Фішинг у 2026 році

Для звичайних власників криптовалюти щоденна загроза — фішинг і соціальна інженерія, а не злами протоколів. Рік окреслюють два щорічні звіти, опубліковані в січні 2026 року. За звітом Chainalysis про шахрайство 2026 року, дохід шахраїв у блокчейні за 2025 рік становив щонайменше $14 млрд (цифру за 2024 рік переглянули з початкових $9,9 млрд приблизно до $12 млрд), і компанія очікує, що підсумок за 2025 рік перевищить $17 млрд, коли буде виявлено більше шахрайських адрес. Найшвидше зростала категорія видавання себе за інших — фейкові державні органи, фейкова підтримка бірж — приблизно на 1 400 % за рік. Схеми, пов'язані в блокчейні з продавцями ШІ-інструментів, у середньому приносили близько $3,2 млн на одну операцію проти приблизно $719 тис. у тих, що без них.

Звіт Scam Sniffer про фішинг за 2025 рік враховує лише фішинг через підписи для дрейнерів: $83,85 млн викрадено приблизно в 106 000 жертв, на 83 % менше, ніж $494 млн у 2024 році. Проте найбільший окремий випадок 2025 року (близько $6,5 млн) стався через один підпис Permit, а серед випадків понад $1 млн на підписи Permit і Permit2 припало близько 38 % утрат. Разом це означає: масові кампанії дрейнерів скорочуються, а шахрайства з видаванням себе за інших і з позиченою довірою зростають. І будь-які публічні цифри враховують лише виявлені випадки, тож реальні втрати більші.

Атлас нижче описує схеми, що діють у 2025–2026 роках. Кожен розділ пояснює механізм, показує типовий сценарій, перелічує перевірки для захисту й підказує, що робити, якщо ви вже постраждали. Каталог не вичерпний — нові різновиди з'являються щомісяця, — але він охоплює схеми, на які припадає більша частина втрат у грошах.

Рівень 1: фішинг із видаванням себе за інших

1.1 Фейкові акаунти підтримки в Telegram

Механізм: акаунт у Telegram з іменем на кшталт @Binance_Support_UA, емодзі-галочкою чи платним значком Premium біля імені й натовпом куплених підписників пише жертві в особисті. У повідомленні йдеться про підозрілий вхід; щоб «підтвердити» акаунт, треба ввести seed-фразу з 12 слів у «бот безпеки». За ботом стоїть жива людина з дрейнером.

Типовий сценарій: повідомлення приходить за кілька годин, а то й хвилин після того, як людина публічно поскаржилася на затримку виведення. Шахраї збирають такі згадки, тож «агент підтримки» вже знає, якою біржею ви невдоволені.

Захист: жодна велика біржа не пише клієнтам першою в особисті. Ніколи. Будь-яке непрохане повідомлення в Telegram, WhatsApp чи X від «підтримки біржі» — шахрайство, хоч би яким було ім'я чи значок верифікації. Значок Premium — це просто платна підписка, а емодзі-галочка в імені нічого не коштує; ні те, ні інше не каже, хто насправді стоїть за акаунтом.

1.2 Фейкові телефони підтримки в пошуковій рекламі

Механізм: пошук «Binance підтримка телефон» видає рекламне посилання на охайну сторінку з безкоштовним номером. Людина телефонує; голос просить пошту й останні чотири цифри картки, а потім «перевіряє» акаунт, попросивши зачитати код із застосунку-автентифікатора. Тепер у акаунті — шахрай.

Захист: деякі біржі справді мають телефонну підтримку, але довіряти можна лише номеру з довідкового центру самої біржі, куди ви потрапили, набравши адресу вручну, або із застосунку. Номер телефону в рекламі за запитом «[біржа] підтримка» вважайте шахрайським. І жоден справжній працівник підтримки ніколи не попросить зачитати код автентифікатора, пароль чи seed-фразу.

1.3 «Відповідачі» в X (Twitter)

Механізм: ви пишете скаргу, позначивши біржу, і за 90 секунд отримуєте три відповіді від акаунтів на кшталт @OKXSupport_Official чи @OKX_Help_UA. У кожного аватарка з логотипом біржі й пропозиція допомогти в особистих. Усе закінчується на фейковому сайті «перевірки», що збирає seed-фрази.

