--- title: "Сид-фраза скомпрометирована? Признаки и что делать прямо сейчас" url: "https://bip39-phrase.com/ru/skomprometirovannaya-sid-fraza/" language: "ru" published: "2026-10-19T00:00:00+00:00" updated: "2026-10-19T00:00:00+00:00" --- Опубликовано 19 октября 2026 г. # Сид-фраза скомпрометирована? Признаки и что делать прямо сейчас ![Сид-фраза скомпрометирована? Признаки и что делать прямо сейчас](/wp-content/uploads/2025/05/crypto-detective-hero.webp) Сид-фраза скомпрометирована, если её слова мог узнать кто-то, кроме вас: вы вводили их на сайте, в боте или в переписке с «поддержкой», хранили фото или текст фразы в телефоне, облаке или мессенджере, на компьютере завёлся вирус — или с кошелька уже ушли переводы, которых вы не делали. Сменить фразу у существующего кошелька нельзя, поэтому выход один: создать новый кошелёк с новой фразой на устройстве, которому вы доверяете, и перевести туда всё, что осталось. Медлить нельзя: программы-чистильщики забирают средства с раскрытых ключей за минуты. Ниже — признаки утечки, как отличить её от опасного разрешения или вируса-подменщика, порядок действий и куда сообщить о краже. Если термин для вас новый, начните со статьи [что такое сид-фраза](/ru/chto-takoe-sid-fraza/). ## Коротко: признаки и первые шаги - **Утечка фразы:** средства уходят сразу с нескольких адресов или из нескольких сетей, а новые поступления исчезают через секунды. - **Опасное разрешение:** пропал один токен, на списание которого вы когда-то дали разрешение (approve), а основная монета сети на месте. - **Вирус-подменщик:** перевод отправили вы сами, но адрес получателя оказался чужим. - **Если раскрыта фраза:** новый кошелёк с новой фразой на чистом устройстве и перевод средств, начиная с самого ценного. Отзыв разрешений здесь не поможет. - **Куда сообщить:** заявление в полицию — лично или через сайт МВД своего региона; сохраните адреса и идентификаторы транзакций. ## Как понять, что сид-фраза скомпрометирована ### Что видно в кошельке и в блокчейне - **Переводы, которых вы не делали.** MetaMask советует сначала найти транзакцию в обозревателе блоков и сверить дату, получателя, приложение и сумму со своими действиями: если операцию вы узнаёте, скорее всего, всё в порядке ([справка MetaMask](https://support.metamask.io/stay-safe/protect-yourself/ive-been-hacked-scammed-unauthorized-transactions-on-my-account/)). - **Пропажи сразу в нескольких сетях или на нескольких адресах.** Revoke.cash называет это признаком утечки фразы или ключа ([Revoke.cash](https://revoke.cash/learn/security/what-to-do-when-scammed)): из одной фразы выводятся ключи всех её адресов, и раскрыты они все сразу. - **Монеты исчезают сразу после поступления.** Если основная монета сети уходит с адреса сразу после пополнения, за ним следит программа-чистильщик (sweeper), а ключ или фраза — у вора. ### Что могло раскрыть фразу, даже если кражи ещё нет - **Вы вводили слова не в кошелёк**, а на сайте, который требовал «подтвердить» или «синхронизировать» кошелёк, в боте, в форме или в переписке с «поддержкой». Такие уловки разобраны в статьях [мошенничество с сид-фразой](/ru/moshennichestvo-s-sid-frazoj/) и [фишинг криптокошелька](/ru/fishing-kriptokoshelek/). - **Фраза была на фото или скриншоте.** В феврале 2025 года «Лаборатория Касперского» нашла троян SparkCat в 10 приложениях Google Play и 11 приложениях App Store: он распознавал текст на снимках в галерее и отправлял злоумышленникам картинки с фразами восстановления, а только из Google Play заражённые приложения скачали более 242 тысяч раз ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/ios-android-ocr-stealer-sparkcat/39016/)). В апреле 2026 года новую версию трояна снова нашли в обоих магазинах, причём версия для iOS ищет фразы восстановления на английском ([«Лаборатория Касперского»](https://www.kaspersky.ru/about/press-releases/troyanec-sparkcat-vozvrashaetsya-opasnyj-zlovred-snova-zamechen-v-app-store-i-google-play)). - **Фраза хранилась в облаке, заметках, почте или мессенджере.