Social Engineering sa mga Crypto Scam

Ang tipikal na imahe ng isang hacker na nagnanakaw ng cryptocurrency na tila galing sa Hollywood: isang pigurang nakasuot ng itim na hoodie sa harap ng keyboard, binubutas ang mga peripheral firewall at nira-hack ang mga sopistikadong encryption algorithm gamit ang sariling gawang code. Ito ay isang purong teknikal na pananaw sa kung ano ang hitsura ng cybercrime. Ang katotohanan ay kadalasang mas simple — at sa totoo lang, mas makatao.

May mga teknikal na pag-atake na maaaring isagawa, siyempre, ngunit mas maraming crypto ang nananakaw hindi sa pamamagitan ng pag-hack sa blockchain kundi sa pamamagitan ng pagmamanipula sa user. Ito ang larangan ng social engineering — ang gawain ng pagmamanipula sa mga tao upang magbunyag ng kumpidensyal na impormasyon o gumawa ng mga aksyong hindi makabubuti sa kanila. Hindi ito tungkol sa mga zero-day hack, kundi sa mga lumang istilo ng panloloko, confidence games, at pag-alam sa mga kahinaan ng sikolohiya ng tao.

Sa "wild west" ng mga digital asset — kung saan ang mga transaksyon ay hindi na mababawi at ang mga tao ay maaaring kumilos nang hindi naaabot ng pulisya o korte kung nais nila, at ang pagiging anonymous ay napakahalaga — ang mga tao ang pinakamahinang link. Alam ng mga scammer na ang trabahong kailangan sa pag-hack ng isang decentralized network ay mas mahirap kaysa sa pag-hack sa tiwala, takot, o kasakiman ng isang tao. Sa anumang paraan, sa pamamagitan ng pagpasok sa pinto sa simpleng paghiling sa user na buksan ito, nalampasan ng mga masasamang aktor na ito maging ang pinakamahigpit na security control dahil sa paggamit ng gawi ng tao at hindi ng teknolohiya.

Sa artikulong ito, hihimayin natin ang mga pinakakaraniwang paraan ng social engineering na kasalukuyang nakakaapekto sa komunidad ng crypto, magtutuon sa mga sikolohikal na basehan na kanilang sinasamantala, at magmumungkahi ng mga paraan upang maprotektahan laban sa mga ito.

Long Con at Trust Trap

Ang “Sha zhu pan,” o “pig butchering” sa Mandarin, ay isa sa maraming bagong anyo ng social engineering na ginagamit ng mga netizen sa China upang ilarawan ang mga scheme na kanilang nararanasan.

Ang metaporang ito ay nagbibigay ng malinaw na paglalarawan sa proseso: ang biktima ang nagsisilbing “baboy” na “pinataba” sa pamamagitan ng pambobola, pakikipagkaibigan, at mga pekeng kita sa investment bago “katayin” para makuha ang lahat ng kanilang pag-aari. Hindi tulad ng mga mabilisang operasyon ng phishing, ito ay isang matagalang laro na nakadepende sa pagsasamantala sa sikolohikal na pangangailangan para sa koneksyon at ang unti-unting paghina ng pag-aalinlangan.

Kadalasan itong tila walang malisya sa mga unang yugto — isang text mula sa maling numero, isang direct message sa social media, o kahit isang pagkikita sa pamamagitan ng mga kaibigan. Hindi agad tumutuloy ang scammer sa crypto. Sa halip, sinisikap nilang bumuo ng relasyon. Maaari silang magpanggap na isang matagumpay na negosyante, o isang propesyonal na nalulungkot o naglalakbay.

Sa loob ng ilang linggo o buwan, bumubuo sila ng tila totoong relasyon sa biktima. Nagpapalitan sila ng mga larawan ng kanilang mga pagkain, nag-uusap tungkol sa kanilang mga hobi, at nakikiramay sa mga personal na pinagdaraanan ng biktima. Ang yugtong ito ay naglalayong pababain ang depensa ng biktima. Mayroong likas na udyok ang tao na magtiwala sa mga madalas nating nakakasalamuha, lalo na kung ang taong iyon ay tila tapat na interesado sa ating buhay.

