Фейковый сайт под маркой Trust Wallet обещал кешбэк 8% и просил подключить кошелёк

Поддельный сайт, оформленный как страница некастодиального кошелька Trust Wallet, предлагал выпустить криптоплатёжную карту за $1 ≈ 2,95 BYN. Ресурс обнаружил исследователь криптобезопасности под псевдонимом Daniel. В компании Trust Wallet заявили, что площадка ей не принадлежит и никак с ней не связана.

Обещания на сайте были подозрительно щедрыми: лимит расходов $100 тыс. ≈ 295 тыс. BYN, кешбэк до 8%, отсутствие комиссий за обмен валюты, поддержка Apple Pay и Google Pay, металлическая карта и полный отказ от процедуры идентификации клиента (KYC). Создатели рекламы утверждали, что у них есть лицензии в четырёх юрисдикциях — Британии, Нидерландах, Канаде и Гонконге.

Три уровня карт и логотип Trust Wallet

Пользователю предлагали выбрать один из трёх тарифов. Уровень Lite сулил кешбэк до 3%, Signature — до 5%, отсутствие комиссий за обмен и приоритетную поддержку, Metal — 8% кешбэка и доступ в залы ожидания аэропортов с круглосуточным консьержем. На всех уровнях стоял логотип Trust Wallet.

Самым опасным Daniel назвал требование подключить к платформе собственный криптокошелёк. Именно так работают многие схемы кражи криптовалюты: вместо запроса сид-фразы мошенники добиваются одобрения доступа к средствам и затем выводят их.

Что ответила компания

Представитель службы безопасности Trust Wallet Джеймс Бро (James Bro) заявил, что сайт не принадлежит компании. Trust Wallet попросила пользователей не подключать кошельки к рекламируемой платформе и не одобрять запросы на получение платежной карты. Есть ли пострадавшие и кто стоит за сайтом, пока неизвестно.

Годом ранее владельцы кошельков Trust Wallet потеряли более $6 млн ≈ 17,7 млн BYN из-за взлома одной из версий браузерного расширения. Специалисты по кибербезопасности Koi Security тогда сообщили о вредоносных расширениях в каталоге Mozilla Firefox, которые имитировали Trust Wallet ради похищения криптовалюты.

Проверить, не связан ли конкретный адрес с украденными средствами, можно по базе санкционных и скам-списков. Официальный домен Trust Wallet — trustwallet.com; адрес, отличающийся хоть одним символом или заменённой буквой, к компании отношения не имеет. Ни один сервис не просит сообщать сид-фразу для «активации» карты: того, кто её знает, она пускает в кошелёк без всякой карты.