** Revoke.cash относит резервные копии в Google Drive, iCloud и Dropbox к частым причинам утечки: фраза раскрыта, как только взломан аккаунт ([Revoke.cash](https://revoke.cash/learn/security/seed-phrase-compromise)). С Telegram то же самое: угнав аккаунт, например через поддельное «голосование», где у жертвы выманивают код входа, злоумышленники могут выгрузить и файлы из «Избранного» ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/telegram-takeover-contest/34472/)). - **Вы копировали фразу.** Троян Efimer, о котором «Лаборатория Касперского» писала в августе 2025 года, ищет сид-фразы в буфере обмена и отправляет их злоумышленникам, а адреса кошельков в буфере подменяет похожими; распространяется он, в частности, через торренты на взломанных сайтах ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/efimer-trojan-steals-crypto/40254/)). - **Вы ставили программы из сомнительных источников.** Похититель данных Lumma, по данным Microsoft, ищет файлы кошельков, расширения браузера и ключи таких кошельков, как MetaMask, Electrum и Exodus, а попадает на компьютер со взломанными программами, через рекламу в поиске и поддельные страницы «проверки на робота» ([Microsoft](https://www.microsoft.com/en-us/security/blog/2025/05/21/lumma-stealer-breaking-down-the-delivery-techniques-and-capabilities-of-a-prolific-infostealer/)). - **Устройство или запись побывали в чужих руках.** В январе 2020 года Kraken Security Labs показала, что за 15 минут физического доступа к Trezor One или Trezor Model T можно извлечь из него зашифрованный сид, а защищающий его PIN-код подобрать перебором. От этой атаки спасает [парольная фраза BIP39](/ru/parolnaya-fraza-bip39/): на устройстве она не хранится ([Kraken](https://blog.kraken.com/product/security/kraken-identifies-critical-flaw-in-trezor-hardware-wallets)). - **Разработчик кошелька или генератора сообщил об уязвимости.** В деле Milk Sad (CVE-2023-39910) команда `bx seed` из Libbitcoin Explorer 3.x брала энтропию для фраз BIP39 у генератора, запущенного от 32-битного значения системного времени. Уязвимая версия вышла в 2017 году, а в 2023-м такие кошельки опустошили на сумму, которую исследователи оценили более чем в 900 тысяч долларов ([Milk Sad](https://milksad.info/disclosure.html)). В декабре 2025 года в Chrome Web Store в обход обычного процесса выпуска попала вредоносная версия 2.68 расширения Trust Wallet. Всех, кто открыл её и вошёл в кошелёк 24–26 декабря, компания попросила перевести средства в новый кошелёк; она насчитала 2520 опустошённых адресов и около 8,5 млн долларов ущерба, а пользователей мобильного приложения инцидент не затронул ([Trust Wallet](https://trustwallet.com/blog/announcements/trust-wallet-browser-extension-v268-incident-community-update)). ### Отсутствие кражи ничего не доказывает Вор может ждать пополнений. В случае с поддельным Trezor, который разобрала «Лаборатория Касперского», злоумышленники выждали целый месяц после первого пополнения ([«Лаборатория Касперского»](https://www.kaspersky.ru/blog/fake-trezor-hardware-crypto-wallet/35272/)), а кошельки из дела Milk Sad опустошили через годы после создания фраз. Trezor советует: если вы думаете, что резервная копия могла быть раскрыта, считайте, что так и есть, и переводите средства немедленно ([Trezor](https://trezor.io/guides/backups-recovery/general-standards/move-crypto-to-a-wallet-with-a-new-wallet-backup)). ## Утечка фразы, разрешение или вирус: как отличить От причины зависят действия: раскрытую фразу спасает только перевод средств в новый кошелёк, а