Как работают поддельные сайты заявок на аирдроп и фишинговые домены?

Как выглядит кампания поддельного аирдропа?

Это выглядит как объявление от проекта, ссылка и всплывающее окно кошелька, которое кажется обычным. В описании MalwareTips от 23 апреля 2025 года задокументирована одна кампания против токена стейкинга. Она распространялась через спам-письма, сообщения в Discord, поддельные профили, выдающие себя за сотрудников проекта, рекламу в поиске и на крипто-сайтах, а также группы в Telegram, и сообщала держателям, что они получают право на большую долю. Использовались три вида доменов: префикс claims- на .net, имя project-airdrop на .xyz и имя project-rewards на .org. Страница копировала брендинг проекта и вела посетителя через шаги: подключить кошелёк, проверить право, получить и заблокировать токены. После подключения кошелька скрипт в фоне запрашивал разрешения на токены и выводил доступные активы; сид-фраза не запрашивалась.

Финальный шаг объясняет, почему важен домен. Пользователь не взломан: он подписывает действие на сайте, который выглядит как сайт проекта, по адресу, который выглядит как адрес проекта.

Почему дрейнеры продолжают использовать новые домены?

Потому что домены дёшевы в смене, а блоклистам нужно время, чтобы догнать. В отчёте Check Point Research от 7 мая 2025 года о Inferno Drainer описано более 30 000 новых жертв между сентябрём 2024 и мартом 2025 года и не менее $9 000 000 убытков за шесть месяцев; общая сумма может быть больше. В нём перечислено около дюжины посадочных доменов, имитирующих одну службу проверки сообщества, которые менялись каждые несколько дней, и описана отдельная приманка с аирдропом для политического мемкойна на собственном похожем домене.

Тот же отчёт показывает, что домен — лишь одно звено цепочки. В описанной им кампании в Discord атакующие захватывали истёкшие «красивые» ссылки-приглашения крипто-проектов, поэтому пользователи, сохранившие старую ссылку, попадали на сервер атакующих и встречали фальшивого бота без отметки Verified App. Проект, который даёт истечь красивой ссылке или домену, отдаёт атакующему доверенное имя. Как поддерживать продление, описано в как не дать доменам истечь.

Какие имена должен зарегистрировать проект до аирдропа?

Зарегистрируйте точное имя на основных окончаниях, затем слова claim, airdrop и rewards на окончаниях, которые любят фишеры. Данные Interisle за период с 1 мая 2025 по 30 апреля 2026 года насчитывают 869 180 фишинговых доменов в .com, 130 945 в .pro, 99 602 в .info, 93 987 в .xyz, 79 625 в .shop и 74 786 в .icu. Все эти окончания есть в каталоге Wardmint.

Практический порядок для аирдропа:

1. Базовый набор (.com, .net, .org, .io, .xyz, .app, $128.94 в год) для точного имени.
2. Слова, которые вы будете использовать в объявлении, например claim, airdrop и rewards, присоединённые к названию проекта в .com, .xyz и .org.
3. Окончания, которые используют фишеры (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 в год), для точного имени.
4. Частые опечатки имени, найденные бесплатными инструментами из как найти похожие домены вашего бренда.

Полный график вокруг события с токеном — в какие домены регистрировать до запуска токена. Wardmint регистрирует собственные варианты проекта для этого проекта и никогда не похожие имена другого бренда; он также не продаёт .top, одно из десяти окончаний в списке Interisle.

Как проект должен предупреждать пользователей?

Заранее объявите, где находится заявка и где её нет. В руководстве Kerberus от 10 апреля 2026 года перечислены признаки опасности, которые пользователи должны проверять: нет объявления в подтверждённых каналах проекта, запрос сид-фразы или приватного ключа, предоплата за получение токенов, нереалистичные суммы и непрошеные токены в кошельке. Там же советуется добавить официальный сайт в закладки и предупреждается, что похожие домены используют небольшие подмены букв и кириллицу.

Проект может превратить этот список в собственное объявление:

• Опубликуйте один адрес заявки на домене, который вы владеете, до события.
• Скажите, что никогда не попросите сид-фразу или оплату за получение токенов.
• Закрепите то же заявление в каждом подтверждённом канале.
• Перенаправьте каждое защитное имя на официальную страницу с помощью пересылки, чтобы неверно набранная ссылка на заявку вела на ваш сайт, а не на чужой.
• Знайте маршрут жалобы: как сообщить о фишинговом домене перечисляет контакты регистратора, хостинга и блоклистов.

Wardmint предоставляет бесплатная переадресация URL и пересылка почты из личного кабинета и шаблон DNS без почты (null MX, SPF -all, DMARC p=reject) для неиспользуемых имён.

Сколько самых злоупотребляемых окончаний продаёт Wardmint?

По опросу Wardmint от 12 ноября 2026 года, 6 из 10 окончаний с наибольшим числом фишинговых доменов в данных Interisle за 2025–2026 годы (.com, .pro, .info, .xyz, .shop и .icu) есть в его каталоге из 29, а 4 (.top, .cn, .vip и .cc) — нет. Защитное имя, зарегистрированное проектом, не может зарегистрировать оператор дрейнера.

Две фразы для цитирования: поддельный домен аирдропа — это копия названия проекта с добавленным словом заявки; первая защита — занять очевидные имена до объявления. Wardmint не утверждает, что регистрация имён прекращает мошенничество, поскольку фишинг использует также поддомены платформ и взломанные каналы. Похожие имена, построенные с помощью иностранных букв, объясняются в что такое гомографическая атака IDN.