Как понять, что ваш криптокошелёк взломали: 10 тревожных признаков

Подтверждённый перевод средств, который вы не разрешали, — самый явный признак проблемы. Но кошелёк может оказаться небезопасным ещё до исчезновения денег. Украденная фраза восстановления, скрытое разрешение на расходование средств или изменение прав управления кошельком могут дать злоумышленнику доступ, даже если баланс выглядит обычным.

Некоторые из перечисленных ниже признаков указывают на реальную кражу. Другие говорят о том, что кошелёк или устройство могут быть скомпрометированы. Это различие важно, потому что меры защиты зависят от того, каким образом злоумышленник получил доступ.

Если средства уходят прямо сейчас, прекратите пополнять кошелёк и сразу перейдите к действиям в конце статьи.

Что на самом деле означает взлом криптокошелька?

Ваша криптовалюта учитывается в блокчейне. Кошелёк помогает управлять ею с помощью приватных ключей или других правил авторизации. Фраза восстановления, также называемая сид-фразой, позволяет воссоздать ключи для множества аккаунтов кошелька.

Словом «взлом» называют несколько разных проблем:

• Кража ключей: кто-то завладел вашим приватным ключом или фразой восстановления и может подтверждать транзакции с другого устройства.
• Злоупотребление разрешениями: вы одобрили смарт-контракт или подписали запрос, позволяющий другому лицу перемещать определённые активы. При этом ваши ключи могут оставаться в тайне.
• Компрометация устройства или приложения: вредоносное ПО, поддельный кошелёк или опасное расширение крадёт данные либо подменяет сведения о переводе, который вы собираетесь отправить.
• Компрометация аккаунта на бирже: кто-то получает доступ к аккаунту, в котором компания хранит вашу криптовалюту.

Аппаратный кошелёк помогает защищать приватные ключи, но не делает опасное разрешение безопасным. Если вы одобрите неверное действие, аппаратный кошелёк может корректно его подписать.

1. Настоящая криптовалюта уходит из кошелька без вашего разрешения

Вы обнаруживаете завершённый перевод, продажу NFT или вывод средств, которые не можете объяснить. Это может случиться, пока ваш телефон выключен или вы находитесь далеко от компьютера.

Сначала исключите действия, которые сами настроили ранее: автоматический платёж, вывод с биржи или операцию в торговом приложении. Затем проверьте саму транзакцию в блокчейне.

Убедитесь, что переместился реальный актив, а ваш баланс уменьшился. Одной странной записи в истории активности кошелька недостаточно. Мошенники могут создавать вводящие в заблуждение записи о токенах, будто бы показывающие переводы с вашего адреса.

Как только вы подтвердили несанкционированное перемещение реальных активов, действуйте немедленно. Не нужно ждать, пока кошелёк полностью опустеет.

2. Новые пополнения исчезают почти мгновенно

Вы отправляете ETH или другую нативную монету сети на кошелёк, чтобы оплатить комиссии за транзакции. Через несколько секунд средства уходят на незнакомый адрес. При следующем пополнении происходит то же самое.

Это типичная схема работы бота-сборщика (sweeper bot) — программы, которая следит за скомпрометированным кошельком и автоматически забирает доступные средства. Если вы исключили намеренно настроенную автоматизацию, такие повторяющиеся выводы служат серьёзным сигналом несанкционированного доступа.

Бот может работать на компьютере злоумышленника. Закрытие приложения кошелька или перезагрузка телефона его не остановят. Некоторые боты не трогают небольшие остатки до поступления крупной суммы, поэтому неподвижный баланс не доказывает безопасность кошелька.

Не продолжайте добавлять средства на газ и не отправляйте пробный депозит. Так вы можете просто финансировать злоумышленника.

3. Вы обнаружили незнакомые разрешения для токенов или NFT

Многие криптоприложения запрашивают разрешение расходовать токены. Такие одобрения могут оставаться действительными ещё долго после того, как вы перестали пользоваться приложением.

Тревожные признаки: недавно добавленный неизвестный получатель разрешения (spender), доступ, выданный после посещения подозрительного сайта, или лимит расходования, намного превышающий необходимый для операции. Разрешение для NFT может позволить оператору переводить все ваши NFT из определённой коллекции.

