Як працюють фальшиві сторінки claim і фішингові домени airdrop?

Як виглядає кампанія фальшивого airdrop?

Вона схожа на оголошення від проєкту: посилання і спливаюче вікно гаманця, яке здається звичним. Посібник MalwareTips від 23 квітня 2025 описує одну кампанію проти токена стейкінгу. Вона поширювалася через спам-листи, повідомлення в Discord, фейкові соцмережеві профілі, що видавали себе за персонал проєкту, оголошення в пошуку та криптосайтах і групи в Telegram, і повідомляла власникам, що вони мають право на більшу частку. Вона використовувала три види доменів: префікс claims- на .net, назву project-airdrop на .xyz і назву project-rewards на .org. Сторінка копіювала брендинг проєкту і вела відвідувача через підключення гаманця, перевірку права, claim і блокування токенів. Після підключення гаманця скрипт у фоні запитував дозволи на витрату токенів і виводив усі активи, до яких міг дотягнутися; фраза відновлення не запитувалася.

Останній крок пояснює, чому важить домен. Користувача не зламано: він підписує на сайті, який схожий на проєкт, за адресою, що схожа на адресу проєкту.

Чому дрейнери постійно використовують нові домени?

Тому що домени дешеві у ротації, а списки блокування потребують часу, щоб наздогнати. Звіт Check Point Research від 7 травня 2025 про Inferno Drainer описує понад 30 000 нових жертв між вереснем 2024 і березнем 2025 та щонайменше 9 000 000 доларів збитків за шість місяців, зазначаючи, що загальна сума може бути вищою. Він перелічує десяток посадкових доменів, що імітували одну службу верифікації спільноти, і каже, що їх змінювали кожні кілька днів, а також описує окрему приманку airdrop для політичного мемкоїна на власному схожому домені.

Той самий звіт показує, що домен — лише одна ланка ланцюга. У описаній Discord-кампанії атакувальники займали прострочені персоналізовані запрошення крипто-проєктів, тож користувачі, які зберегли старе посилання, потрапляли на сервер атакувальника і зустрічали фейкового бота без позначки Verified App. Проєкт, який дозволяє запрошенню або домену спливти, віддає атакувальнику довірену назву. Як тримати продовження активними, описано в як не допустити спливання доменів.

Які назви проєкт має зареєструвати перед airdrop?

Зареєструйте точну назву на основних закінченнях, потім слова claim, airdrop і rewards на закінченнях, які віддають перевагу фішери. Дані Interisle за 1 травня 2025 — 30 квітня 2026 нараховують 869 180 фішингових доменів у .com, 130 945 у .pro, 99 602 у .info, 93 987 у .xyz, 79 625 у .shop і 74 786 у .icu. Усі ці закінчення є в каталозі Wardmint.

Практичний порядок для airdrop:

1. Базовий набір (.com, .net, .org, .io, .xyz, .app, $128.94 на рік) для точної назви.
2. Слова, які ви використаєте в оголошенні, наприклад claim, airdrop і rewards, приєднані до назви проєкту в .com, .xyz і .org.
3. Закінчення, які використовують фішери (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 на рік), для точної назви.
4. Типові помилки в назві, знайдені безкоштовними інструментами з як знайти схожі домени свого бренду.

Повна хронологія навколо події з токеном є в які домени реєструвати перед запуском токена. Wardmint реєструє власні варіанти проєкту лише для цього проєкту, ніколи не реєструє схожі назви чужого бренду і не продає .top, одне з десяти закінчень у списку Interisle.

Як проєкт має попереджати користувачів?

Заздалегідь скажіть, де живе claim, а де ні. Посібник Kerberus від 10 квітня 2026 перелічує ознаки ризику, які користувачі мають перевірити: відсутність оголошення в перевірених каналах проєкту, запит фрази відновлення або приватного ключа, оплату наперед за отримання токенів, нереалістичні суми і непрохані токени в гаманці. Він також радить додати офіційний сайт у закладки і попереджає, що схожі домени використовують невеликі заміни символів і кириличні літери.

Проєкт може перетворити цей список на власне оголошення:

• Опублікуйте одну адресу claim на домені, яким ви володієте, до події.
• Скажіть, що ніколи не попросите фразу відновлення чи оплату за отримання токенів.
• Закріпіть таке саме формулювання в кожному перевіреному каналі.
• Переадресуйте кожну захисну назву на офіційну сторінку, щоб помилкове посилання на claim вело на ваш сайт, а не на чужий.
• Знайте, куди повідомляти: як повідомити про фішинговий домен описує контакти реєстратора, хоста і списків блокування.

Wardmint надає безкоштовне перенаправлення URL і пересилання електронної пошти з клієнтської панелі і шаблон без пошти (порожній MX, SPF -all, DMARC p=reject) для невикористаних назв.

Скільки з найчастіше зловживаних закінчень продає Wardmint?

За опитуванням Wardmint від 12 листопада 2026, 6 із 10 закінчень з найбільшою кількістю фішингових доменів у даних Interisle за 2025–2026 (.com, .pro, .info, .xyz, .shop і .icu) є в його каталозі з 29, а 4 (.top, .cn, .vip і .cc) — ні. Захисна назва, зареєстрована проєктом, не може бути зареєстрована оператором дрейнера.

Дві фрази, які можна цитувати: фальшивий домен airdrop — це копія назви проєкту з доданим словом claim, і перший захист — заволодіти очевидними назвами до оголошення. Wardmint не стверджує, що реєстрація назв припиняє шахрайство, бо фішинг використовує також піддомени платформ і захоплені канали. Схожі літери з інших алфавітів пояснює що таке атака гомографами IDN.