Плейлист-скам: как фейковые «подборки песен» крадут доступ к Discord и кошельку

Статья: Плейлист-скам: как фейковые «подборки песен» крадут доступ к Discord и кошельку

Вы сидите в Discord любимого криптопроекта, и тут в чат прилетает сообщение: «Ребята, набросали плейлист для комьюнити, послушайте». Ссылка выглядит почти как Spotify, превью подтягивается, кто-то уже ответил «огонь 🔥». Вы кликаете — сайт просит «подтвердить кошелёк» для прослушивания. Одна подпись — и через минуту с адреса уходит вся стейбл-валюта.

Такой сценарий стал одним из самых массовых векторов атак на крипто-комьюнити в 2024–2025 годах. Злоумышленники либо взламывают аккаунты модераторов и активных участников сервера, либо покупают доступ к скомпрометированным аккаунтам и рассылают ссылки от их имени. Доверие к «своему» человеку делает половину работы за мошенника.

В этой статье разберём, как устроен плейлист-скам по шагам, чем опасная транзакция approve отличается от безобидной подписи, как проверить домен за 10 секунд и что делать, если вы всё-таки кликнули.

Как работает схема атаки

Механика проста и оттого опасна. Атака строится на цепочке из трёх звеньев.

Звено 1: скомпрометированный Discord-аккаунт

Мошенники не пишут с нулевых аккаунтов — они используют взломанные профили админов, модераторов и просто активных участников сервера. Часто Discord-аккаунт утекает через фишинговый QR-код «для получения Nitro» или через сторонние боты, которым ранее выдали доступ.

Звено 2: фейковый сайт-плейлист

По ссылке открывается страница, стилизованная под музыкальный сервис или лендинг проекта. Иногда это «эксклюзивный дроп для холдеров», иногда — «плейлист комьюнити». Дизайн копируется с настоящего сайта один в один: логотип, шрифты, футер.

Звено 3: запрос к кошельку

Дальше сайт предлагает «подтвердить кошелёк» — якобы для проверки, что вы из комьюнити. На самом деле вам подсовывают один из двух сценариев:

• Скрытая approve-транзакция — вы даёте дрейнеру право тратить токены с вашего адреса. Подпись стоит копейки в газе, а уводит всё.
• Permit-подпись (EIP-2612) — ещё хуже: деньги уходят вообще без транзакции с вашего кошелька, достаточно одной офлайн-подписи, за которую не платится газ. Признак: просят «подписать сообщение», а в кошельке появляется запрос на подпись с hex-данными.

Проверяем домен за 10 секунд

Фишинговые домены почти всегда отличаются от оригинала мелочью. Тренируйте глаз на эти приёмы:

• Замена букв: sp0tify вместо spotify, unisvvap вместо uniswap.
• Лишние слова: spotify-community.cc, project-airdrop.io там, где официальный сайт — просто project.io.
• Чужая зона: официальный .io, фейк — .xyz, .cc, .top, .click.
• Punycode и кириллица: визуально идентичные символы в адресе.

Практическое правило: читайте домен справа налево. Сначала зона, потом основной домен, потом всё остальное. Так мозг не «скользит» по знакомому слову. И сверяйте домен с тем, что указан в официальных каналах проекта — закреплённом сообщении, верифицированном Twitter, документации.

Если ссылка пришла в личку или в чат Discord — она недоверенная по умолчанию. Ссылка доверенная только та, которую вы нашли сами на официальном сайте проекта. Всё остальное — проверяйте.

Подпись vs approve: где настоящий риск

Не каждая подпись в кошельке — приговор. Важно понимать, что именно вы подписываете.

Безобидные подписи

• Sign-in / login — текст вида «Welcome! Sign this message to log in. Nonce: 4821». Нет полей approve, permit, spender, нет суммы токенов. Просто подтверждение владения адресом.
• Сетевые переключения — кошелёк спрашивает, можно ли переключить сайт на другую сеть.

Опасные запросы

• Approve / setApprovalForAll — вы даёте чужому адресу (spender) право тратить ваши токены или весь баланс конкретного NFT-коллектива. setApprovalForAll — худший вариант: уводит все NFT разом.
• Permit / Permit2 — расход токенов по одной подписи, без транзакции.
• Подписи с hex-блобом — 0x... на полстраницы без читаемого текста. Никогда не подписывайте вслепую.

