Extrypto

Не торопитесь отзывать аппрувы

2023-07-12T16:04:53.428Z

Основано на материалах треда: @Revoke.cash и @blanker.eth

Revoke.cash получили сообщения о том, что люди видят неизвестные транзакции аппрувов. Оказалось, это новая афера, в которой мошенники используют так называемые газовые токены для кражи денег в тот момент, когда жертвы пытаются отозвать поддельные аппрувы.

Многие из этих аппрувов не отображались в Revoke, поскольку они были отфильтрованы на основе эвристики, однако некоторые всегда ускользают. Поэтому, чтобы бороться с этим мошенничеством, была добавлена проверку, которая отключает отзыв утверждений, если есть чрезмерная плата за газ.

Пример фейкового аппрува:

А вот как выглядит уведомление от кошелька Zerion:

Как видите, злоумышленники используют названия популярных монет и выглядит это достаточно правдоподобно.

К счастью, комиссия за попытку отзыва такого аппрува ограничена технически со стороны блокчейна. Например, при 3 Gwei вы потратите 65$:

https://bscscan.com/tx/0x7d3e1abaf857abd39e557ccb908c8273c436fd11d22f63c2791c73473bef63ad

Так как же это работает?

Несколько лет назад, когда плата за газ в Ethereum начала расти, была разработана концепция «газовых токенов». Эти токены газа использовали (или злоупотребляли) функцию EVM, которая позволяет возмещать расходы за газ при очистке хранилища. Одним из примеров является Chi Gastoken

Everything you wanted to know about Chi Gastoken

Chi позволял пользователям чеканить газовые токены, когда комиссии были низкими, и сжигать их, когда комиссии были высокими, фактически «фиксируя» более низкую комиссию. Это было непреднамеренным побочным эффектом возмещения расходов на хранение газа, и оно стало невозможным с помощью EIP-3529 еще в 2021 году.

EIP-3529: Reduction in refunds

Тем не менее, несколько EVM-блокчейнов, в том числе BNB Chain, всё ещё используют эту концепцию токенов газа, чем и пользуются мошенники. Они создали поддельные токены, которые распределили посредством эйрдропа, и создали поддельные аппрувы для этих токенов. Таким образом они вводят пользователей в заблуждение и побуждают как можно скорее отозвать аппрувы.

Мошенники запрограммировали эти поддельные токены таким образом, чтобы во время транзакции отзыва аппрува чеканилось много газовых токенов. Затем эти газовые токены отправляются мошенникам, которые могут их продать. Проблема в том, что всплывающее окно вашего кошелька не покажет, что вы отправляете средства, только неоправданно высокую комиссию.

Данные аппрувы не нужно пытаться отозвать. А если вы это уже сделали, это не повлияет на другие аппрувы, то есть всё, чем вы рискуете - оплатой высокой комиссии за отзыв аппрува.

В целях безопасности не рекомендую вам использовать готовые решения для отзыва аппрувов, такие как Revoke.cash, Rabby Wallet и т.д. Делайте это вручную через официальные эксплореры блокчейна на странице контракта:

Читайте базовый гайд по безопасности в мире криптовалют и подписывайтесь на мой канал, чтобы не пропустить полезные материалы по безопасности.

Организация и настройка инфополей: Telegram

2023-05-14T21:33:05.720Z

Данный гайд написан криптаном для криптанов и призван повысить вашу продуктивность. Каждый найдёт в нём что-то новое для себя.

Фомо

Первочередная задача в нашем деле — не потерять. В идеале — преумножить.

Большая часть людей теряет, а не зарабатывает и дело тут не в интеллекте, а в информационных полях. Не заботиться о своём инфополе — всё равно что не заботиться о своём здоровье.

Удивительно, как фомо влияет на нас: мы подписываемся на всё большее количество каналов, рассылок, вступаем в сотни чатов. Чтобы что? Чтобы не упустить очередную альфу? Нередко в этой погоне мы распыляемся и не делаем ничего. Либо чуть больше, чем ничего — и всё равно кусаем локти.

Для того, чтобы повысить продуктивность своей работы и её результаты - как следствие, необходимо не только организовать свои инфополя, но и время.

Заведите привычку планировать свой день заранее, чтобы найти время для продуктивной работы в крипте.

Как очистить свои инфополя?

Определите те направления, которые вам действительно интересны и смело отписывайтесь от других. Трёх направлений будет достаточно.
Нет смысла состоять во множестве каналов и чатов. После 3-10К+ подписчиков большинство превращается в копи-паст, сливаются или же меняют формат. В чаты на 2К+ реже попадает альфа, однако всегда есть исключения.
Обратите внимание на закреплённые сообщения канала: как правило там находятся лучшие/полезные публикации. Если в закрепе только приватки/реферальные ссылки - не торопитесь ставить крест. Дайте шанс - полистайте канал, но без фанатизма.

Зачистка инфополей - дело непростое. Если у вас всё запущено - наберитесь терпения. Остановитесь, когда поймёте, что разобрали бóльшую часть каналов и чатов, ведь идеал недостижим . Понаблюдайте несколько дней и приступайте к подпискам на интересные вам каналы.

В конце гайда вы найдёте ссылку на стартовый набор папок, а так же их копию в виде списка.

Неочевидные лайфхаки

Записывайте свои заметки в одном месте, не распыляясь: Блокнот / Telegram / Notion / Simplenote / Obsidian. И помните, что начать с чистого листа не трудно - трудно изменить почерк. ~~привычку трудно выработать короче~~
Инструментов для планирования очень много. Советую начать с простого - Microsoft To Do.
Пробегитесь по горячим клавишам вашей ОС: раз, два и горячим клавишам Telegram - 100% узнаете что-то новое и начнёте сильно экономить время, выполняя рутинные операции.
начните использовать папки в Telegram
~~определяйте интеллект собеседника по общим чатам~~
вы не успеете читать все групповые чаты, но можете использовать их для поиска в будущем. желательно закинуть их в отдельную папку
если вы сомневаетесь при зачистке покидать канала/группу или нет, создайте временну папку и перемещайте их туда.Даёте любое удобное название для папки, например - Сортировочная/временная/корзина/trash/temp IYKWIM
открывать чаты/каналы можно в отдельном окне:

для избранных каналов можно использовать кастомный звук уведомления
просматривать ответы на сообщение(тред) в группе можно через контекстное меню:

попробуйте поиск по всему Telegram
можно использовать приватную группу с топиками для сохранения репостов по категориям. таким образом вы значительно сократите время поиска нужной информации и не будете захламлять другие чаты

Не забываем про безопасность:

используйте отдельные аккаунты Telegram, Discord, Twitter, Google для крипты
установите везде 2FA + код доступа для клиента Telegram
используйте различные устройства/профили браузера для разделения крипты, работы и отдыха

Бонус

Стартовая подборка каналов и чатов в Telegram

Безопасность в мире криптовалют

Пять причин почему тебе надо заняться криптой, но ты ничего не будешь делать

DYOR: великий гайд по ресерчу - обязательно прочитайте этот гайд от лучших умов со всего СНГ. хотя бы часть про организацию ресёрча и работы

LIFE IS GOOD! - о ментальном здоровье

ERC-4337: абстракция аккаунта / смарт-аккаунт

2023-03-06T15:30:24.974Z

Следующий миллиард пользователей криптовалют не будет записывать 12 слов на листке бумаги. Нормальные люди так не делают.

Йоав Вайс, специалист по безопаности в Ethereum Foundation

Подписывайтесь на мой Telegram, чтобы не пропустить полезный контент. Спасибо!

ERC-4337 — это спецификация для добавления функциональности абстракции аккаунта в основную сеть Ethereum без изменения правил консенсуса.

Спецификация ERC-4337 была сформулирована и предложена 29 сентября 2021 года, а её концепцию Бутерин предложил ещё до запуска блокчейна Ethereum. Ожидалось, что Ethereum ещё не скоро получит это обновление. Однако в начале марта 2023, на конференции WalletCon в Денвере было объявлено о том, что основные контракты для ERC-4337 прошли аудит и будут доступны в сетях, совместимых с Ethereum Virtual Machine (EVM): Polygon, Optimism, Arbitrum, BNB Smart Chain, Avalanche и т.д. Путь от концепции до реализации занял почти 10 лет!

Реальность, в которой мы живём

Потеря или компрометация ваших приватных ключей означает лишение доступа к управлению активами либо их кражу.

Конечно, вы можете использовать аппаратный кошелек или записать сид-фразу на бумаге и хранить её в сейфе. Это нормально для первопроходцев этой технологии. Но этот опыт нельзя масштабировать до миллиарда пользователей. Пока большинство не знает или не хочет знать базовых мер безопасности, ни о каком массовом внедрении не может быть и речи. Пользователи постоянно лишаются своих активов из-за мошенников или утраты доступа к кошелькам.

В этом и заключается величие и подвох блокчейна: нет центрального органа, который подвергал бы вас цензуре или блокировал использование системы. С другой стороны - нет центрального органа, к которому можно было бы обратиться, если что-то пойдёт не так. А в Web3 часто что-то идёт не так.

