Клиппер (clipper malware) — вредоносная программа, которая следит за буфером обмена и, заметив там адрес криптокошелька, незаметно подменяет его адресом злоумышленника. Пользователь вставляет то, что считает «правильным адресом», подписывает транзакцию — и отправляет деньги мошеннику. В 2026 году буфер обмена остаётся одним из самых незащищённых мест на обычных компьютерах с Windows и телефонах с Android.
Как это работает на компьютере жертвы
Три составляющие.
Фоновый процесс, который следит за буфером обмена. Написать такой несложно под любую современную систему: он работает постоянно, почти не нагружает компьютер и ничем себя не выдаёт.
Распознавание адресов. У адресов Bitcoin характерное начало («1», «3», «bc1»), адреса Ethereum — 42-символьные шестнадцатеричные строки, начинающиеся с «0x». По регулярным выражениям программа узнаёт их в момент копирования.
Подмена. Найденный адрес заменяется адресом злоумышленника из заранее заданного списка. Иногда злоумышленник держит много адресов, чтобы их было труднее заблокировать, иногда использует подобранные адреса, внешне похожие на популярные адреса получателей.
Почему это трудно заметить
После вставки адрес обычно никто не перечитывает. Правило «всегда проверяй первые четыре и последние четыре символа» против этой атаки работает, но мало кто соблюдает его постоянно. Именно на этой невнимательности играют подобранные адреса: скажем, Bitcoin-адрес, начинающийся с «bc1qyourwallet…», для жертвы, которая копирует «bc1qexpected…».
Клипперы уже больше десяти лет распространяются через пиратские программы, поддельные расширения браузера, взломанные установщики игр и «взломанные» торговые боты. Нынешнее поколение (Lumma Stealer, RedLine, Atomic Stealer) совмещает подмену адресов с кражей учётных данных.
Что защищает
Три привычки.
Первая: сверяйте адрес на экране аппаратного кошелька, прежде чем нажать «Подтвердить». Аппаратный кошелёк показывает адрес получателя, который ему передал компьютер: если клиппер подменил адрес в буфере, подмена попадёт и в то, что dApp отправил на устройство, и вы увидите неправильный адрес на его экране. Это одна из главных причин правила «всегда читайте экран устройства».
Вторая: где можно, передавайте адрес через QR-код, а не копированием. В QR-коде закодирован сам адрес, буфер обмена не участвует, и вредоносной программе нечего перехватывать. QR-коды для адресов поддерживает большинство бирж и аппаратных кошельков.
Третья: перед крупным переводом сначала отправьте небольшую тестовую сумму, дождитесь подтверждения, убедитесь, что она пришла туда, куда нужно, и только потом отправляйте остальное. Это стоит двадцати минут и небольшой комиссии, зато для основной суммы риск подмены исчезает.
Обнаружение на Windows и Android
Антивирусы, в том числе встроенный Защитник Windows и мобильные антивирусы для Android, распознают известные семейства клипперов, но новые варианты какое-то время успевают проскальзывать незамеченными.
Настоящая защита — на шаг раньше: не устанавливайте взломанные программы, не доверяйте расширениям браузера не из официальных магазинов и не запускайте исполняемые файлы из Telegram или Discord, кто бы их ни советовал. Если на кону серьёзные суммы, отдельный «компьютер для подписи» (чистый ноутбук на Linux, который используется только для операций с криптовалютой) убирает почти всю угрозу со стороны вредоносных программ — и обходится дешевле, чем потеря, от которой защищает.
Дополнительное чтение: Горячий кошелёк, Фишинг, Экстренное восстановление при утечке ключа.