--- title: "Фишинг и криптокошелёк: как не отдать сид-фразу мошенникам" url: "https://bip39-phrase.com/ru/fishing-kriptokoshelek/" language: "ru" published: "2026-10-19T00:00:00+00:00" updated: "2026-10-19T00:00:00+00:00" --- Опубликовано 19 октября 2026 г. # Фишинг и криптокошелёк: как не отдать сид-фразу мошенникам ![Фишинг и криптокошелёк: как не отдать сид-фразу мошенникам](/wp-content/uploads/2025/01/protect-crypto-wallet-from-phishing-hero.webp) Фишинг в криптовалюте — это обман, после которого вы сами отдаёте мошеннику доступ к деньгам: вводите сид-фразу на поддельном сайте или в приложении, подписываете транзакцию, которая переводит ваши токены или даёт на них разрешение, или отправляете платёж на подменённый адрес. Взламывать криптографию для этого не нужно, а подтверждённый перевод в блокчейне не отменить. Ниже — как работают основные приёмы, от поддельных кошельков и фальшивой «поддержки» в Telegram до дрейнеров, отравления адресов и подмены буфера обмена, как проверить сайт, приложение и бота и что делать, если вы уже нажали. Легенды, под которыми мошенники выманивают саму фразу, подробно разобраны в статье [мошенничество с сид-фразой](/ru/moshennichestvo-s-sid-frazoj/). ## Основные приёмы коротко | Приём | Что нужно мошеннику | Что защищает | | --------------------------------------------------- | ---------------------------------- | ---------------------------------------------------------------- | | Поддельный сайт, приложение или расширение кошелька | сид-фраза | ссылки только с официального сайта, закладки | | Фальшивая поддержка и боты в Telegram | сид-фраза или код входа в Telegram | знание того, что поддержка первой не пишет и фразу не спрашивает | | Дрейнер на странице аирдропа, минта или «проверки» | подпись транзакции или разрешения | чтение каждого запроса перед подписью | | Отравление адресов | платёж на похожий адрес | сверка адреса целиком | | Подмена буфера обмена | платёж на чужой адрес | сверка вставленного адреса с исходным | | Фишинг аккаунтов биржи, почты и Telegram | пароль, код 2FA, код входа | ключи доступа и двухэтапная проверка | ## Поддельные сайты, приложения и расширения Сид-фраза — не пароль для входа, а сам кошелёк: кто ввёл её в любое приложение, тот распоряжается всеми его адресами ([что такое сид-фраза](/ru/chto-takoe-sid-fraza/)). Поэтому главная цель поддельного кошелька — заставить вас ввести слова. Обычно всё начинается со ссылки в поисковой выдаче, рекламе, письме или чате, поэтому адрес кошелька или биржи один раз наберите вручную, сохраните в закладки и дальше открывайте только из них. Приложения и расширения ставьте по ссылке с сайта разработчика. Так советует и ESET, разбирая поддельное приложение Ledger Live Web3, которое в октябре и ноябре 2023 года лежало в Microsoft Store и, по данным BleepingComputer, обошлось пользователям минимум в 768 000 долларов ([ESET](https://blog.eset.ie/2023/11/08/fake-ledger-live-app-in-microsoft-store-steals-768000-in-crypto/)). Официальный магазин тоже не гарантия. В апреле 2026 года «Лаборатория Касперского» описала 26 фишинговых приложений в китайском App Store, которые выдавали себя за MetaMask, Ledger, Trust Wallet, Coinbase и другие кошельки, часть которых там официально недоступна. Сами приложения ничего не крали: они открывали в браузере копию App Store и предлагали установить сначала профиль конфигурации, а затем «официальную» версию кошелька в обход магазина. Поддельный Ledger Wallet при подключении устройства требовал ввести сид-фразу ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/ios-macos-fake-crypto-apps/41766/)). Если нужного кошелька нет в магазине вашей страны, не ставьте его через профили и ссылки из чатов: на этом и построена такая атака. Ещё одна угроза из магазинов — приложения, которые ищут сид-фразы на фотографиях. В феврале 2025 года «Лаборатория Касперского» сообщила о 10 приложениях в Google Play и 11 в App