Захист: ім'я з «доклейкою» («_Support», «_Help», «_Official», «_Care» чи цифри) — фейк за визначенням. Справжні акаунти мають короткі й чисті імена, а їхній список біржа публікує на своєму сайті. Блокуйте кожного підозріло швидкого двійника й ніколи не приймайте від нього пропозицій в особистих.

Рівень 2: пастки з підписами для дрейнерів

2.1 setApprovalForAll для NFT-контрактів

Механізм: фейкова сторінка «BAYC сезон 2: отримати» чи «перевірка OpenSea» просить підпис setApprovalForAll. Він дає адресі шахрая право переказувати кожен NFT цієї колекції, який є у гаманці зараз чи з'явиться згодом. Після підпису дрейнер викликає transferFrom без жодної участі користувача.

Типовий сценарій: колекціонер підписує щось схоже на «перевірку права на ейрдроп», і за кілька хвилин усі NFT зі схвалених колекцій зникають. Іде вся колекція, а не один екземпляр.

Захист: справжні ейрдропи використовують або функцію отримання за деревом Меркла (ви підписуєте транзакцію з викликом claim, жодного дозволу не треба), або прямий переказ від проєкту (ви нічого не підписуєте). Якщо сторінка «отримання» просить setApprovalForAll, це дрейнер. Що робити: негайно відкрийте revoke.cash, поки дрейнер не вивів NFT.

2.2 Підписи EIP-2612 Permit і Permit2

Механізм: фейкова DEX просить підпис Permit чи PermitBatch. Він безкоштовний і виглядає нешкідливо — у момент підпису жодна транзакція в мережу не йде. Але він дає адресі шахрая право витрачати підписані токени. Дрейнер викликає transferFrom одразу, щойно отримує підпис.

Підступ у тому, що в момент підпису в блокчейні нічого не відбувається, тож revoke.cash не бачить загрози, поки її не реалізовано. Вікно для захисту — між підписом і його відправленням у мережу, і часто воно коротше за хвилину.

Захист: ніколи не підписуйте Permit, PermitSingle чи PermitBatch на сайті, куди потрапили за посиланням із Telegram, особистого повідомлення в Discord чи реклами в Google. Підписуйте Permit лише на сайтах із закладок, у протоколах, якими вже не раз користувалися. Якщо підписали помилково, переведіть усі баланси токенів на новий гаманець швидше, ніж дрейнер відправить підпис, — рахунок іде на хвилини.

2.3 Делегування сесійних ключів (новий рівень)

Механізм: фейковий сервіс «захисту від MEV» чи запит на «оновлення до смарт-гаманця» просить підписати делегування сесійного ключа. Сесійні ключі, які з'явилися завдяки EIP-7702 і пов'язаним оновленням Ethereum, передають право підпису сторонній адресі в певних межах і на певний час. Шкідливе делегування дає шахраєві змогу підписувати транзакції з вашого гаманця протягом години, дня чи безстроково.

Захист: справжній захист від MEV (Flashbots Protect, MEV Blocker, CoW Swap) не потребує делегування сесійних ключів. Він працює через зміну RPC-адреси, а не через передачу права підпису. Будь-який сервіс, що просить сесійний ключ під приводом захисту від MEV, — шахрайський.

Рівень 3: шкідливе ПЗ під виглядом справжнього

3.1 Фейкові розширення браузера

Механізм: у Chrome Web Store з'являється «MetaMask Pro» чи «Uniswap+ Trading» з купленими відгуками й охайною іконкою. Після встановлення розширення читає кожну сторінку, зокрема звернення до гаманця, вбудовує скрипти у вікна гаманця, підмінює адресу отримувача ще до підтвердження в MetaMask і непомітно надсилає заготовлені підписи Permit.

Захист: встановлюйте розширення гаманців лише за посиланням з офіційного сайту гаманця (metamask.io; ніколи не шукайте «metamask» просто в Chrome Web Store). Перевіряйте, що назва розробника збігається точно. Користуйтеся окремим профілем браузера, де стоять лише розширення гаманця й блокувальник реклами — і більше нічого.

