Сид-фраза скомпрометирована? Признаки и что делать прямо сейчас

Сид-фраза скомпрометирована, если её слова мог узнать кто-то, кроме вас: вы вводили их на сайте, в боте или в переписке с «поддержкой», хранили фото или текст фразы в телефоне, облаке или мессенджере, на компьютере завёлся вирус — или с кошелька уже ушли переводы, которых вы не делали. Сменить фразу у существующего кошелька нельзя, поэтому выход один: создать новый кошелёк с новой фразой на устройстве, которому вы доверяете, и перевести туда всё, что осталось. Медлить нельзя: программы-чистильщики забирают средства с раскрытых ключей за минуты. Ниже — признаки утечки, как отличить её от опасного разрешения или вируса-подменщика, порядок действий и куда сообщить о краже. Если термин для вас новый, начните со статьи что такое сид-фраза.

Коротко: признаки и первые шаги

• Утечка фразы: средства уходят сразу с нескольких адресов или из нескольких сетей, а новые поступления исчезают через секунды.
• Опасное разрешение: пропал один токен, на списание которого вы когда-то дали разрешение (approve), а основная монета сети на месте.
• Вирус-подменщик: перевод отправили вы сами, но адрес получателя оказался чужим.
• Если раскрыта фраза: новый кошелёк с новой фразой на чистом устройстве и перевод средств, начиная с самого ценного. Отзыв разрешений здесь не поможет.
• Куда сообщить: заявление в полицию — лично или через сайт МВД своего региона; сохраните адреса и идентификаторы транзакций.

Как понять, что сид-фраза скомпрометирована

Что видно в кошельке и в блокчейне

• Переводы, которых вы не делали. MetaMask советует сначала найти транзакцию в обозревателе блоков и сверить дату, получателя, приложение и сумму со своими действиями: если операцию вы узнаёте, скорее всего, всё в порядке (справка MetaMask).
• Пропажи сразу в нескольких сетях или на нескольких адресах. Revoke.cash называет это признаком утечки фразы или ключа (Revoke.cash): из одной фразы выводятся ключи всех её адресов, и раскрыты они все сразу.
• Монеты исчезают сразу после поступления. Если основная монета сети уходит с адреса сразу после пополнения, за ним следит программа-чистильщик (sweeper), а ключ или фраза — у вора.

