Закреплённая реклама выдавала себя за Trezor Suite: стоило ввести сид-фразу — и через несколько минут кошелёк опустошали
В конце октября кто-то искал Trezor Suite в Google. Над настоящим результатом оказалась реклама. По ссылке открывалась страница, очень похожая на сайт кошелька: иногда она размещалась на собственном домене мошенников, иногда — на странице Google Sites. Пользователям предлагали ввести сид-фразу якобы для восстановления кошелька. Те, кто её вводил, уже через несколько минут обнаруживали, что баланс исчез.
На Chainabuse сейчас есть всего 5 жалоб на эту схему, поступивших из нескольких стран. Один из заявителей сообщил, что уже обратился в полицию Чехии. Среди похищенных средств — биткоины, эфиры и стейблкоины. Блокчейн-аналитический сервис Coinator отслеживал только биткоиновые транзакции, и масштаб операции оказался намного больше, чем можно было предположить по жалобам.
Деньги не поступали напрямую на кошельки мошенников, а сначала приходили на два постоянных адреса. На первый адрес поступило 39 переводов общей суммой 3.32 биткоина — с 27 по 31 октября. В самой крупной транзакции, упомянутой в жалобе, было больше 0.2 биткоина. На второй адрес, на который не поступило ни одной жалобы, пришло 56 переводов общей суммой 8.17 биткоина — более чем вдвое больше, чем на первый. В общей сложности на оба адреса поступило около 95 переводов на сумму 11.49 биткоина.
31 октября в 15:57 UTC второй адрес опустошили одной транзакцией с 56 входами. Через 12 минут такой же транзакцией, но с 33 входами, опустошили и первый адрес. Деньги с обоих адресов поступили на один и тот же промежуточный адрес. Всего на него пришло 21.62 биткоина. Остальная сумма поступила туда раньше, и, по оценке Coinator, эта группа уже получала средства по похожей схеме. В тот же день, начиная с 17:12 UTC, с промежуточного адреса начали выводить деньги частями: сначала 2.0 биткоина, затем 2.86, а потом 1.54. Комиссия за все три перевода составила ровно 564 сатоши. Версия транзакции, время блокировки и флаг заменяемости тоже совпадали — очевидно, все переводы были сделаны с одного кошелька.
Из этих трёх переводов 2.0 и 2.86 биткоина к 3 ноября всё ещё оставались на исходных адресах. А 1.54 биткоина в тот же вечер перевели в три этапа: сначала 0.01 биткоина для проверки, затем 0.5, а потом 1.03. Каждый перевод проходил через промежуточный адрес, после чего все средства поступили на один и тот же горячий кошелёк кастодиального сервиса. С февраля 2025 года через этот кошелёк прошло около 139 тысяч транзакций и примерно 37 тысяч биткоинов. К нему привязано 162 тысячи адресов для пополнения, почти каждый из которых использовался лишь один раз. В августе на этот же горячий кошелёк поступили деньги от мошенников, выдававших себя за службу поддержки Kraken. Он же стал конечным пунктом в одном из дел в Аргентине в конце октября. Три разные схемы мошенничества — и один адрес для получения денег.
Здесь легко ошибиться при отслеживании средств. Перевод на 0.01 биткоина поступил на адрес для пополнения. Через несколько часов средства с него потратили вместе со средствами ещё с 8 адресов для пополнения и 2 входов самого горячего кошелька. 0.29 биткоина ушло на новый адрес — может показаться, будто мошенники вернули деньги себе, да ещё и с прибылью. На самом деле это был платёж кастодиального сервиса одному из клиентов. Адреса для пополнения и горячий кошелёк принадлежат сервису, и после поступления денег к нему уже неважно, кто их изначально внёс. Если считать горячий кошелёк кошельком мошенников и следить за ним, можно выйти на невиновных людей. Запомнить нужно именно два адреса, на которые мошенники получали деньги.
Для обычных пользователей вывод предельно конкретен. Скачивать кошелёк нужно только с официального сайта производителя, а к верхним рекламным результатам поиска следует по умолчанию относиться как к поддельным. Если сайт просит ввести сид-фразу — его можно сразу закрыть. Если её просят по телефону — можно сразу положить трубку. Если сид-фразу уже ввели на поддельной странице, считайте, что кошелёк скомпрометирован: на чистом устройстве создайте новый кошелёк с новой сид-фразой и как можно скорее переведите туда оставшиеся средства. Не пренебрегайте и подачей жалобы: 5 заявлений — лишь верхушка айсберга, а каждая новая жалоба повышает вероятность, что адреса для получения средств заметят.
Мой вывод прост: прежде чем скачивать кошелёк, проверьте домен официального сайта. Закреплённую рекламу всегда пропускайте. Эта небольшая задержка полезнее, чем попытки потом отследить средства в блокчейне.
Когда вы скачиваете приложение-кошелёк, то просто нажимаете на результат поиска или сначала проверяете домен официального сайта?
—— web3 Кай
Эта статья отражает лишь личное мнение автора и не является инвестиционной рекомендацией. Источники фактических данных — блокчейн-анализ Coinator от 3 ноября и записи жалоб на Chainabuse.
