Масштаб угрозы
Для частного владельца криптовалюты главная повседневная угроза — не взлом протоколов, а фишинг и социальная инженерия. Картину года задают два отчёта, вышедшие в январе 2026 года. По данным отчёта Chainalysis о мошенничестве, мошенники получили в блокчейне за 2025 год не меньше 14 млрд долларов (оценку за 2024 год пересмотрели с первоначальных 9,9 млрд примерно до 12 млрд), а итог за 2025 год, по ожиданиям компании, превысит 17 млрд по мере выявления новых адресов. Быстрее всего росла категория «выдачи себя за других» — поддельные госорганы, поддельная поддержка бирж: примерно на 1 400 % за год. Схемы, связанные в блокчейне с продавцами ИИ-инструментов, приносили в среднем около 3,2 млн долларов на операцию против примерно 719 тыс. у остальных.
Отчёт Scam Sniffer за 2025 год считает только фишинг через подписи для дрейнеров: 83,85 млн долларов, украденных примерно у 106 тыс. жертв, — на 83 % меньше, чем 494 млн в 2024 году. При этом крупнейший случай 2025 года (около 6,5 млн долларов) пришёлся на одну-единственную подпись Permit, а среди случаев с ущербом больше 1 млн долларов на подписи Permit и Permit2 пришлось около 38 % потерь. Вывод: массовые кампании дрейнеров сокращаются, а обман с выдачей себя за других и эксплуатацией доверия растёт. К тому же многие жертвы никуда не заявляют, так что любые публичные цифры занижают реальные потери.
Ниже — атлас схем, действующих в 2025–2026 годах: как устроена каждая, как она обычно выглядит, как защититься. Список не исчерпывающий — новые варианты появляются каждый месяц, — но он охватывает схемы, на которые приходится основная часть потерь.
Слой 1: поддельная поддержка и чужие имена
Поддельная поддержка в Telegram. Аккаунт с именем вроде @Binance_Support_US, эмодзи-галочкой или платным значком Premium и толпой купленных подписчиков пишет вам первым: мол, замечен подозрительный вход, и для проверки нужно ввести 12 слов в «бот безопасности». За ботом сидит человек с дрейнером. Обычно такое сообщение приходит через несколько часов, а то и минут после того, как вы публично пожаловались на задержку вывода: мошенники отслеживают такие жалобы и уже знают, на какую биржу вы злитесь. Защита: биржи не пишут клиентам первыми — никогда. Любое непрошеное сообщение от «поддержки» в Telegram, WhatsApp или X — мошенничество, какой бы ни был ник и значок: Premium — просто платная подписка, а галочка в имени ничего не стоит.
Фальшивые номера поддержки в рекламе поисковика. По запросу «телефон поддержки [биржи]» первой строкой выходит реклама с аккуратной страницей и номером телефона. Вы звоните, у вас спрашивают почту и паспортные данные, а потом «для проверки» просят продиктовать код из приложения-аутентификатора — и мошенник уже в вашем аккаунте. Защита: у некоторых бирж телефонная поддержка действительно есть, но доверять можно только номеру из справочного центра самой биржи, открытого вручную набранным адресом или из приложения. Номер из рекламы в поиске считайте мошенническим. И ни один настоящий сотрудник не попросит продиктовать код, пароль или seed-фразу.
«Помощники» в ответах X. Вы пишете жалобу, упоминая аккаунт биржи, и за полторы минуты получаете три ответа от аккаунтов вроде @CoinbaseSupport_US или @CoinbaseHelp_Official — с логотипом биржи на аватарке и предложением помочь в личке. Переписка заканчивается на поддельном сайте «верификации», который собирает seed-фразы. Защита: ник с довеском («_Support», «_Help», «_Official», «_Care» или цифрами в конце) — подделка по определению. Настоящие аккаунты короткие и чистые. Блокируйте всех подозрительно быстрых двойников и не принимайте от них предложений в личке.
