Как не стать жертвой мошенников в Web3
В блокчейне служба поддержки не поможет отменить транзакцию. Большинство теряет деньги не потому, что пароль взломали, а потому что сами нажали «Подтвердить», скопировали неверный адрес или доверились не тому человеку.
Даже опытные пользователи могут ошибиться. Эти привычки полезнее, чем знание сотни названий проектов.
Сначала запомните четыре правила — дальше подробно разберём каждое из них:
Никому не сообщайте мнемоническую фразу и приватный ключ. Ни официальным представителям, ни службе поддержки, ни партнёру, ни ИИ, ни начальнику. Кто бы ни попросил — тот пытается вас обокрасть.
Если не понимаете, что подписываете, сначала откажитесь. Спешка, мысль, что страница зависла, и повторные нажатия — самые распространённые причины ошибок.
Сверяйте адрес целиком, а не только начало и конец, и не ориентируйтесь на название. Название монеты можно подделать, как и первые и последние четыре символа адреса.
Если для возврата денег от вас требуют сначала заплатить — остановитесь. Получение награды, вывод средств, возврат, обновление или разблокировка — неважно, под каким предлогом.
Храните крупные суммы отдельно от денег для повседневных операций. Для сомнительных проектов, получения аирдропов и тестирования новых проектов используйте небольшой кошелёк и время от времени меняйте его. Сбережения храните в аппаратном кошельке или на крупной бирже, например Binance. Не подключайте этот кошелёк к сайтам без необходимости.
1. Сначала проверьте человека: знакомый, служба поддержки, знакомство, работа
Знакомый неожиданно просит денег или предлагает сотрудничество: в Telegram или WeChat друг вдруг просит перевести U или говорит о срочном проекте. Его аккаунт могли взломать, а собеседник может использовать поддельный аккаунт: скопировать можно и фото, и имя, и манеру общения. Позвоните человеку сами, набрав известный вам номер. Если он отказывается поговорить голосом — остановитесь. Если вас торопят словами «никому не рассказывай» или «в группе неудобно говорить», тем более остановитесь. Взломав ваш аккаунт, мошенники могут использовать его для массовой рассылки, поэтому не пересылайте ссылки другим, пока не убедитесь, что они безопасны.
Фальшивая служба поддержки: особенно когда на бирже или в проекте возникают проблемы, кто-то может сам написать вам и представиться официальным представителем. Он попросит код подтверждения, сид-фразу, доступ к экрану или предложит перевести средства на «безопасный адрес». Настоящая служба поддержки не пишет первой и не спрашивает сид-фразу. Чтобы связаться с официальной поддержкой, откройте раздел помощи в приложении или перейдите на сайт из собственной закладки. Не переходите по ссылкам из личных сообщений, комментариев и писем.
Схема «свиного забоя»: несколько недель с вами общаются в приложении для знакомств или Telegram, а затем заманивают на «инвестиционную платформу». Небольшую сумму дают вывести, но при попытке вывести крупную требуют налог или залог, а затем сайт исчезает. Если перед выводом просят заплатить ещё — не платите. Как бы долго вы ни общались и какими бы правдоподобными ни казались скриншоты прибыли, это ничего не меняет.
Фальшивые розыгрыши и дипфейки: злоумышленники крадут или подделывают аккаунты знаменитостей и представителей проектов либо используют видео и голос, сгенерированные ИИ. В прямом эфире они обещают вернуть две монеты за одну отправленную. Похожее видео и похожий голос ещё не доказывают, что говорит именно этот человек.
Фальшивые вакансии: должность и собеседование выглядят настоящими, но в конце вас просят скачать «тестовое задание», внутреннюю программу для встреч или «кошелёк для проверки». Загруженный файл может установить троян. Выполняйте задания на отдельном устройстве, где нет кошельков и аккаунтов бирж. Если просят сначала отправить «плату за обучение» или «залог за оборудование», считайте, что собеседование окончено.