3.2 Мобільні APK, встановлені в обхід магазину

Механізм: у «закритій» Telegram-групі поширюють APK «Binance Pro Mobile» чи «Trust Wallet Plus». Людина встановлює його в обхід магазину, входить зі справжніми даними й проходить SMS-2FA на тому самому пристрої. APK у реальному часі пересилає шахраям кожен пароль, код і API-ключ. Користувач бачить робочий інтерфейс, а шахрай спустошує акаунт.

Захист: ніколи не встановлюйте фінансові застосунки в обхід магазину. Google Play не бездоганний, але застосунок там принаймні перевіряли. APK з Telegram, Discord чи Reddit обходять усі рівні захисту. Назавжди вимкніть в Android установлення з невідомих джерел.

3.3 Фейкові застосунки в App Store

Механізм: в Apple App Store з'являється «Trust Wallet» від розробника, назва якого відрізняється від справжньої одним символом, і з 8 000 куплених відгуків. Застосунок проходить перевірку, бо для рецензента поводиться нормально, а seed-фразу надсилає на сервер шахраїв лише тоді, коли користувач імпортує фразу з помітним балансом.

Захист: звіряйте назву розробника з офіційним сайтом гаманця. Trust Wallet, MetaMask Mobile та інші відомі гаманці публікують посилання на App Store й Google Play просто на своїх сайтах. Переходьте в магазин із сайту, а не навпаки.

Рівень 4: тривала соціальна інженерія

4.1 «Забій свині» (pig butchering)

Механізм: знайомство в Tinder, Hinge, Facebook чи LinkedIn. Тижні чи місяці вибудовування стосунків. Зрештою «партнер» згадує криптоплатформу, на якій нібито сам торгує й заробив. Платформа фейкова: виглядає справжньою, має робочу верифікацію KYC, показує реалістичні графіки. Депозити проходять, дрібні виведення теж, а для великого виведення вимагають «податок» чи «збір за верифікацію» — це й є фінальний крок шахрайства.

Ця схема — серед найбільших категорій шахрайства в даних Chainalysis. Вона працює в промислових масштабах із комплексів у Камбоджі, М'янмі й Лаосі, де, за звітами ООН із прав людини, людей, яких туди завезли торговці людьми, змушують працювати за цими сценаріями.

Захист: будь-яка «інвестиційна можливість», про яку ви дізналися від знайомого з застосунку для знайомств чи соцмереж, — шахрайство. Перш ніж вносити гроші, пошукайте «назва платформи + scam». Ніколи не платіть «податку» за виведення: жодна справжня біржа не бере плати за те, щоб віддати вам ваші ж кошти. Якщо ви вже в цій схемі, негайно припиніть вносити гроші й зверніться до кіберполіції.

4.2 Фейкові «сервіси повернення коштів» (повторне шахрайство)

Механізм: людина, яка вже втратила гроші через фішинг, шукає в Google «сервіс повернення криптовалюти». Реклама веде на «ChainGuard Forensics» чи щось подібне: доглянутий сайт, заявлене «партнерство з ФБР», «$300 млн повернених коштів». Сервіс бере наперед «збір за відкриття справи» плюс відсоток від повернутого. Після оплати просить ще «збори за міжнародну співпрацю», а потім зникає.

Захист: справжні компанії з блокчейн-аналітики (TRM Labs, Chainalysis, Elliptic) працюють із правоохоронцями й великими установами, а не з окремими постраждалими, і не рекламуються в Google. Будь-який «сервіс повернення», що бере гроші наперед, — шахрайський. Справжнє повернення, коли воно взагалі трапляється, відбувається через правоохоронні органи, а не через приватні фірми.

4.3 Діпфейк-розіграші

Механізм: «пряма трансляція» на YouTube зі згенерованим ШІ відео, де CZ, Віталік Бутерін, Ілон Маск чи Майкл Сейлор оголошують роздачу біткоїнів: «Надішліть будь-яку суму на цю адресу — отримаєте вдвічі більше». Відео зациклене, чат заповнений ботами з фейковими відгуками, адреса належить шахраям.

Захист: проста логіка. Хто хоче роздати криптовалюту, просто надсилає транзакції на відомі адреси, і отримувачеві не треба нічого надсилати першим. Схема «надішли X — отримай 2X» існує лише для того, щоб забрати гроші відправника. Справжньої версії такої пропозиції за всю історію криптовалют не було.

