Фишинг и криптокошелёк: как не отдать сид-фразу мошенникам

Фишинг в криптовалюте — это обман, после которого вы сами отдаёте мошеннику доступ к деньгам: вводите сид-фразу на поддельном сайте или в приложении, подписываете транзакцию, которая переводит ваши токены или даёт на них разрешение, или отправляете платёж на подменённый адрес. Взламывать криптографию для этого не нужно, а подтверждённый перевод в блокчейне не отменить. Ниже — как работают основные приёмы, от поддельных кошельков и фальшивой «поддержки» в Telegram до дрейнеров, отравления адресов и подмены буфера обмена, как проверить сайт, приложение и бота и что делать, если вы уже нажали. Легенды, под которыми мошенники выманивают саму фразу, подробно разобраны в статье мошенничество с сид-фразой.

Основные приёмы коротко

Поддельные сайты, приложения и расширения

Сид-фраза — не пароль для входа, а сам кошелёк: кто ввёл её в любое приложение, тот распоряжается всеми его адресами (что такое сид-фраза). Поэтому главная цель поддельного кошелька — заставить вас ввести слова. Обычно всё начинается со ссылки в поисковой выдаче, рекламе, письме или чате, поэтому адрес кошелька или биржи один раз наберите вручную, сохраните в закладки и дальше открывайте только из них. Приложения и расширения ставьте по ссылке с сайта разработчика. Так советует и ESET, разбирая поддельное приложение Ledger Live Web3, которое в октябре и ноябре 2023 года лежало в Microsoft Store и, по данным BleepingComputer, обошлось пользователям минимум в 768 000 долларов (ESET).

Официальный магазин тоже не гарантия. В апреле 2026 года «Лаборатория Касперского» описала 26 фишинговых приложений в китайском App Store, которые выдавали себя за MetaMask, Ledger, Trust Wallet, Coinbase и другие кошельки, часть которых там официально недоступна. Сами приложения ничего не крали: они открывали в браузере копию App Store и предлагали установить сначала профиль конфигурации, а затем «официальную» версию кошелька в обход магазина. Поддельный Ledger Wallet при подключении устройства требовал ввести сид-фразу («Лаборатория Касперского»). Если нужного кошелька нет в магазине вашей страны, не ставьте его через профили и ссылки из чатов: на этом и построена такая атака.

Ещё одна угроза из магазинов — приложения, которые ищут сид-фразы на фотографиях. В феврале 2025 года «Лаборатория Касперского» сообщила о 10 приложениях в Google Play и 11 в App Store с трояном SparkCat: получив доступ к галерее, он распознавал текст на снимках и отправлял злоумышленникам те, где находил нужное, прежде всего мнемонические фразы, а из Google Play эти приложения скачали больше 242 000 раз («Лаборатория Касперского»). Скриншот фразы в галерее — готовая добыча для такого трояна; надёжные способы хранения сравнивает статья как хранить сид-фразу.

Замок и https в адресной строке означают только, что соединение шифруется. Сертификаты получают и фишинговые сайты, поэтому ФБР ещё в 2019 году предупреждало не доверять сайту из-за значка замка (IC3).

Как проверить сайт, приложение и бота

• Читайте домен в адресной строке, а не на странице. Значение имеет часть до первой косой черты, причём её конец: адрес mywallet.io.example.com принадлежит example.com, а не My Wallet. Подделки меняют или добавляют буквы — My Wallet приводит пример my-wallett.io вместо mywallet.io (справка My Wallet) — или берут другую доменную зону. Если в адресе встречается xn--, в домене есть символы вне латиницы, например кириллическая «а» вместо латинской: это повод закрыть страницу.
• Проверяйте, куда ведёт ссылка. Текст ссылки может не совпадать с адресом: в примере My Wallet надпись t.me/myapp ведёт на t.me/myappnotscam. Наведите на ссылку курсор, а на телефоне нажмите и удерживайте её, чтобы увидеть настоящий адрес.
• Ставьте приложения только по ссылке с официального сайта и сверяйте имя разработчика в магазине. Профиль конфигурации для установки кошелька на iPhone — признак атаки, а не обходной путь.
• Сверяйте имя бота посимвольно. Walt советует искать его бота как @walt и проверять у аккаунта значок верификации Telegram (Walt), а официальная поддержка Keeper — только бот @tonkeeper и почта support@tonkeeper.com (справка Keeper).
• Не путайте «внутри Telegram» с «проверено Telegram». Мини-приложения открываются прямо в мессенджере и выглядят солидно, но, по данным «Лаборатории Касперского», Telegram почти не проверяет их заранее и модерирует только после жалоб или запросов правоохранительных органов («Лаборатория Касперского»).