опасное разрешение достаточно отозвать. | Что произошло | Вероятная причина | Что делать | | ------------------------------------------------------------------------------ | -------------------------------------------------- | --------------------------------------------------------------------------- | | Ушли средства с нескольких адресов или сетей; новые поступления исчезают сразу | раскрыта фраза или ключ | новый кошелёк с новой фразой, перевести всё, что осталось | | Пропал один токен или NFT из одной коллекции, основная монета сети на месте | разрешение или подпись на фишинговом сайте | отозвать разрешение, если оно осталось; кошельком можно пользоваться дальше | | Вы сами отправили перевод, но не на тот адрес | вирус-подменщик или адрес из «отравленной» истории | проверить устройство, сверять адрес целиком | | Пришёл крошечный перевод с адреса, похожего на знакомый | подготовка к подмене адреса | ничего на него не отправлять и не копировать адреса из истории | Разрешение в токенах стандарта ERC-20 и его аналога TRC-20 в сети TRON позволяет контракту списывать только этот токен и только в пределах выданной суммы ([документация TRON](https://developers.tron.network/docs/trc20-protocol-interface)); у NFT бывает разрешение на всю коллекцию. Основную монету сети — ETH, TRX — разрешением на токен не забрать: её уводит только транзакция или подпись, сделанная вашим ключом, — вами, если вы что-то подтвердили на фишинговом сайте, или вором, если у него фраза. Revoke.cash формулирует признаки так же: если украден один конкретный актив, вы, скорее всего, подписали перевод или разрешение для вредоносного контракта. Подмена адреса в истории (address poisoning) фразе ничем не грозит, но стоит денег тем, кто копирует адреса из списка последних операций. Злоумышленник присылает копеечный перевод или фальшивые токены с адреса, похожего на тот, с которым вы уже работали, в расчёте на то, что в следующий раз вы скопируете его. Исследование, представленное на конференции USENIX Security 2025, насчитало за два года в Ethereum и BNB Smart Chain 270 млн таких атак на 17 млн жертв и не меньше 83,8 млн долларов потерь в 6633 случаях ([USENIX](https://www.usenix.org/conference/usenixsecurity25/presentation/tsuchiya)). Мелкие непрошеные переводы бывают и способом слежки: так связывают ваши адреса между собой — подробнее в статье о [«пылевых» транзакциях](/dust-transaction/) (на английском). ## Что делать, если фраза раскрыта Счёт идёт на минуты. В исследовании «мозговых кошельков» — ключей, полученных из угадываемых паролей, — из 884 найденных кошельков опустошили все, кроме 21, обычно в течение суток, а половину — за 21 минуту или быстрее ([Vasek и др., 2016](https://discovery.ucl.ac.uk/id/eprint/10154816/1/vasekfc16.pdf)). С раскрытой фразой происходит то же самое: за адресами следят программы, которые забирают всё, что на них приходит. 1. **Создайте новый кошелёк с новой фразой на устройстве, которому доверяете.** Не на том компьютере или телефоне, где могла случиться утечка; лучше всего на [аппаратном кошельке](/ru/apparatnyj-koshelek/), купленном у производителя или авторизованного продавца. Новые счета в старом кошельке не помогут: их ключи выводятся из той же фразы. MetaMask советует ставить новый кошелёк в другом браузере, профиле браузера или на другом устройстве и не привязывать к нему тот же аккаунт Google или Apple, если старый кошелёк был с ним связан. Новые слова запишите на бумаге или металле — как это сделать, рассказано в статье [как хранить сид-фразу](/ru/kak-hranit-sid-frazu/). 