Мошенничество с сид-фразой: девять схем и как их распознать

Мошенничество с сид-фразой — это любая уловка, после которой слова вашей сид-фразы оказываются у чужого человека: вы вводите их в поддельное приложение или форму, диктуете фальшивой «поддержке» или начинаете пользоваться фразой, которую вор уже знает. Кто знает слова, тот распоряжается кошельком, а перевод в блокчейне отменить нельзя. Ниже — девять таких схем: как работает каждая, реальный случай или официальное предупреждение и признаки, по которым её можно узнать. В конце — список тревожных сигналов и что делать, если вы уже ввели слова. Если термин для вас новый, начните со статьи что такое сид-фраза.

От большинства схем защищают два правила: никому не сообщайте свою фразу и не пользуйтесь фразой, которую создал или видел кто-то другой.

Девять схем коротко

Как работает каждая схема

Фальшивая поддержка в Telegram, Discord и X

Вы просите помощи в Telegram-чате, на сервере Discord или в X (бывший Twitter), и вам отвечает «поддержка» — в комментариях или в личных сообщениях. Аккаунт оформлен под настоящую компанию, с её названием и логотипом. Потом у вас просят фразу, чтобы «синхронизировать» или «восстановить» кошелёк, или присылают ссылку на форму, куда её нужно ввести. Ledger в списке актуальных фишинговых кампаний описывает поддельные аккаунты самой компании и её сотрудников, бывших и нынешних: они отвечают на публикации пользователей, предлагают перейти в личные сообщения или советуют обратиться к «эксперту» в Instagram или Telegram (Ledger).

Бывают и звонки. ФБР ещё в марте 2022 года предупреждало, что лжесотрудники поддержки или службы безопасности криптобирж сами звонят, пишут СМС и письма, сообщают о «проблеме с безопасностью» кошелька и уговаривают дать к нему доступ или перевести средства на другой кошелёк, якобы для сохранности. Ledger рассказывает, как мошенники делают такой звонок убедительнее. Мошенник открывает обращение в поддержку Ledger, указав адрес почты жертвы, и настоящая система Ledger присылает ей автоматическое подтверждение. Сразу после этого он звонит и сообщает о якобы взломанном аккаунте.

Как распознать: на связь первыми выходят они, а для «решения» проблемы нужна ваша фраза. Ledger не пишет пользователям в личные сообщения в соцсетях и не звонит. Ловушкой может оказаться даже письмо, похожее на настоящий ответ поддержки: в июне 2025 года в Trezor сообщили, что злоумышленники использовали форму обратной связи компании, чтобы рассылать мошеннические письма, похожие на ответы поддержки Trezor. Trezor предупреждает и о том, что мошенники уже имитируют поддержку с помощью ИИ — не только текстом, но и голосом и видео, так что солидный вид сообщения ничего не доказывает.

Поддельные приложения и расширения

Копия популярного кошелька появляется в магазине приложений, в каталоге расширений для браузера или в поисковой рекламе, а потом просит «импортировать» фразу или показывает ошибку, которую якобы исправит только фраза. Ledger предупреждает о поддельных версиях Ledger Wallet (бывший Ledger Live): на первый взгляд они очень убедительны, но любая попытка ими воспользоваться заканчивается «ошибкой» и просьбой ввести 24 слова. В мае 2025 года в Mozilla сообщили, что за последние несколько лет нашли в каталоге дополнений Firefox сотни мошеннических расширений-криптокошельков.

Как распознать: устанавливайте кошелёк только по ссылке с сайта разработчика. Если официального приложения нет в магазине вашей страны, не ищите замену в сторонних каталогах и по рекламным ссылкам. Ledger напоминает, что 24 слова вводят только на самом устройстве Ledger: причин вводить их на компьютере или смартфоне нет.

Сайты «проверки» и «синхронизации» кошелька

Ссылка в сообщении, письме или поисковой рекламе ведёт на страницу, где сказано, что кошелёк нужно проверить, синхронизировать, «исправить» или обновить, часто до определённого срока, и что для этого достаточно ввести фразу. MetaMask прямо предупреждает: если платформа или человек требует пройти KYC (проверку личности по документам), перейти по ссылке или нажать кнопку (обычно в письме), «подтвердить» или «обновить» аккаунт, чтобы пользоваться кошельком MetaMask, — это мошенничество (справка MetaMask).