Слой 2: ловушки в подписях
setApprovalForAll на NFT-контрактах. Поддельная страница «получения BAYC второго сезона» или «верификации OpenSea» просит подпись с пометкой setApprovalForAll. Эта подпись разрешает адресу мошенника переводить все NFT этой коллекции, которые есть или когда-либо будут в кошельке, — после чего дрейнер вызывает transferFrom уже без вашего участия. Коллекционер подписывает что-то похожее на «проверку права на дроп», и через несколько минут из кошелька уходят все NFT одобренных коллекций — не одна штука, а целиком. Защита: настоящие дропы либо забирают транзакцией с вызовом claim по дереву Меркла (одобрение не нужно), либо проект сам переводит токены (подписывать ничего не нужно). Если страница «получения» просит setApprovalForAll — это дрейнер. Что делать: немедленно отозвать одобрение на revoke.cash, пока NFT ещё не вывели.
Подписи Permit (EIP-2612) и Permit2. Поддельная DEX просит подписать Permit или PermitBatch. Подпись бесплатна и выглядит безобидно — в момент подписи никакая транзакция в сеть не уходит. Но она даёт адресу мошенника право тратить подписанные токены, и дрейнер вызывает transferFrom сразу, как только передаёт подпись в сеть. Подвох в том, что до этого момента в блокчейне ничего нет, и revoke.cash угрозу не увидит. Окно для защиты — между подписью и её отправкой в сеть, часто меньше минуты.
Защита от Permit: никогда не подписывайте Permit, PermitSingle или PermitBatch на сайте, куда вы попали по ссылке из Telegram, личного сообщения в Discord или рекламы в поиске. Подписывайте Permit только на сайтах из закладок — у протоколов, которыми уже не раз пользовались. Если подписали по ошибке, переведите все токены на новый кошелёк быстрее, чем дрейнер отправит подпись: счёт идёт на минуты.
Делегирование сеансовых ключей — новый слой. Поддельный сервис «защиты от MEV» или предложение «обновить кошелёк до смарт-кошелька» просит подписать сеансовый ключ. Сеансовые ключи, появившиеся с EIP-7702 и связанными обновлениями Ethereum, передают право подписи стороннему адресу в заданных пределах и на заданный срок. Вредоносное делегирование позволяет мошеннику подписывать транзакции от имени вашего кошелька ближайший час, день или бессрочно. Защита: настоящие сервисы защиты от MEV (Flashbots Protect, MEV Blocker, CoW Swap) делегирования сеансового ключа не требуют — они работают за счёт смены RPC-адреса. Любой сервис, который ради «защиты от MEV» просит сеансовый ключ, — мошеннический.
Слой 3: поддельные программы
Поддельные расширения браузера. В Chrome Web Store появляется «MetaMask Pro» или «Uniswap+ Trading» с купленными отзывами и аккуратной иконкой. После установки расширение читает каждую страницу, включая обращения кошелька к сети, встраивает свой код в окна кошелька, подменяет адрес получателя до того, как MetaMask попросит подтверждения, и незаметно отправляет заранее подготовленные подписи Permit. Защита: ставьте кошельковые расширения только по ссылкам с официального сайта кошелька (metamask.io), а не через поиск в магазине. Проверяйте, что имя разработчика совпадает до символа. Заведите отдельный профиль браузера, где кроме кошелька стоит разве что блокировщик рекламы.
APK в обход магазина. В Telegram-группе «с сигналами» раздают APK «Binance Pro Mobile» или «Trust Wallet Plus». Человек ставит его в обход магазина, входит со своими настоящими данными и проходит SMS-подтверждение на том же телефоне. Приложение в реальном времени пересылает мошенникам каждый пароль, код и API-ключ; пользователь видит рабочий интерфейс, а аккаунт тем временем опустошают. Защита: никогда не ставьте финансовые приложения в обход магазина. У Google Play есть свои проблемы, но приложение там хотя бы проверяли. APK из Telegram, Discord или Reddit обходят все уровни защиты. Навсегда запретите установку приложений из неизвестных источников в настройках Android.
Поддельные приложения в App Store. В App Store появляется «Trust Wallet» от разработчика «Trust-Wallet Inc.» (на один символ отличается от настоящего «Trust Wallet, Inc.») с 8 000 купленных отзывов. Проверку приложение проходит, потому что для проверяющего ведёт себя нормально, а seed-фразу отправляет мошенникам только тогда, когда пользователь импортирует фразу с заметным балансом. Защита: сверяйте имя разработчика с официальным сайтом кошелька. Trust Wallet и MetaMask публикуют ссылки на App Store и Play Store прямо на своих сайтах — переходите с сайта в магазин, а не наоборот.