Рівень 5: атаки через пристрої й ланцюг постачання

5.1 Заздалегідь налаштовані вживані пристрої

Механізм: на OLX чи подібному сайті продають «новий у коробці» Ledger Nano X дешевше за офіційну ціну. Продавець заздалегідь налаштував пристрій на відому йому seed-фразу, а потім акуратно запакував. Покупець налаштовує пристрій, бачить на екрані «нову» фразу (насправді ту саму, продавцеву), поповнює гаманець — і за кілька тижнів утрачає все.

Захист: купуйте апаратні гаманці лише на офіційних сайтах виробників: ledger.com, trezor.io, coinkite.com (для Coldcard). Не на маркетплейсах, навіть якщо продавець називає себе офіційним, і не на дошках оголошень. Якщо вже купили вживаний, скиньте його (три неправильні PIN-коди на Ledger чи скидання до заводських налаштувань на Trezor), налаштуйте заново й переконайтеся, що нова фраза не збігається з жодною, показаною раніше.

5.2 «Заміна» пристрою поштою

Механізм: приходить паперовий лист з логотипом Ledger про «безкоштовне оновлення безпеки» через витік клієнтських даних Ledger 2020 року. За два тижні надходить посилка з пристроєм, схожим на новий Ledger. В інструкції просять ввести наявні 24 слова «для перенесення коштів». Новий пристрій — інструмент дрейнера.

Захист: виробники апаратних гаманців ніколи не надсилають заміну з власної ініціативи. Витоку Ledger 2020 року вже понад п'ять років, і жодна справжня програма усунення наслідків не триває так довго. Будь-яка непрохана посилка з пристроєм — шахрайство, хоч би якою справжньою виглядала упаковка.

5.3 Підміна прошивки в ланцюгу постачання

Механізм: апаратний гаманець, куплений не в офіційних каналах виробника, приходить зі зміненою прошивкою. Зовні й у роботі він як справжній, але фраза відновлення, яку він показує під час налаштування, відома не лише вам. У 2023 році «Лабораторія Касперського» описала такий підроблений Trezor: його купили через сайт оголошень, а прошивка видавала одну з 20 заздалегідь заготовлених фраз замість випадкової.

Захист: купуйте напряму у виробника. Під час першого запуску перевірте підпис прошивки програмою самого виробника (Ledger Live, Trezor Suite). Налаштовуйте пристрій самі: фраза відновлення має створюватися на пристрої у вас на очах, а пристрій, що приходить із уже заповненою чи надрукованою на картці фразою, одразу повертайте. Парольна фраза BIP-39 захищає від компрометації seed-фрази на рівні постачання.

Рівень 6: шахрайство з кросчейн-мостами

6.1 Фейкові мости

Механізм: реклама в Google на кшталт «universalbridge.io» стоїть першою за запитом «USDC bridge arbitrum solana». Сайт схожий на охайний агрегатор мостів. Користувач дає дозвіл на витрату USDC і запускає переказ. Кошти йдуть із мережі відправлення, а в мережу призначення нічого не надходить. Жодного мосту немає — лише пара гаманців шахрая.

Захист: користуйтеся лише мостами з аудитами й багаторічною історією. Для USDC — CCTP від Circle. Для інших активів — Wormhole, Stargate, Across, deBridge. Шукайте мости в офіційній документації мереж (документація Arbitrum, Solana), а не через Google. Спершу переведіть невелику тестову суму й переконайтеся, що транзакції видно в експлорерах обох мереж, і лише потім переводьте все.

6.2 «Депозити» не в тій мережі

Це не шахрайство, а власна помилка, але трапляється вона досить часто, щоб про неї згадати. Користувач виводить USDT з біржі на апаратний гаманець і обирає не ту мережу (BSC замість Ethereum). Кошти підтверджуються в чужій мережі. Якщо адреса отримувача ваша й гаманець підтримує цю мережу, до коштів можна дістатися, додавши мережу в гаманці. Якщо отримувач — біржа, усе залежить від неї: можлива плата, зазвичай довго й без гарантій.