Мошенничество с обещанием вернуть средства: сразу после того, как вас обманули, кто-то предлагает вернуть активы за предоплату — якобы за обслуживание или услуги юриста. Это второй удар. Считайте мошенниками тех, кто сам появляется в комментариях или личных сообщениях с предложением «юридической помощи» или услуг «по отслеживанию блокчейна». Настоящие организации не требуют заранее платить криптовалютой и не гарантируют возврат. Монеты, переведённые в блокчейне, чаще всего уже не вернуть. Первым делом ограничьте ущерб: замените скомпрометированный кошелёк, отзовите разрешения, смените пароли от почты и биржи. Не отдавайте остаток денег, чтобы «попробовать ещё раз».
2. Сначала проверьте устройства и файлы: трояны, удалённый доступ и буфер обмена
Архивы и незнакомые файлы: когда вас просят посмотреть материалы, подписать договор или проверить информацию, вам могут прислать архив и попросить открыть его на компьютере. После этого компьютер могут взять под удалённый контроль, украсть кошелёк и подменить адрес в буфере обмена, а затем рассылать сообщения от вашего имени. Даже если файл прислал знакомый, сначала позвоните ему и проверьте. Не скачивайте и не пересылайте такие файлы. Попросите прислать рабочие документы в виде ссылки только для чтения на облачное хранилище или воспользуйтесь знакомым надёжным сервисом для совместной работы. Не открывайте неизвестные архивы, документы с макросами и установочные файлы.
Программы с троянами: установив расширение, торгового бота, переводчик или программу для встреч из поисковой выдачи или рекламы, вы можете дать злоумышленникам удалённый доступ к компьютеру. Тогда адрес, который вы скопировали правильно, при вставке заменится на адрес мошенников. Скачивайте программы только с официальных сайтов. Во время перевода сверяйте полный адрес на экране аппаратного кошелька или телефона, а не только в строке браузера на компьютере.
Видеоконференции и удалённая помощь: собеседник предлагает сотрудничество и просит установить определённую программу или AnyDesk, TeamViewer, Sunlogin, чтобы удалённо помочь с кошельком. Во время демонстрации экрана он увидит сид-фразу и коды подтверждения. Не открывайте кошелёк во время чужого сеанса удалённого доступа, не входите в аккаунт биржи при демонстрации экрана и не произносите коды вслух. Если собеседник настаивает, что «без удалённого доступа не получится продолжить», откажитесь от сотрудничества.
Перехват буфера обмена: троян незаметно подменяет адрес получателя, когда вы вставляете его. Скопирован адрес правильный, а вставлен — неправильный. Перед переводом сверяйте адрес полностью, а не только начало и конец. Проверить его ещё раз на аппаратном кошельке или телефоне полезнее, чем дважды смотреть на заражённом компьютере.
Поддельный аппаратный кошелёк: в устройстве, купленном не у официального продавца, сид-фраза может быть заранее задана. Могут также прислать письмо с просьбой ввести имеющуюся сид-фразу для «обновления прошивки». Покупайте аппаратные кошельки только на официальном сайте. Любой, кто просит вашу существующую сид-фразу, пытается украсть средства. Если при первом включении нового устройства оно показывает уже готовую сид-фразу, не пользуйтесь им и верните его.
3. Подписи и разрешения: здесь легче всего лишиться всего одним нажатием
Обычно подключение кошелька просто сообщает сайту ваш адрес и само по себе ещё не означает, что вы передали кому-то монеты. Настоящая опасность — следующая подпись или выдача разрешения.
Цепочка подписей: первая — обычное получение средств или вход, но сразу после неё появляются вторая, третья подписи, и вы подтверждаете их одну за другой. Так вы можете незаметно выдать безлимитное разрешение. Рассматривайте каждое окно отдельно: появилось следующее — закройте страницу. Иногда кажется, что всё зависло, и вы нажимаете несколько раз. Но дело не в зависании: злоумышленник ждёт, когда вы случайно подтвердите.