Ledger приводит примеры, где кнопки «Подтвердить сейчас» (Verify Now) и «Обезопасить аккаунт» (Secure My Account Now) ведут на сайт, который просит сид-фразу. Компания также напоминает, что не может «заблокировать» или «деактивировать» устройство, поэтому угрозы «деактивации» за непройденное подтверждение личности — обман.

Как распознать: у некастодиального кошелька нет аккаунта, который нужно подтверждать, и нечего синхронизировать с сайтом. Вводить настоящие слова в «валидатор фраз» или «проверку баланса» так же опасно, кто бы ни стоял за сайтом.

Аирдропы и страницы «получения» токенов

В кошельке появляются бесплатные токены или NFT, или в посте объявляют раздачу (аирдроп), а ссылка ведёт на страницу «получения» (claim), где просят подписать транзакцию или просто ввести фразу. В июне 2025 года ФБР предупредило: преступники рассылают NFT пользователям кошельков сети Hedera со ссылкой в поле memo, а при подключении кошелька на сайте по этой ссылке часто требуют данные для входа и другую секретную информацию, включая сид-фразу (IC3). Ledger советует относиться к таким NFT как к спаму в почте и никак с ними не взаимодействовать.

Как распознать: настоящему аирдропу ваша фраза не нужна. Не трогайте токены, которых не ждали, а прежде чем подписывать что-либо на странице «получения», прочитайте, как работает фишинг через разрешения и подписи (на английском).

Фишинг после утечек клиентских данных

Утёкшая база клиентов подсказывает мошенникам, у кого есть кошелёк, и позволяет обращаться к вам по имени. В июле 2020 года компания Ledger сообщила, что злоумышленник получил доступ к её базе данных интернет-магазина и маркетинга через API-ключ стороннего сервиса. 20 декабря 2020 года базы целиком выложили на форуме: около 272 тысяч записей с именами, почтовыми адресами и телефонами клиентов и более миллиона адресов электронной почты (Ledger).

Страница Ledger о фишинге в архивной копии июня 2021 года перечисляет кампании следующих месяцев: письма с просьбой «обновить» 24 слова и посылки с поддельным письмом и подделанным устройством Ledger. Вложенная в посылку инструкция вела к поддельному приложению Ledger Live, которое просило ввести слова. В апреле 2025 года в Ledger подтвердили в X, что бумажное письмо с требованием пройти «обязательную проверку кошелька» через QR-код — мошенничество; откуда у отправителя адрес, компания не уточнила. На нынешней странице Ledger описаны и другие бумажные письма, которые через QR-код или указанный сайт подводят к просьбе ввести 24 слова.

Как распознать: если отправитель знает ваши имя, адрес и историю заказов, после утечки это ничего не доказывает. И Ledger, и Trezor советуют считать фишингом любое сообщение от их имени, пришедшее по СМС, в WhatsApp или Telegram, звонком или бумажным письмом.

Карточки с готовой фразой и подделанные аппаратные кошельки

Новый аппаратный кошелёк создаёт фразу при настройке и показывает её на собственном экране. Тот, кто заранее вписал слова в карточку, оставил себе копию. На архивной странице Ledger описан такой случай: покупатель заказал Nano S на Amazon, а недобросовестный продавец заранее настроил устройство и прислал его с уже заполненным бланком, где были записаны 24 слова.

Подделанному устройству карточка не нужна. В мае 2023 года «Лаборатория Касперского» разобрала поддельный Trezor Model T, купленный на популярной онлайн-площадке у «проверенного» продавца («Лаборатория Касперского»). Прошивка подменяла случайную фразу одной из 20 заранее сохранённых, а от парольной фразы учитывала только первый символ, так что ворам оставалось перебрать всего 1280 вариантов. Средства они вывели примерно через месяц после первого пополнения.

Для покупателей в России это не абстракция. Как пишет «Лаборатория Касперского», в ответ на разбор в Trezor уточнили, что такие подделки попали на рынок в 2022 году через неавторизованного российского реселлера. В августе 2024 года в блоге Trezor снова предупредили о поддельных кошельках, прежде всего Model One и Model T, которые встречаются в России и реже в ОАЭ.

