Hoe werken nep-airdrop-claimsites en phishingdomeinen?

Hoe ziet een nep-airdropcampagne eruit?

Het lijkt op een aankondiging van het project, een link, en een wallet-pop-up die routine aanvoelt. De MalwareTips-beschrijving van 23 april 2025 documenteert één campagne tegen een staking-token. Ze verspreidde zich via spammail, Discord-berichten, nepsocialeprofielen die zich als medewerkers van het project voordeden, zoek- en cryptosite-advertenties en Telegram-groepen, en vertelde houders dat ze recht hadden op een grotere toewijzing. Ze gebruikte drie domeinvormen: een claims-voorvoegsel op .net, een project-airdrop-naam op .xyz en een project-rewards-naam op .org. De pagina kopieerde de huisstijl van het project en leidde de bezoeker langs wallet verbinden, controleer in aanmerking komen, claimen en tokens vergrendelen. Nadat de wallet was verbonden, vroeg een script op de achtergrond om tokengoedkeuringen en verplaatste het de tegoeden die het kon bereiken; er werd geen seed-zin gevraagd.

De laatste stap verklaart waarom het domein ertoe doet. De gebruiker is niet gehackt: de gebruiker ondertekent, op een site die op het project lijkt, op een adres dat op dat van het project lijkt.

Waarom blijven drainers nieuwe domeinen gebruiken?

Omdat domeinen goedkoop zijn om te roteren en blocklists tijd nodig hebben om bij te blijven. Het rapport van Check Point Research van 7 mei 2025 over de Inferno Drainer beschrijft meer dan 30,000 nieuwe slachtoffers tussen september 2024 en maart 2025, en minstens $9,000,000 verlies over zes maanden, met de opmerking dat het totaal hoger kan zijn. Het noemt een dozijn landingsdomeinen die één verificatiedienst van de community nabootsten en die om de paar dagen wisselden, en het beschrijft een afzonderlijk airdrop-lokaas voor een politieke memecoin op een eigen lijkend domein.

Hetzelfde rapport laat zien dat het domein maar één schakel in de keten is. In de beschreven Discord-campagne eisten aanvallers verlopen vanity-uitnodigingslinks van cryptoprojecten op, zodat gebruikers met een oude opgeslagen link lid werden van de server van de aanvaller en een nepbot zonder het Verified App-vinkje tegenkwamen. Een project dat een vanity-uitnodiging laat verlopen, of een domein laat verlopen, geeft de aanvaller een vertrouwde naam. Dat verlengingen blijven lopen wordt behandeld in hoe u voorkomt dat uw domeinen verlopen.

Welke namen moet een project vóór een airdrop registreren?

Registreer de exacte naam op de belangrijkste extensies, daarna de woorden claim, airdrop en rewards op de endings die phishers verkiezen. De gegevens van Interisle voor 1 mei 2025 tot 30 april 2026 tellen 869,180 phishingdomeinen onder .com, 130,945 onder .pro, 99,602 onder .info, 93,987 onder .xyz, 79,625 onder .shop en 74,786 onder .icu. Die extensies zitten allemaal in de catalogus van Wardmint.

Een praktische volgorde voor een airdrop:

1. De kernset (.com, .net, .org, .io, .xyz, .app, $128.94 per jaar) voor de exacte naam.
2. De woorden die u in de aankondiging gebruikt, zoals claim, airdrop en rewards, aan de projectnaam gekoppeld op .com, .xyz en .org.
3. De endings die phishers gebruiken (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 per jaar) voor de exacte naam.
4. De gangbare typefouten van de naam, gevonden met de gratis hulpmiddelen in hoe u lijkende domeinen van uw merk vindt.

De volledige tijdlijn rond een tokengebeurtenis staat in welke domeinen u vóór een tokenlancering moet registreren. Wardmint registreert de eigen varianten van een project voor dat project, nooit lijkende varianten van een ander merk, en verkoopt .top niet, een van de tien extensies in de lijst van Interisle.

Hoe moet een project gebruikers waarschuwen?

Meld vooraf waar de claim wel en niet te vinden is. De Kerberus-gids van 10 april 2026 somt de waarschuwingssignalen op die gebruikers moeten controleren: geen aankondiging op de geverifieerde kanalen van het project, een verzoek om een seed-zin of privésleutel, een vooruitbetaling om tokens te ontvangen, onrealistische bedragen en ongevraagde tokens in een wallet. Ook raadt de gids aan de officiële site te bookmarken en waarschuwt dat lijkende domeinen kleine letterwisselingen en Cyrillische letters gebruiken.

Een project kan die lijst omzetten in een eigen aankondiging:

• Publiceer één claimadres, op een domein dat u bezit, vóór de gebeurtenis.
• Zeg dat u nooit om een seed-zin of een betaling vraagt om tokens te ontvangen.
• Zet dezelfde verklaring vast op elk geverifieerd kanaal.
• Stuur elke defensieve naam met forwarding door naar de officiële pagina, zodat een verkeerd getypte claimlink op uw site uitkomt en niet op die van een vreemde.
• Ken de meldroute: hoe u een phishingdomein meldt beschrijft de contactpunten van de registrar, de host en de blocklists.

Wardmint levert gratis URL-forwarding en e-mailforwarding vanuit het klantgedeelte en een sjabloon zonder e-mail (null MX, SPF -all, DMARC p=reject) voor ongebruikte namen.

Hoeveel van de meest misbruikte extensies verkoopt Wardmint?

Volgens het onderzoek van Wardmint van 12 november 2026 zijn 6 van de 10 extensies met de meeste phishingdomeinen in de gegevens van Interisle 2025-2026 (.com, .pro, .info, .xyz, .shop en .icu) in zijn catalogus van 29 opgenomen, en 4 (.top, .cn, .vip en .cc) niet. Een defensieve naam die het project zelf registreert, kan niet door een drainer-operator worden geregistreerd.

Twee citeerbare zinnen: een nep-airdropdomein is een kopie van de projectnaam met een claimwoord erbij; de eerste verdediging is de voor de hand liggende namen bezitten vóór de aankondiging. Wardmint beweert niet dat het registreren van namen de fraude beëindigt, omdat phishing ook platformsubdomeinen en gekaapte kanalen gebruikt. Lijkende letters uit andere alfabetten worden uitgelegd in wat een IDN-homograafaanval is.