Что могло раскрыть фразу, даже если кражи ещё нет

• Вы вводили слова не в кошелёк, а на сайте, который требовал «подтвердить» или «синхронизировать» кошелёк, в боте, в форме или в переписке с «поддержкой». Такие уловки разобраны в статьях мошенничество с сид-фразой и фишинг криптокошелька.
• Фраза была на фото или скриншоте. В феврале 2025 года «Лаборатория Касперского» нашла троян SparkCat в 10 приложениях Google Play и 11 приложениях App Store: он распознавал текст на снимках в галерее и отправлял злоумышленникам картинки с фразами восстановления, а только из Google Play заражённые приложения скачали более 242 тысяч раз («Лаборатория Касперского»). В апреле 2026 года новую версию трояна снова нашли в обоих магазинах, причём версия для iOS ищет фразы восстановления на английском («Лаборатория Касперского»).
• Фраза хранилась в облаке, заметках, почте или мессенджере. Revoke.cash относит резервные копии в Google Drive, iCloud и Dropbox к частым причинам утечки: фраза раскрыта, как только взломан аккаунт (Revoke.cash). С Telegram то же самое: угнав аккаунт, например через поддельное «голосование», где у жертвы выманивают код входа, злоумышленники могут выгрузить и файлы из «Избранного» («Лаборатория Касперского»).
• Вы копировали фразу. Троян Efimer, о котором «Лаборатория Касперского» писала в августе 2025 года, ищет сид-фразы в буфере обмена и отправляет их злоумышленникам, а адреса кошельков в буфере подменяет похожими; распространяется он, в частности, через торренты на взломанных сайтах («Лаборатория Касперского»).
• Вы ставили программы из сомнительных источников. Похититель данных Lumma, по данным Microsoft, ищет файлы кошельков, расширения браузера и ключи таких кошельков, как MetaMask, Electrum и Exodus, а попадает на компьютер со взломанными программами, через рекламу в поиске и поддельные страницы «проверки на робота» (Microsoft).
• Устройство или запись побывали в чужих руках. В январе 2020 года Kraken Security Labs показала, что за 15 минут физического доступа к Trezor One или Trezor Model T можно извлечь из него зашифрованный сид, а защищающий его PIN-код подобрать перебором. От этой атаки спасает парольная фраза BIP39: на устройстве она не хранится (Kraken).
• Разработчик кошелька или генератора сообщил об уязвимости. В деле Milk Sad (CVE-2023-39910) команда bx seed из Libbitcoin Explorer 3.x брала энтропию для фраз BIP39 у генератора, запущенного от 32-битного значения системного времени. Уязвимая версия вышла в 2017 году, а в 2023-м такие кошельки опустошили на сумму, которую исследователи оценили более чем в 900 тысяч долларов (Milk Sad). В декабре 2025 года в Chrome Web Store в обход обычного процесса выпуска попала вредоносная версия 2.68 расширения Trust Wallet. Всех, кто открыл её и вошёл в кошелёк 24–26 декабря, компания попросила перевести средства в новый кошелёк; она насчитала 2520 опустошённых адресов и около 8,5 млн долларов ущерба, а пользователей мобильного приложения инцидент не затронул (Trust Wallet).

Отсутствие кражи ничего не доказывает

Вор может ждать пополнений. В случае с поддельным Trezor, который разобрала «Лаборатория Касперского», злоумышленники выждали целый месяц после первого пополнения («Лаборатория Касперского»), а кошельки из дела Milk Sad опустошили через годы после создания фраз. Trezor советует: если вы думаете, что резервная копия могла быть раскрыта, считайте, что так и есть, и переводите средства немедленно (Trezor).

Утечка фразы, разрешение или вирус: как отличить

От причины зависят действия: раскрытую фразу спасает только перевод средств в новый кошелёк, а опасное разрешение достаточно отозвать.

Разрешение в токенах стандарта ERC-20 и его аналога TRC-20 в сети TRON позволяет контракту списывать только этот токен и только в пределах выданной суммы (документация TRON); у NFT бывает разрешение на всю коллекцию. Основную монету сети — ETH, TRX — разрешением на токен не забрать: её уводит только транзакция или подпись, сделанная вашим ключом, — вами, если вы что-то подтвердили на фишинговом сайте, или вором, если у него фраза. Revoke.cash формулирует признаки так же: если украден один конкретный актив, вы, скорее всего, подписали перевод или разрешение для вредоносного контракта.

Подмена адреса в истории (address poisoning) фразе ничем не грозит, но стоит денег тем, кто копирует адреса из списка последних операций. Злоумышленник присылает копеечный перевод или фальшивые токены с адреса, похожего на тот, с которым вы уже работали, в расчёте на то, что в следующий раз вы скопируете его. Исследование, представленное на конференции USENIX Security 2025, насчитало за два года в Ethereum и BNB Smart Chain 270 млн таких атак на 17 млн жертв и не меньше 83,8 млн долларов потерь в 6633 случаях (USENIX). Мелкие непрошеные переводы бывают и способом слежки: так связывают ваши адреса между собой — подробнее в статье о «пылевых» транзакциях (на английском).

Что делать, если фраза раскрыта

Счёт идёт на минуты. В исследовании «мозговых кошельков» — ключей, полученных из угадываемых паролей, — из 884 найденных кошельков опустошили все, кроме 21, обычно в течение суток, а половину — за 21 минуту или быстрее (Vasek и др., 2016). С раскрытой фразой происходит то же самое: за адресами следят программы, которые забирают всё, что на них приходит.