Неограниченное разрешение часто встречается и в легитимных приложениях, поэтому само по себе не доказывает взлом. Важно, кому предоставлен доступ, какие активы он может перемещать и собирались ли вы давать такое разрешение.

Проверьте сеть, настоящий контракт токена, получателя разрешения и сумму. Отключение сайта от кошелька не отменяет разрешение, уже записанное в блокчейне.

4. Запрос якобы на вход в систему предоставляет право тратить средства

Вы заходите на сайт, чтобы авторизоваться, получить награду или подтвердить кошелёк. Сайт просит поставить подпись без комиссии за транзакцию. Запрос содержит сумму токенов, получателя разрешения или ордер на продажу NFT, которые вы не намеревались одобрять.

Некоторые подписи позволяют разрешить расходование средств без отдельной транзакции одобрения с вашей стороны. Примеры — механизмы Permit и Permit2, а также подписи ордеров на маркетплейсах. Законные приложения тоже их используют, но мошенники могут выдавать такие запросы за безобидный этап входа.

Отсутствие комиссии за газ ничего не говорит о безопасности подписи.

Есть ещё одна тонкость: подписанное, но пока не использованное разрешение может не появляться в блокчейне, пока кто-то не отправит его туда. Обычный список транзакций, а иногда и сервис проверки разрешений могут выглядеть чистыми, хотя разрешением всё ещё можно воспользоваться.

Если вы подписали подозрительный запрос, прекратите взаимодействие с сайтом и выясните, что именно разрешала подпись. Способ отмены зависит от типа разрешения. Обычный отзыв одобрения не делает недействительной каждую неиспользованную подпись.

5. У кошелька появился новый владелец или незнакомое право управления

Некоторые кошельки поддерживают нескольких владельцев, контакты для восстановления, временные ключи подписи или программные модули, способные выполнять действия. Их часто называют смарт-кошельками или смарт-аккаунтами.

Владелец, которого вы не добавляли, уменьшенное число обязательных подписей, неизвестный способ восстановления или новый модуль требуют немедленного внимания. В зависимости от предоставленных полномочий такое изменение может позволить кому-то перемещать средства без обычной процедуры вашего подтверждения.

В Ethereum и совместимых сетях механизм EIP-7702 также позволяет обычному кошельку уполномочить программный код действовать через его адрес. Вредоносная авторизация может обеспечить постоянный доступ без раскрытия фразы восстановления.

Здесь легко упустить деталь: при использовании этого механизма принятая делегация может сохраниться, даже если выполнение транзакции завершилось неудачей. Отметка «не выполнено» не всегда означает, что настройки управления кошельком остались прежними.

Проверяйте такие полномочия с помощью официальных инструментов кошелька. Один лишь отзыв разрешений для токенов не удалит незнакомого владельца или делегацию.

6. Ваша фраза восстановления или приватный ключ стали известны посторонним

Вы ввели фразу на сайте, отправили её человеку, выдававшему себя за поддержку, или импортировали в приложение кошелька, оказавшееся подделкой. Также вы могли обнаружить, что читаемая резервная копия была доступна через взломанный облачный аккаунт или общий файл.

Считайте аккаунты, управляемые этим секретом, скомпрометированными, даже если средства пока не перемещались. Посторонний может восстановить кошелёк в другом месте, не вызвав уведомления о входе в вашем приложении.

Смена пароля приложения кошелька не изменит раскрытые приватные ключи. Создание ещё одного аккаунта с той же фразой восстановления также не решит проблему.

Важен масштаб утечки. Раскрытая фраза восстановления может поставить под угрозу множество аккаунтов. Утечка отдельно импортированного приватного ключа может затрагивать только управляемый им аккаунт.

7. Приложение или расширение кошелька, похоже, подменили

Вы находите расширение, которое не устанавливали, поддельное приложение кошелька или предупреждение системы безопасности о программе, крадущей данные кошельков. Привычный кошелёк также может внезапно попросить восстановить его после необъяснимого изменения.

У запроса на восстановление может быть обычная причина, например переустановка или очистка данных приложения. Сам по себе он не доказывает кражу, но служит поводом проверить программу, прежде чем вводить секретные данные.

