Кража и взлом

Кошелёк опустошили: дрейнеры, разрешения и что сделать в первый час

Кошельки не «взламывают» так, как это обычно представляют. Почти всегда произошло одно из пяти конкретных событий, и от того, какое именно, зависит, что нужно делать в следующие шестьдесят минут и находятся ли остальные ваши активы под угрозой прямо сейчас. Начните с разбора ниже и действуйте в указанном порядке. Платных инструментов здесь не нужно, и сид-фраза не понадобится нигде.

Обновлено 16 октября 2026 · около 12 минут чтения

Сначала — остановить утечку

Если в кошельке ещё что-то осталось, порядок важнее скорости:

• Считайте кошелёк навсегда небезопасным. Если сид-фраза или приватный ключ скомпрометированы, внутри этого кошелька не помогает ничего: ни смена пароля, ни переустановка приложения, ни отзыв разрешений — ключи у того, у кого они есть, обратно не забрать.
• Создайте новый кошелёк на чистом устройстве, желательно не на том, с которого работали, и запишите новую сид-фразу на бумаге. Есть аппаратный кошелёк, никогда не связанный со скомпрометированной фразой, — используйте его.
• Выводите остатки, начиная с самого дорогого. Будьте готовы к ловушке: за адресом с утёкшей фразой часто следит бот, и он забирает любой газ, который вы туда пришлёте. Отправляйте минимально возможную сумму на газ и выводите ценный актив в ту же минуту — либо используйте возможность кошелька сделать это одной связкой.
• Стейкинг, залоги и вестинг: выходите, только если выход мгновенный. Если есть период разблокировки, то и злоумышленник, как правило, забрать это не может — не надо в панике раз за разом отправлять газ на наблюдаемый адрес. По этому шагу лучше спросить помощь, чем импровизировать.
• NFT и мелкие балансы — в последнюю очередь. Люди теряют крупные позиции, пока спасают токен за двадцать долларов.
• Если потеря с биржевого аккаунта, а не с собственного кошелька, приоритеты другие: сменить пароль и пароль почты, удалить незнакомые API-ключи и адреса вывода, заново настроить двухфакторную защиту и сразу написать в поддержку — см. руководство по биржам.

Пять способов, которыми это происходит

• 1. Сид-фраза ушла с бумаги или из головы. Фото в галерее, заметки, почта, облачная синхронизация, взломанный менеджер паролей, ввод на странице «проверки кошелька» или «синхронизации», передача «поддержке». Это причина номер один с большим отрывом, и именно она объясняет случаи, когда опустошили сразу несколько сетей и несколько адресов одной фразы.
• 2. Подпись, которую дали вы, а не украденный ключ. Вы подключились к сайту и подтвердили операцию — approve, increaseAllowance, setApprovalForAll, permit или слепую подпись непонятных данных. Сайт выглядел как минт, получение airdrop, страница стейкинга, игра, «инструмент отзыва разрешений» или форма поддержки кошелька. С таким разрешением злоумышленник тратит конкретные токены когда захочет, иногда через несколько дней, и ваш ключ ему не нужен вообще. Признак: ушли только отдельные токены, монета сети осталась, а исходящую операцию подписал чужой адрес.
• 3. Вредоносная программа на устройстве. Стилеры выгребают данные расширений браузера и файлы; подменщики буфера меняют скопированный адрес на свой; поддельное приложение или «взломанная» программа ставит удалённый доступ. Здесь первым шагом идёт чистое устройство, а не новый кошелёк на той же машине.
• 4. Живая социальная инженерия. «Поддержка» кошелька или биржи, «служба безопасности» со звонком про подозрительный вход, собеседование с просьбой запустить код, модератор в Discord или Telegram с «ботом верификации». Цель одна: сид-фраза, показ экрана или одна подпись.
• 5. Захват аккаунтов вокруг кошелька. Подмена SIM-карты, взлом почты, пароль из утечки, который вы где-то повторили. Бьёт по кастодиальным аккаунтам и по всему, что восстанавливается через телефон или почтовый ящик.

Подмена адреса — когда платёж ушёл на адрес, похожий на нужный, — это совсем другой механизм, и у него своя страница: кража через подмену адреса.

Как понять, какой был ваш

Это не любопытство: ответ говорит, что ещё скомпрометировано, и составляет основу любого заявления.