Фальшивая поддержка и боты в Telegram

Мошенники пишут первыми: в личные сообщения, в ответ на вопрос в чате или от имени «администратора» канала. Keeper предупреждает, что его сотрудники никогда не пишут лично, не просят сид-фразу и не предлагают переходить по ссылкам (справка Keeper). У MetaMask нет телефона поддержки, и в личные сообщения компания не пишет: кто просит секретную фразу для восстановления, тот пытается вас обмануть (MetaMask). Настоящей поддержке фраза не нужна: вводить её приходится только самому, когда вы восстанавливаете кошелёк.

В Telegram у таких схем свои приёмы. «Лаборатория Касперского» описывает ботов, которые обещают раздачу токенов после «KYC-верификации», а на деле требуют пополнить депозит реальной криптовалютой («Лаборатория Касперского»). В схеме 2024 года бот с названием вроде Wallet KYC просил участника P2P-сделки отключить двухфакторную аутентификацию в Telegram и сообщить код входа: так угоняли аккаунт, а вместе с ним и доступ к кошельку Telegram Wallet («Лаборатория Касперского»); сейчас этот сервис называется Walt.

В сети TON мошенники пишут ещё и в комментариях к транзакциям. Небольшой перевод с текстом «кошелёк заблокирован, подтвердите личность» или «нарушение AML, пройдите верификацию» — обман: Keeper напоминает, что некастодиальный кошелёк никто не может заблокировать, а AML-процедуры бывают только у централизованных площадок вроде бирж. Там же описаны рассылки с доменов вроде keeper_airdrop.ton и tonkeeper_bonus.ton (справка Keeper). Свежий повод — переименование Toncoin в Gram в июне 2026 года (объявление TON): Walt предупреждает, что любые предложения «обменять TON на GRAM» или «активировать GRAM» — попытки мошенничества, ведь переименование не требует от владельцев никаких действий (справка Walt).

Что такое дрейнер: одна подпись вместо сид-фразы

Многие атаки фразу не просят вовсе. Дрейнер — это фишинговый сайт, который уговаривает подписать вредную транзакцию и сразу выводит активы, а приманкой служат аирдроп, минт NFT, игра или «проверка кошелька». По подсчёту ScamSniffer, в 2025 году дрейнеры в Ethereum и совместимых сетях украли 83,85 млн долларов у 106 106 жертв против 494 млн годом раньше, а самая крупная кража, 6,5 млн долларов, прошла через одну подпись Permit (ScamSniffer). Что может одна подпись, зависит от сети:

