Небольшой тест. Пять вопросов: ответь про себя, прежде чем читать разбор. Никаких каверзных слов — только ситуации, с которыми действительно сталкиваешься, пользуясь кошельком вроде MetaMask, Trust Wallet или Phantom.
Почему эта тема? Потому что большинство кошельков, опустошённых в 2025 году, взломал не какой-нибудь «гениальный хакер». Их опустошили с помощью подписи. Согласно ежегодному отчёту Scam Sniffer, на совместимых с Ethereum сетях «дрейнеры» (сайты-ловушки, которые заставляют подписать не то, что нужно) украли 83,85 миллиона долларов, пострадали 106 106 человек. Самая крупная кража года — 6,5 миллиона долларов в сентябре, с помощью одной подписи типа Permit.
ВОПРОС 1
Сайт просит тебя «подтвердить» USDT перед обменом. Кошелёк показывает «неограниченная сумма». Это нормально?
A) Да, никакого риска
B) Это обычное дело, но так ты даёшь контракту право переводить ВСЕ твои USDT — сейчас и в будущем
ВОПРОС 2
Ты подписываешь сообщение, а не транзакцию. Комиссии сети нет. Значит, ничего не может быть списано?
A) Именно, без комиссии ничего не сдвинется
B) Неверно
ВОПРОС 3
Год назад ты пользовался сайтом для фарминга и забыл о нём. Сегодня его взломали. Это может затронуть твой кошелёк?
A) Нет, я больше туда не захожу
B) Возможно, если выданное тогда разрешение всё ещё действует
ВОПРОС 4
В твоём кошельке появился неизвестный токен со ссылкой «забери свою награду». Что ты сделаешь?
A) Перейду по ссылке, это же бесплатно
B) Проигнорирую
ВОПРОС 5
На экране кошелька полно нечитаемого кода. Сайт торопит: «подпиши скорее, предложение скоро закончится».
A) Подпишу, сайт выглядит официально
B) Закрою вкладку
Ответы — и вот тут начинается самое интересное.
1 → B. Подтверждение (его ещё называют «allowance») — это разрешение, которое ты даёшь контракту тратить твои токены от твоего имени. Многие приложения запрашивают неограниченный лимит, чтобы тебе не приходилось каждый раз снова платить комиссию. Это удобно, пока контракт честный и его никогда не взломают. Если есть возможность, указывай только нужную сумму.
2 → B. Вот этого почти никто не знает. Подписи «Permit» и «Permit2» — это бесплатные сообщения, которые ты подписываешь… и тем самым разрешаешь тратить свои токены. Затем злоумышленник сам платит комиссию и опустошает кошелёк с соответствующим токеном. По данным Scam Sniffer, на Permit и Permit2 приходится 38 % потерь в кражах на сумму свыше миллиона долларов в 2025 году. Бесплатно — не значит безопасно.
3 → B. Разрешение не исчезает, когда ты закрываешь вкладку. Оно остаётся в блокчейне, пока ты его не отзовёшь. Такие инструменты, как проверка разрешений на Etherscan или BscScan, а также revoke.cash, покажут список разрешений и позволят их отозвать (за это нужно заплатить небольшую комиссию сети — это нормально).
4 → B. Внезапные «аирдропы» со ссылкой на сайт, где нужно забрать токены, — классическая уловка. Токен служит приманкой, а сайт нужен, чтобы заставить тебя что-нибудь подписать. Пока ты ничего не делаешь, этот токен не может ничего у тебя забрать.
5 → B. Срочность — любимый приём мошенников. Если ты не понимаешь, что именно подписываешь, не подписывай. Современные кошельки всё чаще показывают понятные предупреждения: прочитай их, а не закрывай.
Вот что я понял, внимательно изучив этот отчёт: потери снизились на 83 % по сравнению с 2024 годом — это говорит о том, что кошельки и предупреждения становятся лучше. Но злоумышленники быстро приспосабливаются. Сразу после обновления Pectra в Ethereum они использовали EIP-7702, чтобы объединить несколько вредоносных действий в одну подпись: в августе 2025 года в двух случаях было потеряно 2,54 миллиона долларов. Слабое звено по-прежнему — лишний клик с $ETH, и на BNB Chain, и где бы то ни было. На $SOL механизм подтверждения устроен иначе, но принцип «подписываю, не читая» опустошает кошельки точно так же.
Полезный совет: держи отдельный «расходный» кошелёк с небольшой суммой для тестирования новых приложений, а сбережения — в другом, который ты почти никогда не подключаешь.
Ну что, сколько баллов из 5? А на второй вопрос ты и правда знал ответ?
Источник: Scam Sniffer, годовой отчёт о криптофишинге за 2025 год. Материал носит образовательный характер и не является финансовой рекомендацией.
#CryptoSecurity #Web3Wallet #Phishing #CryptoEducation #Binance