По данным ScamSniffer, только фишинг через подписи за 2025 год забрал $83,85 млн у 106 106 человек. А два человека потеряли $50 млн (декабрь 2025) и $12,25 млн (январь 2026) одним и тем же способом: скопировали адрес из истории своего кошелька — а это был подставной адрес-двойник. Ни в одном из этих случаев не понадобилось «взламывать» блокчейн.
Хорошая новость: почти от всех схем защищают несколько привычек. Исследователи SlowMist в своём открытом руководстве по безопасности сводят их к двум правилам: не доверяй по умолчанию и проверяй каждый раз. Ниже — что именно проверять.
01Сид-фразу выманивают — сама она не «утекает»
Сид-фраза (12 или 24 слова) — это и есть кошелёк. Кто её знает, тот и владеет деньгами, с любого устройства. Поэтому её не «взламывают», а просят: «поддержка» в личке, сайт «синхронизации кошелька», форма «восстановления доступа», бот, обещающий снять блокировку.
- Домен-двойник. «metarnask» вместо «metamask»: буквы «r» и «n» рядом читаются как «m».
- Таймер и срочность. Цель — чтобы вы не успели подумать.
- Поля для 12 слов. Ни один настоящий кошелёк, биржа или «поддержка» никогда не просит ввести сид-фразу на сайте. Увидели такие поля — закрывайте вкладку.
02Поддельные приложения и расширения
Вторая по частоте схема — кошелёк, который выглядит как настоящий, но создан мошенниками. Он может работать месяцами: показывает баланс, отправляет переводы, — а сид-фраза в момент создания уже ушла злоумышленнику. Такие приложения попадают даже в официальные магазины: в сентябре 2026 SlowMist разобрала поддельное iOS-приложение FomoPeek из App Store, которое воровало ключи.
- Разработчик. У настоящего приложения разработчик — компания, которая делает кошелёк. «Crypto Tools LLC», «Wallet Dev» — повод остановиться.
- Мало оценок при громком названии. У популярных кошельков — сотни тысяч и миллионы.
- Свежее приложение. Подделки живут недолго и появляются заново.
- Нет ссылки с официального сайта. Главное правило: скачивайте только по ссылке с сайта самого кошелька.
03Одна подпись — и кошелёк пуст
Самые крупные кражи последних двух лет — без сид-фразы. Вас приводят на сайт «аирдропа» или «вывода наград» и просят «подтвердить». В окне кошелька — не вход, а разрешение тратить ваши токены (approve, Permit, Permit2) или, после обновления Ethereum в 2025 году, пакет действий через EIP-7702. По данным ScamSniffer, одна Permit-подпись в сентябре 2025 стоила человеку $6,5 млн.
- Сайт, на котором вы «просто получаете награду».
- Permit / Approve / setApprovalForAll — это доверенность на ваши токены, а не вход.
- Незнакомый адрес-получатель прав.
- Unlimited — разрешение на весь баланс токена, навсегда.
Подробный разбор механики, с отзывом уже выданных разрешений, — в нашей статье «Разрешения токенов: как одна подпись сливает кошелёк». Минимум, который нужно знать:
- Читайте окно подписи до нажатия. Слова Permit, Approve, Unlimited на сайте «аирдропа» — закрывайте окно.
- Включите симуляцию транзакций. Кошельки вроде Rabby и MetaMask (с защитой Blockaid) показывают, что произойдёт: «−5 000 USDT» видно до подтверждения.
- Раз в пару месяцев отзывайте старые разрешения — на revoke.cash или в нашем разделе проверки разрешений.
04Отравление адреса: копируете «свой» адрес — а он чужой
Схема на $50 млн. Вы отправляете деньги на свой адрес или адрес партнёра. Через минуту робот мошенников создаёт адрес-двойник: первые и последние символы совпадают, середина другая. Он присылает вам «пыль» — 0 или 0,001 USDT — и двойник появляется в вашей истории. В следующий раз вы копируете адрес из истории, проверяете начало и конец — и отправляете деньги мошеннику.