Обеспечение для пользователей простого, надёжного и безопасного взаимодействия в блокчейне — главная задача на пути к массовому внедрению, и абстракция аккаунта - первый шаг.

Абстракция аккаунта (Account Absctraction) - это новая парадигма, позволяющая программировать аккаунты блокчейна. За этой парадигмой стоит то, что невероятно удобно для пользователя - смарт-аккаунт. Похоже на смарт-контракт, да. Кстати, в своё время смарт-контракт стал революцией. Будет ли очередная? Спойлер: да!

Смарт-аккаунт (Smart Account) — это тип аккаунта, который программируется с помощью набора правил и условий, как смарт-контракт. Эти смарт-контракты позволяют смарт-аккаунту выполнять определённые действия автоматически, на основе заранее определённых условий, без необходимости вмешательства человека.

Многофакторная аутентификация и повышенная безопасность для всех

Что если вам нужна защита, аналогичная банковской или даже ещё лучше?

Мультиподпись - одна из самых удобных функций, особенно для бизнеса. Например, планируется сделка, которая требует одобрения еще двух ваших коллег. Вы можете внести их кошельки в "вайтлист" и они смогут одобрить транзакцию. Или же у вас есть DAO и вы решили что-то купить - для этого вы также можете создать "вайтлист" и дать возможность главному кошельку реализовывать транзакции, когда, например, 7 из 10 членов DAO подтвердили её.

Смарт-аккаунт расширяет возможности мультиподписи.

Чем мультиподпись смарт-аккаунта лучше готового решения, которое предлагает Gnosis Safe? Разница, как говорит Бутерин, заключается в том, что смарт-аккаунты, могут предложить больше настроек, безопасности и удобства использования. Более того, существующие решения для мультиподписи не позволяют вам хранить любые токены(в том числе NFT) на любом EVM-блокчейне.

Смарт-аккаунт позволяет адаптировать уровни безопасности в соответствии с вашими потребностями и использовать различные методы подтверждения транзакций:

Установите двухфакторную (или многофакторную) аутентификацию для подписи: биометрия, мультиподпись, код из смс и т.д.
Установите дневной или любой другой лимит на переводы и автоматически блокируйте всё, что превышает его.
Интегрируйте оффчейн-сервисы для дополнительной защиты. Например, если покупаете NFT - используйте OpenSea, чтобы убедиться, что коллекция проверена, прежде, чем подписывать транзакцию. Если коллекция не проверена - будет запрос на дополнительную аутентификацию.
Используйте децентрализованные спам-фильтры. Блокируйте транзакции с неверифицированными контрактами.
Используйте сервисы для проверки других адресов, чтобы убедиться, что получатель/отправитель не имеет отношения к криптовалюте, полученной незаконным путём.

И всё это происходит автоматически!

Использование смартфона в качестве аппаратного кошелька

Стандарт ERC-4337 позволит разработчикам Ethereum реализовать технологию смарт-аккаунтов. Это значит, что пользователям больше не придется запоминать или записывать сложную фразу для восстановления. Вместо этого криптографические ключи можно будет хранить в стандартных модулях безопасности смартфонов.

Есть несколько нюансов при использовании смартфона в качестве аппаратного кошелька. Его можно взломать либо подтолкнуть пользователей одобрить нежелательные транзакции.

Серьёзная проблема использования смартфона в качестве кошелька заключается в увеличении комиссии за транзакции. Потому что модуль безопасности телефона использует иной метод шифрования, а это увеличивает энергопотребление.

Высокая плата за газ — проблема, уникальная для Ethereum, однако стоимость газа в других EVM-блокчейнах достаточно низка. Поэтому использование смартфона в качестве аппаратного кошелька незначительно повлияет на стоимость газа.

Таким образом, абстракция превратит телефоны в удобные аппаратные кошельки, что может значительно помочь массовому внедрению криптовалют.

Плагины

Как вы помните, смарт-аккаунт - это программируемый аккаунт.

Плагины или мини-приложения делают его ещё более гибким, модульным. Появятся магазины приложений для смарт-аккаунтов.

По мере развития технологий, смарт-аккаунты будут обновляться как обычное программное обеспечение.

Пакетные транзакции

Когда вы используете dApp на Ethereum, вам нужно подписывать транзакцию для каждого взаимодействия в сети. Порой это отнимает много времени, дорого и разочаровывает.

С помощью смарт-аккаунта вы или поставщик услуг можете объединить несколько транзакций в одну. Такой приём называется пакетной транзакцией (multicall).

Например, для обеспечения ликвидности на Uniswap обычно требуется три транзакции: аппрув каждого из двух токенов, а затем их депонирование. Используя пакетные транзакции вы можете сделать это всего за одну транзакцию - быстрее, дешевле и безопаснее, поскольку вы избавляетесь от необходимости бесконечного аппрува.

Смарт-аккаунт превращает пакетные транзакции в одно касание для пользователей

Оплата газа любым токеном

Безгазовые и спонсорские транзакции

Проблема Ethereum и ему подобных заключается в том, что вам нужно иметь определенный нативный токен сети, чтобы оплачивать газ. Это создаёт порог входа в виде лишних манипуляций на биржах или мостах. Однако с помощью смарт-аккаунтов вы сможете оплачивать комиссию за газ любым ERC-20 токеном.

Более того, вы сможете оплачивать свои комиссии с другого смарт-аккаунта или спонсировать оплату комиссий друга.

Ну а в борьбе за внимание пользователей многие проекты (NFT-маркетплейсы, DEX, P2E и т.д) начнут вводить так называемые "безгазовые транзакции" и оплачивать газ за вас.

Кстати, интересно, как это отразится на ретродропах? Продолжим ли мы сквозь слёзы сжигать сотни долларов за газ?

Сеансовые ключи и оплата подписок

Сеансовые ключи — это прорыв для UX, особенно для игр, использующих блокчейн. Они позволяют вам предварительно утвердить правила взаимодействия с dApp.

Параметры сеансовых ключей могут включать: продолжительность, максимальное количество газа, максимальный объём транзакции определенного токена или конкретную функцию в конкретном контракте. Более того, сеансовые ключи отлично сочетаются с пакетными транзакциями, что позволяет лишний раз сэкономить на газе.

Вы можете наслаждаться использованием dApp, зная, что ваши активы защищены, потому что вы ограничили то, что dApp может с ними делать.

Крипто-подписки: в декабре 2022 года исследовательская группа Visa опубликовала исследование, демонстрирующее, как смарт-аккаунты в блокчейне StarkNet можно использовать для автоматической оплаты ипотеки, подписки на телевидение и счетов за коммунальные услуги.

Конечно, вы уже можете сделать это с банковских счетов или с помощью кастодиального кошелька, но в обоих случаях требуется доверие к централизованной службе.

Visa привели пример человека, который хочет поехать в отпуск и чтобы его счета оплачивались автоматически после получения зарплаты на криптовалютный кошелёк. Проблема в том, что вы не можете запланировать транзакцию в Ethereum, на которую у вас ещё нет денег. К тому же, сложность выполнения подобных операций заключается в том, что блокчейн поддерживает только те платежи, которые инициирует пользователь. Но не поддерживает платежи по запросу — автоплатежи.

Смарт-аккаунты делают возможными платежи по запросу, инициированные продавцом. Так, например, электроэнергетическая компания может настроить смарт-контракт автоплатежей на своем веб-сайте и перечислить его функции - регулярность и максимальная сумма.

Затем пользователь может одобрить это и добавить регулярный платёж в свой смарт-аккаунт, что позволит автоматически оплачивать счета после получения зарплаты.

Пользователь может быть уверен, что смарт-контракт будет выполняться именно так, как он описан и настроен. Таким образом криптовалюта становится полезной для целого ряда новых платежных приложений.

Социальное восстановление

Цель социального восстановления — защитить людей в случае компрометации или утраты доступа к смарт-аккаунту, а также помочь в безопасном и простом наследовании. Социальное восстановление делает это, избегая сид-фраз.

Виталик Бутерин считает, что сид-фразы необходимо исключить, поскольку они сложны в использовании, небезопасны и являются серьезным препятствием для массового внедрения. С социальным восстановлением, если вы потеряете свой закрытый ключ, вы можете просто авторизовать новый ключ как законный владелец кошелька. Механизмы для этого могут быть разными. Вы можете сами выбирать метод восстановления, основанный на:

доверенных контактах
аппаратных кошельках
учреждениях, которые подпишут транзакцию о восстановлении, если получат подтверждение вашего номера телефона или электронной почты или подтвердят вас лично с помощью видеозвонка

Все они называются опекунами и их можно комбинировать.

Важно отметить, что социальное восстановление не приносит в жертву чувство собственного достоинства . Вы по-прежнему целиком и полностью контролируете свои активы и методы их защиты.

Как социальное восстановление спасёт вас от кражи?

