Фішинг у світі криптовалют — це коли зловмисник видає себе за того, кому ви довіряєте: підтримку біржі, розробника гаманця, відомого блогера чи навіть друга, — щоб змусити вас зробити те, чого ви інакше не зробили б. До 2017 року фішинг означав «вкрасти пароль». Після 2020-го він означає «змусити підписати одну погану транзакцію» — а підписану транзакцію, на відміну від пароля, не скинеш.
Основні різновиди у 2026 році
Фішинг через дозволи. Фальшива сторінка «отримайте ейрдроп» чи «підтвердіть гаманець» просить підпис setApprovalForAll, який передає зловмисникові контроль над усіма NFT чи токенами на цій адресі. Той виводить активи, коли йому зручно, іноді через кілька тижнів, розраховуючи, що жертва вже забула. Inferno Drainer і Pink Drainer перетворили це на комерційні набори «дрейнер як послуга», які здають в оренду іншим шахраям на тіньових форумах.
Фішинг через Permit / Permit2. EIP-2612 і Permit2 від Uniswap дозволяють видавати дозволи підписом поза блокчейном. Користувач підписує структуроване повідомлення, а зловмисник цим підписом спустошує гаманець. У гаманці підпис має вигляд беззмістовного рядка, а наслідки такі самі, як якби ви віддали приватний ключ від цього токена.
Фішинг під виглядом підтримки. Особисті повідомлення в Telegram чи Discord від «WhiteBIT Support», «Bybit Security», «команди Trust Wallet» — часто з ніками, де підмінено літери або додано «Support», «Help», «UA». Легенда правдоподібна: з акаунтом проблема, перейдіть за посиланням для перевірки. Посилання веде на клон справжньої біржі, який одночасно перехоплює дані для входу й коди 2FA.
Захоплення акаунта через підміну SIM-картки. Його відносять до фішингу, бо після захоплення номера завжди йде соціальна інженерія: отримавши ваш номер, зловмисник скидає паролі на біржі й обходить 2FA через SMS.
На що насправді ловлять людей у 2026 році
Одна з атак, яку варто знати добре, — фішинг через підписи на кшталт Permit. Користувач не бачить явно шкідливої транзакції — лише запит структурованого підпису, який, якщо його прийняти, дає зловмисникові дозвіл на токени з цієї адреси. Підпис можна подати в будь-який момент до закінчення його строку (deadline), а дрейнер може поставити цей строк на роки вперед; щойно підпис подано, дозвіл діє, доки його не використають чи не відкличуть. Напряму це працює з токенами, що підтримують permit (EIP-2612), наприклад USDC або stETH. До токенів без такої підтримки, наприклад USDT чи WETH, добираються через Permit2 від Uniswap, якщо ви колись дали Permit2 дозвіл на цей токен. Дрейнер іноді вичікує, перш ніж скористатися підписом, щоб жертва не пов'язала підпис із втратою.
Захист: читайте кожен підпис поза блокчейном так само уважно, як транзакцію в блокчейні. Rabby і сучасна прошивка апаратних гаманців показують підписи EIP-712 у зрозумілому вигляді, а старий показ «сирого» хешу — ні.
Що дає апаратний гаманець
Апаратний гаманець не рятує від фішингу — він підпише все, що ви накажете, — але сповільнює процес достатньо, щоб уважна людина встигла помітити обман. Ledger Stax чи Trezor Safe 5 показують адресу отримувача й суму на екрані, який комп'ютер не може підмінити. Якщо адреса на екрані не збігається з тією, що показує dApp, — скасовуйте.
Правило: ніколи не підтверджуйте транзакцію, не прочитавши екран пристрою. Саме для цього на апаратному гаманці й існує крок підтвердження.
Актуальні дані про втрати та що саме рахує кожен звіт — в атласі фішингу нижче.
Що почитати далі: Атлас криптофішингу 2026, setApprovalForAll, EIP-2612 Permit, revoke.cash.