Store с трояном SparkCat: получив доступ к галерее, он распознавал текст на снимках и отправлял злоумышленникам те, где находил нужное, прежде всего мнемонические фразы, а из Google Play эти приложения скачали больше 242 000 раз ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/ios-android-ocr-stealer-sparkcat/39016/)). Скриншот фразы в галерее — готовая добыча для такого трояна; надёжные способы хранения сравнивает статья [как хранить сид-фразу](/ru/kak-hranit-sid-frazu/). Замок и https в адресной строке означают только, что соединение шифруется. Сертификаты получают и фишинговые сайты, поэтому ФБР ещё в 2019 году предупреждало не доверять сайту из-за значка замка ([IC3](https://www.ic3.gov/PSA/2019/PSA190610)). ## Как проверить сайт, приложение и бота - **Читайте домен в адресной строке, а не на странице.** Значение имеет часть до первой косой черты, причём её конец: адрес `mywallet.io.example.com` принадлежит example.com, а не My Wallet. Подделки меняют или добавляют буквы — My Wallet приводит пример my-wallett.io вместо mywallet.io ([справка My Wallet](https://help.mywallet.io/ru/intro/scams/phishing)) — или берут другую доменную зону. Если в адресе встречается `xn--`, в домене есть символы вне латиницы, например кириллическая «а» вместо латинской: это повод закрыть страницу. - **Проверяйте, куда ведёт ссылка.** Текст ссылки может не совпадать с адресом: в примере My Wallet надпись t.me/myapp ведёт на t.me/myappnotscam. Наведите на ссылку курсор, а на телефоне нажмите и удерживайте её, чтобы увидеть настоящий адрес. - **Ставьте приложения только по ссылке с официального сайта** и сверяйте имя разработчика в магазине. Профиль конфигурации для установки кошелька на iPhone — признак атаки, а не обходной путь. - **Сверяйте имя бота посимвольно.** Walt советует искать его бота как @walt и проверять у аккаунта значок верификации Telegram ([Walt](https://walt.io/)), а официальная поддержка Keeper — только бот @tonkeeper и почта [support@tonkeeper.com](mailto:support@tonkeeper.com) ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/122-how-to-recognize-and-avoid-scams)). - **Не путайте «внутри Telegram» с «проверено Telegram».** Мини-приложения открываются прямо в мессенджере и выглядят солидно, но, по данным «Лаборатории Касперского», Telegram почти не проверяет их заранее и модерирует только после жалоб или запросов правоохранительных органов ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/telegram-mini-app-phishing/41051/)). ## Фальшивая поддержка и боты в Telegram Мошенники пишут первыми: в личные сообщения, в ответ на вопрос в чате или от имени «администратора» канала. Keeper предупреждает, что его сотрудники никогда не пишут лично, не просят сид-фразу и не предлагают переходить по ссылкам ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/122-how-to-recognize-and-avoid-scams)). У MetaMask нет телефона поддержки, и в личные сообщения компания не пишет: кто просит секретную фразу для восстановления, тот пытается вас обмануть ([MetaMask](https://support.metamask.io/ru/stay-safe/safety-in-web3/what-are-metamasks-official-support-channels/)). Настоящей поддержке фраза не нужна: вводить её приходится только самому, когда вы [восстанавливаете кошелёк](/ru/kak-vosstanovit-koshelek-po-sid-fraze/). В Telegram у таких схем свои приёмы. «Лаборатория Касперского» описывает ботов, которые обещают раздачу токенов после «KYC-верификации», а на деле требуют пополнить депозит реальной криптовалютой ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/phishing-and-scam-in-telegram-2025/40282/)). В схеме 2024 года бот с названием вроде Wallet KYC просил участника P2P-сделки отключить двухфакторную аутентификацию в Telegram и сообщить код входа: так угоняли аккаунт, а вместе с ним и доступ к кошельку Telegram Wallet ([«Лаборатория Касперского»](https://www.kaspersky.ru/about/press-releases/laboratoriya-kasperskogo-raskryla-detali-novoj-shemy-krazhi-kriptovalyuty-i-akkauntov-v-telegram)); сейчас