Слой 4: долгая социальная инженерия
«Разделка свиньи». Знакомство в приложении для знакомств или соцсети, недели и месяцы общения, а потом «партнёр» между делом рассказывает о платформе для торговли криптовалютой, на которой сам хорошо заработал. Платформа поддельная, но выглядит настоящей: KYC работает, графики правдоподобные, депозиты проходят, мелкие выводы тоже. А крупный вывод требует «налога» или «сбора за верификацию» — это и есть финальный удар. По данным Chainalysis, такие схемы — одна из крупнейших категорий мошенничества; их ведут в промышленных масштабах из охраняемых комплексов в Камбодже, Мьянме и Лаосе, где, по данным правозащитных докладов ООН, работать по сценариям заставляют жертв торговли людьми. Защита: любая «инвестиционная возможность» от нового знакомого из приложения или соцсети — мошенничество. До депозита поищите «название платформы + мошенники». Никогда не платите «налог» за вывод: настоящая биржа не берёт денег за то, чтобы отдать ваши же средства.
Поддельные службы возврата — второй удар. Человек, уже потерявший деньги, ищет в интернете «вернуть украденную криптовалюту» и по рекламе попадает на «ChainGuard Forensics» или похожую контору: вылизанный сайт, заявленное «партнёрство с ФБР», «300 млн возвращённых средств» на главной. С него берут «сбор за открытие дела» плюс процент от возвращённого, потом — «сбор за международное сотрудничество», после чего контора исчезает. Защита: настоящие компании блокчейн-аналитики (TRM Labs, Chainalysis, Elliptic) работают с правоохранительными органами и крупными организациями, а не с частными пострадавшими, и в поисковиках не рекламируются. Любая «служба возврата» с предоплатой — мошенничество. Если деньги и возвращают, то через правоохранительные органы, а не через частные фирмы.
Раздачи с дипфейками. «Прямой эфир» на YouTube, где сгенерированный CZ, Виталик, Илон Маск или Майкл Сэйлор объявляет раздачу биткоинов: «отправьте любую сумму на этот адрес — получите вдвое больше». Видео крутится по кругу, чат пишут боты с поддельными отзывами, а адрес принадлежит мошеннику. Защита — простая логика: кто хочет раздать криптовалюту, просто отправит её на известные адреса, и получателю не нужно ничего присылать первым. Схема «отправь X — получи 2X» существует только затем, чтобы забрать деньги у отправителя; честного варианта такого предложения за всю историю криптовалют не было.
Слой 5: аппаратные кошельки и цепочка поставок
Подержанные устройства с заранее заданной фразой. На барахолке продают «новый в коробке» Ledger Nano X дешевле официальной цены. Продавец заранее настроил устройство на известную ему фразу и аккуратно запечатал коробку заново. Покупатель настраивает кошелёк, видит на экране «новую» фразу (на самом деле ту самую, заранее известную), пополняет кошелёк — и через несколько недель средства уходят. Защита: покупайте аппаратные кошельки только на официальном сайте производителя — ledger.com, trezor.io, coinkite.com (для Coldcard). Никаких маркетплейсов, даже если там написано «продаёт [бренд]», и никаких барахолок. Если всё-таки купили с рук, сбросьте устройство (три неверных PIN-кода на Ledger или сброс до заводских настроек на Trezor), настройте заново и убедитесь, что новая фраза не совпадает ни с какой из показанных раньше.
«Замена» устройства по почте. Приходит бумажное письмо с фирменным оформлением Ledger о «бесплатном обновлении безопасности» из-за утечки клиентской базы 2020 года. Через две недели — посылка с чем-то похожим на новый Ledger, а в инструкции просят ввести свои 24 слова «для переноса средств». Новое устройство — клиент дрейнера. Защита: производители аппаратных кошельков никогда не присылают устройства без запроса. Утечке Ledger уже больше пяти лет, и никакая настоящая программа исправления не проводится спустя столько времени. Любая непрошеная посылка с устройством — мошенничество, как бы убедительно ни выглядела упаковка.
Подмена прошивки в цепочке поставок. Кошелёк, купленный не у производителя, приходит с изменённой прошивкой. Выглядит и работает он как настоящий, но фраза восстановления, которую он показывает при настройке, известна не только вам. В 2023 году «Лаборатория Касперского» описала такой поддельный Trezor: его купили через сайт объявлений, и вместо случайной фразы его прошивка выдавала одну из 20 заранее заданных.