• Ethereum и совместимые сети. Разрешение (approve) позволяет контракту переводить конкретный токен из вашего кошелька, и неограниченное разрешение мошенническому контракту отдаёт ему этот токен целиком; setApprovalForAll делает то же для целой коллекции NFT (MetaMask). Токены со стандартом ERC-2612 принимают и подпись permit — сообщение, которое меняет разрешение без транзакции. Комиссию за неё платить не нужно, поэтому она кажется безобидной.
• TRON. У токенов TRC-20, в том числе USDT, тот же механизм approve (документация TRON). Кроме того, подпись в TRON может изменить права аккаунта: мошенник добавляет в них свой адрес, и вы по-прежнему видите баланс и можете импортировать фразу, но перевести средства уже не можете. TokenPocket советует сразу остановиться, если кошелёк показывает запрос вроде Change Permissions или Update Account Permissions, и предупреждает, что такие изменения, как правило, не отменить (TokenPocket).
• TON. В стандарте жетонов TON механизма разрешений нет: владелец может отправить кошельку жетонов только команды перевода и сжигания (TEP-74). Поэтому дрейнер в TON просит подписать сам перевод ваших активов. Подключение через TON Connect лишь сообщает сайту адрес и позволяет присылать запросы (документация TON), а Keeper советует перед каждой подписью проверить, не уходят ли мошеннику все ваши активы (справка Keeper). Чем фразы и кошельки TON отличаются от остальных, рассказано в статье сид-фраза TON.

Перед любой подписью:

• смотрите, какой сайт просит подпись, какой токен и какую сумму, и отказывайтесь от запросов, которых не понимаете;
• уменьшайте лимит расходования (spending cap) до нужной суммы вместо «неограниченно»;
• для аирдропов, игр и малоизвестных проектов заведите отдельный кошелёк с небольшой суммой, как советует справка My Wallet;
• если пользуетесь аппаратным кошельком, сверяйте адрес и сумму на его экране: ключи он не отдаст, но подпись всё равно ставите вы.

Что такое отравление адресов

Мошенник подбирает адрес, у которого первые и последние символы совпадают с адресом, которым вы пользуетесь, и присылает с него ничтожный перевод, часто токенов на ноль, чтобы этот адрес появился в вашей истории. Расчёт на то, что в следующий раз вы скопируете получателя из истории (MetaMask). В TON такие переводы приходят, например, на 0,0001 GRAM (справка My Wallet); похожие мелкие переводы разобраны в статье о пылевых транзакциях (на английском).

Кошельки научились замечать подделку: MetaMask перед отправкой показывает блокирующее предупреждение, если адрес получателя похож на адрес из вашей истории (например, совпадают первые и последние четыре символа), а My Wallet помечает такие переводы меткой «Скам» и умеет скрывать мелкие переводы (MetaMask, справка My Wallet). Но главная защита — привычки:

• не копируйте адрес из истории транзакций;
• сохраняйте постоянных получателей в адресной книге;
• сверяйте адрес целиком, включая середину;
• крупную сумму сначала отправьте небольшим пробным переводом.

Как вирус подменяет адрес в буфере обмена

Вредоносы-клипперы следят за буфером обмена и, когда вы копируете адрес кошелька, подменяют его своим. ESET ещё в 2019 году нашла первый такой троян в Google Play: он выдавал себя за MetaMask и, кроме подмены адресов Bitcoin и Ethereum, крал учётные данные и приватные ключи (ESET). Устанавливать программу даже не обязательно. В конце июля 2026 года взломщики рекламной платформы Adform добавили в её рекламный скрипт код, который каждые три секунды проверял буфер обмена и подменял адреса Bitcoin, Ethereum и TRON. Хватало открытой вкладки любого сайта с рекламой Adform, пока в другой вкладке или приложении вы отправляли перевод; по словам Adform, на сайтах, открытых по HTTPS, атака не срабатывала («Лаборатория Касперского»).

После вставки сравнивайте адрес с исходным — не только начало и конец, но и середину. Если вставленный адрес отличается от скопированного, устройство заражено: проверьте его антивирусом и не отправляйте с него переводы (справка My Wallet). Программы скачивайте только с официальных сайтов разработчиков.

Как защитить аккаунты биржи, почты и Telegram

Двухфакторная аутентификация защищает аккаунты — на бирже, в почте, в кастодиальном кошельке, — но не некастодиальный кошелёк: тому, кто знает сид-фразу, второй фактор не нужен. Для аккаунтов CISA называет устойчивыми к фишингу только методы FIDO/WebAuthn — ключи доступа (passkeys) и аппаратные ключи. Код из приложения-аутентификатора поддельная страница входа может перехватить вместе с паролем, а СМС уязвимы ещё и к подмене SIM-карты (CISA). Защитите почту так же, как биржу: через неё сбрасывают пароли.

