Кража и взлом

Кража через подмену адреса: деньги ушли не туда

Вы скопировали адрес, сверили первые и последние символы, отправили перевод — а он пришёл не тому. Это не невнимательность. Это целенаправленная атака, у которой четыре известных варианта, и в некоторых из них деньги ещё можно вернуть, потому что они попали на счёт компании, а не на анонимный адрес. В каком из случаев вы оказались, решает первый час.

Обновлено 16 октября 2026 · около 11 минут чтения

Четыре способа подменить адрес

• 1. Отравление истории адресами-двойниками. Злоумышленник подбирает адрес, у которого первые и последние символы совпадают с адресом, которым вы уже пользовались, и присылает вам транзакцию ни на что: нулевой перевод, пыль или поддельный токен с именем настоящего. Смысл только один — поместить свой адрес-двойник в вашу историю операций. Потом вы копируете «тот адрес, на который отправляли в прошлый раз» из истории — и копируете их. Совпадает всё, кроме середины.
• 2. Подмена буфера обмена. Вредоносная программа на устройстве следит за буфером и заменяет любой скопированный криптоадрес своим. Вы вставляете не то, что копировали. Этот вариант достаёт и владельцев аппаратных кошельков — тех, кто сверяет адрес на экране компьютера, а не на экране самого устройства.
• 3. Подменённый счёт на оплату. Взломанный почтовый ящик, взломанный сайт или рабочий чат, где кто-то меняет реквизиты: переписка с контрагентом продолжается как обычно, меняется только адрес кошелька, иногда с фразой «мы обновили реквизиты». Это криптоверсия подмены счёта, и суммы здесь обычно самые крупные из четырёх.
• 4. Поддельный интерфейс. Фишинговая копия сайта, вредоносное расширение браузера или подменённое приложение кошелька, которое показывает одного получателя, а подписывает другого. Подпись, которую вы подтвердили, и экран, который вы прочитали, — это были разные вещи.

Первый час

• Больше ничего не отправляйте, в том числе на «правильный» адрес, пока не выяснили, не скомпрометированы ли устройство и почта. Повторные платежи в ту же ловушку — обычное дело.
• Запишите факты обычным текстом: хеш транзакции, ваш адрес, адрес, который получил деньги, правильный адрес, который вы собирались указать, сумма, актив, сеть, дата и время с часовым поясом.
• Поставьте оба адреса рядом целиком и сохраните это сравнение — это самое наглядное доказательство подмены и первое, на что смотрит сотрудник комплаенса.
• Откройте адрес получателя в обозревателе блокчейна и посмотрите, что происходит дальше. Деньги лежат или уходят через минуты? Куда?
• Проверьте, не принадлежит ли адрес сервису. Обозреватели подписывают многие адреса пополнения и горячие кошельки бирж. Если подпись есть, пишите об этом в каждом сегодняшнем письме — это меняет набор возможностей.
• Сразу отправьте запрос о заморозке бирже или эмитенту стейблкоина, с хешами и полным сравнением адресов. Для этого и сделан наш бесплатный образец запроса.
• Проверьте устройство и почту. При подмене буфера считайте машину заражённой и переустановите систему; при подмене счёта предупредите контрагента по другому каналу, не в той же переписке, и проверьте правила пересылки писем с обеих сторон.
• Если подменили счёт, сообщите и в банк, когда хоть часть цепочки платежей была в обычных деньгах, и подайте заявление в полицию с номером регистрации: как его составить.

Кто получил деньги и помогает ли это

Это и есть главный вопрос, и ответ обычно видно за несколько минут:

• Адрес пополнения биржи. Лучший случай. За ним стоит установленный аккаунт в компании, у которой есть комплаенс. Быстрый и аккуратно составленный запрос — хеши, оба адреса целиком, сумма, номер заявления, если он уже есть, — иногда приводит к удержанию средств. Гарантий нет, и кто владелец счёта, вам не скажут, но именно в этом сценарии деньги действительно возвращаются, и исход зависит от того, насколько быстро и точно вы напишете.
• Стейблкоин на неподписанном адресе. Эмитенты USDT и USDC умеют блокировать адреса и делают это по требованию органов. Сообщите эмитенту и укажите это в заявлении; путь существует, но идёт через органы, а не напрямую от вас.
• Адрес, который сразу дробит и пересылает дальше. Признак организованной группы. Реально вы тогда собираете материал для дела, а не возвращаете деньги сегодня, и ценность в том, чтобы довести след до точки обналичивания — см. первые 48 часов.
• Миксер или переход в другую сеть. Здесь стоит быть честным с собой: отчёт об отслеживании, заканчивающийся миксером, — документ, а не средство. Консультант, который говорит это до оплаты, честен; тот, кто обещает возврат, — нет: пройдите бесплатную проверку из семи вопросов.

Другой случай: вы ошиблись сами

Не каждый перевод «не туда» — кража, и как раз эти случаи чаще всего поправимы:

• Адрес верный, сеть не та. Токены, отправленные на ваш же адрес в другой сети, обычно остаются вашими: тем адресом в другой сети распоряжается та же сид-фраза, и нередко достаточно добавить сеть и контракт токена в кошельке.
• Отправили на биржу в неподдерживаемой сети или токен, которого у неё нет. У многих площадок есть процедура восстановления таких пополнений, иногда платная. Она медленная, но срабатывает гораздо чаще, чем принято думать. Напишите в поддержку с хешем и попросите именно процедуру возврата пополнения, отправленного не в той сети.
• Отправили на адрес смарт-контракта. Как правило, не вернуть — если только у контракта нет функции спасения средств и оператора, готового её применить.
• Отправили на личный кошелёк незнакомого человека. Технически сделать нельзя ничего. Иногда вежливое сообщение, приложенное к маленькой транзакции, получает ответ; рассчитывать на это не стоит.
• Забыли memo или тег при пополнении биржи — это стандартное обращение в поддержку со стандартным решением. Сохраните хеш и точное время.

Как сделать так, чтобы это стало невозможным

• Никогда не копируйте адрес из истории операций. Отравление истории построено именно на этом. Копируйте из источника: из актуального сообщения контрагента, со страницы пополнения биржи, из своей сохранённой адресной книги.
• Пользуйтесь адресной книгой. Сохраняйте проверенные адреса с именами в кошельке, а на биржах включите белый список адресов вывода и задержку на добавление новых.
• Сверяйте адрес целиком, а не концы. Четыре символа с каждой стороны — это ровно тот шаблон, который подбирают злоумышленники. Сверяйте середину, а лучше — посимвольно и на том устройстве, которое подписывает.
• Проверяйте на экране аппаратного кошелька. Это единственный экран, который вредоносная программа на компьютере переписать не может.
• Сначала пробный перевод для любой крупной или первой отправки, и подтверждение получения по второму каналу, прежде чем отправлять остальное.
• Изменение реквизитов подтверждайте голосом, по номеру, который у вас уже был, и никогда ответом на письмо, в котором об изменении сообщили.
• Скрывайте пыль и незнакомые токены в кошельке, чтобы записи-двойники перестали появляться рядом с настоящими, и никогда не взаимодействуйте с токеном, который вы не ждали.
• Держите подписывающие устройства скучными: без «взломанных» программ, без расширений, которые вы не можете назвать, и с отдельным кошельком для походов по новым сайтам — об этом подробнее в руководстве про опустошение кошелька.

Если деньги дошли до площадки, которую можно назвать, сегодня скорость важнее всего остального — опишите ситуацию, и мы бесплатно скажем прямо, есть ли рычаг и что именно отправлять.