Защита от подмены: покупайте напрямую у производителя. При первом включении проверьте подпись прошивки в программе самого производителя (Ledger Live, Trezor Suite). Настраивайте устройство сами: фраза восстановления должна создаваться на устройстве у вас на глазах, а устройство, которое пришло с уже заполненной или напечатанной на карточке фразой, сразу возвращайте. Парольная фраза BIP-39 защищает на случай, если фраза восстановления скомпрометирована ещё на этапе поставки.
Слой 6: мосты и переводы между сетями
Поддельные мосты. По запросу вроде «мост USDC Arbitrum Solana» первой строкой выходит реклама сайта с названием вроде «universalbridge.io», похожего на солидный агрегатор мостов. Пользователь одобряет трату USDC и запускает перевод. Средства уходят из исходной сети, а в целевую ничего не приходит: никакого моста нет, есть только пара кошельков мошенников. Защита: пользуйтесь только проверенными аудитом мостами, которые работают не первый год: для USDC — CCTP от Circle, для остальных активов — Wormhole, Stargate, Across, deBridge. Находите мосты через официальную документацию сетей (Arbitrum, Solana), а не через поисковик. Сначала переведите небольшую пробную сумму и убедитесь в обозревателях обеих сетей, что транзакции видны, — и только потом переводите всё.
Перевод не в ту сеть. Это не мошенничество, но собственная ошибка, которая случается достаточно часто. Пользователь выводит USDT с биржи на аппаратный кошелёк и выбирает не ту сеть (BSC вместо Ethereum). Перевод подтверждается в другой сети. Если адрес получателя ваш и кошелёк поддерживает эту сеть, средства можно увидеть, просто добавив сеть в кошелёк. Если же получатель — биржа, всё зависит от неё: может быть комиссия, обычно это долго, и возврат не гарантирован.
Защита: на каждом экране вывода есть выбор сети — проверяйте, что она совпадает с сетью кошелька-получателя. Перед крупным выводом отправьте небольшую пробную сумму. Сохраните адреса в адресной книге биржи с пометкой сети.
Слой 7: новые схемы 2025–2026 годов
Токены-приманки. В MetaMask появляется никому не нужный токен с названием под настоящий дроп («USDT Airdrop Reward», «BlackRock Bitcoin ETF Claim», «USDC Compensation Pool»). В описании контракта — ссылка на сайт «получения», а тот использует уже выданные вами одобрения (например, USDT на Uniswap), чтобы вывести активы. Сам токен целью не является — это наживка. Защита: непрошеные токены — приманка, а не подарок. Скройте их, не нажимайте на адрес контракта и не заходите на их сайты «получения». Раз в месяц проверяйте свои одобрения на revoke.cash, чтобы ограничить ущерб, если приманка всё же сработает.
«Позднее получение» дропа. Человек пропустил снапшот настоящего дропа. Через несколько дней на его жалобу в X отвечает поддельный аккаунт «Foundation Late Claim Portal» и предлагает получить право задним числом — нужно лишь подписать сообщение. Подпись оказывается пакетным Permit2 на все его токены ERC-20. Защита: снапшот окончателен. Настоящие проекты не открывают порталов «второго шанса», и само предложение получить право задним числом доказывает, что это обман.
Фишинг через абстракцию аккаунтов. По мере того как смарт-кошельки (ERC-4337) становятся нормой, появляются новые типы подписей — и каждый новый тип даёт мошенникам новую лазейку: пользователи ещё не знают, что тут нормально, а что опасно. В 2026–2027 годах эта категория, скорее всего, будет расти. Защита: если кошелёк показывает тип подписи, которого вы раньше не видели, не подписывайте. Сначала прочитайте документацию к этому типу подписи. Лучше пропустить дроп, чем потерять кошелёк.
Если вас уже обманули: 30 минут на спасение
Минуты 0–5: возьмите чистое устройство, на котором никогда не было скомпрометированного кошелька, создайте новую seed-фразу на новом аппаратном кошельке и запишите новые адреса. Минуты 5–15: переведите со скомпрометированного кошелька стейблкоины — USDC, USDT, DAI, именно в таком порядке: их мошенники выводят в первую очередь. Минуты 15–25: ликвидные крупные монеты — ETH, BTC, SOL, BNB, затем ценные NFT. Минуты 25–30: всё остальное, что не заблокировано в стейкинге, после чего отзовите все одобрения на revoke.cash.