Подтверждение непонятной подписи: во всплывающем окне — длинный текст на английском или шестнадцатеричные данные, а вы спешите и нажимаете «Подтвердить». На деле этой подписью вы можете передать кошелёк в чужие руки. Не понимаете, что подписываете, — откажитесь. Легитимная операция подождёт, пока вы разберётесь. Особенно если видите такие слова — сначала остановитесь:
approve, особенно если лимит безграничный
setApprovalForAll
Permit, Permit2
increaseAllowance
Подпись исходного сообщения, например eth_sign: кошелёк показывает только набор непонятных данных
Подписи типа Permit и Permit2 часто не требуют Gas и не сразу появляются в истории транзакций как перевод средств, поэтому вам кажется: «Я ничего не заплатил». Но, имея вашу подпись, злоумышленник может позже сам заплатить Gas и перевести ваши монеты. У некоторых средства списывают даже через несколько месяцев: в тот момент подпись казалась совершенно безвредной.
Бывает и так, что одна подпись включает сразу много действий: на первый взгляд вы получаете награду, а вместе с этим меняются права доступа к аккаунту. Если кошелёк умеет моделировать «что произойдёт после подписания», сначала изучите результат. Если по нему ничего не понятно или кошелёк показывает только набор хешей — откажитесь.
Отзывайте разрешения, когда они больше не нужны: безлимитные разрешения, выданные централизованным биржам, старым проектам или неизвестным сайтам, будут действовать, пока вы их не отзовёте. Если взломают фронтенд проекта или вы однажды зайдёте на фишинговую страницу, злоумышленник может воспользоваться разрешением даже спустя долгое время. Время от времени проверяйте разрешения на специальной странице блокчейн-обозревателя или с помощью инструмента проверки, которому доверяете, и отзывайте ненужные. Открывайте такие инструменты только из собственных закладок, а не по ссылкам из чатов вроде «проверю за вас разрешения». За отзыв нужно заплатить немного Gas — это нормально.
Ловушки с мультиподписью и делегированием аккаунта: под предлогом «повышения безопасности» вас просят добавить кошелёк в мультиподпись или подписать делегирование аккаунта, причём адрес злоумышленника тоже оказывается среди подписантов. После подписания он сможет вывести активы. Мультиподпись имеет смысл, только если вы знаете каждого подписанта и проверили его личность по независимому каналу. Не подписывайте предложения незнакомцев вроде «обновим защиту», «с эскроу будет спокойнее» или «помогу усилить безопасность».
Фальшивый аирдроп: в кошельке внезапно появляются незнакомые токены или кто-то присылает ссылку и говорит, что вы выиграли приз или можете забрать аирдроп. Ссылка ведёт на фишинговый сайт, и одной подписи достаточно, чтобы лишиться кошелька. Если вы не регистрировались, не переходите по ссылке и не выдавайте разрешения. Ссылки на получение призов в неожиданных упоминаниях в твитах, закреплённых комментариях и личных сообщениях часто ведут именно к такой ловушке.
С электронной почтой то же самое: письмо может выглядеть так, будто его отправил проект, с темой вроде «Вам доступен аирдроп» или «Срок получения скоро истекает». Логотип и оформление тоже легко подделать. Не нажимайте кнопки в письме: откройте официальный аккаунт проекта и перейдите на сайт из собственной закладки. Осторожно и с сообщением «Сначала нажмите Verify» после вступления в Discord. Проверка не должна вести на незнакомый сайт, который просит подключить кошелёк и подписать сообщение. Официальная проверка обычно проходит прямо в Discord.