Захист: на кожному екрані виведення є вибір мережі — перевірте, що він збігається з мережею гаманця-отримувача. Для будь-якого помітного виведення спершу надішліть невелику тестову суму. Зберігайте адреси в адресній книзі біржі з позначкою мережі.

Рівень 7: нові схеми 2025–2026 років

7.1 Пил і приманка: токени «для отримання»

Механізм: у вашому MetaMask з'являється непотрібний токен із назвою, що імітує справжній ейрдроп («USDT Airdrop Reward», «BlackRock Bitcoin ETF Claim», «USDC Compensation Pool»). Метадані контракту ведуть на сайт «отримання». Сторінка використовує вже видані вами дозволи на токени (скажімо, USDT для Uniswap), щоб спустошити активи. Сам надісланий токен ніколи не є метою — це приманка.

Захист: непрохані токени — приманка, а не подарунок. Приховуйте їх, не відкривайте адрес їхніх контрактів і не заходьте на сайти «отримання». Щомісяця перевіряйте видані дозволи на revoke.cash, щоб обмежити шкоду, якщо приманка таки спрацює.

7.2 «Пізнє отримання» ейрдропу

Механізм: людина пропустила знімок для справжнього ейрдропу. За кілька днів фейковий акаунт «Foundation Late Claim Portal» в X відповідає на її скаргу й пропонує право на участь заднім числом через підпис. Цей підпис — пакетний Permit2 на всі її токени ERC-20.

Захист: знімки остаточні. Справжні проєкти не запускають порталів «другого шансу». Сам факт, що хтось пропонує участь заднім числом, доводить, що це шахрайство.

7.3 Фішинг через абстракцію акаунта

Механізм: що більше гаманців з абстракцією акаунта (ERC-4337) стає стандартом, то більше з'являється нових типів підписів. Кожен новий тип — нова можливість для фішингу: користувачі ще не знають, що нормально, а що шкідливо. Очікуйте, що ця категорія зростатиме у 2026–2027 роках.

Захист: якщо гаманець показує тип підпису, якого ви ніколи не бачили, не підписуйте. Спершу знайдіть документацію про цей тип підпису. Краще пропустити ейрдроп, ніж утратити гаманець.

Протокол порятунку за 30 хвилин

Якщо ви щойно зрозуміли, що стали жертвою фішингу:

  1. Хвилини 0–5. Візьміть чистий пристрій, на якому ніколи не було ураженого гаманця. Створіть нову seed-фразу на новому апаратному гаманці. Запишіть нові адреси.
  2. Хвилини 5–15. Переведіть стейблкоїни з ураженого гаманця на нові адреси: USDC, USDT, DAI — саме в такому порядку. Для зловмисника це найцінніша здобич.
  3. Хвилини 15–25. Переведіть ліквідні основні монети: ETH, BTC, SOL, BNB. Потім цінні NFT.
  4. Хвилини 25–30. Переведіть решту токенів — усе, що не заблоковано в стейкінгу. Потім відкличте всі дозволи на revoke.cash.

Уражений гаманець тепер порожній. Не лишайте його «для дрібниць»: він назавжди в списку зловмисника й буде спустошений, щойно на ньому знову з'являться кошти.

Протягом першої години після порятунку перевірте всі пов'язані сервіси на наявність дозволів чи адрес для поповнення. Подайте заяву до кіберполіції з усіма хешами транзакцій. Вважайте всі пов'язані облікові дані (пошта, входи на біржі, менеджери паролів) можливо скомпрометованими, доки не переконаєтеся в протилежному.

Гірка правда

  • Здебільшого зламаний гаманець утрачає все. Протокол порятунку працює лише тоді, коли проблему помітили рано.
  • Справжнє повернення через правоохоронців трапляється рідко. Лише невелику частку втрат від криптошахрайства вдається повернути бодай частково, і зазвичай на це йдуть роки. Плануйте так, ніби решти вже немає.
  • Сором — найдієвіший інструмент зловмисника, щоб жертва мовчала. Поговоріть із кимось. Технічні помилки, що призвели до втрати, не унікальні: ті самі схеми вражають тисячі людей.
  • Захист — це побудова, а не психологія. Фішинг не «перехитриш» підозріливістю. Треба вибудувати зберігання так, щоб одна помилка не коштувала всього.