этот сервис называется [Walt](https://walt.io/). В сети TON мошенники пишут ещё и в комментариях к транзакциям. Небольшой перевод с текстом «кошелёк заблокирован, подтвердите личность» или «нарушение AML, пройдите верификацию» — обман: Keeper напоминает, что некастодиальный кошелёк никто не может заблокировать, а AML-процедуры бывают только у централизованных площадок вроде бирж. Там же описаны рассылки с доменов вроде keeper\_airdrop.ton и tonkeeper\_bonus.ton ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/122-how-to-recognize-and-avoid-scams)). Свежий повод — переименование Toncoin в Gram в июне 2026 года ([объявление TON](https://t.me/gram/2385)): Walt предупреждает, что любые предложения «обменять TON на GRAM» или «активировать GRAM» — попытки мошенничества, ведь переименование не требует от владельцев никаких действий ([справка Walt](https://help.ru.walt.io/article/1031-welcome-to-defi-account-ru)). ## Что такое дрейнер: одна подпись вместо сид-фразы Многие атаки фразу не просят вовсе. Дрейнер — это фишинговый сайт, который уговаривает подписать вредную транзакцию и сразу выводит активы, а приманкой служат аирдроп, минт NFT, игра или «проверка кошелька». По подсчёту ScamSniffer, в 2025 году дрейнеры в Ethereum и совместимых сетях украли 83,85 млн долларов у 106 106 жертв против 494 млн годом раньше, а самая крупная кража, 6,5 млн долларов, прошла через одну подпись Permit ([ScamSniffer](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/)). Что может одна подпись, зависит от сети: - **Ethereum и совместимые сети.** Разрешение (approve) позволяет контракту переводить конкретный токен из вашего кошелька, и неограниченное разрешение мошенническому контракту отдаёт ему этот токен целиком; `setApprovalForAll` делает то же для целой коллекции NFT ([MetaMask](https://support.metamask.io/stay-safe/safety-in-web3/what-is-a-token-approval/)). Токены со стандартом [ERC-2612](https://eips.ethereum.org/EIPS/eip-2612) принимают и подпись permit — сообщение, которое меняет разрешение без транзакции. Комиссию за неё платить не нужно, поэтому она кажется безобидной. - **TRON.** У токенов TRC-20, в том числе USDT, тот же механизм approve ([документация TRON](https://developers.tron.network/docs/trc20-protocol-interface)). Кроме того, подпись в TRON может изменить права аккаунта: мошенник добавляет в них свой адрес, и вы по-прежнему видите баланс и можете импортировать фразу, но перевести средства уже не можете. TokenPocket советует сразу остановиться, если кошелёк показывает запрос вроде Change Permissions или Update Account Permissions, и предупреждает, что такие изменения, как правило, не отменить ([TokenPocket](https://help.tokenpocket.pro/en/security-knowledge/common-fraud-cases/malicious-multisig-scams-on-tron)). - **TON.** В стандарте жетонов TON механизма разрешений нет: владелец может отправить кошельку жетонов только команды перевода и сжигания ([TEP-74](https://github.com/ton-blockchain/TEPs/blob/master/text/0074-jettons-standard.md)). Поэтому дрейнер в TON просит подписать сам перевод ваших активов. Подключение через TON Connect лишь сообщает сайту адрес и позволяет присылать запросы ([документация TON](https://docs.ton.org/applications/ton-connect/overview)), а Keeper советует перед каждой подписью проверить, не уходят ли мошеннику все ваши активы ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/122-how-to-recognize-and-avoid-scams)). Чем фразы и кошельки TON отличаются от остальных, рассказано в статье [сид-фраза TON](/ru/sid-fraza-ton/). Перед любой подписью: - смотрите, какой сайт просит подпись, какой токен и какую сумму, и отказывайтесь от запросов, которых не понимаете; - уменьшайте лимит расходования (spending cap) до нужной суммы вместо «неограниченно»; - для аирдропов, игр и малоизвестных проектов заведите отдельный кошелёк с небольшой суммой, как