Мы можем расширить возможности социального восстановления добавив хранилище - это сейф с мультиподписью на специальном адресе, у которого есть задержка на вывод.

Во время этой задержки владелец смарт-аккаунта может отменить транзакцию, либо попросить об этом опекунов. При желании хранилище можно запрограммировать так, чтобы некоторые операции могли выполняться без задержки: сделки на DEX между токенами из вайтлиста, переводы друзьям.

Для дополнительной защиты в хранилище можно установить лимиты. Транзакции, превышающие лимиты, потребуют одобрения опекунов для завершения вывода средств.

Рекомендации, чтобы значительно снизить риск нападения на опекунов или их сговора:

7 и более опекунов
опекуны не должны знать друг о друге
опекуны из разных социальных кругов
в идеале иметь одного институционального опекуна

Кратко о ERC-4337: как работает, недостатки

Вместо изменения логики самого консенсуса Ethereum, был создан отдельный мемпул для транзакций смарт-аккаунтов.

Пользователи смарт-аккаунтов отправляют транзакции, которые называются объектами. В объектах содержатся намерения пользователей, подписи и другие данные для проверки.
Валидаторы могут упаковать набор объектов в одну «связку», то есть создать пакетную транзакцию.
Пакетная транзакция включается в блок Ethereum.

Валидатор платит комиссию за пакетную транзакцию в ETH и получает компенсацию за счёт комиссий от каждой укомплектованной транзакции. Валидаторы будут выбирать, какие объекты пользователей включать, основываясь на логике определения приоритетов комиссий. Таким образом возникнет новый комиссионный рынок для обработки транзакций смарт-аккаунтов.

Недостатки:

Немного увеличена уязвимость к DoS-атаке: логика проверки может быть сложнее, чем в обычном мемпуле Ethereum.
Накладные расходы на газ: несколько больше накладных расходов на газ, чем при обычных транзакциях. В большинстве случаев это компенсируется пакетными транзакциями.
Одна транзакция за раз: учетные записи не могут стоять в очереди и отправлять несколько транзакций в мемпул. Возможность выполнять пакетные транзакции сглаживает это.
Обратная совместимость: старые аккаунты не станут смарт-аккаунтами. В будущем произойдёт хардфорк, но это будет ещё не скоро. Сейчас команда сконцентрирована на повышении безопасности сети и её масштабировании.

Заключение

В истории было много технологий, которые решали проблемы пользователей, но так и не стали массовыми, потому что усилия по их использованию превышали ценность их преимуществ.

Например, когда только появилась электронная почта, шифропанки были озабочены конфиденциальностью, ведь все письма без труда могли читать спецслужбы. Они изобрели протокол шифрования PGP, но даже спустя 30 лет им мало кто пользуется. Потому что безопасность и удобство часто на разных полюсах и мы вынуждены идти на компромиссы.

Совсем недавно у нас не было настолько удобных банковских приложений и графического интерфейса в системе - только консоль. А теперь есть и нас не волнует, как это устроено.

Когда криптовалюта станет мейнстримом, 90% людей даже не будут знать, что уже используют её. К тому времени всё улучшится в десятки раз - мосты, комиссии, интерфейсы, безопасность и т.д. Слияние будет бесшовным.

Следующий миллиард пользователей не должно заботить хранение ключей и что там под капотом у технологии под названием "блокчейн". Всё, что написано выше - произойдёт, но не сразу. Тем не менее, развитие смарт-аккаунтов подарит всем беспрецедентный пользовательский опыт без ущерба для подлинной конфиденциальности. Будущее наступило.

Подписывайтесь на мой Telegram, чтобы не пропустить полезный контент. Спасибо!

Источники:

Безопасность в мире криптовалют

ERC-4337: Account Abstraction Using Alt Mempool

ERC 4337: account abstraction without Ethereum protocol changes

The road to account abstraction

Why we need wide adoption of social recovery wallets

Why Account Abstraction is a Game-Changer for dApps

Why EOA Wallets are a Threat to the Future of Blockchain

Argent: The most secure wallet

WTF is Account Abstraction

How to Make On-Chain Gaming Competitive: ‘Session Keys’

Ультимативный гайд по безопасной работе на OTC (16.04.2024)

2023-02-05T10:27:46.703Z

Содержание:

Intro: Что такое OTC? Для чего используется?

Поиск и проверка OTC

Проверка гаранта

Общение с гарантом

Общение внутри сделки

Открытие сделки и её условия

Идеальная сделка

Аккаунты Discord: выбор, проверка, бан/разбан, виды скама, рекомендации

Bonus: противодействие 8-ми видам скама

Outro: Послесловие. Полезные ссылки

Не забудьте подписаться на мой Telegram, чтобы точно не пропустить полезный контент!

Бóльшая часть данного гайда - это компиляция статей/заметок одного из гарантов Taverna ОТС - Sheligod. Вот его канал - подписывайтесь, там можно узнать о новых способах скама из первых рядов + лайфхаки для самых актуальных проектов на OTC.

Intro: Что такое OTC? Для чего используется?

Что такое рынок OTC? OTC - это внебиржевой рынок, сервис по подбору продавцов и поиску покупателей. Внебиржевой - потому что сделка происходит вне CEX/DEX. Мы будем рассматривать рынок OTC в Telegram. Что здесь можно делать?

купить токены до листинга на биржу/купить аллокацию для участия в токенсейле
гарантировать себе покупку NFT по стартовой цене путём whitelist
найти сотрудника, исполнителя в области программирования, дизайна, SMM и т.п. и даже найти работу

По статистике шанс скама в сделке без гаранта - 99%. Рано или поздно вы сами в этом убедитесь, но цель гайда - отбить у вас желание это проверять. Сейчас разберёмся, где и как пользоваться услугами гаранта и почему при совершении сделок лучше немного переплатить.

Поиск и проверка OTC

Первым делом нам надо найти проверенный OTC.

Определить хороший ОТС можно в совокупности по следующим признакам:

Переменные сделки всегда одинаковые(реквизиты, юзернеймы гарантов, размеры комиссий и т.д.) и расположены на видном месте
На ОТС постоянно есть новые положительные отзывы и сигналы о новых способах скама
ОТС существует достаточно долго, хотя бы полгода. OTC, созданный пару недель назад не может быть хорошим, ведь ещё не заслужил репутацию. Исключение: крупные сообщества/каналы с репутацией
Онлайн площадки. Если онлайн 500 человек из 4000 - это повод задуматься. Онлайн 30% днём - хорошо, но по ночам и на медвежке будет чуть меньше

Зная, как определить проверенный OTC, мы можем пойти от обратного и распознать скам/фейк OTC.

Скам/фейк ОТС - это рынок ОТС, созданный с целью получения прибыли обманным путем, где гаранты похищают средства и предметы покупателей/продавцов.

Скам OTC - ноунейм без репутации, либо в названии фигурирует бренд на слуху, прямую связь с которым подтвердить никак нельзя. (например, Opensea OTC, MagicEden OTC и т.д.)

У бирж действительно бывают свои OTC, чтобы киты могли совершать крупные сделки без давления на стоимость актива. В таких случаях OTC всегда расположен на официальном сайте, никак не в Telegram.

Фейк OTC - клон настоящего, проверенного OTC (Таверна, 2TOP и т.д.)

На примере Таверны рассмотрим, как отличить настоящий ОТС от скам-копии:

1. Очевидно, что настоящий ОТС появился до своего клона, поэтому первым делом сравниваем дату создания площадки. Сверяйте дату как основной площадки, так и каналов с отзывами, кошельками и т.д. Зачастую на фейк OTC все ссылки на гайды, правила, имена гарантов, кроме самих гарантов - настоящие.

2. Спрашивайте в проверенных чатах. Не находитесь ни в каких чатах? Здесь есть несколько гемов.

Ссылки на проверенные OTC будут в конце гайда.

Проверка гаранта

Огромное количество людей не делает проверку и попадается на скам. Главная причина - невнимательность и усталость. Поэтому, если вы утомились и хотите спать - не проводите сделку. Обманут - не заметите.

Проверить гаранта - первое, что вы должны сделать, после того как нашли и проверили ОТС. После проверки нужно зафиксировать результат поисков. Для этого открываем описание группы или закреп и находим ссылки на профили гарантов. Начинаем чат с гарантом:

или добавляем его к себе в контакты

Из недостатков второго способа: ты не знаешь, когда гарант работает, а когда отдыхает, ведь раньше у него в имени отображался статус work/offline

Перед вами три профиля: настоящий гарант и два его фейка. Найдите отличия:

Выводы: сверять @username OTC, гарантов, сверять кошельки, проверять наличие диалога с гарантом и время установки его аватарки.