В марте 2025 года в Coinbase, предупреждая о фишинговых письмах, сформулировали правило коротко: никогда не вводите сид-фразу, которую вам дал кто-то другой.

Как распознать: покупайте устройство у производителя или авторизованного продавца, отказывайтесь от устройства, которое пришло уже настроенным или с записанными словами, и проводите проверку подлинности, если производитель её предусмотрел, — в его официальном приложении, а не в том, что прислал продавец.

Кошельки-приманки с «утёкшей» фразой

Незнакомец публикует сид-фразу в комментарии или в чате — часто под видом новичка, который спрашивает, как перевести свои USDT. На кошельке лежат настоящие токены, но почти или совсем нет основной монеты сети, которой платят комиссию. Как описывает ловушку MetaMask, за таким адресом следит скрипт-чистильщик (sweeper): монеты, присланные на комиссию, он сразу переводит дальше, а токены вывести так и не удаётся.

В варианте для сети TRON, который «Лаборатория Касперского» разобрала в декабре 2024 года, фразы публиковали в комментариях на YouTube с только что созданных аккаунтов. На кошельке лежали USDT на сумму больше 8000 долларов, но он был мультиподписным: одной фразы не хватало, чтобы перевести токены даже после оплаты «комиссии» в TRX, а присланные TRX сразу уходили на другой кошелёк («Лаборатория Касперского»). Схема рассчитана на тех, кто решил забрать чужое, и деньги теряют именно они.

Как распознать: пополненный кошелёк, фразу которого выложили в открытый доступ вместе с трогательной историей, — наживка, а не удача. Не отправляйте на такой кошелёк монеты: любая фраза, опубликованная в интернете, включая примеры на этом сайте, принадлежит всем, кто её видел.

Фальшивые сервисы возврата средств

Когда деньги уже потеряны, появляются «специалисты по возврату» и «юридические фирмы»: они пишут в соцсетях и мессенджерах или попадаются в рекламе, обещают вернуть деньги и просят заплатить вперёд. В августе 2025 года ФБР описало фальшивые юридические фирмы, которые заявляют о связях с госорганами, ссылаются на несуществующих регуляторов, знают даты и суммы прежних переводов жертвы и требуют оплаты в криптовалюте или подарочными картами. ФБР напоминает, что правительство США не берёт денег за работу правоохранительных органов (IC3).

Похожую схему описывает просветительский сайт Банка России «Финансовая культура». Тем, кто потерял деньги на мошеннической криптовалютной «инвестиционной платформе», пишут уже с другого аккаунта «юристы» или «антискамеры» и обещают вернуть потерянное за небольшое вознаграждение, но ничего не возвращают — человек оказывается обманут дважды («Финансовая культура»).

Как распознать: предложение приходит само, платить нужно вперёд, а результат гарантируют. «Помощник», который просит фразу опустошённого кошелька, получает тот же доступ, что и вор: всё, что вы потом отправите на этот кошелёк, достанется и ему.

Онлайн-генераторы, которые сохраняют фразы

Сайт, который создаёт фразу за вас, может сохранить её и дождаться пополнения. В январе 2019 года Европол объявил об аресте в Оксфорде подозреваемого в краже около 10 млн евро в криптовалюте IOTA у более чем 85 пострадавших, начиная с января 2018 года. В центре дела был iotaseed.io — генератор 81-символьных сидов IOTA, который, по данным Европола, незаметно сохранял созданные сиды (Европол).

Как распознать: проверить, что веб-страница делает с показанными вам словами, невозможно, поэтому фразу должен создавать аппаратный кошелёк или приложение кошелька. Генератор сид-фразы на этом сайте работает в браузере и предназначен для обучения и тестов, а не для кошелька с деньгами. Придумывать слова самому не безопаснее — подробнее в статье почему нельзя составлять сид-фразу самостоятельно (на английском).