Matapos makuha ang tiwala, karaniwang babanggitin ng mga scammer ang tungkol sa pera – ngunit hindi sa direktang paraan. Maaari nilang kaswal na banggitin ang isang “malaking panalo” na nakuha nila sa merkado o mag-post ng screenshot ng isang marangyang pagbili gamit ang mga kita sa trading. Nalilikha ang bitag kapag nagpakita ng interes ang biktima. At sa halip na magmukhang ahente, ang scammer ay nagpapanggap na isang mentor na tila hindi naman talaga gustong tumulong: “Ipakikita ko sa iyo nang bahagya ang ginawa ko at kung paano ito gumana.” Inaatasan nila ang biktima na mag-deposito ng pera sa isang pekeng trading platform na mukhang totoo, na madalas ay ginagaya ang interface ng mga sikat na exchange.

Upang gawing kapani-paniwala ang panloloko at makalikha ng isang “maliit na panalo,” kung minsan ay sadyang isinasagawa ito ng scammer. Hinihimok nila ang biktima na mag-invest ng maliit na halaga, at pagkatapos ay i-withdraw ang kanilang unang kita. Ito ang psychological hook. Napupuno ng dopamine ang utak ng biktima; naglalaho ang mga duda, at napapalitan ng bugso ng saya dulot ng posibilidad ng libreng pera at pagpapahalaga sa kanilang bagong kaibigan. Naniniwala ang biktima na lehitimo ang modus, at nauuwi sila sa paglalagak ng kanilang buong ipon nang may lubos na kumpfiyansa. Saka lamang nila mahaharap ang katotohanan kapag sinubukan na nilang i-withdraw ang napakalaking halaga: na sila ay na-catfish, at ang pera ay umiiral lamang bilang mga numero sa screen ng computer, gaya ng kanilang naglahong kaibigan.

Counterplay: Upang maiwasang mamanipula ng ganitong malalim na emosyonal na koneksyon, dapat kang maging mahigpit sa iyong sarili at panatilihing hiwalay ang iyong buhay-sosyal mula sa mga pinansyal na desisyon. Ang golden rule ay simple lamang: ang mga estranghero sa internet ay walang hangaring payamanin ka. Kung mayroon kang bagong online friend o romantic interest na nagbabanggit tungkol sa pag-i-invest, ituring agad itong red flag. Magsagawa ng reverse image search sa anumang mga larawang ipinapadala nila; madalas gumagamit ang mga scammer ng mga nakaw na larawan ng magagandang modelo o sikat na influencers. Magpumilit na mag-video chat nang maaga pa lang sa inyong ugnayan. Ang hilingin na magpasok ng pera sa isang platform na, kung iiral man, ay nabubuhay lamang sa espekulasyon ay dapat magbigay sa iyo ng pag-aalinlangan. Huwag maglipat ng anumang pera — kahit kailan — kahit saan nang hindi nakikipagkita nang personal sa taong nagsasabing may kakayahan silang payamanin ka. Kung nag-aalinlangan ka, subukang i-withdraw ang iyong pera. Kung may dahilan, o may kailangang bayarang “tax” para makapag-withdraw, itigil ang lahat ng komunikasyon — isa itong scam.

Authority Trap at Urgency ng Krisis

Isa pang mabisang taktika ay ang likas na pagkiling ng publiko na sumunod sa awtoridad, at ang tendensya ng mga tao na mag-panic sa gitna ng krisis. Gamit ito, nagpapanggap ang mga scammer bilang support team ng mga exchange, wallet provider, o maging mga sangay ng pamahalaan. Ang estratehiya ay nakadepende sa paglikha ng isang magulong mental na kalagayan ng matinding pagkabalisa kung saan ang pag-iisip ng isang tao ay nawawalan ng talas.

Sabihin nating sinusubukan mong magpadala ng USDT sa isang kaibigan at sa kung anong dahilan ay tila naharang ang transaksyon. Naghahanap ka ng support number o nag-tweet tungkol sa problema. Halos agad-agad, isang "matulunging" account ang sasagot o makakakita ka ng isang numero ng telepono na tila opisyal. Ang boses sa kabilang linya ay propesyonal, kalmado, at may awtoridad. Sasabihin nilang ang iyong pera ay "naipit" o ang iyong account ay "kompromisado" at kailangan mong kumilos nang mabilis para maisalba ang iyong pondo.