Скомпрометированный кошелёк теперь пуст. Не оставляйте его «для мелочи»: он навсегда в очереди у мошенника и будет опустошён, как только на нём снова что-то появится. В первый час после спасения средств проверьте все связанные сервисы на одобрения и адреса пополнения, подайте заявление в полицию со всеми хешами транзакций и считайте скомпрометированными все связанные учётные данные — почту, входы на биржи, менеджеры паролей, — пока не убедитесь в обратном.
Схемы, с которыми сталкиваются русскоязычные пользователи
Распространённая схема в Telegram — поддельная поддержка бирж, например Bybit, OKX или Bitget. Мошенник заводит канал с логотипом и ником в духе @Bybit_Support_RU, @OKX_Help_Officia1 (с подменой одной буквы), накручивает подписчиков ботами и ждёт, пока жертва сама напишет в публичный чат биржи о проблеме с выводом. В тот же момент в личку приходит «модератор» с QR-кодом для «подтверждения адреса». Типичный финал: «поддержка» отправляет на сайт-клон с похожим доменом, зарегистрированным буквально накануне, просит «пройти верификацию» — и после ввода данных USDT уходят с аккаунта. Правило: настоящие сотрудники биржи никогда не пишут первыми, не просят seed-фразу и не присылают ссылки на верификацию вне основного домена. Открывайте биржу только из официального приложения или из закладки с вручную набранным адресом; ссылка из личных сообщений — всегда фейк.
Громкие закрытия бирж тоже становятся поводом для обмана. После санкций OFAC против Garantex (апрель 2022 года) и изъятия её инфраструктуры в марте 2025 года бывшим клиентам могут предлагать «вернуть» замороженные средства за аванс — «комиссию юристу» или «госпошлину». Это тот же приём, что и у поддельных служб возврата: никто не возвращает деньги закрытой биржи через Telegram за предоплату.
Та же «разделка свиньи» встречается и в группах в соцсетях: сообщество, накрученное ботами, «личные истории» о быстром заработке, затем приватный чат с «наставником», приложение по APK-файлу или ссылке на поддельный магазин, имитация растущего баланса — и при попытке вывода требование «налога» с прибыли. С точки зрения закона это мошенничество (ст. 159 УК РФ), но вернуть переведённое удаётся редко: деньги уходят на карты подставных лиц.
Подмена SIM-карты остаётся угрозой и для владельцев российских номеров. Сценарий всегда один: мошенник получает ваш номер, заходит на биржу через SMS-подтверждение, меняет пароль и выводит средства. Защита: перенести 2FA с SMS на приложение-аутентификатор или аппаратный ключ вроде YubiKey, у оператора установить кодовое слово на любые действия с номером и, если оператор это предлагает, запрет на замену SIM без личного визита, а номер, привязанный к бирже, нигде не светить.
И горькая правда напоследок. При взломе кошелька чаще всего теряется всё, что на нём было, и план спасения срабатывает, только если беду заметили рано. Вернуть средства через правоохранительные органы удаётся редко: эмитенты стейблкоинов (Tether, Circle) замораживают адреса по запросам ведомств, но международное взаимодействие для российских органов ограничено (членство России в FATF приостановлено с февраля 2023 года), а перевод в сетях вроде BSC и Tron нельзя «отменить» на уровне самой сети. Даже инструменты блокчейн-аналитики вроде Chainalysis Reactor позволяют проследить деньги, но не вернуть их, — так что рассчитывайте, что потерянное не вернётся. Стыд — главное оружие мошенника: он заставляет молчать, поэтому расскажите о случившемся близким — ваши ошибки не уникальны, на те же схемы попадаются тысячи людей. И главное: защита держится не на подозрительности, а на устройстве хранения. Стройте его так, чтобы одна ошибка не стоила вам всего: разделение по сетям, небольшие суммы в горячих кошельках, аппаратное устройство для подписи, вручную набранный адрес биржи и пауза перед любым действием, начатым по чужому сообщению.