1. Создайте новый кошелёк с новой фразой на устройстве, которому доверяете. Не на том компьютере или телефоне, где могла случиться утечка; лучше всего на аппаратном кошельке, купленном у производителя или авторизованного продавца. Новые счета в старом кошельке не помогут: их ключи выводятся из той же фразы. MetaMask советует ставить новый кошелёк в другом браузере, профиле браузера или на другом устройстве и не привязывать к нему тот же аккаунт Google или Apple, если старый кошелёк был с ним связан. Новые слова запишите на бумаге или металле — как это сделать, рассказано в статье как хранить сид-фразу.
2. Переведите сначала самое ценное — из всех сетей, аккаунтов и адресов, которые открывает старая фраза: из одной фразы выводятся ключи для всех путей деривации и всех сетей, где вы ею пользовались, а у некоторых сетей свои форматы и пути (форматы сид-фраз в разных сетях). Адрес получения сверяйте целиком на экране нового кошелька: на заражённом компьютере подменщик может заменить его при вставке.
3. Основную монету сети оставьте напоследок. Комиссию платят в ней, поэтому сначала выведите токены. Если её на адресе нет, а за ним следит чистильщик, пополнять адрес бесполезно: присланное на комиссию сразу уйдёт вору. Обходной путь через пакет транзакций и его риски описаны в статье мошенничество с сид-фразой. Если на раскрытом адресе осталось больше 1000 долларов, Revoke.cash советует обратиться в Flashbots Whitehat Hotline — службу из экосистемы Ethereum: её команда пытается спасти оставшиеся средства, но уже выведенные не вернёт (Flashbots).
4. Переведите и кошельки с парольной фразой. Если парольная фраза не раскрыта, средства под ней теперь защищает только она.
5. Не уничтожайте старую запись, пока не закончите перевод, и больше никогда ей не пользуйтесь — так советует Trezor. Удалите старые адреса из адресных книг бирж и сообщите новый адрес тем, кто вам платит: всё, что придёт на старый адрес, достанется вору.

Как отозвать опасное разрешение

Если фраза цела, а токены уходят по разрешению, его достаточно отозвать, и кошельком можно пользоваться дальше. Разрешения адреса в Ethereum и совместимых сетях показывает Revoke.cash, а в самой сети Ethereum — ещё и инструмент Token Approvals в Etherscan: найдите разрешения незнакомым контрактам, подключите кошелёк и отзовите их кнопкой Revoke. Отзыв — обычная транзакция, за него берут комиссию. Отдельно проверьте разрешение контракту Permit2: ему выдают неограниченное разрешение, а он раздаёт вложенные разрешения приложениям, и Revoke.cash предупреждает, что фишинговые сайты пользуются этой гибкостью, чтобы получить разрешения, смысла которых человек не понимает (Revoke.cash).

Если раскрыта сама фраза, отзыв бесполезен: у вора есть ключ, и разрешения ему не нужны. Revoke.cash так и пишет: при утечке фразы отзыв разрешений не спасает, нужно уходить на новый кошелёк.

Как проверить устройство после утечки

• Проверьте его антивирусом и удалите незнакомые приложения и расширения браузера. При утечке фразы Revoke.cash советует считать устройство заражённым, сохранить важные файлы и полностью стереть его.
• Смените пароли от почты, облака, аккаунтов Apple и Google и включите двухфакторную защиту — с другого, чистого устройства.
• В Telegram завершите чужие сеансы: откройте в настройках список устройств (Settings → Devices, по справке Telegram) и завершите все другие сеансы, а затем включите облачный пароль, то есть двухэтапную аутентификацию.
• Удалите копии фразы из галереи, заметок, облака и переписки. Старую фразу это уже не спасёт, но новой там тоже не место.
• Ставьте программы только с сайтов разработчиков. В марте 2023 года «Лаборатория Касперского» описала клиппер, который подменял адреса криптокошельков в буфере обмена и распространялся под видом браузера Tor на сторонних сайтах: с ним столкнулись более 15 тысяч пользователей в 52 странах, больше всего атак пришлось на Россию, а украдено было более 400 тысяч долларов («Лаборатория Касперского»).