At ang pagmamadaling ito ay hindi totoo, naroon lamang ito para pilitin kang gumawa ng isang bagay nang hindi man lang pinag-iisipan. Maaaring utusan ka ng "support agent" na mag-download ng remote desktop software para "ma Kung makatanggap ka ng email na nagsasabing naka-lock ang iyong account, huwag i-click ang link. Sa halip, pumunta sa opisyal na website gamit ang iyong sariling mga bookmark – hindi sa pamamagitan ng pag-click ng link sa isang search engine o sa isang mensahe – at makipag-ugnayan sa support sa pamamagitan ng kanilang tunay na channel. Huwag kalimutan na ang mga tunay na organisasyon ay hindi gumagana nang real-time at hinding-hindi hihilingin sa iyo na manatili sa linya, o madaliin ang iyong tugon sa loob ng ilang segundo dahil kung hindi ay mawawala ang iyong pera. Pagdating sa mga seed phrase, ituring ang mga ito na parang kumbinasyon ng isang pisikal na vault: walang sitwasyon, teknikal man o iba pa, kung saan kakailanganin ng isang agent ang kumbinasyong iyon para tulungan ka. Kapag hiningi nila ito, ginagawa ka lang nilang uto-uto.

Unseen Signature at Approval Phishing

Habang lumilipat ang crypto space sa decentralized finance (DeFi), nag-adjust na rin ang mga scammer sa pamamagitan ng pagsasamantala sa pagiging kumplikado ng kung paano nakikipag-ugnayan ang mga smart contract. Ang paraang ito, na kilala rin bilang “approval phishing” o “drainer” attacks, ay partikular na sinasamantala ang kakulangan sa teknikal na kaalaman ng user pagdating sa kung ano ba talaga ang kanilang ina-authorize.

Sa kasong ito, maaaring mapunta ang isang user sa isang site na katulad na katulad ng isang sikat na NFT marketplace o DeFi protocol. Maaari silang maakit sa pangako ng libreng “airdrop,” isang terminong ginagamit sa industriya para sa mga libreng token, o isang eksklusibong pagkakataon sa “minting.” Hihilingin ng site sa user na i-connect ang kanilang wallet at mag-sign ng transaksyon kapag handa na silang i-claim ang reward.

Ang pop-up sa loob ng wallet ay madalas na puno ng mga teknikal na salitang mahirap intindihin. Ang karamihan sa mga user, na nakasanayan na ang hindi maintindihang Terms of Service at basta na lang nagki-click ng “I Agree,” ay pipindutin ang malaking “Confirm” button para makuha ang kanilang reward. Ngunit hindi lang ito isang simpleng login message. Karaniwan itong isang "SetApprovalForAll" function o ang "Permit" signature."

Sa madaling salita para sa mga hindi programmer: Ang lagdang ito ay nagbibigay sa smart contract ng scammer ng ganap na kapangyarihan na ilipat ang lahat ng isang partikular na asset (gaya ng USDT o mga NFT) palabas ng wallet ng user, nang hindi na nangangailangan ng karagdagang kumpirmasyon.

Ang sikolohiya rito ay parehong kasakiman (ang libreng airdrop) at “learned helplessness” pagdating sa mga technical interface. Iniisip nila na dahil hawak pa rin nila ang kanilang seed phrase, mababawi pa nila ang kanilang pera. Ang hindi nila nauunawaan ay ang isang digital signature ay maaaring maging kasing-panganib ng pagbibigay ng mga key. Hindi kailangang malaman ng scammer ang seed phrase, lalo na kung hindi mo sinasadyang nakapirma sa isang permission slip na nagpapahintulot sa kaniya na ubusin ang laman ng vault.