Проверьте приложение через официальный сайт поставщика кошелька и удостоверитесь в подлинности расширения. Знакомые название и логотип легко скопировать.

Если вы уже ввели фразу восстановления в подозрительной программе, считайте её раскрытой. Удаление приложения не уничтожит копию, которую злоумышленник уже получил.

8. Адрес получателя меняется при вставке

Вы копируете адрес получателя, вставляете его в кошелёк и видите другой адрес. Вредоносное ПО, работающее с буфером обмена, может подменять криптоадреса адресами злоумышленника.

Это указывает на проблему с устройством или программой. Необязательно, что кто-то получил ваш приватный ключ, но такое устройство становится небезопасным для переводов.

Злоумышленники могут использовать подменные адреса, похожие на исходные. Проверка только первых и последних нескольких символов не всегда выявляет подмену. Сверьте весь адрес назначения с надёжной копией. Если используете аппаратный кошелёк, перед подтверждением проверьте адрес на экране самого устройства.

Отмените транзакцию, если адреса различаются. Повторять копирование и вставку, пока адрес не покажется правильным, — не решение.

9. Необъяснимые потери затрагивают несколько аккаунтов или сетей

Исчезновение одного токена может быть связано с конкретным разрешением на расходование. Несанкционированные переводы из нескольких аккаунтов, созданных на основе одной фразы восстановления, заставляют подозревать более масштабную утечку ключей.

Например, потери в двух сетях вместе с активностью другого аккаунта, созданного из той же фразы, требуют более широкого расследования. Проверьте все затронутые аккаунты и сети, не предполагая, что проблема ограничивается первым замеченным токеном.

Такая картина помогает сузить круг причин, но не даёт окончательного ответа. Несколько вредоносных разрешений или авторизация кошелька, действующая в нескольких сетях, тоже могут привести к масштабным потерям.

Одинаковый адрес кошелька в разных сетях типа Ethereum — нормальное явление и сам по себе не является тревожным признаком. Опасность представляет необъяснимая активность этих аккаунтов.

10. В аккаунте на бирже появились неизвестные входы или выводы средств

Если вы храните криптовалюту на бирже, проверьте неизвестные сеансы, изменённые данные для восстановления доступа, новые адреса вывода и снятия средств, которые не запрашивали. Особенно серьёзны изменения двухфакторной аутентификации без вашего запроса.

Самостоятельно откройте официальное приложение или сайт и проверьте предупреждение. Пугающее письмо может быть фишингом. Незнакомое местоположение также может объясняться VPN или мобильной сетью, поэтому оценивайте устройство, время и действия в аккаунте вместе.

Захват биржевого аккаунта требует мер по защите именно аккаунта. По возможности воспользуйтесь блокировкой аккаунта или ограничением вывода у провайдера, свяжитесь с официальной поддержкой и защитите электронную почту и средства аутентификации.

Такие проверки входов неприменимы в той же мере к обычному кошельку под управлением фразы восстановления. Обладателю его ключей вообще не обязательно входить в ваше приложение.

Странная активность, которая ещё не доказывает взлом

Некоторые распространённые ситуации могут выглядеть тревожно:

• Уменьшение баланса в долларах: цена могла упасть, хотя количество монет у вас осталось прежним.
• Отсутствие токенов в приложении: возможно, выбран не тот аккаунт или сеть, токен скрыт либо возникла ошибка отображения.
• Неизвестный выход Bitcoin-транзакции: при платеже неизрасходованный остаток может вернуться на новый адрес сдачи, контролируемый вашим кошельком.
• Незапрошенный токен или NFT: сам по себе спам не свидетельствует о краже ключей. Лучше скрыть актив, чем переходить по его ссылкам или подписывать транзакцию для его удаления.
• Крошечные или нулевые переводы с участием знакомого на вид адреса: это может быть отравление адреса (address poisoning), когда мошенники добавляют похожего получателя в вашу историю, рассчитывая, что позже вы скопируете его адрес.

Некоторые поддельные токены копируют название и символ настоящего токена. Они даже могут создавать ложные записи об исходящих переводах. Прежде чем считать такую запись доказательством кражи, проверьте реальный контракт токена и баланс.