советует [справка My Wallet](https://help.mywallet.io/ru/intro/scams/drainers); - если пользуетесь [аппаратным кошельком](/ru/apparatnyj-koshelek/), сверяйте адрес и сумму на его экране: ключи он не отдаст, но подпись всё равно ставите вы. ## Что такое отравление адресов Мошенник подбирает адрес, у которого первые и последние символы совпадают с адресом, которым вы пользуетесь, и присылает с него ничтожный перевод, часто токенов на ноль, чтобы этот адрес появился в вашей истории. Расчёт на то, что в следующий раз вы скопируете получателя из истории ([MetaMask](https://support.metamask.io/stay-safe/protect-yourself/wallet-and-hardware/address-poisoning-scams/)). В TON такие переводы приходят, например, на 0,0001 GRAM ([справка My Wallet](https://help.mywallet.io/ru/intro/scams/address-poisoning)); похожие мелкие переводы разобраны в статье о [пылевых транзакциях](/dust-transaction/) (на английском). Кошельки научились замечать подделку: MetaMask перед отправкой показывает блокирующее предупреждение, если адрес получателя похож на адрес из вашей истории (например, совпадают первые и последние четыре символа), а My Wallet помечает такие переводы меткой «Скам» и умеет скрывать мелкие переводы ([MetaMask](https://support.metamask.io/stay-safe/protect-yourself/wallet-and-hardware/address-poisoning-scams/), [справка My Wallet](https://help.mywallet.io/ru/intro/scams/address-poisoning)). Но главная защита — привычки: - не копируйте адрес из истории транзакций; - сохраняйте постоянных получателей в адресной книге; - сверяйте адрес целиком, включая середину; - крупную сумму сначала отправьте небольшим пробным переводом. ## Как вирус подменяет адрес в буфере обмена Вредоносы-клипперы следят за буфером обмена и, когда вы копируете адрес кошелька, подменяют его своим. ESET ещё в 2019 году нашла первый такой троян в Google Play: он выдавал себя за MetaMask и, кроме подмены адресов Bitcoin и Ethereum, крал учётные данные и приватные ключи ([ESET](https://www.welivesecurity.com/2019/02/08/first-clipper-malware-google-play/)). Устанавливать программу даже не обязательно. В конце июля 2026 года взломщики рекламной платформы Adform добавили в её рекламный скрипт код, который каждые три секунды проверял буфер обмена и подменял адреса Bitcoin, Ethereum и TRON. Хватало открытой вкладки любого сайта с рекламой Adform, пока в другой вкладке или приложении вы отправляли перевод; по словам Adform, на сайтах, открытых по HTTPS, атака не срабатывала ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/adform-compromise-malicious-ads-cryptocurrency-theft/42487/)). После вставки сравнивайте адрес с исходным — не только начало и конец, но и середину. Если вставленный адрес отличается от скопированного, устройство заражено: проверьте его антивирусом и не отправляйте с него переводы ([справка My Wallet](https://help.mywallet.io/ru/intro/scams/fake-deposit-addresses)). Программы скачивайте только с официальных сайтов разработчиков. ## Как защитить аккаунты биржи, почты и Telegram Двухфакторная аутентификация защищает аккаунты — на бирже, в почте, в кастодиальном кошельке, — но не некастодиальный кошелёк: тому, кто знает сид-фразу, второй фактор не нужен. Для аккаунтов CISA называет устойчивыми к фишингу только методы FIDO/WebAuthn — ключи доступа (passkeys) и аппаратные ключи. Код из приложения-аутентификатора поддельная страница входа может перехватить вместе с паролем, а СМС уязвимы ещё и к подмене SIM-карты ([CISA](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf)). Защитите почту так же, как биржу: через неё сбрасывают пароли. В Telegram включите двухэтапную проверку (облачный пароль) и создайте ключ доступа в разделе «Настройки → Конфиденциальность → Ключи доступа» ([блог Telegram](https://telegram.org/blog/passkeys-and-gift-offers/ru)). Никому не сообщайте код входа и не отключайте двухэтапную проверку по чьей-либо просьбе: на этом и строилась схема с ботом Wallet KYC. «Лаборатория Касперского» советует также включить автоматическое завершение неактивных сеансов в разделе «Настройки → Устройства» ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/phishing-and-scam-in-telegram-2025/40282/)). ## Что делать, если вы уже попались - **Ввели сид-фразу где-то, кроме самого кошелька.