Куда сообщить о краже криптовалюты

Перевод в блокчейне необратим: справка MetaMask прямо пишет, что транзакции нельзя отменить, а пропавшие средства — вернуть. Сообщить о краже всё равно нужно: по заявлению можно отследить средства, а там, где у них появляется хозяин, их иногда удаётся заморозить.

• В полицию. «Финансовая культура», просветительский сайт Банка России, советует обращаться как можно скорее: лично в ближайшем отделении или через сайт МВД — на сайте управления своего региона, в разделе «Прием обращений». В отделении возьмите талон-уведомление, а при подаче через сайт на почту придёт код для отслеживания обращения. Проверку полиция по закону проводит в течение 30 суток, а когда вас признают потерпевшим, подайте следователю гражданский иск о возмещении ущерба («Финансовая культура»).
• Что приложить. Адреса своего кошелька и получателей, идентификаторы (хеши) транзакций, время событий и, если фразу выманили, скриншоты переписки и сайта. Блокчейн публичен, и следы часто ведут к биржам: ещё в 2013 году исследователи на примерах крупных краж биткоина показали, что ведомство с правом истребовать данные способно выяснить, кто кому платит, потому что в обороте биткоина доминируют немногие крупные сервисы, прежде всего обменные (Meiklejohn и др., 2013).
• Бирже. Если средства ушли на адрес биржи, напишите в её поддержку и приложите хеши транзакций. Revoke.cash советует сообщать и в правоохранительные органы, и биржам: так остаётся след, который поможет, если мошенников найдут. USDT, в отличие от биткоина, может заморозить эмитент: Tether сообщает, что замораживал токены на десятки миллионов долларов по обоснованным запросам правоохранительных органов (Tether).
• Разработчику кошелька — если утечка связана с его продуктом, как в случае с расширением Trust Wallet, где компания пообещала возместить ущерб пострадавшим.

Тем, кто сам предлагает «вернуть криптовалюту» за предоплату, не отвечайте: это следующая волна мошенничества, и «помощнику», получившему старую фразу, достанется всё, что вы туда ещё отправите.

Частые вопросы

Можно ли сменить сид-фразу, не переводя средства?

Нет. Фраза и есть кошелёк: из неё выводятся все ключи и адреса. «Сменить» фразу — значит создать новый кошелёк и перевести в него всё.

Средства на месте. Значит, фраза в безопасности?

Не обязательно. Воры ждут пополнений: в случае с поддельным Trezor — месяц, в деле Milk Sad — годы. Если фраза могла попасть к посторонним, переводите средства, не дожидаясь кражи.

Утёк приватный ключ одного адреса, а не фраза. Что делать?

Переведите средства с этого адреса. Если вместе с ключом мог утечь расширенный публичный ключ аккаунта (xpub), считайте раскрытым весь аккаунт: по BIP32 знать xpub и любой приватный ключ из обычной (неусиленной) ветки под ним — всё равно что знать расширенный приватный ключ родителя. Чем ключ отличается от фразы, рассказано в статье разница сид-фразы и приватного ключа.

Поможет ли аппаратный кошелёк, если фраза уже утекла?

Нет. Устройство защищает ключи, пока фраза не покидала его, а по раскрытой фразе вор восстановит кошелёк в любом приложении. Нужен новый кошелёк с новой фразой — на аппаратном устройстве или в приложении, которому вы доверяете.

Можно ли вернуть украденную криптовалюту?

Редко. Транзакцию в блокчейне не отменить, а заморозить средства можно, только пока они лежат на бирже или если это токен, который умеет замораживать эмитент, как USDT. Поэтому заявление в полицию и бирже стоит подать как можно скорее. Остальные материалы о защите кошелька собраны в разделе Security (на английском).