SCAM upozorenja Zbirni topic

[Trofo]

Ja doslovno više ni ne čitam privatne Discord/Telegram poruke. Toliko sam oguglao na to da mi recimo netko od vas pošalje 'Bok CF, ovdje XY s BTT foruma' dobio bi block i report i ne bi uopće skužio što sam napravio.

S jedne strane stvarno blesavo jer više nitko ne može poslati poruku ali isto tako i očekivano jer ih bez obzira na sve blokade koje stavim i dalje dobijem 3-4 dnevno. I naravno, doslovno sve su 'hi this is support congratulations on your Whitelisting spot'.

Ja sam nedavno krenuo "malo jače" s Discord grupama otkad sam se upustio u svijet NFT-ova. Naravno da dobivam kojekakve DM-ove koje blokiram ali problem mi predstavljaju botovi za verifikaciju. Nedavno sam dobio takav DM od bota za CAPTCHA verifikaciju i stvarno sam kliknuo na link gdje me onda tražilo da upišem seed phrase walleta (kao da bot može provjeriti imam li NFT u walletu). Naravno da nisam upisao i blokirao sam tog bota ali ne bi me čudilo da jako puno ljudi padne na takvu foru jer stvarno djeluje realno.

To je problem kada ljudi ne razumiju tehnologiju. Private key i seed phrase su samo moji i nitko nikad te nema razloga to pitati. Isto kao i pin od bankomata. Moze se predstavljati kao bilo tko ako spomene rijec seed ide na blacklistu 

[1714700885]

1714700885

[slackovic]

To je problem kada ljudi ne razumiju tehnologiju. Private key i seed phrase su samo moji i nitko nikad te nema razloga to pitati. Isto kao i pin od bankomata. Moze se predstavljati kao bilo tko ako spomene rijec seed ide na blacklistu 

Upravo tako. Na žalost, ljudi koji tek ulaze u crypto ne razumiju da takve stvari ne smiju otkrivati. Sjećam se tamo negdje krajem 2017. i početkom 2018. kad su airdropovi bili "the thing". Trebalo je samo u Telegram grupama ostaviti ETH adresu za airdrop, a jako puno ekipe je umjesto adrese (odnosno public keya) ostavila private key od walleta. Ne znam je li to bilo zbog brzine ili nisu znali razliku ali jako puno ljudi je tada ostajalo bez ETH-a i ostalih vrijednih tokena.

[cryptofrka]

Upravo tako. Na žalost, ljudi koji tek ulaze u crypto ne razumiju da takve stvari ne smiju otkrivati. Sjećam se tamo negdje krajem 2017. i početkom 2018. kad su airdropovi bili "the thing". Trebalo je samo u Telegram grupama ostaviti ETH adresu za airdrop, a jako puno ekipe je umjesto adrese (odnosno public keya) ostavila private key od walleta. Ne znam je li to bilo zbog brzine ili nisu znali razliku ali jako puno ljudi je tada ostajalo bez ETH-a i ostalih vrijednih tokena.

Sjećam se tad nekog lika koji je zaradio hrpetinu para. Imao je 10k$ neke shitare na walletu i 0 ETH-a za gas i ostavljao je privatni ključ posvuda a napravio je valjda nekakav smart contract na walletu koji je bilo koji ETH koji sjedne na tu adresu automatski prebacivao na neku drugu.

Ugl, izscammao je scammere samo tako

[slackovic]

Sjećam se tad nekog lika koji je zaradio hrpetinu para. Imao je 10k$ neke shitare na walletu i 0 ETH-a za gas i ostavljao je privatni ključ posvuda a napravio je valjda nekakav smart contract na walletu koji je bilo koji ETH koji sjedne na tu adresu automatski prebacivao na neku drugu.

Ugl, izscammao je scammere samo tako

Da, sjećam se da je bilo i toga. Čak mislim da bi takve stvari prolazile i danas. Da netko postavi private key u Telegram grupu, prilično sam siguran da bi hrpa ljudi slala ETH u wallet samo da povuku neki token s walleta. Iako bi ja rekao da su tu i jedni i drugi scammer ali OK.

[btcltcdigger]

Nije smart contract nego flash bot koji prati adresu i reagira u manje od sekundu, tj cim eth sjedne

Imate ovdje detaljno opisano kako scam radi  https://scamme.rs/leaked-wallet-scam/

[Pmalek]

Šta uopće postoji netko ko klika na privatne poruke da se priključi pump grupi?