2. **Переведите сначала самое ценное** — из всех сетей, аккаунтов и адресов, которые открывает старая фраза: из одной фразы выводятся ключи для всех [путей деривации](/ru/put-derivacii/) и всех сетей, где вы ею пользовались, а у некоторых сетей свои форматы и пути ([форматы сид-фраз в разных сетях](/ru/formaty-sid-fraz-po-setyam/)). Адрес получения сверяйте целиком на экране нового кошелька: на заражённом компьютере подменщик может заменить его при вставке. 3. **Основную монету сети оставьте напоследок.** Комиссию платят в ней, поэтому сначала выведите токены. Если её на адресе нет, а за ним следит чистильщик, пополнять адрес бесполезно: присланное на комиссию сразу уйдёт вору. Обходной путь через пакет транзакций и его риски описаны в статье [мошенничество с сид-фразой](/ru/moshennichestvo-s-sid-frazoj/). Если на раскрытом адресе осталось больше 1000 долларов, Revoke.cash советует обратиться в Flashbots Whitehat Hotline — службу из экосистемы Ethereum: её команда пытается спасти оставшиеся средства, но уже выведенные не вернёт ([Flashbots](https://docs.flashbots.net/whitehat)). 4. **Переведите и кошельки с парольной фразой.** Если парольная фраза не раскрыта, средства под ней теперь защищает только она. 5. **Не уничтожайте старую запись, пока не закончите перевод,** и больше никогда ей не пользуйтесь — так советует Trezor. Удалите старые адреса из адресных книг бирж и сообщите новый адрес тем, кто вам платит: всё, что придёт на старый адрес, достанется вору. ## Как отозвать опасное разрешение Если фраза цела, а токены уходят по разрешению, его достаточно отозвать, и кошельком можно пользоваться дальше. Разрешения адреса в Ethereum и совместимых сетях показывает [Revoke.cash](https://revoke.cash/learn/approvals/what-are-token-approvals), а в самой сети Ethereum — ещё и инструмент [Token Approvals в Etherscan](https://etherscan.io/tokenapprovalchecker): найдите разрешения незнакомым контрактам, подключите кошелёк и отзовите их кнопкой Revoke. Отзыв — обычная транзакция, за него берут комиссию. Отдельно проверьте разрешение контракту Permit2: ему выдают неограниченное разрешение, а он раздаёт вложенные разрешения приложениям, и Revoke.cash предупреждает, что фишинговые сайты пользуются этой гибкостью, чтобы получить разрешения, смысла которых человек не понимает ([Revoke.cash](https://revoke.cash/learn/approvals/what-is-permit2)). Если раскрыта сама фраза, отзыв бесполезен: у вора есть ключ, и разрешения ему не нужны. Revoke.cash так и пишет: при утечке фразы отзыв разрешений не спасает, нужно уходить на новый кошелёк. ## Как проверить устройство после утечки - **Проверьте его антивирусом** и удалите незнакомые приложения и расширения браузера. При утечке фразы Revoke.cash советует считать устройство заражённым, сохранить важные файлы и полностью стереть его. - **Смените пароли** от почты, облака, аккаунтов Apple и Google и включите двухфакторную защиту — с другого, чистого устройства. - **В Telegram завершите чужие сеансы:** откройте в настройках список устройств (Settings → Devices, по [справке Telegram](https://telegram.org/faq)) и завершите все другие сеансы, а затем включите облачный пароль, то есть двухэтапную аутентификацию. - **Удалите копии фразы** из галереи, заметок, облака и переписки. Старую фразу это уже не спасёт, но новой там тоже не место. - **Ставьте программы только с сайтов разработчиков.** В марте 2023 года «Лаборатория Касперского» описала клиппер, который подменял адреса криптокошельков в буфере обмена и распространялся под видом браузера Tor на сторонних сайтах: с ним столкнулись более 15 тысяч пользователей в 52 странах, больше всего атак пришлось на Россию, а украдено было более 400 тысяч долларов ([«Лаборатория Касперского»](https://www.kaspersky.ru/about/press-releases/novyj-zlovred-klipper-kradyot-kriptovalyutu-cherez-poddelnyj-brauzer-tor)). ## Куда сообщить о краже криптовалюты Перевод в блокчейне необратим: справка MetaMask прямо пишет, что транзакции нельзя отменить, а пропавшие средства — вернуть. Сообщить о краже всё равно нужно: по заявлению можно отследить средства, а там, где у них появляется хозяин, их иногда удаётся заморозить. - **В полицию.