Jak działają fałszywe strony claimów airdropów i domeny phishingowe?

Jak wygląda kampania fałszywego airdropu?

Wygląda jak ogłoszenie od projektu, link i wyskakujące okienko portfela, które wydaje się rutynowe. Opis kampanii MalwareTips z 23 kwietnia 2025 dokumentuje jedną kampanię przeciw tokenowi stakingowemu. Rozprzestrzeniała się przez spam e-mailowy, wiadomości na Discordzie, fałszywe profile społecznościowe podszywające się pod pracowników projektu, reklamy w wyszukiwarkach i na stronach krypto oraz grupy na Telegramie, a posiadaczom mówiła, że kwalifikują się do większego przydziału. Używała trzech kształtów domen: prefiksu claims- w .net, nazwy project-airdrop w .xyz i nazwy project-rewards w .org. Strona kopiowała branding projektu i prowadziła odwiedzającego przez podłączenie portfela, sprawdzenie kwalifikacji, claim i zablokowanie tokenów. Po podłączeniu portfela skrypt w tle żądał zgód na tokeny i przenosił aktywa, do których miał dostęp; nie prosił o frazę seed.

Ostatni krok wyjaśnia, dlaczego domena ma znaczenie. Użytkownik nie zostaje zhakowany: podpisuje na stronie, która wygląda jak projekt, pod adresem, który wygląda jak adres projektu.

Dlaczego drainery wciąż używają nowych domen?

Bo domeny są tanie w wymianie, a listy blokad potrzebują czasu, by nadążyć. Raport Check Point Research z 7 maja 2025 roku o Inferno Drainer opisuje ponad 30 000 nowych ofiar między wrześniem 2024 a marcem 2025 i co najmniej 9 000 000 $ strat w ciągu sześciu miesięcy, zaznaczając, że całość może być wyższa. Wymienia tuzin domen docelowych podszywających się pod jedną usługę weryfikacji społeczności, które według niego rotowały co kilka dni, i opisuje osobną przynętę na airdrop dla politycznego memecoina na jego własnej podobnej domenie.

Ten sam raport pokazuje, że domena to tylko jedno ogniwo łańcucha. W opisanej kampanii na Discordzie atakujący przejmowali wygasłe niestandardowe linki zaproszeń do projektów kryptowalutowych, więc użytkownicy, którzy zapisali stary link, dołączali do serwera atakującego i trafiali na fałszywego bota bez znacznika Verified App. Projekt, który pozwoli wygasnąć niestandardowemu zaproszeniu albo domenie, oddaje atakującemu zaufaną nazwę. Utrzymywaniem odnowień zajmuje się jak nie dopuścić do wygaśnięcia domen.

Które nazwy projekt powinien zarejestrować przed airdropem?

Zarejestruj dokładną nazwę na głównych rozszerzeniach, a potem słowa claim, airdrop i rewards na końcówkach, które faworyzują oszuści. Dane Interisle za okres od 1 maja 2025 do 30 kwietnia 2026 liczą 869180 domen phishingowych pod .com, 130945 pod .pro, 99602 pod .info, 93987 pod .xyz, 79625 pod .shop i 74786 pod .icu. Wszystkie te rozszerzenia są w katalogu Wardmint.

Praktyczna kolejność dla airdropu:

1. Podstawowy zestaw (.com, .net, .org, .io, .xyz, .app, $128.94 rocznie) dla dokładnej nazwy.
2. Słowa, których użyjesz w ogłoszeniu, np. claim, airdrop i rewards, połączone z nazwą projektu w .com, .xyz i .org.
3. Rozszerzenia, których używają oszuści (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 rocznie), dla dokładnej nazwy.
4. Typowe literówki nazwy, znalezione za pomocą bezpłatnych narzędzi z jak znaleźć podobne domeny swojej marki.

Pełna oś czasu wokół wydarzenia tokenowego znajduje się w które domeny zarejestrować przed startem tokena. Wardmint rejestruje warianty własne projektu dla tego projektu, nigdy podobne do cudzej marki, i nie sprzedaje .top, jednego z dziesięciu rozszerzeń z listy Interisle.

Jak projekt powinien ostrzegać użytkowników?

Z góry podaj, gdzie jest claim, a gdzie go nie ma. Przewodnik Kerberus z 10 kwietnia 2026 roku wymienia czerwone flagi, które użytkownicy powinni sprawdzić: brak ogłoszenia w zweryfikowanych kanałach projektu, prośbę o frazę seed lub klucz prywatny, płatność z góry za otrzymanie tokenów, nierealistyczne kwoty i niezamówione tokeny w portfelu. Radzi też dodać oficjalną stronę do zakładek i ostrzega, że podobne domeny używają drobnych zamian znaków oraz liter cyrylicy.

Projekt może zamienić tę listę we własne ogłoszenie:

• Opublikuj jeden adres do claimu, na domenie, którą posiadasz, przed wydarzeniem.
• Napisz, że nigdy nie poprosisz o frazę seed ani o płatność za otrzymanie tokenów.
• Przypnij to samo oświadczenie na każdym zweryfikowanym kanale.
• Przekieruj każdą nazwę defensywną na oficjalną stronę, tak aby źle wpisany link do claimu trafiał na Twoją stronę, a nie na cudzą.
• Znaj drogę zgłoszenia: jak zgłosić domenę phishingową wskazuje kontakty do rejestratora, hosta i list blokad.

Wardmint zapewnia darmowe przekierowanie URL i przekierowanie e-mail z panelu klienta oraz szablon DNS bez poczty (null MX, SPF -all, DMARC p=reject) dla nieużywanych nazw.

Ile najczęściej nadużywanych rozszerzeń sprzedaje Wardmint?

Według przeglądu Wardmint z 12 listopada 2026 roku 6 z 10 rozszerzeń z największą liczbą domen phishingowych w danych Interisle 2025–2026 (.com, .pro, .info, .xyz, .shop i .icu) jest w jego katalogu 29, a 4 (.top, .cn, .vip i .cc) nie są. Nazwa defensywna zarejestrowana przez projekt nie może zostać zarejestrowana przez operatora drainera.

Dwa zdania do cytowania: fałszywa domena airdropu to kopia nazwy projektu z dopisanym słowem claim; pierwszą obroną jest posiadanie oczywistych nazw przed ogłoszeniem. Wardmint nie twierdzi, że rejestracja nazw kończy oszustwa, bo phishing wykorzystuje też subdomeny platform i przejęte kanały. Podróbki zbudowane z obcych liter wyjaśnia czym jest atak homograficzny IDN.