Фишинг в мире криптовалют — это когда злоумышленник выдаёт себя за того, кому вы доверяете: поддержку биржи, разработчика кошелька, известного блогера или даже друга, — чтобы подтолкнуть вас к действию, которого вы иначе не совершили бы. До 2017 года фишинг означал «украсть ваш пароль». После 2020-го — «заставить вас подписать одну неудачную транзакцию». А подписанную транзакцию, в отличие от пароля, не сбросишь.
Основные виды в 2026 году
Фишинг через одобрения. Поддельная страница «получите аирдроп» или «подтвердите кошелёк» запрашивает подпись setApprovalForAll и тем самым передаёт злоумышленнику распоряжение всеми NFT или токенами на этом адресе. Он выводит активы, когда удобно, иногда через несколько недель, рассчитывая, что вы уже забыли. Inferno Drainer и Pink Drainer превратили это в готовые наборы-дрейнеры, которые сдают в аренду другим мошенникам на подпольных форумах.
Фишинг через Permit и Permit2. EIP-2612 и Permit2 от Uniswap позволяют выдавать одобрения подписью вне блокчейна. Пользователь подписывает структурированное сообщение, а злоумышленник с его помощью опустошает кошелёк. В окне кошелька подпись выглядит как бессмысленная строка, а по последствиям это всё равно что отдать приватный ключ от этого токена.
Фишинг под видом поддержки. Личные сообщения в Telegram или Discord от «поддержки биржи», «службы безопасности», «команды кошелька». Легенда правдоподобная: с вашим аккаунтом проблема, нажмите сюда для проверки. Ссылка ведёт на копию настоящей биржи, которая одновременно перехватывает и данные для входа, и коды двухфакторной защиты. Часто ники таких «сотрудников» отличаются от официальных одной подменённой буквой.
Захват аккаунта через подмену SIM-карты. Его относят к фишингу, потому что после захвата номера всегда идёт социальная инженерия: получив ваш номер, злоумышленник сбрасывает пароли на бирже и обходит защиту по SMS.
На что люди реально попадаются в 2026 году
Одна из атак, которую стоит хорошо понимать, — фишинг через подписи типа Permit. Пользователь не видит явно подозрительной транзакции — он видит запрос структурированной подписи, которая, если её подписать, позволяет злоумышленнику выдать самому себе одобрение на токены с этого адреса. Предъявить подпись можно в любой момент до указанного в ней срока, а после этого одобрение действует, пока не будет израсходовано или отозвано. Напрямую это работает с токенами, которые поддерживают permit (EIP-2612), например USDC или stETH. До токенов без такой поддержки, например USDT или WETH, добираются через Permit2 от Uniswap, если вы когда-то одобрили Permit2 для этого токена. Иногда дрейнер выжидает, прежде чем нанести удар, чтобы жертва не связала подпись с потерей.
Защита: читайте каждую подпись вне блокчейна так же внимательно, как транзакцию. Rabby и современные прошивки аппаратных кошельков показывают подписи EIP-712 в понятном виде; старый формат с «сырым хешем» — нет.
Что меняет аппаратный кошелёк
Аппаратный кошелёк от фишинга не спасает — он подпишет всё, что вы ему скажете, — но замедляет процесс настолько, что внимательный пользователь успевает заметить подвох. Ledger Stax или Trezor Safe 5 показывают адрес получателя и сумму на экране, который компьютер не может подделать. Если адрес на экране не совпадает с тем, что показывает dApp, отменяйте.
Правило: никогда не подтверждайте транзакцию, не прочитав экран устройства. Ради этого шаг подтверждения на аппаратном кошельке и существует.
Актуальные цифры потерь и то, что именно считает каждый отчёт, — в атласе фишинга по ссылке ниже.
Дополнительное чтение: Атлас фишинга 2026, setApprovalForAll, EIP-2612 Permit, revoke.cash.