Общение с гарантом

Помните, что гарант зачастую довольно занят и о он не может постоянно задавать уточняющие вопросы. Поэтому старайтесь описать свой вопрос или сделку кратко и по существу. Ниже список тем, с которыми можно обратиться к гаранту:

провести сделку
пожаловаться на скам
узнать про безопасность и условия проведения сделки
узнать, не скам ли другая площадка/гарант

Бонус: у гарантов есть база постоянных покупателей/продавцов, которые проводят много сделок в течение длительного количества времени. Вы можете узнать у гаранта, проводил ли этот человек сделки и были ли они удачными, были ли жалобы. Этот способ не гарантирует 100% безопасность, но, возможно, поможет в выборе. Не стоит переусердствовать и пробивать всех людей через гаранта на ОТС, просто помните о такой возможности.

Общение внутри сделки

Правило №1. Отправляйте пруфы только гаранту

Пруфы гаранту нужны для того, чтобы в случае диспута(спорной ситуации по сделке) он мог определить, кто честный и заслуживает денег. Если у вас нет никаких пруфов - будьте готовы лишиться своих средств, ибо гаранты не верят на слово.
Почему пруф нельзя отправлять покупателю? Потому что он легко может оказаться модератором проекта и отобрать ваш честно заработанный вл за продажу. Поэтому всегда записывайте видео, где хорошо видны:

Имя аккаунта и # с цифрами
Роль
Сервер
Почта
Время

Кто-то скажет, что это не гарантирует 100% безопасности и придумает 100 случаев "а если". Да, но зачастую, это сильно облегчает решение диспутов и обличает скамеров. Лучше потратить пару минут на видео, чем потом неделю спорить в сделке, пытаясь вернуть аккаунт/деньги.

Если вы покупаете аккаунт, записывайте видео с момента, когда гарант написал, что получил средства и записывайте до тех пор, пока сами не напишете гаранту, что все хорошо и он может отправлять средства.

Пример идеальной продажи Discord Whitelist:

Оба участника заходят в сделку, проверяют username гаранта и прописывают все условия сделки.
Продавец снимает все необходимые доказательства и отправляет их в ЛС гаранту.
После подтверждения гаранта, что пруфы хорошие, покупатель отправляет средства на кошелек гаранта (который тоже проверяет), а в беседу отправляет скан транзакции.
Когда гарант пишет, что получил средства, покупатель начинает съёмку и готовится входить в аккаунт, а продавец предоставляет данные.
Покупатель заходит в Discord, проверяет всё необходимое (привязан ли кошелек, есть ли роль, нет ли репортов и т.д.), отписывается о качестве аккаунта в беседу.
Покупатель заходит на почту и меняет все данные под себя (лучше отписываться в беседу на каждом шаге сделки)
Покупатель подтверждает, что сделка прошла успешно, а продавец предоставляет кошелек и ожидает средства.
Гарант отправляет средства, все пишут ему хорошие отзывы, потому что на суши и девочек теперь хватает - все счастливы.

Правило №2. Запись экрана

Нельзя расслабляться и терять бдительность, пока вы работаете на OTC. На всех этапах нужно быть внимательным, вести запись экрана: от поиска OTC и проверки гаранта, до полного завершения сделки, когда ваш NFT или стейблы в безопасности, на вашем кошельке. Почему?

Подмена гаранта - данный способ скама направлен против людей, потерявших бдительность. Во многом он похож на схему с фейк-гарантом, но в данном случае фейк-гарант появляется прямо во время сделки.

Схема скама (со стороны покупателя):
Создается беседа с настоящим гарантом > в неё заходит несколько людей, один из которых называется покупателем, а второй менеджером/флипером/другом/владельцем средств и тд. > покупатель пишет, что отправит средства позже/завтра > когда гарант пропадает из сети, второй участник меняет свой профиль под фейк-гаранта и пишет, что средства пришли > продавец передает данные фейк-гаранту и теряет аккаунт/активы.
Способ защиты:
Вести запись экрана, сверять @username гаранта во время сделки, проверять транзакции в скане. Иногда в сделках участвуют посредники. Если сделка переносится и в ней более 2 участников — гаранты закрывают её.

Открытие сделки и её условия

Найти и проверить OTC, гаранта - 50% успеха. Оставшиеся 50% - составить грамотные условия сделки. Хотите, чтобы всё прошло гладко и быстро? Тогда обговорите все условия заранее. Детально и однозначно. Укажите текстом АБСОЛЮТНО всё, что для вас важно. Либо win/win, либо долгое выяснение обстоятельств. Не оставляйте дыр в условиях вашей сделки! Условия сделки можно обсуждать в ЛС с покупателем/продавцом. После этого они обязательно должны быть продублированы в общий чат с гарантом. Внимательно проверяйте условия сделки, если не вы дублировали их в группу с гарантом.

Например, вот небольшой перечень того, что можно и нужно указать при покупке/продаже Discord:

whitelist или нет?
условия получения? (кого-то не устраивают вайтлисты из розыгрышей, например)
оригинальная ли почта? Какая почта? (Google/Outlook/Other)
привязан ли телефон/стоит ли 2FA/бэкап мэйл? Nitro?
на каком языке общались в чате?
привязан ли кошелек и можно ли его перепривязать?

Помните, что отказаться от аккаунта просто так нельзя, поэтому пропишите заранее, какой аккаунт вы хотите и от чего откажетесь в случае несоответствия. 5 минут разговора перед сделкой позволят сэкономить всем участникам сделки время, нервы и деньги.

А вот важные детали для покупки KYC:

Укажите нужную страну
Указывайте дедлайн чётко и однозначно. Заставить много дропов что-то делать достаточно сложно, из-за этого время сделки часто растягивается.
Пропишите, что делать, в случае блокировки аккаунтов. Например, был сезон Sandbox, у всех на аккаунтах тикеты. Во время прохождения KYC аккаунт могут забанить. Кто виноват в таком случае? Какую ответственность несёт продавец? Всё это необходимо прописать, чтобы сделка не превращалась в час суда, а гарант не рассуждал на тему, виноват ли дроп, если его заявку отклоняют.
Пропишите конкретный список документов и\или действий, которые нужны для успешной верификации.

Окей, с условиями всё понятно! Но что делать, если вы уже привязали кошелёк и теперь хочется продать вайтлист? Да ещё и за фиат? Не беда, если у вас есть деньги, но без них - никак.

Как провести сделку в фиате?

Фиатом будем называть всё, что не относятся к крипте: банки, Qiwi и прочее.

В сделке с фиатом покупателю нужно в 2 раза больше средств:

1. Продавец переводит средства гаранту.
2. Проводит сделку.
3. По окончании покупатель отправляет средства в ФИАТЕ продавцу.
4. Гарант возвращает крипту покупателю (за вычетом комиссии).

Холд средств/залог - функция гаранта, позволяющие задержать средства на кошельке гаранта до наступления определённых условий (чаще всего - минта). Холдить можно любую сумму, любое время - обсуждается заранее.

Способ 1. Передача ~~сид-фразы~~ приватного ключа

Передача сид-фразы означает передачу доступа ко всем счетам/аккаунтам, которые вы когда-либо создавали на основе своей сид-фразы. Поэтому передавать следует только приватный ключ, потому что 1 приватный ключ = 1 кошелёк. 1 сид-фраза = множество кошельков

В этом способе с продавца взимается залог до срока минта и стоимостью в минт и газ. Взимается он с той целью, чтобы у продавца не было соблазна украсть деньги, закинутые покупателем на аккаунт (доступ к кошельку остается у обоих пользователей)
Риск данного способа - покупатель или продавец переводит средства или нфт на левый кошелек и отрицает это, способов разоблачить крайне мало и сделка рискует уйти в бесконечный диспут. (не рекомендую)

Способ 2. Минт продавцом

Раньше продавец просто передавал аккаунт и мы ждали минт. Но в таком случае, если что-то произойдет с аккаунтом, выяснить кто виноват — невозможно.

В этом способе покупатель переводит гаранту деньги за аккаунт + деньги на минт + газ, указывает свой кошелек. Продавец на свои деньги минтит NFT и отправляет её покупателю, указывает скан. После этого деньги переводятся продавцу.

Важно отметить, что такая сделка равносильна простой сделке с передачей аккаунта (холд средств до минта не имеет значения), а это означает, что после совершения сделки покупатель не может отказаться от её условий просто так (передумал/плохой рынок). Поэтому покупатель должен согласовать с продавцом компенсацию или условия, при которых продавец будет согласен отменить сделку.

Продавец может убежать с NFT в случае, если проект после минта показывает отличный флор. Но тогда у вас хотя бы останется его залог. Кстати, не забывайте прописывать дедлайны на передачу залога. Чтобы, например, если продавец вас кинул или не выходит на связь после минта, получить его залог и попытать удачу на вторичке.

Преимущества холда: вы можете быть уверены, что аккаунт не восстановят и что вы не потеряете средства

Недостатки холда: тяжелее найти продавца с возможностью залога

Идеальная сделка

Теперь, когда вы знаете как найти, проверить ОТС и гаранта, вы без труда сможете совершить идеальную сделку. Просто следуйте рекомендациям:

Универсально:
1.Читайте то, что пишет гарант. Оказывается, там такие важные вещи, как реквизиты, правила и гайды по ОТС
2. Пишите только коротко и по делу. Если гарант не отвечает, тегните его один раз и, скорее всего, он сразу прочитает.