** Считайте, что она у мошенника, даже если средства пока на месте. Создайте новый кошелёк с новой фразой и переведите туда всё; порядок действий описан в статье [скомпрометированная сид-фраза](/ru/skomprometirovannaya-sid-fraza/). - **Подписали разрешение в Ethereum или совместимой сети.** Отзовите его как можно скорее: MetaMask предлагает сделать это в MetaMask Portfolio ([MetaMask](https://support.metamask.io/stay-safe/safety-in-web3/what-is-a-token-approval/)), а для сетей EVM есть и сервис [Revoke.cash](https://revoke.cash/). Отзыв — тоже транзакция с комиссией, украденное он не вернёт, поэтому остаток переведите на новый адрес. - **Подписали изменение прав в TRON.** Адрес фактически потерян: не пополняйте его и не верьте тем, кто обещает вернуть контроль, — TokenPocket прямо называет таких «помощников» мошенниками ([TokenPocket](https://help.tokenpocket.pro/en/security-knowledge/common-fraud-cases/malicious-multisig-scams-on-tron)). - **Подписали перевод в TON.** Отменить его нельзя. Отключите сайт в списке подключённых приложений (в Keeper, по его справке, это делается во вкладке «Браузер») и не подписывайте его новых запросов ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/42-15-tonkeeper)). - **Ввели пароль от биржи или код Telegram.** Смените пароль на официальном сайте, завершите чужие сеансы, заново настройте двухфакторную аутентификацию и свяжитесь с поддержкой через её сайт или приложение. В Telegram чужие сеансы завершают в разделе «Настройки → Устройства». - **Сообщите о краже** в полицию и бирже, на которую ушли монеты, и сохраните идентификаторы транзакций. Любой, кто предлагает вернуть деньги за предоплату, — следующий мошенник; как устроены такие «сервисы возврата», рассказано в статье [мошенничество с сид-фразой](/ru/moshennichestvo-s-sid-frazoj/). ## Частые вопросы ### Опасно ли просто открыть фишинговую ссылку? Обычно средства уходят, только когда вы вводите фразу, подписываете запрос или устанавливаете присланный файл. Но страница может запустить скрипт, который, как в случае с Adform, подменяет скопированные адреса, поэтому закройте её, ничего не вводите и внимательно сверяйте адреса при следующих переводах. ### Опасно ли подключить кошелёк к сайту? Само подключение через TON Connect или похожий протокол сообщает сайту адрес и позволяет присылать запросы, но без вашего подтверждения средства не уйдут ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/42-15-tonkeeper)). Опасны подписи, которые сайт предлагает после подключения. ### Защищает ли двухфакторная аутентификация некастодиальный кошелёк? Обычная — нет: она защищает аккаунты, которыми управляет компания. Исключение — смарт-контрактные расширения. Например, в Keeper Pro кошелёк W5 можно связать с Telegram-ботом @tonkeeper, и тогда каждую транзакцию нужно подтвердить в Telegram; по словам Keeper, при таком расширении одной утёкшей фразы для вывода средств не хватит ([справка Keeper](https://keeperwalletru.helpscoutdocs.com/article/138-2fa)). ### Можно ли «зафишить» аппаратный кошелёк? Скопировать ключи с устройства нельзя, но вас могут убедить ввести сид-фразу в поддельное приложение, как в случае с фальшивым Ledger Wallet, или подписать вредную транзакцию. Аппаратный кошелёк защищает, только если вы читаете его экран перед подтверждением. ### Можно ли вернуть криптовалюту после фишинга? Как правило, нет: подтверждённую транзакцию отменить нельзя, а вернуть средства может только получатель. Если монеты ушли на биржу, сразу сообщите о краже этой бирже и в полицию и не платите вперёд никаким «сервисам возврата».