Sigurno ne sa našeg foruma ali vjerujem da u regijama svijeta sa niskim nivom obrazovanja i kompjuterske pismenosti sve to i dalje prolazi. Ljudi samo gledaju i fokusiraju se na one brojke koje su im "obečane", ni o čemu drugom ne razmišljaju. 

Iako bi ja rekao da su tu i jedni i drugi scammer ali OK.

Pa jesu. Prevarant koji vara prevarante koji su htjeli da ga prevare.

[Trofo]

Nije smart contract nego flash bot koji prati adresu i reagira u manje od sekundu, tj cim eth sjedne

Imate ovdje detaljno opisano kako scam radi  https://scamme.rs/leaked-wallet-scam/

Vidiš dobra fora, čega se sve ljudi ne sjete. To je po meni kriminalno djelo koje spada u grupu recimo moralno opravdanih. Nekako je poetično kada kradeš od lopova Još igra i na kartu pohlepe, di ćeš bolje.

[casperBGD]

Nije smart contract nego flash bot koji prati adresu i reagira u manje od sekundu, tj cim eth sjedne
~snip

zar ne bi trebalo biti moguce izbeci tu situaciju sa flash-loan napadom, napravis programcic koji ce sve da uradi u istom bloku?

posalje ETH, odmah ga iskoristi da posalje Altcoin-e nazad, stavi ogroman gas, i sve zavrsi u istom bloku, pa flash bot nema vremena da reaguje, odnosno morao bi da bude programiran da napravi slanje ETH na drugu adresu pre potvrde transakcije, a to mi se cini nemoguca misija, nisam siguran

nisam cuo za tu vrstu prevare ranije, valjda ne idem po telegram grupama tako cesto, dobra fora u svakom slucaju

[slackovic]

Nije smart contract nego flash bot koji prati adresu i reagira u manje od sekundu, tj cim eth sjedne
~snip

zar ne bi trebalo biti moguce izbeci tu situaciju sa flash-loan napadom, napravis programcic koji ce sve da uradi u istom bloku?

posalje ETH, odmah ga iskoristi da posalje Altcoin-e nazad, stavi ogroman gas, i sve zavrsi u istom bloku, pa flash bot nema vremena da reaguje, odnosno morao bi da bude programiran da napravi slanje ETH na drugu adresu pre potvrde transakcije, a to mi se cini nemoguca misija, nisam siguran

nisam cuo za tu vrstu prevare ranije, valjda ne idem po telegram grupama tako cesto, dobra fora u svakom slucaju

Kad su te prevare bile aktualne, DeFi nije postojao pa samim time nije bilo niti flash loan-a. Da je bilo, vjerujem da bi onda scammer mogao scammati scammera koji scamma tog prvog scammera

[Trofo]

Evo jedan novi scam na koji sam skoro pa i pao. Imali su me prvih 5 sekundi i jedan klik na mail:) Izbrisao sam mail na žalost pa ne mogu staviti linkove ali idemo opisno

Dolazi mail od binance koji izgleda vrlo legit na prvu. Dobra mail adresa, izgled kao njihovi. Uglavnom nagradna igra u kojoj se može osvojiti jedan bitcoin. Ima gumb za stisnuti i tajmer. Osoba koja zadnja stisne gumb prije nego vrijeme istekne dobiva 1 bitcoin. Igra kreće kada se prijavi 50k ljudi.

Uglavnom kada se klikne na link dolazi se na lažnu binance stranicu di tajmer već ide, ima manje od minute i taman 51k ljudi i novi se prijavljuju stalno. U kutu naravno login button.

Ideja pretpostavljam na paniku natjerat korisnika da klikne na login da ne zakasni na igru. Iako ne znam šta mogu s binance loginom bez 2FA podataka ali valjda im služe za nešto.

[Pmalek]

Ideja pretpostavljam na paniku natjerat korisnika da klikne na login da ne zakasni na igru. Iako ne znam šta mogu s binance loginom bez 2FA podataka ali valjda im služe za nešto.

Da, vjerovatno je to u pitanju. Sigurno ima mnoštvo Binance korisnika koji i dalje ne koriste 2FA opciju jer im je lakše i brže ulogovati se na nalog bez dodatne zaštite. Neke mjenačnice više ne dozvoljavaju deponovanje i povlačenje sredstava bez aktiviranog 2FA. Be znam jel Binance jedna od tih.