• Откройте адрес в обозревателе блокчейна и посмотрите исходящие операции в момент потери. Кто платил газ и подписывал? Отправитель — ваш адрес, значит использовали ваш ключ. Операцию отправил другой адрес, а ваши токены ушли как transferFrom, значит дело в разрешении.
• Забрали ли монету сети? Подчистили всё, включая газ, — похоже на утёкший ключ. Ушли отдельные токены, а монета сети осталась — похоже на разрешение.
• Пострадало несколько сетей или несколько адресов одной фразы? Это сид-фраза, а не сайт.
• Проверьте разрешения. В самом кошельке есть экран разрешений: видно, что адрес разрешил и кому. Отзывать имеет смысл и после потери — неиспользованное разрешение остаётся открытым, — но отзывайте из скомпрометированного кошелька только после того, как всё ценное из него вышло, и помните, что отзыв стоит газ и ничего не возвращает.
• Восстановите последние 72 часа: каждый сайт, к которому подключались, каждый открытый файл, каждый, кто вам писал, каждое установленное приложение, каждая страница, где вы вводили что-то похожее на форму кошелька. Запишите, пока помните.
• Проверьте почту и телефон: новые правила пересылки, незнакомые входы, недавняя замена SIM-карты или период без связи. Если взломан почтовый ящик, его нужно починить раньше всего остального.

Как собрать всё заново и безопасно

• Сначала чистое устройство. Если заражение хотя бы вероятно, не создавайте новый кошелёк на той же машине. Честный ответ — полная переустановка системы; антивирус на уже заражённой машине таким ответом не является.
• Новая фраза, созданная без сети, записана на бумаге, не сфотографирована, не введена ни на одной веб-странице, не сохранена в облачной заметке. Для существенных сумм — аппаратный кошелёк.
• Разделите кошельки по задачам: «горячий» с небольшими суммами для походов по сайтам и хранилище, которое не подключается никуда. Большинство потерь от дрейнеров при таком разделении были бы мелкими.
• Относитесь к каждой подписи как к платежу. Читайте, что именно кошелёк предлагает подтвердить; неограниченные разрешения и setApprovalForAll заслуживают паузы, а непонятная слепая подпись — отказа.
• Соберите заново и слой аккаунтов: уникальные пароли, двухфакторная защита приложением или ключом вместо SMS, запрет на замену SIM у оператора, почта для восстановления, которая нигде не публикуется.
• Старый адрес больше не используйте и не «проверяйте» его маленьким переводом. Наблюдатели смотрят месяцами.

Отслеживание: что ещё возможно

• Пройдите один-два шага по цепочке сами в публичном обозревателе. Вам нужен ровно один факт: доходит ли след до регулируемой компании — адреса пополнения биржи, платёжного сервиса, моста с оператором? Там и есть рычаг. Метод — в первых 48 часах.
• Если украденные USDT или USDC ещё лежат на адресе, эмитенты умеют блокировать адреса и делают это по требованию органов. Для перевода в биткоине или эфире такого пути нет.
• Быстро отправьте запрос о заморозке любой бирже или эмитенту на пути денег и сообщите им адрес получателя. Письмо есть в наших бесплатных образцах.
• Подайте заявление в полицию и получите номер — без него биржа чаще всего только «принимает к сведению»: как составить заявление.
• Платный отчёт об отслеживании нужен только тогда, когда он куда-то ведёт. Если средства закончились на адресе, за которым никого нет, или прошли через миксер, отчёт — документ, а не средство. Кто продаёт отслеживание, не сказав этого заранее, продаёт надежду.
• Дрейнеры — это сервис с операторами. Значительная часть таких потерь идёт через несколько известных структур, чью инфраструктуру иногда изымают. Поэтому сообщать точную подпись и домен важно не только для вашего дела.

Что не помогает никогда

• «Белые хакеры», которые достанут ваши монеты. Никто не может перевести средства с адреса, которым не распоряжается.
• Любой, кто просит сид-фразу, приватный ключ, удалённый доступ или показ экрана. Без исключений.
• Оплата вперёд за обещанный возврат. Это второй обман, который ведут по спискам пострадавших: проверьте предложение бесплатной проверкой из семи вопросов и прочитайте признаки.
• Расширения и приложения «для возврата». Часть из них — те же дрейнеры, нацеленные на людей, которых только что обчистили.
• Ожидание. Окно, пока средства ещё опознаваемы в точке обналичивания, — это часы и дни, а не месяцы.