Токены-пылинки и реклама NFT: любой может отправить вам токен или NFT, в названии которого спрятана ссылка, чтобы заманить вас получить, продать или перевести актив через мост. Не обменивайте незнакомые токены, не выдавайте им разрешения и не переходите по ссылкам в их названиях. Внезапно появившийся баланс в кошельке считайте приманкой, а не удачей. Просто скройте его и ничего с ним не делайте.
4. Адреса и фальшивые монеты: обмануть могут и названием, и первыми и последними символами
Фальшивые токены: в сетях вроде Ethereum и BSC можно купить токен с названием BTC, ETH или USDT. Некоторые — подделки, другие устроены так, что их можно купить, но нельзя продать. Многие видят высокую цену и пытаются продать токен, после чего попадают в ловушку. Название может быть фальшивым, как и цена. Проверяйте адрес контракта, а не название. Копируйте адрес с официального сайта проекта или со страницы токена в обозревателе, которому доверяете, а не из переписки, скриншота графика или пересланного сообщения.
Токены-ловушки: контракт позволяет купить токен, но не продать его, или устанавливает настолько высокий налог на продажу, что забирает почти все деньги. Перед покупкой попробуйте продать совсем небольшую сумму. Не получается — остановитесь. Не докупайте только потому, что «уже купили».
Отравление адреса: злоумышленник создаёт адрес, первые и последние символы которого похожи на адрес, которым вы обычно пользуетесь, и отправляет с него крошечную сумму, чтобы адрес появился в истории транзакций. Вы копируете его из истории и отправляете деньги не туда. Не копируйте адреса из истории. При крупном переводе сначала отправьте небольшую сумму и дождитесь зачисления, а потом переводите остаток. Каждый раз сверяйте адрес целиком, включая длинную середину. Сохраните часто используемые адреса в адресной книге и выбирайте их оттуда, а не из списка последних транзакций. Если вам прислали новый адрес, подтвердите его ещё раз способом, о котором вы договорились заранее. Не доверяйте одному сообщению.
В последний раз проверьте всю строку символов, которую собираетесь отправить. Лучше всего — на экране аппаратного кошелька.
Фишинговые сайты: домен может отличаться всего одной буквой или содержать похожие символы из другого алфавита. Ссылка может вести из поисковой рекламы, комментария к твиту, объявления в Discord или письма. Такие сайты пытаются заставить вас войти в аккаунт, подключить кошелёк или ввести сид-фразу. Не считайте официальный сайт результат поиска номер один или ссылку с пометкой «Реклама». Даже сайт из закладок время от времени проверяйте: не изменился ли домен.
Фальшивые мосты, обменники и основные сети: мошенники создают страницы, почти неотличимые от настоящих мостов и обменников. Вы нажимаете «Обменять» или выдаёте разрешение — активы переводят злоумышленникам. Есть и более хитрая схема: создают фальшивую сеть с Chain ID и названием, похожими на официальные, а затем поддельный мост. Вы переводите монеты в эту сеть, но они оказываются в сети злоумышленников, а не в настоящей основной сети. Прежде чем добавлять сеть в кошелёк, сверяйте Chain ID и RPC с официальной документацией, а не с сообщением из чата.
5. Проекты и доходность: если всё выглядит слишком хорошо, чтобы быть правдой, считайте это подозрительным
Rug Pull: после разгона цены проект забирает ликвидность, и цена падает до нуля; либо команда постепенно распродаёт свои токены. Проверяйте, заблокирована ли ликвидность и на какой срок, может ли контракт выпускать новые токены, блокировать адреса или менять налог. Если все эти полномочия остаются у команды проекта, красивая цена ещё не значит, что вы сможете продать токены. Не разбираетесь в контракте — ограничьте размер позиции и исходите из того, что её стоимость может упасть до нуля.
