Як повідомляє Crypto Times, користувач на ім’я Алекс повідомив про втрату криптоактивів приблизно на 2,1 мільйона доларів після переходу за фішинговим посиланням, яке, за його словами, з’явилося у відповіді ChatGPT. Він шукав сервіс для обміну токенів sFLR на WFLR, однак потрапив на підроблений ресурс sceptre.network, який імітував легітимний сервіс ліквідного стейкінгу Sceptre на домені sceptre.fi.
Після підключення криптогаманця Алекс надав необмежений дозвіл на списання токенів, після чого зловмисник отримав можливість провести операцію без додаткового підтвердження. За лічені секунди з гаманця було виведено 1 904 513 токенів FXRP приблизною вартістю 2,1 мільйона доларів, що відповідало близько 1,3% загальної емісії цього токена, пише Kreschatic.
Як користувач втратив криптовалюту після переходу на сайт
За описом інциденту, схема ґрунтувалася на так званому approval-фішингу. Шахрайський сайт зовні наслідував справжній криптовалютний сервіс, однак використовував іншу доменну адресу.
Небезпека виникла після того, як користувач під’єднав гаманець і погодив необмежений дозвіл — unlimited approve. Така операція може надати смартконтракту право надалі переміщувати дозволені токени через функцію transferFrom без нового підтвердження власника для кожного списання в межах наданих повноважень.
За даними ончейн-аналізу, атака відбулася приблизно о 19:00 за UTC. Після отримання дозволу контракт зловмисника самостійно ініціював списання.
Сам Алекс описав послідовність подій та пояснив, що посилання отримав у відповіді чатбота.
«Я запитав у ChatGPT, де обміняти sFLR на WFLR. У відповіді було посилання, яке вело на фішинговий сайт. Я підписав “необмежене схвалення”, і кошти були списані через transferFrom за кілька секунд».
Як працювала схема з необмеженим дозволом
У цьому випадку користувач не просто перейшов на підроблену сторінку. Критичним етапом стало підписання дозволу на операції з активами.
Механізм атаки складався з кількох етапів:
- користувач шукав спосіб обміняти sFLR на WFLR;
- отримане ним посилання спрямувало його на sceptre.network;
- сторінка імітувала справжній сервіс Sceptre, який використовує домен sceptre.fi;
- користувач підключив до сайту свій криптогаманець;
- далі він підписав необмежений дозвіл на використання токенів;
- контракт отримав повноваження провести списання через transferFrom;
- додаткового підтвердження жертви для самого виведення коштів уже не знадобилося;
- з гаманця вивели 1 904 513 FXRP приблизно на 2,1 мільйона доларів.
Саме тому перевірка домену перед підключенням гаманця та особливо перед підписанням дозволів залишається критичною для операцій із криптоактивами.
Дослідник простежив рух викрадених активів
Незалежний блокчейн-дослідник під псевдонімом VAL простежив подальше переміщення коштів через низку криптовалютних адрес. За його даними, загальні втрати, пов’язані з тією самою фішинговою схемою, перевищили 2,2 мільйона доларів.
Це означає, що Алекс був не єдиною ймовірною жертвою ресурсу, хоча описаний ним випадок називають найбільшим серед виявлених.
Викрадені активи переводили з FLR у DAI через децентралізовану біржу OpenOcean, після чого частину коштів конвертували в ETH.
VAL навів результати відстеження одного з пов’язаних гаманців.
«Виявлено гаманець, активний із квітня 2026 року, який за останні два місяці отримав щонайменше 700 000 DAI внаслідок 13 транзакцій, а також 889 ETH, переведених на окрему адресу. Частину коштів — 50 ETH — уже спрямовано в Tornado Cash, сервіс для змішування криптовалюти, який ускладнює подальше відстеження».
Після інциденту фішингове посилання перестало з’являтися
VAL також перевірив аналогічні запити до ChatGPT кількома мовами вже після повідомлень про інцидент. За його словами, на той момент шахрайське посилання у відповідях більше не відображалося.
Водночас із наведених даних неможливо однозначно встановити причину зміни: проблема могла бути усунена з боку OpenAI або сам шахрайський ресурс міг суттєво змінитися.
Дослідник закликав не покладатися виключно на посилання, які надають ШІ-асистенти, коли йдеться про фінансові сервіси. Адресу платформи варто додатково звіряти з її офіційними та верифікованими каналами.
Схожі випадки з криптовалютою фіксували й раніше
Це не перший описаний випадок, коли рекомендація, отримана через ШІ-сервіс, пов’язувалася з шахрайським ресурсом. У листопаді 2024 року трейдер під псевдонімом r_cky0 повідомляв про втрату 2500 доларів після використання шахрайського API для створення бота на платформі Pump.fun, який йому нібито рекомендував ChatGPT. Приватні ключі, за повідомленнями, викрали протягом 30 хвилин після використання підробленого коду.
Scam Sniffer пояснювала подібні ризики так званим отруєнням даних: шахраї створюють, зокрема, репозиторії з небезпечним кодом, намагаючись зробити їх достатньо помітними, щоб автоматизовані системи могли надалі сприйняти такі матеріали як легітимні джерела.
Схожі фішингові інциденти фіксувалися й у серпні та на початку вересня 2026 року. Користувачі Hyperliquid втратили близько 550 тисяч доларів через шахрайську рекламу в Google. В іншому випадку власник криптогаманця втратив 1010 ETH після того, як шахраї перехопили прострочений домен Tornado Cash.
Після крадіжки користувача намагалися обдурити повторно
Проблеми Алекса не завершилися після втрати криптовалюти. За його словами, після публічного розголосу історії йому почали надходити повідомлення від так званих recovery-шахраїв.
Такі зловмисники звертаються до людей, які вже втратили криптовалюту, та пропонують за винагороду нібито повернути викрадені активи. Насправді подібні пропозиції можуть бути спробою повторного шахрайства. Постраждалий закликав інших користувачів не реагувати на такі звернення.
Інцидент також демонструє ризик сліпої довіри до автоматично отриманих посилань. Перед підключенням криптогаманця адресу фінансового сервісу доцільно перевіряти через його офіційний сайт і верифіковані канали, а перед підписанням транзакції — окремо перевіряти, які саме дозволи отримує смартконтракт.
Нагадаємо, раніше ми писали про нові кольори iPhone 18 Pro Dark Cherry та Sky Blue.