** «Финансовая культура», просветительский сайт Банка России, советует обращаться как можно скорее: лично в ближайшем отделении или через сайт МВД — на сайте управления своего региона, в разделе «Прием обращений». В отделении возьмите талон-уведомление, а при подаче через сайт на почту придёт код для отслеживания обращения. Проверку полиция по закону проводит в течение 30 суток, а когда вас признают потерпевшим, подайте следователю гражданский иск о возмещении ущерба ([«Финансовая культура»](https://fincult.info/article/perevel-dengi-moshennikam-chto-delat/)). - **Что приложить.** Адреса своего кошелька и получателей, идентификаторы (хеши) транзакций, время событий и, если фразу выманили, скриншоты переписки и сайта. Блокчейн публичен, и следы часто ведут к биржам: ещё в 2013 году исследователи на примерах крупных краж биткоина показали, что ведомство с правом истребовать данные способно выяснить, кто кому платит, потому что в обороте биткоина доминируют немногие крупные сервисы, прежде всего обменные ([Meiklejohn и др., 2013](https://smeiklej.com/files/imc13.pdf)). - **Бирже.** Если средства ушли на адрес биржи, напишите в её поддержку и приложите хеши транзакций. Revoke.cash советует сообщать и в правоохранительные органы, и биржам: так остаётся след, который поможет, если мошенников найдут. USDT, в отличие от биткоина, может заморозить эмитент: Tether сообщает, что замораживал токены на десятки миллионов долларов по обоснованным запросам правоохранительных органов ([Tether](https://tether.io/news/tether-law-enforcement-and-financial-freedom/)). - **Разработчику кошелька** — если утечка связана с его продуктом, как в случае с расширением Trust Wallet, где компания пообещала возместить ущерб пострадавшим. Тем, кто сам предлагает «вернуть криптовалюту» за предоплату, не отвечайте: это следующая волна мошенничества, и «помощнику», получившему старую фразу, достанется всё, что вы туда ещё отправите. ## Частые вопросы ### Можно ли сменить сид-фразу, не переводя средства? Нет. Фраза и есть кошелёк: из неё выводятся все ключи и адреса. «Сменить» фразу — значит создать новый кошелёк и перевести в него всё. ### Средства на месте. Значит, фраза в безопасности? Не обязательно. Воры ждут пополнений: в случае с поддельным Trezor — месяц, в деле Milk Sad — годы. Если фраза могла попасть к посторонним, переводите средства, не дожидаясь кражи. ### Утёк приватный ключ одного адреса, а не фраза. Что делать? Переведите средства с этого адреса. Если вместе с ключом мог утечь расширенный публичный ключ аккаунта (xpub), считайте раскрытым весь аккаунт: по [BIP32](https://github.com/bitcoin/bips/blob/master/bip-0032.mediawiki) знать xpub и любой приватный ключ из обычной (неусиленной) ветки под ним — всё равно что знать расширенный приватный ключ родителя. Чем ключ отличается от фразы, рассказано в статье [разница сид-фразы и приватного ключа](/ru/raznica-sid-frazy-i-privatnogo-klyucha/). ### Поможет ли аппаратный кошелёк, если фраза уже утекла? Нет. Устройство защищает ключи, пока фраза не покидала его, а по раскрытой фразе вор восстановит кошелёк в любом приложении. Нужен новый кошелёк с новой фразой — на аппаратном устройстве или в приложении, которому вы доверяете. ### Можно ли вернуть украденную криптовалюту? Редко. Транзакцию в блокчейне не отменить, а заморозить средства можно, только пока они лежат на бирже или если это токен, который умеет замораживать эмитент, как USDT. Поэтому заявление в полицию и бирже стоит подать как можно скорее. Остальные материалы о защите кошелька собраны в разделе [Security](/topics/security/) (на английском).