-chain nie wymaga uiszczenia opłaty sieciowej, co uśpić może czujność ofiary.

Jak sprawdzić i cofnąć udzielone wcześniej niebezpieczne uprawnienia (allowance)?

Aby sprawdzić i unieważnić aktywne uprawnienia, należy skorzystać ze specjalistycznych narzędzi do zarządzania aplikacjami, takich jak serwis Revoke.cash lub zakładka Token Approvals w eksploratorach bloków (np. Etherscan, BscScan, Polygonscan). Po połączeniu portfela z takim serwisem zobaczysz listę wszystkich smart kontraktów, które posiadają prawa do wydawania Twoich tokenów. Klikając przycisk Revoke i zatwierdzając transakcję w portfelu, wykasujesz dany kontrakt z listy uprawnionych, co trwale uniemożliwi mu pobranie aktywów.

Co zrobić, jeśli przypadkowo podpisałem fałszywy komunikat WalletConnect?

Działaj natychmiastowo. Jeżeli podpisałeś standardową funkcję Approve lub SetApprovalForAll, jak najszybciej przejdź do serwisu Revoke.cash i cofnij udzielone uprawnienie, zanim oszust wywoła funkcję wypłaty. Jeżeli jednak podpisałeś natychmiastowy przelew środków lub podpis Permit, który został już zrealizowany przez drainera, środki mogły zostać opuścić portfel w tej samej bloku. W takim przypadku jak najszybciej przenieś wszystkie pozostałe w portfelu bezpieczne aktywa na całkowicie nowy, bezpieczny adres i przestań używać zainfekowanego portfela.

W przypadku pytań dotyczących incydentów bezpieczeństwa, audytu cyfrowych zasobów lub analizy podejrzanych transakcji blockchainowych, nasi eksperci są do Twojej dyspozycji. Zadzwoń do nas pod numer +48 88 12 13 206 lub odwiedź główną stronę serwisu Nexus Group, aby uzyskać profesjonalne wsparcie w ochronie Twoich cyfrowych aktywów.