Jak odróżnić prawdziwą stronę dApp od podróbki?
Siema krypto świry. Mam mega problem i w sumie też pytanie do starych wyjadaczy siedzących w Web3. Wczoraj rano miałem totalnie zawałową sytaucję. Chciałem wejść na popularnego DEX-a żeby zrzucić trochę tokenów. Wpisuję w Google, klikam pierwszy link z brzegu (nawet nie oznaczony jako sponsorowany!) i już, już miałem podpinać Metamaska, ale coś mnie tknęło. Adres url miał jedną, dosłownie JEDNĄ literkę zmienioną. Kopia 1:1, te same kolory, fonty, wszystko wyglądało legitnie.
No i właśnie tutaj pojawia się moje pytanie: jak odróżnić prawdziwą stronę dApp od podróbki tak na stówę?
Wiadomo, każdy mówi sprawdzaj URL, no ale powiedzmy sobie szczerze – kto za każdym razem czyta adres literka po literce, jak się spieszy np. na jakiegoś szybkiego dropa NFT albo gdy gaz jest akurat tani?
Macie jakieś swoje sprawdzone patenty na te chamskie scamy i phishingi? Używacie jakichś konkretnych wtyczek do przeglądarki, które od razu drą ryja, że coś jest nie tak z wchodzeniem w interakcję z kontraktem? A może macie żelazne zasady typu „wchodzę tylko przez zakładki” albo weryfikujecie wszystko na bieżąco przez oficjalnego Discorda twórców?
Bo powiem Wam szczerze, im głębiej wchodzę w to całe deFi, tym większą mam paranoję przed kliknięciem „Connect Wallet”. Podrzućcie proszę swoje red flagi, na które zawsze zwracacie uwagę, żeby wyłapać, czy to prawdziwa strona dApp, czy bezczelna fałszywka nastawiona na drenaż portfela. Z góry wielkie dzięki za każdy tip!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
2 Odpowiedź
Ziomek wyżej dał ci świetną pigułę wiedzy o wtyczkach i burnerach, ale ja ci dorzucę perspektywę z jeszcze innej mańki, która wywraca wszystko do góry nogami. Wyobraź sobie taką sytuację: wchodzisz z własnej bezpiecznej zakładki, adres się zgadza co do joty, kłódeczka SSL świeci na zielono, a ty i tak tracisz hajs. Brzmi jak koszmar? Niestety, w krypto to realia. Czasem prawdziwa strona dApp pada ofiarą ataku DNS albo ktoś hakuje jej front-end (były przecież takie grube akcje np. na Curve czy z Galxe).
Więc jak żyć, skoro nawet dobry URL może kłamać? Ja przestałem ślepo ufać tradycyjnym stronom www. Trzeba ogarnąć jedną rzecz – strona internetowa w deFi to tylko wygodna nakładka wizualna dla normików. Prawdziwe serce projektu to wyłącznie jego smart kontrakt zakodowany na blockchainie.
Mój patent na ominięcie wyrafinowanych podróbek jest taki: jak mam wrzucić gdzieś więcej kasy, to w ogóle nie patrzę na to, czy UI ładnie wygląda. Kiedy klikam akcję i wyskakuje mi okienko podpisu w portfelu, sprawdzam na jaki dokładnie adres kontraktu leci moje zatwierdzenie. Mam po prostu zapisane w bezpiecznym miejscu końcówki adresów najważniejszych protokołów, z których korzystam. Bezpośrednia weryfikacja smart kontraktu przed kliknięciem „Approve” to nudna, żmudna robota, ale w 100% ratuje tyłek. Widzisz inny ciąg znaków niż zazwyczaj? Odpalasz wrotki i uciekasz.
Druga sprawa to wchodzenie przez IPFS. Duże, legitne projekty hostują swój interfejs również w sposób zdescentralizowany, często podpinając to pod domeny ENS (te z końcówką .eth). Jak wchodzisz przez IPFS, masz niemal pewność, że kod strony nie został w międzyczasie podmieniony na centralnym serwerze przez jakichś hakerów. To świetna metoda na rozpoznanie orginalnego dAppa i ominięcie dziurawego systemu DNS.
No i na sam koniec totalny must-have: portfel sprzętowy, ale używany z głową. Co ci po Ledgerze czy Trezorze, jak odpalasz na nim w opcjach tzw. blind signing i klepiesz zatwierdzenia jak leci, bez patrzenia? Ekranik na portfelu sprzętowym to twoja ostateczna tarcza przed scamem. Kiedy łączysz się z bezczelną fałszywką, na małym wyświetlaczu zamiast zwykłego swapa czy dodania płynności, wywali ci np. funkcję transakcji „SetApprovalForAll”, co oddaje kontrolę nad twoimi NFT albo tokenami. Czytajcie te krzaczki na urządzeniach, bo to tam widać czarno na białym, z czym tak naprawdę gadacie. Z fartem!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
