هشدار تراست ولت درباره وب‌سایت کلاهبرداری کارت کریپتویی جعلی
تیم امنیتی تراست ولت تأیید کرده است که یک وب‌سایت تبلیغ‌کننده کارت پرداخت کریپتویی با مزایای بسیار وسوسه‌انگیز، کلاهبرداری است و به کاربران هشدار داده که کیف پول خود را به این پلتفرم متصل نکنند.
تیم امنیتی تراست ولت (Trust Wallet) تأیید کرده است که یک وب‌سایت که یک کارت پرداخت ارز دیجیتال با مزایای فوق‌العاده سخاوتمندانه را تبلیغ می‌کند، کلاهبرداری است و به کاربران در مورد اتصال کیف پول خود به این پلتفرم هشدار داده است.
این هشدار پس از آن صادر شد که یک محقق امنیتی ارزهای دیجیتال به نام «دنیل» با نام کاربری @0xDani در شبکه اجتماعی X، این وب‌سایت جعلی را شناسایی کرد. این سایت با استفاده از برند تراست ولت، یک کارت پرداخت با سقف ۱۰۰ هزار دلار، پاداش بازگشت نقدی تا ۸ درصد و چندین مزیت ویژه دیگر را تبلیغ می‌کرد.
وعده‌های فریبنده کارت جعلی تراست ولت
طبق اسکرین‌شات‌های منتشر شده توسط دنیل، این وب‌سایت کلاهبرداری یک محصول کارت کریپتویی کاملاً توسعه‌یافته با چندین سطح عضویت و یک کارت فلزی ویژه را به نمایش می‌گذاشت.
در تبلیغات این کارت، سقف هزینه تا ۱۰۰ هزار دلار، بازگشت نقدی تا ۸ درصد برای بالاترین سطح کارت، دسترسی به سالن‌های فرودگاهی، کارمزد صفر برای مبادلات ارزی، پشتیبانی از Apple Pay و Google Pay و یک کارت فیزیکی فلزی وعده داده شده بود. تمام این مزایا در حالی ارائه می‌شد که هزینه صدور کارت تنها ۱ دلار اعلام شده بود.
یکی از ویژگی‌های بسیار غیرعادی و مشکوک، وعده عدم نیاز به احراز هویت (KYC) بود، در حالی که این وب‌سایت ادعا می‌کرد خدمات پرداخت ارائه می‌دهد و در چهار کشور مجوز دارد.
این وب‌سایت سه سطح کارت به نام‌های Lite، Signature و Metal را با نام و لوگوی تراست ولت تبلیغ می‌کرد که هر کدام مزایای متفاوتی را ارائه می‌دادند. با این حال، شرط اصلی برای بهره‌مندی از این پیشنهادها، اتصال کیف پول ارز دیجیتال بود که دنیل آن را بخش خطرناک این طرح کلاهبرداری خواند.
واکنش تیم امنیتی تراست ولت
در پاسخ به هشدار دنیل، «جیمز برو» که خود را سخنگوی تیم امنیتی تراست ولت معرفی کرد، تأیید نمود که این وب‌سایت هیچ ارتباطی با این شرکت ندارد. او کاربران را به اپلیکیشن و وب‌سایت رسمی شرکت ارجاع داد.
او توضیح داد که محصولات قانونی تراست ولت فقط از طریق کانال‌های رسمی آن در دسترس هستند و به کاربران هشدار داد که برای دریافت کارت پرداخت، کیف پول خود را به سایت‌های مشکوک متصل نکنند یا درخواست‌های تراکنش ناشناس را تأیید نکنند.
این هشدار به طور خاص به الزام اتصال کیف پول در وب‌سایت مذکور اشاره داشت که به عنوان بخشی از فرآیند دسترسی به مزایای تبلیغ شده ارائه می‌شد. با اینکه وب‌سایت از نام، طرح‌های کارت پرداخت و مواد تبلیغاتی تراست ولت استفاده کرده بود، پاسخ تیم امنیتی مشخص کرد که این پیشنهاد یک محصول مجاز از سوی شرکت نیست.
وب‌سایت‌های جعلی چگونه دارایی‌ها را سرقت می‌کنند؟
وب‌سایت‌های کلاهبرداری ارز دیجیتال معمولاً با ترغیب کاربران به تأیید تراکنش‌های مخرب یا امضای مجوزهایی که به نظر بخشی از یک سرویس قانونی می‌آیند، سعی در دسترسی به دارایی‌های آن‌ها دارند.
صرفاً اتصال کیف پول به یک وب‌سایت به طور خودکار به آن اجازه انتقال ارز دیجیتال را نمی‌دهد. با این حال، مهاجمان می‌توانند از درخواست‌های تراکنش یا امضاهای بعدی برای به دست آوردن مجوز خرج کردن (spending permissions) برای توکن‌های خاص استفاده کنند.
چنین مجوزهایی به یک قرارداد هوشمند تحت کنترل مهاجم اجازه می‌دهد تا دارایی‌ها را بدون نیاز به اینکه قربانی عبارت بازیابی خود را فاش کند، منتقل نماید. این هشدار به دنبال موارد قبلی جعل هویت تراست ولت از طریق اپلیکیشن‌ها و وب‌سایت‌های غیررسمی منتشر می‌شود.