- Время. «Пыль» приходит через минуты после вашей настоящей транзакции — робот следит за адресом.
- Начало и конец совпадают (TQ7m…Fk2Z), середина — нет. Именно на это и расчёт: обычно сверяют края.
- 0 USDT или копейки. Сумма не важна — важно попасть в вашу историю.
05Фейковый сайт из рекламы в поиске
Мошенники покупают рекламу по запросам «Uniswap», «PancakeSwap», «вход MetaMask». Реклама стоит выше настоящего сайта и выглядит как он. Дальше — сценарий из пункта 01 или 03.
- Пометка «Реклама». Для крипто-сервисов не нажимайте рекламные ссылки вообще.
- Домен с лишним словом — «-exchange», «-app», «-claim», другая доменная зона или буквы-двойники вместо настоящего адреса.
- Обещание награды в заголовке — частый признак приманки.
06Социальная инженерия: вас уговаривают сделать всё самим
Самые дорогие кражи — когда человек сам переводит деньги или запускает файл. Сценарии повторяются:
| Сценарий | Как выглядит | Красный флаг |
|---|---|---|
| «Поддержка биржи» | Пишут в личку: «ваш аккаунт заблокирован, переведите средства на безопасный кошелёк» | Поддержка пришла сама; просит перевести или назвать код |
| Фейковая вакансия | Хорошая работа в крипто-проекте, «тестовое задание»: скачать и запустить репозиторий или программу для созвона | Нужно запустить чужой код или «особый» клиент Zoom |
| «Инвест-менеджер» | Знакомство, долгое общение, «платформа с доходом 2% в день», первые выплаты приходят | Доход гарантирован; вывести можно только после «налога» или «страховки» |
| «Разморозка» и «AML-справка» | После заморозки обещают снять блокировку за предоплату | Платить вперёд за «снятие блокировки» на чужой адрес |
07Вирус в буфере обмена
Вредоносная программа на компьютере или телефоне подменяет скопированный адрес на свой в момент вставки. Вы копируете верный адрес — а вставляется другой. Защита та же, что в пункте 04: после вставки сверьте середину адреса с оригиналом. Плюс — не ставьте «взломанные» программы, кряки и расширения из непонятных источников на устройство, где у вас кошелёк.
08Схема «три кошелька»: даже если ошибётесь — потеряете немного
Главный лайфхак против всех схем сразу — разделить деньги. Тогда любая ошибка бьёт только по тому, что лежало в «рабочем» кошельке.
- аппаратный кошелёк или отдельный, никогда не подключается к сайтам
- никаких approve
- сид — на бумаге/металле
- сумма «на неделю»
- подключается к проверенным сервисам из закладок
- разрешения — раз в пару месяцев на ревизию
- аирдропы, минты, незнакомые сайты
- почти пустой
- не жалко потерять
09Чек-лист на 15 минут: сделайте сегодня
10Если всё-таки украли: первые 30 минут
11Чем поможет AMLConsensus
Мы не защищаем кошелёк вместо вас — подпись и ключи всегда остаются у вас. Но у нас есть бесплатные инструменты, которые закрывают часть проверок из этой статьи:
- Проверка адреса перед сделкой — санкции, заморозки эмитентов, метки хакеров и мошенников.
- Проверка разрешений — какие approve и Permit висят на вашем адресе, с подсветкой безлимитных.
- «Проследить средства» — карта, куда ушли деньги, до 6 переводов вглубь и через мосты.
Источники: отчёт ScamSniffer о фишинге за 2025 год; открытое руководство SlowMist «Blockchain dark forest selfguard handbook» (GitHub); разборы SlowMist и ScamSniffer по отдельным случаям. Скриншоты — схематичные макеты интерфейсов, не реальные экраны; названия кошельков и сервисов (MetaMask, Uniswap, Rabby и др.) — товарные знаки их владельцев, AMLConsensus с ними не связан. Материал образовательный и не является финансовой или юридической консультацией.