Для покупателей:
1. Пишите, в чём отправили средства и сразу прикладывайте скан транзакции.
2. Пишите однозначно, что сделка завершилась. Не "всё ок", "all fine", "гуд", а именно "МОЖЕТЕ ОТПРАВЛЯТЬ СРЕДСТВА ПРОДАВЦУ"

Для продавцов:
1. Отправляйте пруфы гаранту сразу, не ждите пока он попросит.
2. Указывайте сеть и валюту, когда отправляете свой адрес в конце сделки.

Bonus: противодействие 8-ми видам скама

Далее приведены одни из самых популярных других видов скама. Конечно, это не всё, что бывает. Однако это позволит вам понять, на чём и как вас попытаются обмануть.

Скам 1. Тестовая сеть

Покупатель хочет купить ваш вайтлист и даже соглашается отправить деньги первым, но что не так?

Схема скама:

Продавец отправляет вам тестовые токены в тестовой сети, показывает как подключить к ней > вы видите циферки и кидаете ему данные > он угоняет ваш аккаунт.

Способ защиты:

Принимайте деньги только в проверенных сетях и токенах, на своих условиях. В случае вопросов - спрашивайте гаранта.

Скам 2. Зараженные файлы

Схема скама:

Продавец предлагает вам софт с какой-то супер крутой услугой, обещает показать, как установить и т.д. Вы скачиваете всё это дело, открываете файл и прощаетесь со своими кровными деньгами.

Также распространены вирусы, которые подменяют скопированные тобой кошельки на кошелёк скамера.

Способ защиты:

1. Не качать ничего из непроверенных источников и простенькие программы тоже. Большинство из нас не способно проверить исходный код на уязвимости.
2. Пользоваться хотя бы встроенным антивирусом.
3. Если очень хочется скачать - используйте песочницу или удалённый сервер(VDS)
Кстати, простая переустановка системы может не помочь в избавлении от заражения.

Скам 3. Суета в сделке

Самые неприятные для гарантов скамеры, так как пытаются обмануть скорее не клиента, а гаранта.

Важно понимать, что гарант не ясновидящий и может разрешать диспуты только по тем пруфам, что ему предоставляют участники сделки.

Гарант в любом случае постарается выяснить правду и справедливо разрешить спор, но отсутствие пруфов может сыграть против вас, поэтому позаботьтесь о наличии различных доказательств заранее.

Схема скама:

Скамер намеренно нарушает правила сделки, обвиняя в этом честного участника > происходит диспут в ходе которого честный человек имеет шанс лишиться средств.

Способ защиты:

Всегда соблюдайте правила ОТС, всегда снимайте ВИДЕО при работе в сделке, будьте честны с гарантом. Видео - единственный способ зафиксировать факт подмены сообщения, группы, участников и прочих хитростей, которые используют в Telegram. Поэтому старайтесь держать чат открытым и постоянно вести запись экрана.

Скам 4. Сделка без залога

Если привязан кошелек и его нельзя поменять, то сделку следует проводить ТОЛЬКО с залогом.

Схема скама:

Продавец передает сид фразу кошелька > покупатель заводит деньги на кошелек > продавец выводит их на свой кошелек.

Способ защиты:

Прописывать в сделке, что сделка с привязанным кошельком и не работать без залога.

Скам 5. Использование чужой репутации

Постоянный клиент ОТС просит провести сделку без гаранта. У него много хороших отзывов, но что может пойти не так?

Схема скама:

Скамер в группе с отзывами находит освободившийся ник, занимает его - пытается получить оплату вперед на доверии и репутации - скам удался.

Способ защиты:

Пользоваться гарантом.

Скам 6. Скрытый аппрув на кошельке

Один из самых хитрых способов, который требует технической подкованности от скамера и вашей невнимательности.

Схема скама:

На продаваемом кошельке заранее сделан аппрув смартконтракта, который в будущем сможет перевести ваши активы.

Способ защиты:

Работать только через гаранта и требовать залог до полного завершения сделки. Завершением сделки является перевод новоприобретенных активов(например, вы купили NFT) на ваш кошелёк.

Скам №7. Помоги вывести USDT

Скамер всюду спамит скринами своего кошелька с некоторой суммой и сид-фразой, притворяясь хомяком. Якобы он не может вывести USDT или ему не хватает TRX на комиссию. Здесь расчёт на то, чтобы вы захотите пополнить TRX и забрать USDT себе, но ничего не выйдет.

Схема скама:

Распространяемый кошелёк является мультисиг-кошельком - т.е. кошелёк, который находится под контролем двух и более пользователей. С такого кошелька невозможно совершить исходящие транзакции без разрешения всех владельцев.

Способ защиты:

Не пытаться помочь украсть деньги с чужих кошельков. Не пытаться помочь с комиссией, чтобы в будущем не связать свой кошелёк с преступной деятельностью.

Скам №8. Продажа схем для заработка: арбитраж/P2P

Арбитраж со спредом 30% и прочие сказки. Данная схема направлена против неопытных людей.
Схема скама:
Покупаете схему > в основе схемы скам-обменник/скам-биржа с курсом 10+% от биржевого > загоняете свои деньги на этот обменник > теряете деньги.
Способ защиты:
Использовать только проверенные обменники. Проверять, например, через Bestchange. Даже если вас не пытаются отправить на скам обменник/биржу, внимательно проверяйте и обговаривайте условия схемы. Почему? Продавец прописывает очень хитрые и грамотные условия, ПОКУПАТЕЛЬ СОГЛАШАЕТСЯ НЕГЛЯДЯ, получает средненькую схему и не может отказаться, так как УСЛОВИЯ сделки продавец ВЫПОЛНИЛ. Поэтому, если покупаете какой-нибудь схему — прописывай всё: спред, время проверки, время работоспособности, какие биржи, какие расходники и т.д.

Discord

Данный раздел тесно связан с Discord и NFT: скам, рекомендации по выбору аккаунта, смена данных учётной записи, за что банят и способы разбанить аккаунт?

Скам 1. Модератор на охоте

По правилам проектов вы не можете продавать заработанный вайтлист. Поэтому на охоту за вами выходят модераторы (или другие участники сервера, желающие таким образом тоже заработать вайтлист), которые всеми силами стараются поймать вас на продаже аккаунта и лишить вас заветного вайтлиста.

Схема скама:

Покупатель просит вас посмотреть пруф вайтлиста > получает от вас пруф > шантажирует или сразу лишает вас вайтлиста на сервере.

Способ защиты:

Кидать пруфы ТОЛЬКО в ЛС гаранту.

Скам 2. Фейк-сервер

Фейк сервер - поддельный сервер, имитирующий реальный сервер NFT-коллекции, например. Наличие whitelist в фейк сервере не стоит ничего. Из последних примеров, где были фейк сервера - Imaginery Ones и Mutant Shiba.

Схема скама:

Продавец отправляет вам данные > вы (по невнимательности) покупаете, меняете все данные > позже выясняете, что кошелек привязать негде и что вас обманули.

Способ защиты:

Проверяем сервер по следующим критериям:
1. Ссылка (если сервер открытый). Иногда ссылку можно найти в официальном Twitter'е
2. Количество бустов сервера(нитро)
3. Время постов в анонсах
4. Онлайн и наличие членов администрации на сервере(способ такой же как с проверкой гаранта)

Скам 3. Восстановление Discord

Восстановление - самый распространенный способ скама. Связано это прежде всего с тем, что Discord аккаунты (и почты) не предназначены для продажи, а значит, не имеют достаточно надежных механизмов защиты от восстановления аккаунта.
Восстанавливают аккаунты при помощи:
1. Резервной почты (почта).
2. Секретного вопроса (почта).
3. 2FA и/или привязанный телефон (почта и Discord).
4. Nitro, оплаченное ранее картой (Discord).
5. Оригинальная почта, на которую изначально был зарегистрирован Discord

Схема скама:

Вы покупаете аккаунт, меняете все данные > проходит некоторое время и ваш только что купленный аккаунт восстанавливает скамер с помощью поддержки Discord.

Способ защиты:

Убедиться, что перечисленные штуки выше вам не угрожают, убедиться в оригинальности почты.

Чтобы восстановить аккаунт требуется оригинальная почта и немножко пруфов, поэтому всегда берем вайтлисты с оригинальной почтой, либо прописываем в условиях сделки, что деньги после успешного минта + залог.

Данный сервис поможет в этом, но проверяйте дополнительно вручную:
1. Сначало заходим на почту и если видим там письмо - VERIFY NEW EMAIL FOR DISCORD , то уже хорошо. Идем дальше
2. Теперь заходим в аккаунт Discord через приложение на ПК ( ОБЯЗАТЕЛЬНО)
чекаем данный гайд, чтобы узнать когда был создан аккаунт.
3. Как только узнали когда был создан ваш дискорд аккаунт , сверяем его с датой письма - VERIFY NEW EMAIL FOR DISCORD

если всё сходится, то на 90% почта оригинальная и ваш аккаунт не восстановят

4.А так же проверяем аккаунт на наличие Nitro/Boost

Дискорды имеют некоторую погрешность: письмо МОЖЕТ прийти чуть позже, чем был создан аккаунт. Но если же письмо на почту пришло раньше - почта 100% перевязывалась. Имейте это в виду.