Mislim da Binance ima i neku anti-phishing message opciju koja se može aktivirati. Kad je aktivna, svaki mail koji dobiješ od njih sadrži određene riječi ii frazu. Ako znaš riječi, možeš odmah da vidiš da li je u pitanju prava stvar ili neka prevara. 

[casperBGD]

~snip

Mislim da Binance ima i neku anti-phishing message opciju koja se može aktivirati.

da, to je bas dobar mehanizam, ne znam kako cuvaju podatke, ali Cronos menjacnica to koristi, i svaki mail od njih ima tu anti-phising frazu
jedino sto ako neko to hakuje, a ti ne obracas dovoljno paznje, lakse ces pasti na prevaru

mislim da Binance trazi 2FA za povlacenje sredstava

[Trofo]

mislim da Binance trazi 2FA za povlacenje sredstava

Koliko ja znam traži 2FA poput google auth + još kod koji dobiješ na Email. Barem je mene to uvijek tražio a siguran sam da ih nisam aktivirao svojevoljno. Tako da pretpostavljam da su to koraci koje mora proći svaki binance korisnik.

Čisto sumnjam da su smanjili te dodatne korake sada kada su uveli obavezni KYC. Od tada ih nisam koristio.

[slackovic]

mislim da Binance trazi 2FA za povlacenje sredstava

Koliko ja znam traži 2FA poput google auth + još kod koji dobiješ na Email. Barem je mene to uvijek tražio a siguran sam da ih nisam aktivirao svojevoljno. Tako da pretpostavljam da su to koraci koje mora proći svaki binance korisnik.

Čisto sumnjam da su smanjili te dodatne korake sada kada su uveli obavezni KYC. Od tada ih nisam koristio.

Većina burzi (barem ove "veće") traže da se uključi 2FA za povlačenje sredstava s burze. Znam da mi to uvijek ide na živce kad na nekoj burzi želim samo na brzinu prodati neki crypto i onda za povlačenje moram raditi Google 2FA. Zato mi je sad Google Authenticator krcat kodovima koje vjerojatno više nikad neću koristiti ali ne želim ih obrisati jer nikad ne znaš.

[cryptofrka]

Mislim da Binance ima i neku anti-phishing message opciju koja se može aktivirati. Kad je aktivna, svaki mail koji dobiješ od njih sadrži određene riječi ii frazu. Ako znaš riječi, možeš odmah da vidiš da li je u pitanju prava stvar ili neka prevara. 

Ja to imam na Kucoinu, pojavi ti se i na login screenu i u mailu kojeg ti šalju.
Iako je u teoriji super stvar, doslovno nema šanse da bih skužioo da toga nema da se nekim slučajem ulogiram na krivu stranicu.

Zato mi i je super da na withdrawalu imaš i kod na mailu i 2FA, koliko god iritantno bilo kad moraš sam povlačiti lovu.

[slackovic]

Ja to imam na Kucoinu, pojavi ti se i na login screenu i u mailu kojeg ti šalju.
Iako je u teoriji super stvar, doslovno nema šanse da bih skužioo da toga nema da se nekim slučajem ulogiram na krivu stranicu.

Zato mi i je super da na withdrawalu imaš i kod na mailu i 2FA, koliko god iritantno bilo kad moraš sam povlačiti lovu.

To je tvoj problem što ne bi znao da taj tekst mora biti u mailu koji si dobio. Meni je to odlična stvar jer netko tko šalje scam mailove nikako ne može saznati koju riječ koristim kao anti-phishing kod. Jedino kako može znati je ako je upao u bazu podataka i ima popis mail adresa i njihove anti-phishing riječi. Ali prilično sam siguran da bi svaka burza upozorila korisnike kad bi se takav hack dogodio.

[examplens]

Ja to imam na Kucoinu, pojavi ti se i na login screenu i u mailu kojeg ti šalju.
Iako je u teoriji super stvar, doslovno nema šanse da bih skužioo da toga nema da se nekim slučajem ulogiram na krivu stranicu.

Zato mi i je super da na withdrawalu imaš i kod na mailu i 2FA, koliko god iritantno bilo kad moraš sam povlačiti lovu.

To je tvoj problem što ne bi znao da taj tekst mora biti u mailu koji si dobio. Meni je to odlična stvar jer netko tko šalje scam mailove nikako ne može saznati koju riječ koristim kao anti-phishing kod. Jedino kako može znati je ako je upao u bazu podataka i ima popis mail adresa i njihove anti-phishing riječi. Ali prilično sam siguran da bi svaka burza upozorila korisnike kad bi se takav hack dogodio.