Не копируйте адрес получателя из недавней активности. Получайте его от проверенного получателя или из надёжной адресной книги.

Как проверить, что произошло на самом деле

Воспользуйтесь надёжным обозревателем блокчейна для нужной сети. Публичный адрес можно проверить без подключения кошелька, оплаты комиссии или раскрытия фразы восстановления.

Проверьте следующие данные:

1. Аккаунт и сеть: убедитесь, что смотрите адрес, на котором находились пропавшие активы.
2. Статус транзакции: отличайте ожидающие операции от завершённых переводов. При делегировании прав кошелька также проверьте, не изменились ли полномочия несмотря на сбой выполнения.
3. Настоящий актив: сверьте контракт токена или коллекцию NFT, а не только название или логотип.
4. Изменение баланса и адрес назначения: выясните, что ушло и куда. Изучите переводы токенов и NFT, а также основной список транзакций.
5. Ранее выданные разрешения: ищите одобрения, подписи или изменения прав управления кошельком, связанные с потерей.

Если кто-то использовал разрешение на расходование ваших токенов, отправителем транзакции может значиться чужой аккаунт. Это не делает перевод безвредным. И наоборот, запись токена с вашим адресом в качестве источника не доказывает, что вы лично подписали транзакцию.

Если записи блокчейна сложно понять, передайте публичный адрес и хеш транзакции проверенной службе поддержки кошелька. Эти сведения помогут расследованию, не раскрывая ваши ключи.

Что делать, если тревожные признаки подтвердились

Прекратите пополнять кошелёк и подписывать запросы

Приостановите пополнения затронутого кошелька. Отклоняйте новые запросы на подпись, включая предложения «починить», «проверить» или «разблокировать» его. Перестаньте использовать потенциально заражённое устройство и продолжайте с другого, надёжного устройства.

Если утекла фраза восстановления или приватный ключ

Для обычного кошелька, управляемого раскрытым секретом, создайте на надёжном устройстве новый кошелёк с совершенно новой фразой восстановления. Если можете сделать это безопасно, переведите оставшиеся активы, а затем прекратите пользоваться затронутыми аккаунтами. Обновите платёжные реквизиты, ведущие на их адреса.

Если активен бот-сборщик, не пополняйте старый кошелёк для оплаты газа. Для спасения оставшихся активов могут потребоваться специальные методы проведения транзакций, причём успех не гарантирован.

Если проблема в одобрении или подписанном разрешении

Отзовите соответствующие разрешения через проверенный инструмент и убедитесь, что отзыв завершился. Одобрение для одного токена в одной сети не распространяется автоматически на все остальные.

Для подозрительной подписи, которая ещё не использовалась, следуйте предусмотренной кошельком или протоколом процедуре отмены. Пока вы выясняете, остаётся ли разрешение действительным, может понадобиться переместить активы.

Отзыв разрешений не вернёт уже похищенные активы. Он также не защитит кошелёк с утёкшими ключами.

Если изменились настройки управления кошельком

Используйте официальную процедуру восстановления или управления разрешениями кошелька, чтобы удалить несанкционированных владельцев, модули, ключи подписи и делегации. Если утёк ключ одного из владельцев, замените соответствующего подписанта там, где кошелёк это поддерживает. Прежде чем снова считать аккаунт защищённым, получите инструкции для конкретного провайдера.

Если получили доступ к аккаунту на бирже

Заблокируйте аккаунт или ограничьте вывод через официальную процедуру биржи. С надёжного устройства защитите почту, смените затронутые пароли, завершите неизвестные сеансы и проверьте данные восстановления и двухфакторную аутентификацию.

Сохраните доказательства и сообщите о потере

Сохраняйте хеши транзакций, публичные адреса, временные метки, подозрительные URL и относящиеся к делу сообщения, одновременно защищая оставшиеся средства. Сообщите об инциденте сервису кошелька или бирже и компетентным органам.

Подтверждённые переводы в блокчейне обычно нельзя отменить силами поддержки кошелька. Возврат может зависеть от заморозки средств биржей, расследования или добровольного возврата активов. Остерегайтесь обещаний гарантированного возврата, особенно если с вас требуют предоплату или фразу восстановления.