Так же, если проект для привязки кошелька использует, например, Mercury

и продавец однажды уже заходил через дискорд в Mercury, то при смене данных Discord его не выкидывает, следовательно, он может перевязать кошелёк в любой момент.

Выход: Зайти в настройки дискорда и скинуть авторизированный Меркури и всё остальное: Способ лично не проверял, поэтому лучше просите залог.

Скам 4. Репорт за продажу

Вы купили аккаунт и вроде бы всё хорошо, аккаунт не восстановили. Но через пару дней вы заходите, а сервера нет - в чём же дело?

Схема скама:

Вы покупаете аккаунт — продавец в процессе сделки делает пруфы продажи аккаунта (либо делает подставную продажу до этого) — после получения средств продавец кидает пруфы продажи аккаунта и аккаунт лишают вл. Получается и вл продал и перед админом сервера выслужился.

Способ защиты:

Нет

Бан Discord

Бан дискорда является одной из основных причин замораживания сделок и рьяных споров внутри сделок. Зачастую покупатель/продавец обвиняют друг-друга в бане и требуют средства себе, а гарантам приходится успокаивать их и просить не переходить на оскорбления.

Причины бана:

Использование СПАМ-ботов. В этом случае на почту приходит соответствующее письмо , с похожим текстом:

Частая смена данных. Конкретные цифры сказать не могу, их знает только саппорт дискорда (и то не факт), но если часто менять данные дискорда (почту, пароль), то аккаунт рано или поздно кинет в бан. Если после смены данных ваш аккаунт отправили на верификацию телефона, а код не приходит, попробуйте запросить его из мобильного приложения Discord.
Отвязка виртуального телефона. Это можно было бы отнести ко второму пункту, но это слишком часто случается, потому выношу отдельно. По сообщениям частых покупателей, при отвязке виртуального телефона аккаунт банит навсегда, без возможности разбана. Аккаунты с живыми номерами до или после привязки тоже могут улететь в бан.
Использование публичных IP, дешевые прокси, заход на аккаунт из разных стран. В первых двух случаях шанс разбана меньше, чем в третьем. При заходе с разных стран саппорт помогал, но на это уходило много времени. Сюда же относится заход на большое количество аккаунтов с одного IP.
Использование непрогретых аккаунтов. Новореги и пустые автореги улетают в бан гораздо чаще, нежели старые, прогретые аккаунты. Учтите это, когда закупаете аккаунты для фарма вайтлистов.

Что делать для разбана?

1. Заходим на сайт поддержки Дискорда.

2.Выбираем "Trust&Safety", "Апелляции, обновление возраста, другие вопросы", "Жалоба на действия в отношении моего аккаунта или бота", "Действия в отношении моего аккаунта"

3.Ставим все галочки

4.Пишем письмо только на АНГЛИЙСКОМ ЯЗЫКЕ об отключении аккаунта, с пруфами наличия оригинальной почты. Опираемся на правила Discord и факт того, что вы их не нарушали. Если поддержка не ответила - можно написать еще одно письмо. Можете так же попробовать найти дропа и отправить его фото с паспортом, ником на бумажке в поддержку

Как сделать смену данных аккаунта и не получить бан?

Данный способ позволяет существенно уменьшить шансы блокировки Dicord. Суть в том, что продавец со своего IP меняет данные, Discord не видит подвоха и не блокирует аккаунт.

1. В начале сделки оба участника СУПЕРДЕТАЛЬНО обговаривают состояние аккаунта (так как после смены данных делать возврат денег рискованно).
2. Как всегда покупатель отправляет деньги, а продавец - пруфы.
3. Покупатель отправляет свою почту и (при необходимости, доп. риски) телефон, а продавец меняет данные аккаунта на указанные, со своего IP.
4. Покупатель заходит на аккаунт по изменённым данным и меняет пароль, ставит 2FA.
Преимущество данной схемы - снижение риска блокировки, но мы теряем заменяем оригинальную почту, а это не очень хорошо.

СОВЕТЫ ПО ВЫБОРУ АККАУНТОВ

1.Только ОРИГИНАЛЬНАЯ почта.

Если почта менялась, то есть шанс, что Discord можно восстановить через саппорт. Если стояла 2FA, восстановление может занять несколько недель, если нет - до недели.

2. Явная причина получения Whitelist

Вайтлист есть, а актива нет- значит и вайтлиста скоро не будет (не всегда так). Если выиграли в твиттере - пруф и твиттер, пожалуйста. Получили за активность? Покажите мне 2к сообщений и реакцию админов. Пустые аккаунты с вайтлистами отлетают зачастую настолько быстро, что сделка не успевает закрыться.

3. Отсутствие лишних привязок.

Привязанные штуки - шанс восстановить через поддержку, потому сразу отбрасываем тех, кто зачем-то:

привязывает резервную почту
ставит секретный вопросик (и не уведомляет об этом)
привязывает телефон к почте
покупает Nitro с карты в дискорде
привязывает телефон к Discord, хотя он не требуется на сервере (в меньшей степени)

Поэтому требуйте именно чистые аккаунты и привязывайте всё сами, даже если он стоит 10$, лучше перестраховаться, чем потом писать гаранту, что вас заскамили.

4. Отсутствие репортов и странного поведения на сервере.

Я думаю не стоит говорить, что если на аккаунт жаловались или там 3 страницы итальянского, а потом китайского - то это всё крайне подозрительно и, возможно, перед вами ворованный аккаунт. То же самое касается и почты: если видите письма о блоке, восстановлении и прочее - лучше откажитесь, так как возможно, следующий блок прилетит к вам.

Outro

Если вы знаете какие-то способы скама, защиты или полезную информацию по данной теме - стучитесь в лс! Внизу вы найдёте полезные ссылки по безопасности и проверенные OTC.

Кстати, у Таверны появился новый сервис. Они создали место, где гаранты будут находить вам проверенных продавцов. Да, вам больше не нужно будет тысячу раз проверять аккаунты, натыкаться на три миллиона скамеров или безуспешно искать продавца КУС - всем этим теперь займутся они.

Это не реклама. Просто держу вас в курсе, потому что продукт они делают уникальный и многим работать на OTC так будет проще и безопаснее - а это главная цель данного материала.

И ещё - на OTC все сделки проводятся вручную всегда и везде! Автоматизации не существует, не верьте никому. Любой, кто предлагает провести сделку через бота-гаранта — скамер.

P.S.: Всё ещё хотите провести сделку без гаранта?

Полезные ссылки:

Канал Extrypto

Безопасность в мире криптовалют: фишки, советы, мифы

Организация и настройка инфополей: Telegram

Проверенные OTC площадки:

(актуально на 16.04.2024. не реклама)

ТОП-3 мифа о безопасности в крипте

2022-07-15T03:00:00.039Z

Не забудьте подписаться на мой Telegram, чтобы точно не пропустить полезный контент. Спасибо!

Криптовалютный кошелёк хранит криптовалюту

Кошельком обычно называют интерфейс между пользователем и блокчейном.

Блокчейн хранит записи о транзакциях, но не хранит балансы адресов. Балансы подсчитывает интерфейс, который подключается к блокчейну и позволяет взаимодействовать с децентрализованными приложениями, управлять активами. Однако основная задача кошелька это всё-таки хранение приватных ключей.

Вот так выглядит Bitcon-кошелёк без интерфейса:

Слева расположен публичный ключ(адрес), для получения платежей, а справа - закрытый(приватный) ключ для траты.

Ваши приватные ключи это доказательство владения адресом и, соответственно, средствами, находящимися на этом адресе. С помощью приватных ключей и совершаются транзакции.

Получается, что кошелёк хранит приватные ключи, а те, в свою очередь, - криптовалюту и только утрата приватных ключей или их компроментация может привести к полной потере активов.

Нельзя подключать кошелёк к левым сайтам

Можно! Ведь это ничто иное, как предоставление адреса вашего кошелька - сайту и возможность инициализировать транзакции = вызывать всплывающее окно кошелька с целью что-то подписать. Вот, где таится опасность и она заключается не в подключении. Далее мы попробуем посетить один из сайтов злоумышленников.

Metamask старается отслеживать подобные сайты и при попытке попасть на него есть вероятность увидеть следующее предупреждение об обнаружении фишинговой страницы:

Игнорируем предупреждение и переходим на сайт

На следующем видео подробно показан весь процесс от подключения до кражи:

Что произошло?
•мы подключили к сайту кошелёк, тем самым разрешив просматривать наш адрес, баланс, активность и инициализировать транзакции. данный шаг призван доказать, что мы владелец кошелька и у нас есть приватный ключ.
• мы самостоятельно подписали ~~сообщение~~ транзакцию и тут же перевели ETH злоумышленнику. обратите внимание, что Metamask предупреждал нас и всё сделали мы собственноручно

Не все подписи опасны

В случае, если ваша подпись вызывает подозрения, MetaMask уведомит вас(красным текстом, как на видео), в остальных случаях подписание сообщения является безопасным.

