Как защитить криптокошелёк от хакеров: пять лазеек и пять защит

Большинство краж из кошельков обходятся без взлома криптографии. Хакеры добиваются, чтобы вы отправили деньги не на тот адрес, подписали не то сообщение, ввели сид-фразу не в то окно или пользовались кошельком со слабым ключом.

Чтобы защитить криптокошелёк от хакеров, закройте эти пять дверей. К каждой ниже — реальный случай и способ защиты.

Подмена адреса

Атакующий создаёт адрес, у которого первые и последние символы совпадают с вашим привычным адресом, и присылает крошечный перевод, чтобы адрес появился в вашей истории. В следующий раз, копируя адрес из истории, вы скопируете его.

Что намерили исследователи Carnegie Mellon в Ethereum и BNB Chain с июля 2022 по июнь 2024 года:

• больше 270 млн попыток;
• больше 17 млн жертв, на которых нацеливались атакующие;
• 6633 успешных кражи минимум на $83,8 млн.

“основное представление адресов кошельков — почти не запоминаемая 40-значная шестнадцатеричная строка”

— Таро Цутия и соавторы, Университет Карнеги — Меллон, «Blockchain Address Poisoning», 2025 год · arxiv.org

Защита: отправляйте только на адреса из сохранённой адресной книги, перед крупным переводом сверяйте адрес целиком и сначала отправляйте небольшую тестовую сумму.

Забытые разрешения

Сайт-дрейнер просит подписать permit или разрешение, и эта подпись позволяет контракту позже забрать ваши токены без единого нового клика. Защита: перед подписью читайте, какой токен и какую сумму показывает кошелёк.

Раз в месяц открывайте revoke.cash или раздел разрешений в своём кошельке и отзывайте то, чем больше не пользуетесь.

Фальшивая поддержка просит сид-фразу

С 13 августа по 10 сентября через взломы подрядчиков утекли около 81 тысячи записей о клиентах Trezor, а затем клиенты Trezor и BitBox получили поддельные письма «от службы безопасности». Устройства никто не взломал, фишерам хватило списков рассылки.

Защита: ни один производитель кошельков не просит ваши 24 слова — ни по почте, ни по телефону, ни в чате.

Шпионская программа в телефоне

Пользователь из Украины рассказывает, что 15 октября из его Trust Wallet ушло больше $68 тысяч в USDT, и винит шпионскую программу на iPhone с устаревшей iOS. Apple закрыла эту цепочку уязвимостей за 205 дней до кражи.

Защита: ставьте обновления системы в ту же неделю, когда они выходят, и держите сид-фразу полностью вне телефона, включая скриншоты и заметки.

Сид из слабого генератора

Веб-кошелёк Qubic создавал сиды через Math.random в JavaScript. Атакующий опустошил 1404 кошелька за 104 минуты. Защита: создавайте сид-фразу в аппаратном кошельке или в широко проверенном приложении, но не на сайте-генераторе ключей.

Наш подсчёт

• одна удачная подмена адреса примерно на 40 700 попыток, и атакующие всё равно в плюсе: каждая удача приносила в среднем около $12 600;
• 6633 кражи на 17 млн целей — около 0,04%: атакующие рассчитывают на тот редкий день, когда вы спешите;
• в Qubic атакующий опустошал кошелёк каждые 4,4 секунды: слабый сид не оставляет времени на реакцию.

Начните с той двери, что ближе к вашим привычкам: копируете адреса из истории — с адресной книги, переходите по ссылкам из писем — с правила про 24 слова.

Это общие рекомендации, они не заменяют проверку вашей собственной схемы хранения. Данные о подмене адресов — из исследования Carnegie Mellon, случаи — из наших прошлых материалов.