Counterplay: Ang depensa laban sa ganitong uri ng approval phishing ay ang pagbabago ng pananaw sa kung paano ginagamit ng mga wallet ang kanilang pahintulot. Huwag kailanman ituring ang isang wallet signature na katulad lang ng pagpindot sa "login" o "confirmation" button. Ito ay parang isang notarized na legal na kontrata — sa blockchain. Bago ka magkumpirma ng anumang transaksyon, basahin muna ang mga detalye. Hanapin ang "Approve," "SetApprovalForAll," o "Permit." Kung sinusubukan mong mag-claim ng libreng item at humihingi ang transaksyon ng pahintulot na i-access ang iyong USDT o iba pang mga token, tanggihan ito. Ang isang paraan para gawin ito ay ang paggamit ng “burner” wallet — isang wallet na nilalagyan mo lang ng maliliit na halaga ng pera, na ginagamit lamang para sa mga bago o kahina-hinalang site. Nagsisilbi itong firewall — kung magkamali ka man at makapirma sa isang malisyosong kontrata, ang makukuha lang ng scammer ay ang anumang "dust" o barya-barya sa iyong burner wallet, at hindi ang iyong buong ipon. Umasa rin sa mga browser extension na nagsasalin ng data ng transaksyon sa mga babalang madaling basahin ng tao, na nagsasabi sa iyo kung ang isang signature ay mukhang wallet drainer.

Pattern Match Glitch at Poisoning ng mga Address

Isa sa mga mas mapanlinlang na hack ay nakadepende sa paraan kung paano pinoproseso ng utak ng tao ang impormasyon para sa mabilis na pag-unawa.

At kapag nag-copy at paste ang mga user ng mga cryptocurrency address, bihirang-bihira nilang i-scroll nang buo ang mga random na digit at titik na iyon para masiguradong tama ang address. Sa halip, karaniwan nilang tinitingnan ang unang apat o limang character at ang huling apat o limang character. Nauunawaan ng mga scammer ang mental shortcut na ito — at minamanipula nila ito sa pamamagitan ng “address poisoning.”

Sa scam na ito, binabantayan ng manloloko ang blockchain para sa mga taong kasalukuyang aktibo. Kapag nakakita sila ng user na naglilipat — halimbawa, nagpapadala ng malaking halaga ng USDT sa sarili nilang personal na cold wallet — gumagamit ang scammer ng software na kayang gumawa ng isang “vanity address” na halos kamukha ng orihinal na destinasyon. Ang pekeng address na ito ay magkakaroon ng magkaparehong una at huling mga character ng totoong address, ngunit magkaiba ang mga nasa gitna.

Pagkatapos gawin ang kamukhang address na iyon, ang manloloko ay magpapadala ng transaksyon na 0 USDT (o malapit sa halagang iyon) mula sa pekeng address na ito patungo sa wallet ng biktima. Ang transaksyong ito ay makikita na ngayon sa history ng biktima. Sa susunod na gustong magpadala ng biktima ng USDT sa kanilang cold wallet, maaari nilang buksan ang history at i-paste ang pinakabagong address dahil malamang na iyon ang huli nilang ginamit. Hangga't ang simula at dulo ay tumutugma sa naaalala nila, hindi nila mapapansin ang pagkakaiba. Magsisimula sila, magbabayad ng mga USDT fee gaya ng dati, at direktang magdedeposito sa "black hole" na wallet ng scammer.

Sinasamantala nito ang “inattentional blindness” at ang pagpili sa pinakamadaling paraan (path of least resistance). Ang biktima ay hindi sistematikong “na-hack” sa tradisyonal na kahulugan; niloloko sila para i-hack ang kanilang sarili. Ang teorya ng scammer sa kasong ito: Walang makakapansin; umaasa kami sa katamaran at sa kung paano gumagana ang mga autocomplete pattern.

Kontra-diskarte: Ang sagot sa address poisoning ay validation. Huwag na huwag mag-copy ng anumang address mula sa iyong transaction history!" Ito ay isang pampublikong ledger na maaaring sulatan ng kahit sino — kabilang ang mga scammer. Huwag kailanman magtiwala sa una o huling ilang karakter lamang ng isang address kapag nagva-validate. Suriin ang ilang random na sequence sa gitna ng string, o mas mabuti, ang bawat karakter. Ang pinakamahusay na paraan para gawin ito ay sa pamamagitan ng paggamit ng address book function sa iyong wallet. I-whitelist ang iyong mga pinagkakatiwalaang address. Maaari mo ring bigyan ng iba't ibang pangalan ang mga address. Sa ganoong paraan, pipili ka ng isang pinagkakatiwalaang lugar sa halip na isang posibleng poisoned log.