Меня это никогда не коснётся

Если вы думаете, что вас это никогда не коснётся, потому что у вы никому не нужны или у вас недостаточно большой банк - вы сильно заблуждаетесь ибо неизвестно, сколько у вас будет завтра, через месяц или год.

Криптовалюты позволяют почувствовать абсолютную свободу действий, но вместе с этим за эту свободу несетё ответственность лишь вы.

Количество пользователей криптовалют растёт, а вместе с тем растёт и число злоумышленников. С каждым днём методы их работы становятся всё более изощрёнными.

Ничто не является безопасным на 100%. Просто потому, что в любой цепочке ваших действий, предпринятых для безопасности, есть слабое звено - вы.

В продолжение этой темы:

Безопасность в мире криптовалют

Ультимативный гайд по безопасной работе на OTC

Не забудьте подписаться на мой Telegram, чтобы точно не пропустить полезный контент. Спасибо!

17 истин о криптовалюте и DeFi

2022-05-04T13:15:45.808Z

Не забудьте подписаться и на мой Telegram, чтобы точно не пропустить полезный контент. Спасибо!

1. Если история повторится, 95% монет никогда не достигнут ATH, который был в 2021-2022. Ваша задача найти те монеты, которые смогут повторить успех.

2. Давайте будем честны - большинство DeFi протоколов не нуждаются в собственном токене.

3. Каждый раз, когда вы видите протокол DeFi, который предлагает вам более высокую доходность за лок монет - бегите. В 9/10 случаев вы рискуете заблокировать деньги в токене, который обесценится к моменту, когда вы сможете его вытащить из стейкинга.

4. Проводя слишком много времени в чтении лишь в избранных Twitter-аккаунтов, вы рискуете начать верить всему, о чём там пишут. Ищите информацию и из других источников, желательно от людей, которые с вами не согласны (во избежание предвзятости подтверждения). Самое главное - составить собственное мнение.

5. Крипта - неэффективный рынок по сравнению с традиционными рынками. Гем на ранней стадии возможно найти. Ранняя стадия = полезные знакомства/комьюнити + нюх на тренды + много времени онлайн

6. Когда криптовалюта станет мейнстримом, 90% людей даже не будут знать, что уже используют её. Мосты, комиссии, интерфейсы, безопасность и т.д. - улучшатся к тому времени в десятки раз. Слияние будет бесшовным.

7. Play-2-Earn игры, как STEPN - весёлые и затягивают. Но они неустойчивы. Они могут работать очень хорошо в течение нескольких месяцев, но как показывает практика - недолго музыка играет. Почему? Отчеканено слишком много кроссовок: предложение превышает спрос, а значит будет падение floor. Слишком много топовых кроссовок означает гиперинфляцию $GST

8. Если большая часть вашего капитала находится в неликвидных NFT, без уникального применения - подумайте об их продаже. Большинство из них обесценится, но вы не верите, да?

9. Если вы разбогатеете, вы больше не будете иметь финансовых отношений с большинством своих друзей. Вероятно, некоторых из них вы потеряете, но, возможно, они и не были друзьями. Поговорка "Рыбак рыбака видит издалека" - верна в конце концов.

10. Если кто-то скажет вам, что вы можете ежедневно зарабатывать 1% в DeFi без рисков - есть подвох. Помните о том, что если вы не можете объяснить, откуда берётся доходность, то в 99% случаев доходность исходит именно от вас.

11. Когда вы начинаете хвастаться о том, как легко заработать на криптовалютах, вероятно, пришло время фиксировать прибыль.

12. Лучшие аналитические данные появляются на аккаунтах с небольшой аудиторией. Они пишут так, что большинство их не понимает и потому остаются незамеченными. Чекните @chad_follows и @iwatchanons и найдёте хорошие примеры.

13. В крипте нет смысла быть слишком сильно диверсифицированным. BTC, ETH, стейблов и 1-3 альткоина - должно хватить. Наличие 20 альткоинов в портфеле не обязательно, так как все они, в основном, сильно коррелируют.

14. Ваш уровень риска должен казаться безумным для обычного человека, но всё же оставаться консервативным лично для вас - так вы поймёте, что нашли золотую середину в управлении рисками.

15. Умение пользоваться такими инструментами, как Etherscan, Nansen, Dune, TokenSniffer, Debank, Ape Board, Zapper, rarity.tools, icy.tools и Moby может помочь вам больше заработать.

16. Самый простой способ заработать на этих инструментах: посмотреть, что большинство делает со своими деньгами и сделать наоборот. Но на изучение требуется время, поэтому большинство людей не будут этим заниматься.

17. Самые успешные люди в крипте - это те, о которых вы редко что-либо слышите. Они так хотят.

Перевод треда Route 2 FI, аналитика из Alongside - источник

Не забудьте подписаться и на мой Telegram, чтобы точно не пропустить полезный контент. Спасибо!

Безопасность в мире криптовалют

2022-04-14T07:52:58.554Z

обложка - @priv_eth

Интро

Криптовалюты позволяют почувствовать абсолютную свободу действий, но вместе с этим за эту свободу несёте ответственность лишь вы.

Количество пользователей криптовалют растёт, а вместе с тем растёт и число злоумышленников. Методы их работы становятся всё более изощрёнными с каждым годом, причём активность растёт независимо от фаз рынка.

В прошлый раз мы разобрали некоторые мифы про безопасность и пришли к выводу, что защита приватного ключа и доступа к нему – ключевой аспект обеспечения безопасности.

Безопасность — довольно широкая тема и это не ультимативный гайд по ней, а скорее - стартовый чеклист, который многие найдут полезным. Устройство некоторых упомянутых инструментов выходят за рамки этой статьи, однако для любознательных будут ссылки.

Ничто не является безопасным на 100%. Просто потому, что в любой цепочке ваших действий, предпринятых для безопасности, есть слабое звено - вы. Потому данный гайд призван значительно снизить, а не исключить риски потери ваших криптоактивов в результате случайной или целевой атаки.

Предлагаю начать издалека и узнать/освежить в памяти, что такое сид-фраза и как она создаётся, чтобы лучше понимать, что же мы защищаем:

Основные уязвимости

1. Использование пиратского контента

Один из фундаментальных пунктов, который может подорвать все остальные меры безопасности. Пиратский контент может включать в себя вредоносное ПО.

Речь об операционных системах, программах, играх, фильмах и т.д., скачанных с торрента и других небезопасных источников.

Лучше заплатить и не переживать за безопасность в будущем - так дешевле.

Кстати, вредоносное ПО - это не всегда история про мгновенную кражу. Злоумышленники крадут логи/куки, хранят сид-фразы кошельков и мониторят баланс. Нет смысла красть у вас 30$, если высока вероятность увеличения баланса при пополнении/хорошем эйрдропе.

Устранение:

С чистого устройства создать новые кошельки и переместить все свои активы туда. Отключите синхронизацию данных приложений-кошельков в iCloud/Google.
Сменить все пароли на почтовых и биржевых аккаунтах, включить 2FA + СМС.
Используйте хотя бы встроенный антивирус и регулярно обновляйте его. Осторожно с переносными носителями информации и тщательно следите за своими устройствами, чтобы ими пользовались только вы - так вы снизите риск заражения. Обращайте внимание на расширение и тип файла.

2. Смешивание крипты, работы и отдыха

Разделяя крипту, работу и отдых - вы значительно повышаете свою продуктивность и внимательность.

Кроме того, имея отдельное устройство для работы с криптой, снижаются риски его заражения вами или членами вашей семьи.

В браузере для работы с криптой не используйте никаких левых расширений, так как они могут подменять адреса для отправки/получения криптовалюты, а также делать переадресацию на фишинговые сайты, либо подсовывать вам скам-транзакции.