#Trezor #防骗 #助记词 #ОтслеживаниеВБлокчейне
В конце октября кто-то искал Trezor Suite в Google. Над настоящим результатом оказалась реклама. По ссылке открывалась страница, очень похожая на сайт кошелька: иногда она размещалась на собственном домене мошенников, иногда — на странице Google Sites. Пользователям предлагали ввести сид-фразу якобы для восстановления кошелька. Те, кто её вводил, уже через несколько минут обнаруживали, что баланс исчез.
На Chainabuse сейчас есть всего 5 жалоб на эту схему, поступивших из нескольких стран. Один из заявителей сообщил, что уже обратился в полицию Чехии. Среди похищенных средств — биткоины, эфиры и стейблкоины. Блокчейн-аналитический сервис Coinator отслеживал только биткоиновые транзакции, и масштаб операции оказался намного больше, чем можно было предположить по жалобам.
Деньги не поступали напрямую на кошельки мошенников, а сначала приходили на два постоянных адреса. На первый адрес поступило 39 переводов общей суммой 3.32 биткоина — с 27 по 31 октября. В самой крупной транзакции, упомянутой в жалобе, было больше 0.2 биткоина. На второй адрес, на который не поступило ни одной жалобы, пришло 56 переводов общей суммой 8.17 биткоина — более чем вдвое больше, чем на первый. В общей сложности на оба адреса поступило около 95 переводов на сумму 11.49 биткоина.
31 октября в 15:57 UTC второй адрес опустошили одной транзакцией с 56 входами. Через 12 минут такой же транзакцией, но с 33 входами, опустошили и первый адрес. Деньги с обоих адресов поступили на один и тот же промежуточный адрес. Всего на него пришло 21.62 биткоина. Остальная сумма поступила туда раньше, и, по оценке Coinator, эта группа уже получала средства по похожей схеме. В тот же день, начиная с 17:12 UTC, с промежуточного адреса начали выводить деньги частями: сначала 2.0 биткоина, затем 2.86, а потом 1.54. Комиссия за все три перевода составила ровно 564 сатоши. Версия транзакции, время блокировки и флаг заменяемости тоже совпадали — очевидно, все переводы были сделаны с одного кошелька.
Из этих трёх переводов 2.0 и 2.86 биткоина к 3 ноября всё ещё оставались на исходных адресах. А 1.54 биткоина в тот же вечер перевели в три этапа: сначала 0.01 биткоина для проверки, затем 0.5, а потом 1.03. Каждый перевод проходил через промежуточный адрес, после чего все средства поступили на один и тот же горячий кошелёк кастодиального сервиса. С февраля 2025 года через этот кошелёк прошло около 139 тысяч транзакций и примерно 37 тысяч биткоинов. К нему привязано 162 тысячи адресов для пополнения, почти каждый из которых использовался лишь один раз. В августе на этот же горячий кошелёк поступили деньги от мошенников, выдававших себя за службу поддержки Kraken. Он же стал конечным пунктом в одном из дел в Аргентине в конце октября. Три разные схемы мошенничества — и один адрес для получения денег.
Здесь легко ошибиться при отслеживании средств. Перевод на 0.01 биткоина поступил на адрес для пополнения. Через несколько часов средства с него потратили вместе со средствами ещё с 8 адресов для пополнения и 2 входов самого горячего кошелька. 0.29 биткоина ушло на новый адрес — может показаться, будто мошенники вернули деньги себе, да ещё и с прибылью. На самом деле это был платёж кастодиального сервиса одному из клиентов. Адреса для пополнения и горячий кошелёк принадлежат сервису, и после поступления денег к нему уже неважно, кто их изначально внёс. Если считать горячий кошелёк кошельком мошенников и следить за ним, можно выйти на невиновных людей. Запомнить нужно именно два адреса, на которые мошенники получали деньги.
Для обычных пользователей вывод предельно конкретен. Скачивать кошелёк нужно только с официального сайта производителя, а к верхним рекламным результатам поиска следует по умолчанию относиться как к поддельным. Если сайт просит ввести сид-фразу — его можно сразу закрыть. Если её просят по телефону — можно сразу положить трубку. Если сид-фразу уже ввели на поддельной странице, считайте, что кошелёк скомпрометирован: на чистом устройстве создайте новый кошелёк с новой сид-фразой и как можно скорее переведите туда оставшиеся средства. Не пренебрегайте и подачей жалобы: 5 заявлений — лишь верхушка айсберга, а каждая новая жалоба повышает вероятность, что адреса для получения средств заметят.
Мой вывод прост: прежде чем скачивать кошелёк, проверьте домен официального сайта. Закреплённую рекламу всегда пропускайте. Эта небольшая задержка полезнее, чем попытки потом отследить средства в блокчейне.
Когда вы скачиваете приложение-кошелёк, то просто нажимаете на результат поиска или сначала проверяете домен официального сайта?
—— web3 Кай
Эта статья отражает лишь личное мнение автора и не является инвестиционной рекомендацией. Источники фактических данных — блокчейн-анализ Coinator от 3 ноября и записи жалоб на Chainabuse.
#Trezor #防骗 #助记词 #ОтслеживаниеВБлокчейне