В Telegram включите двухэтапную проверку (облачный пароль) и создайте ключ доступа в разделе «Настройки → Конфиденциальность → Ключи доступа» (блог Telegram). Никому не сообщайте код входа и не отключайте двухэтапную проверку по чьей-либо просьбе: на этом и строилась схема с ботом Wallet KYC. «Лаборатория Касперского» советует также включить автоматическое завершение неактивных сеансов в разделе «Настройки → Устройства» («Лаборатория Касперского»).

Что делать, если вы уже попались

• Ввели сид-фразу где-то, кроме самого кошелька. Считайте, что она у мошенника, даже если средства пока на месте. Создайте новый кошелёк с новой фразой и переведите туда всё; порядок действий описан в статье скомпрометированная сид-фраза.
• Подписали разрешение в Ethereum или совместимой сети. Отзовите его как можно скорее: MetaMask предлагает сделать это в MetaMask Portfolio (MetaMask), а для сетей EVM есть и сервис Revoke.cash. Отзыв — тоже транзакция с комиссией, украденное он не вернёт, поэтому остаток переведите на новый адрес.
• Подписали изменение прав в TRON. Адрес фактически потерян: не пополняйте его и не верьте тем, кто обещает вернуть контроль, — TokenPocket прямо называет таких «помощников» мошенниками (TokenPocket).
• Подписали перевод в TON. Отменить его нельзя. Отключите сайт в списке подключённых приложений (в Keeper, по его справке, это делается во вкладке «Браузер») и не подписывайте его новых запросов (справка Keeper).
• Ввели пароль от биржи или код Telegram. Смените пароль на официальном сайте, завершите чужие сеансы, заново настройте двухфакторную аутентификацию и свяжитесь с поддержкой через её сайт или приложение. В Telegram чужие сеансы завершают в разделе «Настройки → Устройства».
• Сообщите о краже в полицию и бирже, на которую ушли монеты, и сохраните идентификаторы транзакций. Любой, кто предлагает вернуть деньги за предоплату, — следующий мошенник; как устроены такие «сервисы возврата», рассказано в статье мошенничество с сид-фразой.

Частые вопросы

Опасно ли просто открыть фишинговую ссылку?

Обычно средства уходят, только когда вы вводите фразу, подписываете запрос или устанавливаете присланный файл. Но страница может запустить скрипт, который, как в случае с Adform, подменяет скопированные адреса, поэтому закройте её, ничего не вводите и внимательно сверяйте адреса при следующих переводах.

Опасно ли подключить кошелёк к сайту?

Само подключение через TON Connect или похожий протокол сообщает сайту адрес и позволяет присылать запросы, но без вашего подтверждения средства не уйдут (справка Keeper). Опасны подписи, которые сайт предлагает после подключения.

Защищает ли двухфакторная аутентификация некастодиальный кошелёк?

Обычная — нет: она защищает аккаунты, которыми управляет компания. Исключение — смарт-контрактные расширения. Например, в Keeper Pro кошелёк W5 можно связать с Telegram-ботом @tonkeeper, и тогда каждую транзакцию нужно подтвердить в Telegram; по словам Keeper, при таком расширении одной утёкшей фразы для вывода средств не хватит (справка Keeper).

Можно ли «зафишить» аппаратный кошелёк?

Скопировать ключи с устройства нельзя, но вас могут убедить ввести сид-фразу в поддельное приложение, как в случае с фальшивым Ledger Wallet, или подписать вредную транзакцию. Аппаратный кошелёк защищает, только если вы читаете его экран перед подтверждением.

Можно ли вернуть криптовалюту после фишинга?

Как правило, нет: подтверждённую транзакцию отменить нельзя, а вернуть средства может только получатель. Если монеты ушли на биржу, сразу сообщите о краже этой бирже и в полицию и не платите вперёд никаким «сервисам возврата».