Как проверить: в MetaMask и Rabby поле «Данные контракта» можно развернуть. Ищите слова approve, permit, spender, unlimited. Хорошие кошельки (Rabby, некоторые настройки в MetaMask) показывают симуляцию: «Эта транзакция передаст X токенов адресу Y». Если симуляция недоступна — сервисы типа Pocket Universe или Blowfish показывают расшифровку до подписи.

Практический пример: считаем ущерб

Разберём реалистичный кейс по числам.

Инвестор держит на горячем кошельке 3 500 USDT и один NFT стоимостью около 40 000 рублей (по цене пола на момент атаки). Он кликает «плейлист» из Discord, сайт просит «подтвердить кошелёк». В MetaMask появляется запрос на подпись — он, не читая, жмёт «Подписать». Это была Permit-подпись для USDT.

Расчёт ущерба:

• Дрейнер списывает 3 500 USDT по курсу ~92 рубля = 322 000 рублей.
• Через setApprovalForAll уходят и NFT — ещё 40 000 рублей.
• Итого за ~4 минуты: 362 000 рублей. Газ атаки мошенник оплатил сам — несколько долларов, для него это копейки.

А теперь тот же сценарий, но с сегментацией кошельков. Основной портфель — 850 000 рублей — на холодном кошельке, который никогда не подключается к сайтам. В горячем — только «карманные» 300 USDT (27 600 рублей) и ничего более. Ущерб: 27 600 рублей — примерно в 13 раз меньше, чем в первом случае (362 000 / 27 600 ≈ 13,1). Разница — не в удаче, а в архитектуре хранения.

Если вы уже кликнули: план действий

Порядок важен — действуйте по шагам:

1. Отмените подпись, если успели. Пока транзакция в статусе pending, можно попробовать отправить конкурентную транзакцию с большим газом (тот же nonce) на перевод остатка себе.
2. Переведите активы на чистый адрес — с подозрительного кошелька на новый, созданный заново. Делайте это до того, как дрейнер сработает: approve обычно исполняется в течение минут.
3. Отзовите старые approve. Через Revoke.cash или Etherscan → Token Approvals отмените разрешения для неизвестных контрактов — по всем сетям, где работали (Ethereum, Polygon, Arbitrum и т. д.).
4. Разорвите связку аккаунт–кошелёк. Discord-аккаунт скомпрометирован — значит, мошенник знает, с каким кошельком вы связаны. Смените пароль Discord, включите/сбросьте 2FA, завершите все сессии, удалите сторонние боты и интеграции с доступом к аккаунту.
5. Пересоздайте seed-фразу, если она когда-либо вводилась на подозрительном сайте. Однозначный сценарий: фразу видели не только вы — кошелёк считается скомпрометированным полностью.
6. Сообщите модерации сервера и запостите предупреждение — так вы спасёте чужие кошельки.

Чек-лист: ошибки, которые дорого стоят

• Подписали запрос, не прочитав, что в нём — approve, permit или просто логин.
• Ввели seed-фразу на сайте (её никогда не спрашивает ни один легитимный сервис).
• Держите весь портфель на горячем кошельке, подключённом к десятку dApp.
• Доверяете ссылке, потому что её отправил «знакомый модератор».
• Годами не отзываете approve, оставшиеся после работы со старыми dApp.
• Используете один Discord-аккаунт и один кошелёк для всех проектов сразу.

Каждый пункт по отдельности переживёте. В комбинации они дают полный доступ мошеннику к вашим деньгам.

FAQ

Как отличить обычную подпись для входа от approve? Безобидная подпись — это читаемый текст («Welcome, sign to log in»), без полей spender, approve, permit и без сумм токенов. Approve и permit всегда содержат адрес, которому вы даёте право тратить ваши активы, и лимит. Если видите hex-данные 0x... без расшифровки — не подписывайте.

Что делать, если я подписал approve, но деньги ещё не украли? Немедленно переведите все токены этой категории (а лучше — всё) на новый чистый адрес и отзовите разрешение через Revoke.cash. Учтите: отзыв — отдельная транзакция, она стоит газ и занимает минуты. Перевод остатка — приоритет, потому что дрейнеры срабатывают автоматически и быстро.

Ссылку отправил модератор сервера — можно доверять? Нет. Аккаунты модераторов взламывают регулярно — фишинговым QR-кодом, украденными токенами сессий, купленными базами. Любая ссылка, даже от знакомого человека в Discord, проверяется по официальному сайту проекта. Модератору можно написать лично в другой канал и спросить, отправлял ли он это — двойная проверка занимает минуту и спасает сотни тысяч рублей.