drainer (wallet drainer)

Drainer (wallet drainer) to skrypt albo strona phishingowa, która opróżnia portfel kryptowalutowy ofiary. Nie wykrada klucza prywatnego, tylko nakłania właściciela portfela do podpisania uprawnienia, które pozwala atakującemu wydawać jego tokeny. Chainalysis nazywa ten mechanizm „approval phishing”: ofiara podpisuje z pozoru niewinną transakcję, która w rzeczywistości daje oszustowi prawo do wyprowadzenia środków ^[4]. Polskie media opisują drainery jako oprogramowanie do kradzieży kryptowalut ^[5].

Jak działa

Drainer wykorzystuje zwykłe funkcje tokenów, a nie błąd w portfelu. Standard ERC-20 definiuje funkcję approve, która pozwala wskazanemu adresowi wypłacać z konta właściciela wielokrotnie, do ustalonej kwoty ^[2]. Funkcja transferFrom przenosi potem tokeny z konta właściciela na inny adres ^[2]. Rozszerzenie ERC-2612 dodaje funkcję permit, która zmienia to samo uprawnienie na podstawie podpisanej wiadomości, bez transakcji wysyłanej przez właściciela ^[3]. Podpis można złożyć poza łańcuchem, a na łańcuch wysyła go inna strona ^[3].

Dla drainera oznacza to, że ofiara nie musi przelewać środków ani ujawniać seed phrase (frazy odzyskiwania). Wystarczy jeden podpis. Przebieg pokazuje schemat poniżej.

RYS. 1Kradzież tokenów przez podpis uprawnienia

Chainalysis zwraca uwagę, że po uzyskaniu uprawnienia oszust może opróżnić portfel od razu albo poczekać na dogodny moment, na przykład na wpłatę nowych środków z giełdy ^[4]. Uprawnienie działa, dopóki właściciel go nie cofnie.

Podpis permit jest dla ofiary szczególnie mylący. Nie kosztuje opłaty sieciowej i nie wygląda jak transakcja, tylko jak prośba o podpisanie wiadomości. Specyfikacja ERC-2612 przewiduje w podpisie termin ważności, a w sekcji o bezpieczeństwie zaznacza, że podpisane uprawnienie może wysłać na łańcuch dowolna strona, która je zna ^[3]. Kto przechwyci podpis, może go więc użyć, zanim wygaśnie.

Odmiany

Kradzież kryptowalut przez strony internetowe przybiera kilka form. Tabela odróżnia drainer od metod pokrewnych.

Kradzież frazy odzyskiwania nie jest drainerem w ścisłym sensie. Sekurak, opisując operację ASTERIX, podaje, że wpisanie frazy w fałszywej aplikacji skutkowało natychmiastowym wyczyszczeniem konta ^[6]. Atakujący przejmuje wtedy cały portfel, a nie tylko uprawnienie do jednego tokena.

W WordPressie

Przejęte strony internetowe, w tym oparte na WordPressie, mogą stać się nośnikiem drainerów, nawet jeśli nie mają nic wspólnego z kryptowalutami. Sucuri w raporcie za pierwsze półrocze 2024 roku podało, że skaner SiteCheck wykrył złośliwe oprogramowanie typu Web3 crypto drainer na 9966 zainfekowanych stronach ^[1]. Według raportu wstrzyknięte skrypty wyświetlają fałszywe okna „Connect Wallet”, podające się za akceptację regulaminu, odbiór airdropu albo weryfikację portfela ^[1]. Podpisanie takiej prośby pozwala drainerowi opróżnić portfel odwiedzającego ^[1].

Mechanizm infekcji jest ten sam co w innych kampaniach wstrzykiwania skryptów. Atakujący wykorzystuje podatność we wtyczce albo przejęte konto administratora i dopisuje kod do plików, bazy lub ustawień wtyczek. Kod jest zwykle poddany zaciemnianiu. Z punktu widzenia właściciela strony to infekcja podobna do web skimming: strona działa normalnie, a szkoda powstaje w przeglądarce gościa.

Wykrywaniu i usuwaniu takiej infekcji służą:

• monitorowanie integralności plików rdzenia, motywów i wtyczek;
• przegląd skryptów ładowanych z obcych domen oraz nagłówek CSP (Content Security Policy), który ogranicza, skąd przeglądarka może pobierać skrypty;
• czyszczenie przejętej strony z usunięciem przyczyny, a nie samego skryptu.

Sucuri zaleca w tym samym raporcie aktualizowanie wtyczek, motywów i rdzenia oraz monitorowanie integralności plików ^[1].

Zagrożenia i skutki

Transakcja na łańcuchu jest zwykle nieodwracalna. Po wyprowadzeniu tokenów nie ma operatora, który mógłby cofnąć przelew. Chainalysis opisuje, że skradzione środki trafiają do portfeli zbiorczych, a te same kontrakty wydające są używane wobec wielu ofiar ^[4]. To pozwala śledczym łączyć sprawy, ale nie przywraca środków.

Dla właściciela strony WordPress skutkiem infekcji jest utrata zaufania gości i ryzyko wpisu na czarną listę (blacklisting) w przeglądarkach i wyszukiwarkach. Drainery są też elementem szerszych oszustw. Pokrewne jest oszustwo inwestycyjne, w którym ofiara sama przelewa środki.

Jak się bronić

Dla użytkowników portfeli najważniejsze jest czytanie, co się podpisuje. Prośba o uprawnienie do wydawania tokenów na stronie, która tylko „weryfikuje portfel”, jest sygnałem ostrzegawczym. Chainalysis podkreśla znaczenie cofania uprawnień, zanim dojdzie do strat, i opisuje przypadek, w którym organy ścigania pomogły cofnąć uprawnienie oszusta ^[4]. Portfel używany na nieznanych stronach nie powinien przechowywać większych środków.

Dla właścicieli stron obrona to zwykła higiena WordPressa: aktualizacje, ograniczenie kont administratorów, uwierzytelnianie dwuskładnikowe (2FA) i monitorowanie zmian. Strona, która nie korzysta z kryptowalut, nie powinna ładować żadnych bibliotek łączących się z portfelami. Ich pojawienie się w kodzie strony jest wskaźnikiem infekcji.

Historia i przykłady

Według Sucuri jedna z największych kampanii, Angel Drainer, rozsyła wstrzyknięcia na tysiące przejętych stron od stycznia 2024 roku ^[1]. Sekurak w lutym 2025 roku opisał infrastrukturę kampanii phishingowej wymierzonej w konta polityków na X i wspomniał, że używana przez przestępców legalna usługa hostingowa bywa regularnie wykorzystywana do kampanii phishingowych i tak zwanych drainerów ^[5]. W sierpniu 2026 roku Sekurak opisał operację ASTERIX, łączącą phishing, vishing i fałszywe aplikacje portfeli ^[6].