Если вы используете Google Chrome на вашем личном ПК и в настройках указано, что он управляется вашей организацией - велика вероятность, что ваш браузер заражён. Антивирус вряд ли поможет. Дополнительными признаками заражения являются всплывающие окна и назойливая реклама в push-уведомлениях:

Устранение:

Создайте отдельные аккаунты для чтения чатов/каналов в том числе. Перенесите всё, что связано с криптой на отдельный аккаунт/ы. Старайтесь избегать компрометирующих данных: имя, фото, номер, никнейм.
На всех аккаунтах и сервисах используйте максимальный уровень защиты: смс+почта+2FA, если это возможно. Начать стоит с Telegram - установите облачный пароль. Если вы будете привязывать e-mail для восстановления пароля, убедитесь, что ваша почта защищена. Также настоятельно рекомендую установить код-пароль в настройках Telegram. Это шифрует файл сессии во время блокировки приложения.
В идеале иметь второй ПК для работы с финансами, но мы остановимся на базовом решении – отдельный аккаунт/профиль/браузер с выключенными автосохранением данных и рекламой(нередко вредоносной). Для отключения рекламы можно использовать AdBlock.
Используйте хороший зарубежный сервис VPN/прокси, поисковик, который не отслеживает историю - это полезно и приятно. А если отказаться от Google вы не можете, всегда проверяйте адрес сайта рядом с которым стоит пометка реклама. Для посещения постоянных сайтов создайте уже наконец закладки :)

Всегда проверяйте адрес для приёма/отправки средств через CTRL+F.
Не используйте публичные сети Wi-Fi. Злоумышленник может перехватить данные вашего браузера или подменить страницу биржи, где вы введёте, например, email, пароль, а затем и 3 кода – всё эти данные он перехватит и введёт на настоящей странице авторизации биржи. Не забываем о том, что на Binance по-прежнему можно купить NFT без всяких подтверждений. Злоумышленник может купить на ваши деньги собственный NFT и получить их на аккаунт своего дропа.

3. Безопасность в мессенджерах и реальной жизни

Не стоит делиться скриншотами баланса. Если я вижу на вашем скриншоте 900,4582 ETH, скорее всего я смогу по холдерам в эксплорере блокчейна быстренько найти ваш адрес. Высока вероятность, что ни у кого больше нет такой суммы в данный момент. А если и есть, можно нехитрым методом поиска в групповом чате или СИ уточнить, какие ещё валюты вы храните и сколько.

Устранение:

Не публикуйте точное значение баланса. То же самое касается и NFT – не показывайте #ID NFT или саму картинку – это может позволить однозначно определить адрес вашего кошелька,баланс, а это первый шаг к вашей деанонимизации. Злоумышленники могут обитать даже в небольших чатах - не провоцируйте их.
Не сообщайте адреса своих кошельков, даже старых, потому что вы могли проколоться. Потенциальными злоумышленниками могут оказаться дальние родственники или просто завистливые люди.
Не стоит распространяться о своих успешных/неудачных кейсах в крипте, так как это повышает риск целевой атаки на вас посредством шантажа/давления/взлома. Как бы не хотелось. Девочкам и суши про источник дохода знать необязательно.
Отключите автозагрузку медиа в мессенджерах, включите автоматические удаление кэша через 3-7 дней.
НИКОГДА не открывайте файлы и ссылки на почте/в мессенджерах/соц.сетях от незнакомцев.
Осторожнее с файлами! В том числе от знакомых людей, так как они могут стать жертвой злоумышленника или втираться к вам в доверие. Стоит открывать файлы только в облаке по ссылке, либо в песочнице. Проверяйте адрес ссылки, ведь можно скопировать любой сайт. И помните, что заливая файл на облачное хранилище, вы соглашаетесь с тем, что файлы больше не принадлежат вам.
Не оставляйте устройство без присмотра и не используйте разблокировку по отпечатку/лицу или Bluetooth. Помните, что безопасность и удобство зачастую на разных полюсах. Соответственно, разблокировка вашего кошелька на телефоне должна быть только по паролю.

4. Понимание устройства DeFi

Отключение расширения-кошелька от сайта не означает, что вы "в домике", ведь аппрувы то остались! Об этом мы говорили в мифах про безопасность (относится к EVM-блокчейнам). Подробнее о рисках в DeFi можно узнать в подкасте CRYPTUS.

Устранение:

Тестируйте новое бесплатно или на небольшие суммы: при работе с новыми инструментами есть риск безвозвратно потерять свою криптовалюту. Лучше всего знакомиться с новыми инструментами в тестовой сети, либо, если это невозможно, совершать транзакции на небольшие суммы, чтобы убедиться, что вы действуете верно и хорошо понимаете, как работает новый инструмент.
Отозвать бесконечные аппрувы на сайтах, как бы вы им не доверяли. Для эфира есть Etherscan - официальный инструмент. Для остальных EVM блокчейнов аппрувы можно отзывать вручную, взаимодействуя со смартконтрактом на странице эксплорера, либо, используя на свой страх и риск Revoke.Cash и DeBank.
Не храните “обёрнутые/wrapped” монеты длительное время: обёрнутой монета становится тогда, когда вы перегоняете её по мосту с родного блокчейна на другой. Когда это происходит, монеты блокируются мостом на родном блокчейне. А на том блокчейне, куда вы её переводили, вам выдаётся аналогичное количество "обёрнутых" монет, которые являются токенами. В чём проблема таких монет? Если взломают мост и украдут все средства, то ваши обернутые монеты превратятся в фантики, потому что обеспечение в виде заблокированных в мосте монет - исчезнет. Также есть риск депега.

5. Хранение паролей и сид-фразы на устройстве с интернетом

Так где же тогда хранить свои пароли и ключи? Есть 3 варианта, но прежде, чем мы к ним перейдём, досконально изучите устройство их работы:

Специализированный софт - менеджеры паролей с открытым исходным кодом KeePass и Bitwarden
Криптоконтейнеры - это такой скрытый раздел на вашем диске/флешке, для доступа к которому нужно открыть заранее заданный файл и ввести пароль. Подробнее об этом, возможно, поговорим чуть позже, а пока - видео. Если вы плохо понимаете, как это работает - не используйте данный метод.
Аппаратный менеджер паролей, например, от Trezor:

Дополнительные советы и инструменты:

1 сервис/сайт = 1 уникальный пароль. Чтобы элементарно защитить себя от подбора пароля в будущем при очередной утечке данных сервиса/по вашей вине. Можете воспользоваться генератором паролей и не забывайте регулярно обновлять пароли на ключевых сайтах и сервисах.

Можете использовать VirusTotal для проверки любых ссылок или файлов на вшитые вирусы. Для удобства есть и телеграм боты, но рабочих временно нет.

На ваши кошельки будут активно засылаться скам-токены/NFT. Не стоит заходить к ним на сайт и тем более пытаться их продать. Это может привести к полной потере средств. Сегодня большинство проектов просят вручную получить свою награду, то есть зайти на сайт и заклеймить. Проверяйте, совпадает ли адрес контракта токена/NFT, указанный в официальных источника с тем, что вы пытаетесь заклеймить.

Свой старый телефон можно использовать как хранилище паролей, кодов аутентификации Google и приёмник смс. Никто не должен знать ваш номер и про существование этого телефона. Не забываем заряжать и делать резервные копии.

Никому не передавайте сид-фразу, храните её в разных местах, имейте резервные копии и обучите основам блокчейна ваши доверенные лица на случай форс-мажора.

Используйте только почтовые сервисы от Google/ProtonMail. Можно создать до 4-5 Gmail на один номер. Не используйте для этого виртуальные номера.

Почта, которую вы используете для паролей нигде не должна палиться, содержать в себе ваше имя/никнейм и использоваться для общения с кем-то.

Рекомендации:

-отдельные почта+номер+аккаунты для социальной жизни

-отдельные почта+номер+аккаунты для криптовалютных активностей

-отдельные почта+номер+аккаунты для абуза и других сомнительных активностей

Чек-лист по безопасности на централизованных биржах

Разберём шаги, которые можно применить на самой популярной бирже Binance:

Установить уникальный сложный пароль и регулярно обновлять его: если при авторизации на бирже используете смс - отключите возможность восстановления вашей сим-карты по доверенности. Тогда злоумышленники не смогут использовать поддельную доверенность для восстановления доступа к вашим аккаунтам. Никогда не используйте для авторизации лишь смс.
Установить двухфакторную аутентификацию(2FA)
Установить антифишинговый код для почтовой рассылки: нужен для того, чтобы вам не подкинули вредоносную ссылку в почте. Теперь каждое письмо от биржи будет сопровождаться вашим кодовым словом в шапке. Всё остальное - фишинг
Использовать белый список адресов: после включения вывод с биржи будет доступен только на указанные адреса, в указанных сетях. Вывод на новые адреса в списке будет заблокирован на 24 часа.
Не храните все средства на бирже: ваша крипта вам не принадлежит, пока не поступит на ВАШ некастодиальный кошелёк. В лучшем случае вы потеряете время, а в худшем - всё. Случиться может что угодно: скам или взлом биржи, технические неполадки биржи/блокчейна, недостаток фактической ликвидности криптовалюты и как следствие - задержки с выводом. А ещё ваши деньги могут быть заморожены службой безопасности(нередко случается с теми, кто использует миксеры и другие изощрённые способы ввода/вывода)

На этом всё. Холодное хранение и другие продвинутые меры безопасности ожидайте в следующей части ;)

Полезные материалы:

ТОП-3 мифа о безопасности в крипте

Советы по работе на OTC + противодействие 13-ти видам скама

Как генерируется сид-фраза? Как сгенерировать сид-фразу самостоятельно?

12 полезных советов по повышению безопасности на бирже Binance

Подробнее про устройство и виды кошельков

Частичный перебор мнемонической фразы