APK из Telegram-«альфа»-группы

Июнь 2025. Жительница Кишинёва вступает в Telegram-группу «Binance Futures Signals», которую ей посоветовал знакомый из Discord. В закреплённом сообщении — ссылка на APK «Binance Pro Mobile» с «низкими комиссиями и эксклюзивными парами». Она ставит его на Android, входит со своими настоящими логином и паролем от Binance, вводит код из SMS. Приложение — точная копия: тот же интерфейс, цвета, анимации. Через два часа реальный Binance показывает нулевой баланс.

Как работают сайдлоад-клоны

Поддельный APK в реальном времени пересылает на сервер мошенников каждый логин, каждый код 2FA и каждый API-ключ. Пользователь видит рабочий интерфейс, а мошенник — живую сессию в настоящем аккаунте. Код из SMS не спасает: фальшивое приложение перехватывает его на том же устройстве.

Три правила для Android

  • Не ставьте финансовые приложения в обход магазина. Ставьте его по ссылке на магазин с официального сайта биржи, открытого по адресу, который вы набрали сами или сохранили в закладках. У Google Play есть свои проблемы, но приложение там хотя бы проходит проверку. APK по ссылкам из Telegram, Discord или Reddit обходят все уровни защиты.
  • Установку неизвестных приложений держите выключенной. В современных версиях Android это разрешение выдаётся отдельно каждому приложению, обычно в разделе Настройки → Приложения → Специальный доступ → Установка неизвестных приложений (точный путь зависит от производителя). Проверьте, что ни браузеру, ни мессенджеру это не разрешено. Эта настройка создана для разработчиков, не для повседневных пользователей с деньгами в приложении.
  • Используйте аппаратный ключ, не SMS. YubiKey или другой аппаратный токен вредоносное приложение на том же устройстве не перехватит. SMS, коды из приложения-аутентификатора и даже часть пуш-подтверждений — перехватит: если устройство скомпрометировано, скомпрометирована и вся 2FA, живущая на нём в виде программ.

Если сайдлоадили

Считайте устройство полностью скомпрометированным. Если с чистого устройства аккаунт на бирже ещё открывается, а что успел сделать атакующий — непонятно, найдите в настройках безопасности функцию отключения или блокировки аккаунта и воспользуйтесь ею. Смените учётные данные всех аккаунтов, в которые входили с этого телефона — биржа, почта, банк, менеджер паролей — с другого устройства, которое не видело этот APK. Прежде чем что-то стирать, сохраните сам APK-файл, ссылку на Telegram-группу и хеши транзакций — они понадобятся для заявления в полицию. Затем сброс до заводских. Если на телефоне были банковские приложения — звоните в банк по номеру с карты или официального сайта (не с этого телефона).

Шаблон

«Эксклюзивные пары», «сниженные комиссии», «VIP-сигналы» — приманка. В настоящем приложении Binance комиссии одинаковы для всех пользователей одного VIP-уровня. Если Telegram-группа предлагает что-то, что доступно только им — это «что-то» и есть доступ к вашему аккаунту.