Высокодоходная финансовая пирамида: вам обещают стабильный ежедневный или еженедельный заработок за счёт алгоритмической торговли, нод, майнинг-пулов или стейкинга. Ранним участникам часто выплачивают деньги поздних вкладчиков. Если доходность стабильна настолько, что не похожа на рынок, считайте это пирамидой. Настоящая торговля и майнинг сопряжены с убытками и колебаниями. Если легко войти, сложно вывести деньги, а ещё просят приглашать новых участников — сама схема говорит за себя.
Мошенничество при внебиржевой торговле: продавец получает фиат, но не отправляет монеты, или отправляет монеты, а потом блокирует ваш фиатный перевод. В чатах у обменщиков нет эскроу, а личные встречи могут быть опасны. По возможности пользуйтесь официальной биржей. Если приходится торговать напрямую, начните с небольшой суммы. Не переводите монеты на личный адрес «гаранта» и не встречайтесь с незнакомцами в безлюдных местах: аккаунт «гаранта» может принадлежать той же группе, что и продавец.
6. Защита аккаунтов: сид-фраза, API и номер телефона
Хранение сид-фразы в неподходящем месте: скриншот в галерее, синхронизация с облаком, запись в заметках или отправка другому человеку. Если устройство заражено вирусом, у вас могут опустошить весь кошелёк. Взлом облачного аккаунта приводит к тому же результату. Записывайте сид-фразу только от руки и храните офлайн. Нужна резервная копия — перепишите её ещё раз и храните отдельно. Не фотографируйте её и не отправляйте ни в какие чаты, даже в собственный чат «Избранное».
Передача приватного ключа ИИ или загрузка на GitHub: вы вставляете приватный ключ в чат-бот или добавляете его в файл конфигурации и отправляете в репозиторий. В репозиториях работают боты, которые специально сканируют новые коммиты в поисках ключей. Считайте, что сид-фраза, которую вы куда-то вставили или отправили, уже скомпрометирована: переведите активы в новый кошелёк. Для сомнительных проектов тоже используйте отдельный небольшой кошелёк и регулярно меняйте его. ИИ может помочь проверить публичный адрес контракта или объяснить, что делает транзакция, но не может «хранить», «проверять» или «восстанавливать» сид-фразу. Если инструмент требует ввести сид-фразу, чтобы продолжить, закройте его.
Поддельные кошельки и расширения: мошенники копируют Binance Wallet, MetaMask и другие кошельки, распространяют их через рекламу или ссылки за пределами официальных магазинов приложений. После установки они предлагают импортировать сид-фразу. Устанавливайте кошельки только с официальных сайтов. В браузерных расширениях проверяйте имя разработчика и домен сайта, а не сходство значка. Если вы уже вводили сид-фразу в поддельное расширение, считайте её скомпрометированной и немедленно переведите активы.
Слишком широкие права API: для копирования сделок или работы с ботом вы передаёте незнакомой программе API-ключ с правом торговать и выводить средства. Утечка ключа позволит размещать ордера или выводить средства с вашего аккаунта. По умолчанию API должен быть доступен только для чтения. Если действительно нужно торговать, создайте отдельный ключ без права на вывод и привяжите его к IP-адресу. Не отправляйте ключи в чаты и заявки в поддержку и не оставляйте их на скриншотах. Не пользуйтесь ботами для копирования сделок, которым требуется право на вывод средств.
Подмена SIM-карты для перехвата SMS-кодов: ваш номер переносят на SIM-карту другого человека, после чего сбрасывают пароли от почты и биржи, а коды подтверждения получают сами. Для второго фактора используйте приложение-аутентификатор или аппаратный ключ, а не SMS как единственный способ защиты. Включите у оператора дополнительную защиту от переноса номера и перевыпуска SIM-карты. На бирже включите белый список адресов вывода и установите задержку перед активацией нового адреса. Защитите почту отдельным надёжным паролем, не совпадающим с паролем от биржи.
7. Ещё несколько распространённых ловушек
QR-коды: подменить могут и код для получения платежа, и код для входа — он может вести на фишинговый сайт. Перед сканированием проверьте домен, а после — что именно кошелёк просит подписать. При получении платежа лично сверяйте полный адрес, а не его сокращённую версию на экране.