Ligtas sa Isang Zero-Trust na Mundo

Ang pagkakapareho ng lahat ng taktikang ito ay sinisira nila ang teknikal na seguridad sa pamamagitan ng pag-hack sa human OS. Maging ito man ay ang emosyonal na hatak ng isang romance scam, ang mga pekeng time pressure tactic na ginagamit ng isang help desk impersonator, ang sadyang masalimuot na maze ng panlilinlang na matatagpuan sa isang kahina-hinalang contract o mga imaheng nandaraya sa isang address poisoning attack, ang lahat ng ito ay tungkol sa pagpapagawa sa isang tao ng mga bagay na laban sa kanilang sarili.

Ang pagtatanggol ay nangangailangan ng pagbabago sa mindset. Sa tradisyunal na mundo ng pananalapi, ang mga bangko ay nagsisilbing safety net, nag-aalerto at nagbabalik ng mga hindi awtorisadong singil. Sa crypto, ikaw ang bangko. Walang fraud department na matatawagan, at ang mga transaksyon ay hindi kailanman mababawi. Kasama ng kalayaang ito ang obligasyon ng habambuhay na pag-iingat. Magdahan-dahan. Kung ang alok ay masyadong apurahan, malamang na ito ay isang scam. Kapag ang isang estranghero ay sobrang matulungin, malamang na may kapalit ito. Kung ang isang deal ay tila byzantine o masyadong kumplikado, malamang na ganoon nga ito.

Sa pamamagitan ng paglalantad sa mga panlilinlang na ito, magbabago ka mula sa pagiging madaling biktima tungo sa pagiging isang mapanuring user. Ligtas ang blockchain, ang social layer ang dapat mong laging bantayan. Ingatan ang iyong isipan gaya ng pag-iingat mo sa iyong mga private key.

Tungkol naman sa pagiging mahusay at matalino sa iyong crypto, hindi mo lang dapat alam kung paano i-secure ang iyong mga transaksyon kundi dapat mo ring maunawaan ang mekanismo ng mga ito. Para sa mga aktibong user sa network ng TRON, ang Netts USDT Transfer Calculator ay isang mahalagang tool upang makatipid ng iyong $$$." Ang lahat ng USDT transfer sa network ng TRON ay kinapapalooban ng pagkonsumo ng partikular na network resources gaya ng Energy at Bandwidth. Sakaling walang anumang TRX ang wallet ng isang user, susunugin (burn) ng network ang kanyang natitirang TRX para bayaran ang energy na karaniwang mas mahal nang 14-20 beses.

Nagbibigay-daan ang Netts tool sa user na ilagay ang sender address at receiver address para matantya ang eksaktong dami ng resources na kinakailangan sa pagpapadala. Ipinapakita nito ang isang mahalagang pagkakaiba sa gastos: ang mga transfer sa isang recipient na may positive USDT balance ay nagsusunog ng humigit-kumulang 13.84 TRX, habang ang mga burn na may kaugnayan sa mga transfer sa isang cold wallet (ibig sabihin, isang address na walang anumang USDT) ay mas mahal mula sa computational perspective, na nagsusunog ng humigit-kumulang 27.70 TRX. Gamit ang calculator na ito (at pati na rin ang isang API para sa mga dev), malalaman ng mga user kung ito ay tamang pagkakataon para mag-renta ng Energy. Para sa iyong kaalaman, ang pag-renta ng Energy ay nagkakahalaga lamang ng 2-3 o 4-5 TRX, na nakakatipid ng higit sa 80% kumpara sa basta-bastang pagsunog ng TRX. Ang mabilis na pagsusuring ito ay tumitiyak na hindi ka nagbabayad nang labis sa network fees habang pinapanatili ang mabilis na mga transfer.