Тревожные признаки

• Вас просят назвать слова — кем бы ни представлялся собеседник.
• Вам дают слова — на карточке, в письме или в комментарии.
• На связь первыми выходят они: личное сообщение, ответ на ваш пост, звонок, СМС или письмо.
• Срок или угроза — «обязательно», «кошелёк будет деактивирован».
• «Процедуры» для некастодиального кошелька по ссылке из сообщения: проверка, синхронизация, KYC, «обновление» или получение токенов. Настоящие обновления прошивки и приложения приходят в самом официальном приложении.
• Бесплатные деньги с подвохом: неожиданный аирдроп или чужой кошелёк с деньгами.
• Обещание вернуть украденное, особенно за предоплату.
• QR-код в непрошеном письме, даже если к вам обращаются по имени.
• Ссылка на скачивание не с сайта разработчика.

Если вы уже ввели сид-фразу

Считайте, что фраза у вора, даже если средства пока на месте: в случае с поддельным Trezor воры выждали около месяца.

1. Создайте новый кошелёк с новой фразой на устройстве, которому доверяете, — лучше на аппаратном кошельке, купленном у производителя или авторизованного продавца. Новые счета в старом кошельке не помогут: их ключи выводятся из той же раскрытой фразы. Запишите новые слова на бумаге или металле: как это сделать, рассказано в статье как хранить сид-фразу.
2. Сначала переведите самое ценное — во всех сетях и со всех счетов, которыми управляет старая фраза. Адрес получения сверяйте на экране нового кошелька.
3. Основную монету сети оставьте напоследок. Комиссию платят в ней — ETH в Ethereum, TRX в TRON, — поэтому сначала переведите токены, пока на старом адресе ещё есть немного этой монеты, а затем остаток. Если её там нет, пополнять адрес рискованно: скрипт-чистильщик, который следит за раскрытым адресом, может забрать монеты, как только они придут. Справка MetaMask описывает обходной путь для Ethereum — пакет транзакций Flashbots, в котором второй аккаунт присылает ETH на газ, а токены уходят в том же пакете. По словам MetaMask, для этого нужны серьёзные технические знания. А незнакомец, который предлагает сделать всё за вас, вполне может оказаться следующим мошенником.
4. Переведите и кошельки с парольной фразой. Если парольная фраза BIP39 не раскрыта, средства под ней теперь защищает только она.
5. Очистите устройство, на котором вводили слова: удалите незнакомые приложения и расширения и проверьте его антивирусом.
6. Сообщите о краже. В России подайте заявление о преступлении: лично в ближайшем отделе полиции или через сайт МВД своего региона, в разделе приёма обращений. «Финансовая культура» советует обращаться в полицию как можно скорее. В других странах заявление подают в местную полицию, в США — ещё и в IC3, центр ФБР по приёму жалоб на интернет-преступления (ic3.gov). Сохраните письма, скриншоты переписки и идентификаторы транзакций и не отвечайте на предложения «вернуть деньги». Какие признаки компрометации отслеживать дальше, рассказано в статье о раскрытой сид-фразе (на английском).

Частые вопросы

Может ли разработчик кошелька или биржа попросить сид-фразу?

Нет. Ledger, Trezor, MetaMask и Trust Wallet прямо заявляют, что никогда её не запрашивают, и ни бирже, ни службе поддержки она не нужна. Вводить её нужно только самому, когда вы восстанавливаете кошелёк.

Можно ли проверить фразу на сайте-«чекере»?

Только не настоящую. Сайт, получивший слова, может их сохранить, а даже страница, которая проверяет их прямо в браузере, делит его с расширениями и другими скриптами. Пользуйтесь проверкой самого аппаратного кошелька: кнопкой «Проверить резервную копию» (Check wallet backup) в Trezor Suite или приложением Recovery Check у Ledger.

Кто-то выложил сид-фразу с деньгами. Можно ли их забрать?

Нет. Это приманка: монеты, отправленные на комиссию, заберут, или фразой вообще не получится перевести токены.

Можно ли вернуть украденную криптовалюту?

Редко. Подтверждённую транзакцию отменить нельзя. Как можно скорее сообщите о краже в полицию (в США — ещё и в IC3) и бирже, на которую ушли монеты, а любого, кто обещает вернуть деньги за предоплату, считайте следующим мошенником.

Защищает ли аппаратный кошелёк от этих схем?

Отчасти. Он держит ключи вне компьютера, но не помешает вам ввести слова в поддельное приложение, а подделанное или заранее настроенное устройство сводит его защиту на нет с самого начала.