Объявления и закреплённые сообщения в чатах: аккаунты владельцев и администраторов могут взломать, а после замены закреплённой ссылки целый чат может перейти и подписать вредоносное разрешение. Считайте объявление лишь подсказкой, а на сайт переходите из официальной закладки.
Комментарии и взломанные аккаунты с большой аудиторией: злоумышленники специально отвечают под популярными постами фразой «Получить на официальном сайте». После взлома известного аккаунта тоже могут появиться посты, похожие на обычные. Проверить наличие галочки недостаточно: откройте профиль и проверьте домен ссылки. Не подписывайте ничего в комментариях.
Сигналы, торговые рекомендации и «эксперты»: скриншоты гарантированной прибыли легко подделать. Если вас просят передать право на вывод средств через API или пополнить счёт на указанной платформе — вспомните два предыдущих пункта: выдавайте минимальные права, а если перед выводом просят заплатить ещё — остановитесь.
Использование одного компьютера и для работы, и для хранения крупных сумм: незнакомые установщики, взломанные программы и сомнительные «скрипты для нескольких аккаунтов» могут быть нужны только для подмены содержимого буфера обмена. Не держите крупные суммы в кошельке на таком компьютере.
8. Перед переводом или подписью уделите проверке 30 секунд
Я перешёл на эту страницу из закладки? Если нет — сначала закройте её.
У меня просят сид-фразу, код подтверждения, удалённый доступ или предлагают сначала отправить деньги? Если да — остановитесь.
Могу ли я одним предложением объяснить, что означает эта подпись? Если нет — откажитесь.
После подписи появилось ещё одно окно? Если да — закройте страницу.
Я проверил адрес целиком? Совпадения начала и конца недостаточно.
Сумма большая? Тогда сначала отправьте небольшую сумму, дождитесь зачисления и только потом переводите остаток.
Это безлимитное разрешение? Если да, установите ровно тот лимит, который нужен, а после использования отзовите разрешение.
Вас торопят? Чем сильнее торопят, тем медленнее нужно действовать. Легитимные деньги не исчезнут за 30 секунд, пока вы всё проверяете.
9. Если вы уже нажали — действуйте в таком порядке
Не начинайте с поиска тех, кто пишет в личные сообщения и обещает «вернуть» деньги. Сначала сделайте вот что:
Отключите устройство от сети: если компьютер заражён, на нём установлено неизвестное ПО или вы предоставляли удалённый доступ, не вводите на нём больше никаких сид-фраз.
Используя другое чистое устройство или аппаратный кошелёк, переведите оставшиеся активы в совершенно новый кошелёк. Если вы вводили старую сид-фразу на веб-сайте, отправляли кому-то или сохраняли в облаке, больше не используйте её.
На чистом устройстве отзовите разрешения для токенов, выданные старым адресом. Для отзыва потребуется подпись старого кошелька. Убедитесь, что инструмент проверки открыт из закладки.
Биржа: немедленно смените пароль, завершите все активные сеансы, сбросьте API-ключи, проверьте белый список адресов и историю последних выводов. Если код аутентификатора мог попасть к злоумышленникам, замените его.
Смените пароли от почты и мобильного аккаунта и проверьте, не настроена ли неизвестная переадресация. Если SMS не является единственным способом подтверждения, отключите его в важных аккаунтах.
Считайте этот адрес скомпрометированным. Больше не переводите на него деньги.
Сохраните хеши транзакций и время переводов, чтобы при необходимости предоставить их бирже или правоохранительным органам. Шанс заморозить средства невелик, но это всё равно разумнее, чем отдавать остаток денег тем, кто обещает их «вернуть».
Надеюсь, эта статья поможет вам избежать многих ловушек. Поделитесь ею с друзьями. Спасибо за внимание!