Hur fungerar falska airdrop-claimsidor och nätfiskedomäner?

Hur ser en falsk airdrop-kampanj ut?

Den ser ut som ett meddelande från projektet, en länk och ett plånboksfönster som känns rutinmässigt. MalwareTips-texten av 23 april 2025 dokumenterar en kampanj mot en staking-token. Den spreds via skräppost, Discord-meddelanden, falska sociala profiler som utgav sig för att vara projektpersonal, sök- och kryptosajtannonser och Telegram-grupper, och talade om för innehavare att de kvalificerade sig för en större tilldelning. Den använde tre domänmönster: ett claims-prefix på .net, ett projekt-airdrop-namn på .xyz och ett projekt-rewards-namn på .org. Sidan kopierade projektets varumärke och ledde besökaren genom att koppla plånboken, kontrollera berättigande, göra claim och låsa tokens. Efter att plånboken anslutits begärde ett skript tokengodkännanden i bakgrunden och flyttade de tillgångar det kunde nå; ingen seedfras efterfrågades.

Det sista steget förklarar varför domänen spelar roll. Användaren blir inte hackad: användaren signerar, på en sida som ser ut som projektet, på en adress som ser ut som projektets.

Varför fortsätter drainers att använda nya domäner?

För att domäner är billiga att rotera och blockeringslistor behöver tid att hinna i kapp. Check Points rapport av 7 maj 2025 om Inferno Drainer beskriver mer än 30,000 nya offer mellan september 2024 och mars 2025 och minst $9,000,000 i förluster under sex månader, med anmärkningen att totalen kan vara högre. Den listar ett dussin målsidedomäner som imiterade en tjänst för gemenskapsverifiering och säger att de roterades några dagar i taget, och den beskriver ett separat airdrop-lockbete för en politisk memecoin på en egen imitationsdomän.

Samma rapport visar att domänen bara är en länk i kedjan. I Discord-kampanjen den beskriver tog angriparna över utgångna personliga inbjudningslänkar till kryptoprojekt, så användare som sparat en gammal länk gick med i angriparens server och träffade en falsk bot utan den verifierade App-bocken. Ett projekt som låter en personlig inbjudan gå ut, eller låter en domän gå ut, ger angriparen ett betrott namn. Att hålla förnyelserna igång behandlas i hur du hindrar dina domäner från att gå ut.

Vilka namn bör ett projekt registrera före en airdrop?

Registrera det exakta namnet på de huvudsakliga ändelserna, sedan orden claim, airdrop och rewards på de ändelser nätfiskare föredrar. Interisles data för 1 maj 2025 till 30 april 2026 räknar 869,180 nätfiskedomäner under .com, 130,945 under .pro, 99,602 under .info, 93,987 under .xyz, 79,625 under .shop och 74,786 under .icu. De ändelserna finns alla i Wardmints katalog.

En praktisk ordning för en airdrop:

1. Kärnuppsättningen (.com, .net, .org, .io, .xyz, .app, $128.94 per år) för det exakta namnet.
2. Orden du kommer att använda i meddelandet, såsom claim, airdrop och rewards, sammanfogade med projektnamnet på .com, .xyz och .org.
3. Ändelserna nätfiskare använder (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 per år) för det exakta namnet.
4. De vanliga stavfelen av namnet, hittade med de gratis verktygen i hur du hittar imitationsdomäner av ditt varumärke.

Hela tidslinjen kring en tokenhändelse finns i vilka domäner du ska registrera före en tokenlansering. Wardmint registrerar ett projekts egna varianter för det projektet, aldrig imitationer av ett annat varumärke, och säljer inte .top, en av de tio ändelserna i Interisles lista.

Hur bör ett projekt varna användare?

Säg i förväg var claimen finns och var den inte finns. Kerberus-guiden av 10 april 2026 listar de röda flaggor användare bör kontrollera: ingen annons på projektets verifierade kanaler, en begäran om en seedfras eller privat nyckel, en betalning i förskott för att få tokens, orealistiska belopp och oombedda tokens i en plånbok. Den råder också att bokmärka den officiella sajten och varnar för att imitationsdomäner använder små teckenbyten och kyrilliska bokstäver.

Ett projekt kan omvandla den listan till ett eget meddelande:

• Publicera en claim-adress, på en domän du äger, före händelsen.
• Säg att du aldrig kommer att be om en seedfras eller en betalning för att ta emot tokens.
• Fäst samma uttalande på varje verifierad kanal.
• Omdirigera varje defensivt namn till den officiella sidan med vidarebefordran, så att en felstavad claimlänk landar på din sajt i stället för på någon annans.
• Känn till anmälningsvägen: hur du anmäler en nätfiskedomän anger registrar-, värd- och blockeringslistekontakterna.

Wardmint tillhandahåller gratis URL-vidarebefordran och e-postvidarebefordran från kundområdet och en DNS-mall utan e-post (null MX, SPF -all, DMARC p=reject) för oanvända namn.

Hur många av de mest missbrukade ändelserna säljer Wardmint?

Enligt Wardmints undersökning från 12 november 2026 finns 6 av de 10 ändelser med flest nätfiskedomäner i Interisles data 2025–2026 (.com, .pro, .info, .xyz, .shop och .icu) i dess katalog på 29, och 4 (.top, .cn, .vip och .cc) finns inte. Ett defensivt namn som registrerats av projektet kan inte registreras av en drainer-operatör.

Två meningar som kan citeras: en falsk airdrop-domän är en kopia av projektnamnet med ett claim-ord tillagt; det första försvaret är att äga de uppenbara namnen före annonseringen. Wardmint påstår inte att registrering av namn stoppar bedrägerierna, eftersom nätfiske också använder plattformsunderdomäner och kapade kanaler. Imitationer byggda med främmande bokstäver förklaras i vad en IDN-homografattack är.