Кліпер (clipper malware) — шкідливе ПЗ, що стежить за системним буфером обміну й, знайшовши там криптоадресу, непомітно підміняє її адресою зловмисника. Користувач вставляє те, що вважає «правильною адресою», підписує транзакцію й надсилає кошти зловмисникові. У 2026 році буфер обміну — одне з найменш захищених місць для атак на звичайних комп'ютерах з Windows і телефонах з Android.

Як це працює на комп'ютері жертви

Кліпер складається з трьох частин.

Фоновий процес, що стежить за буфером обміну. Написати його нескладно через API будь-якої сучасної ОС. Працює безперервно, майже не навантажує систему й нічим себе не видає.

Розпізнавання адрес. Біткоїн-адреси мають характерні префікси («1», «3», «bc1»). Адреси Ethereum — 42-символьні шістнадцяткові рядки, що починаються з «0x». Шкідник за допомогою регулярних виразів розпізнає ці шаблони щойно вони потрапляють у буфер.

Підміна. Знайдену адресу замінюють адресою зловмисника з вбудованого списку. Іноді зловмисник тримає кілька адрес, щоб їх важче було заблокувати, а іноді використовує «красиві» (vanity) адреси, зовні схожі на поширені адреси отримувачів.

Чому це важко помітити

Після вставки адресу зазвичай не перечитують. Правило «завжди звіряй перші чотири й останні чотири символи» захищає від цієї атаки, але мало хто дотримується його послідовно. Атака на зорову схожість — «красива» біткоїн-адреса, що починається з «bc1qyourwallet...», коли жертва копіює «bc1qexpected...», — розрахована саме на цю неуважність.

Кліпери понад десять років поширюються через піратське ПЗ, фейкові розширення браузера, зламані інсталятори ігор і «зламаних» торгових ботів. Нинішня хвиля (Lumma Stealer, Atomic Stealer, MetaStealer) поєднує функції кліпера з крадіжкою облікових даних.

Що захищає

Три робочі звички.

Перше: звіряйте адресу на екрані апаратного гаманця, перш ніж натиснути «підтвердити». Апаратний гаманець показує адресу отримувача, яку отримав від комп'ютера. Якщо кліпер підмінив адресу в буфері, підміна потрапить і в те, що застосунок надіслав на пристрій, і ви побачите на екрані неправильну адресу. Це одна з головних причин, чому варто завжди читати екран пристрою.

Друге: де можливо, передавайте адресу через QR-код, а не копіюванням і вставкою. QR-код містить адресу, і буфера обміну, який можна перехопити, тут немає. Більшість бірж і апаратних гаманців уміють передавати адресу через QR-код.

Третє: для будь-якого переказу, утрата якого для вас відчутна, спершу зробіть невелику тестову транзакцію. Надішліть дрібну суму, дочекайтеся підтвердження, переконайтеся, що вона надійшла на потрібну адресу, і лише потім надсилайте решту. Це забере хвилин двадцять і невелику комісію, зате прибирає ризик кліпера для основної суми.

Виявлення на Windows і Android

Windows Defender розпізнає відомі сімейства кліперів (Lumma, варіанти RedLine) з оновлень середини 2024 року, але нові варіанти можуть тижнями лишатися непоміченими. В антивірусів для Android від Bitdefender, Kaspersky і Malwarebytes подібні прогалини.

Справжній захист — ще до зараження: не встановлювати зламане ПЗ, не довіряти розширенням браузера з-поза офіційних магазинів великих компаній, не запускати виконувані файли з Telegram чи Discord, хоч би хто їх радив. Якщо у вас чимало криптовалюти, окремий «комп'ютер для підписів» (чистий ноутбук з Linux лише для криптотранзакцій) прибирає загрозу шкідливого ПЗ повністю — і коштує дешевше, ніж утрата, якій він запобігає.

Що почитати далі: Гарячий гаманець, Фішинг, Екстрене відновлення при витоку ключа.