Moram priznati da je vrlo korisna stvarcica to sa anti-phishing kodom u email.
Bas skoro sam imao situaciju sa Hotbit, gde mi se nakacio neki prevarant, odjednom mi je pocela stizati gomila identicnih mailova, gde se zahteva da promenim password. Anti-phishing kod je odradio svoje pa mi je bilo mnogo jednostavnije da ignorisem fake zahteve.
Svakako nije veliko opterecenje za upotrebu i treba to aktivirati.

[FatFork]

Ja to imam na Kucoinu, pojavi ti se i na login screenu i u mailu kojeg ti šalju.
Iako je u teoriji super stvar, doslovno nema šanse da bih skužioo da toga nema da se nekim slučajem ulogiram na krivu stranicu.

Zato mi i je super da na withdrawalu imaš i kod na mailu i 2FA, koliko god iritantno bilo kad moraš sam povlačiti lovu.

To je tvoj problem što ne bi znao da taj tekst mora biti u mailu koji si dobio. Meni je to odlična stvar jer netko tko šalje scam mailove nikako ne može saznati koju riječ koristim kao anti-phishing kod. Jedino kako može znati je ako je upao u bazu podataka i ima popis mail adresa i njihove anti-phishing riječi. Ali prilično sam siguran da bi svaka burza upozorila korisnike kad bi se takav hack dogodio.

Moram priznati da je vrlo korisna stvarcica to sa anti-phishing kodom u email.
Bas skoro sam imao situaciju sa Hotbit, gde mi se nakacio neki prevarant, odjednom mi je pocela stizati gomila identicnih mailova, gde se zahteva da promenim password. Anti-phishing kod je odradio svoje pa mi je bilo mnogo jednostavnije da ignorisem fake zahteve.
Svakako nije veliko opterecenje za upotrebu i treba to aktivirati.

Tajna riječ je dobra metoda obrane protiv phishing napada kada neke druge metode padnu, recimo u slučaju DNS server hijackinga. I da, može zakazati samo ako je došlo do hakiranja ili druge vrste curenja podataka iz njihove baze podataka, što je zasigurno mnogo manje vjerojatno. Niti jedna metoda nije sto posto sigurna ali svakako je dobro imati takve višestruke linije obrane.

[slackovic]

Tajna riječ je dobra metoda obrane protiv phishing napada kada neke druge metode padnu, recimo u slučaju DNS server hijackinga. I da, može zakazati samo ako je došlo do hakiranja ili druge vrste curenja podataka iz njihove baze podataka, što je zasigurno mnogo manje vjerojatno. Niti jedna metoda nije sto posto sigurna ali svakako je dobro imati takve višestruke linije obrane.

Niti jedna metoda nije sigurna sama za sebe. Ali ako se kombinira nekoliko različitih metoda, dobije se prilično siguran korisnički račun koji je jako teško probiti. Recimo meni je za sad kombinacija mail adrese koju inače ne koristim + 2FA + anti-phishing kod sasvim dovoljna da se osjećam sigurno. Naravno, to sve pada u vodu kod hakiranja walleta ili baze podataka od burze ali u tom slučaju korisnik ne može napraviti ništa da bi se zaštitio osim ne držati crypto na burzi.

[casperBGD]

~snip
Recimo meni je za sad kombinacija mail adrese koju inače ne koristim + 2FA + anti-phishing kod sasvim dovoljna da se osjećam sigurno. Naravno, to sve pada u vodu kod hakiranja walleta ili baze podataka od burze ali u tom slučaju korisnik ne može napraviti ništa da bi se zaštitio osim ne držati crypto na burzi.

da, u biti treba proceniti koji stepen rizika predstavljas, i onda na bazi toga odredis koliko komfora da ostavis sebi prilikom transakcije

ukoliko je rizik veliki, i imovina kojom upravljas solidna, onda stavis sve kombinacije bezbednosti, i radis sto je redje moguce
ukoliko je rizik manji, i mala imovina, onda moze i bez 2FA, i bez anti-phising koda, samo na mail-kod, ili lozinku, kad to berza dozvoli

pisali smo u banklessadria pre par nedelja o tome, u delu škola krađe podataka - https://banklessadriadao.substack.com/p/dekolonizacija-dao-a-banklessdao, koga zanima