Как защитить криптокошелек: практическое руководство от криминалистов

Три сценария кражи, которые повторяются чаще всего

В наших кейсах регулярно повторяется одна и та же картина: пострадавший не столкнулся с чем-то экзотическим, а попал в один из трех сценариев, которые мы видим снова и снова. Знание этих трех паттернов само по себе закрывает большую часть риска.

Фишинг и компрометация seed-фразы

Пользователь вводит seed-фразу или приватный ключ на поддельном сайте, в фейковом расширении браузера или в форме, которую прислал «служба поддержки» в Telegram. Как только фраза введена, доступ к кошельку получает атакующий, и обычно вывод средств происходит в течение минут. Это самый распространенный вход в кражу, потому что seed-фраза, в отличие от пароля, дает полный и необратимый контроль над кошельком.

SIM-swap

Мошенник через социальную инженерию или подкуп сотрудника оператора связи переносит номер жертвы на свою SIM-карту. После этого он перехватывает SMS-коды, сбрасывает пароли на биржах и в почте, и получает доступ к аккаунтам, где двухфакторная защита завязана на телефон. Мы разбираем механику подробнее в материале о том, как проверить кошелек на признаки взлома.

Вредоносное программное обеспечение

Клиппер-вирус подменяет адрес получателя в буфере обмена в момент копирования, drainer-скрипт запрашивает подписание транзакции, которая выглядит безобидно, а на деле передает разрешение (approval) на списание всех токенов с кошелька. В обоих случаях жертва сама, своими руками, подтверждает операцию, просто не понимая, что именно подписывает.

Аппаратный кошелек: когда он реально нужен, а когда избыточен

Аппаратный кошелек (Ledger, Trezor и аналоги) хранит приватный ключ на отдельном физическом устройстве и подписывает транзакцию внутри него, не передавая ключ на компьютер или телефон. Даже если основное устройство заражено вредоносным ПО, атакующий не может увести средства без физического доступа к самому кошельку и подтверждения на его экране.

Для сумм в несколько сотен долларов, которые активно используются для повседневных операций, аппаратный кошелек часто избыточен: неудобство перевешивает риск, и достаточно software-кошелька с хорошей гигиеной паролей. Но как только баланс переходит рубеж в несколько тысяч долларов или средства предназначены для долгосрочного хранения, а не для активной торговли, стоимость устройства (обычно $60-150) становится незначительной по сравнению с потенциальной потерей. Практическое правило, которое мы советуем клиентам: если сумма на кошельке способна серьезно расстроить вас в случае потери, ей место на аппаратном устройстве.

Как правильно хранить seed-фразу

Seed-фраза, в отличие от пароля от почты, не подлежит восстановлению через службу поддержки и не может быть изменена без переноса средств на новый кошелек. Поэтому правила ее хранения строже, чем для любых других учетных данных.

• Не храните seed-фразу в облаке, включая заметки iCloud, Google Keep, Dropbox или любой облачный менеджер паролей. Утечка учетной записи облачного сервиса означает утечку фразы.
• Не делайте скриншот фразы. Скриншот автоматически синхронизируется в облако на большинстве устройств и остается в кэше приложений даже после удаления.
• Не храните фразу в фотогалерее телефона. По той же причине: галерея почти всегда синхронизирована и доступна множеству приложений через разрешение на доступ к фото.
• Сделайте физическую копию и разместите ее в нескольких местах, например дома в сейфе и у доверенного родственника, чтобы пожар или кража в одном месте не привели к полной потере доступа.
• Рассмотрите метод разделения фразы (Shamir Secret Sharing или простое разделение на части, хранящиеся отдельно), если сумма достаточно велика, чтобы оправдать дополнительную сложность восстановления.

Двухфакторная аутентификация: почему SMS это не защита

SMS-код исторически считался стандартом двухфакторной аутентификации, но для криптовалютных аккаунтов это одна из самых слабых опций. SIM-swap делает SMS-код доступным атакующему без какого-либо взлома вашего устройства, поскольку код приходит на его SIM-карту, а не на ваш физический телефон.

Приложение-аутентификатор (Google Authenticator, Authy, Microsoft Authenticator) генерирует одноразовый код локально на устройстве и не зависит от номера телефона. Даже при успешном SIM-swap атакующий не получит доступ к коду, если он не завладел и самим приложением. Для бирж и кошельков, которые поддерживают аппаратные ключи безопасности (YubiKey, стандарт FIDO2/WebAuthn), это следующий уровень защиты: физический ключ невозможно скопировать удаленно, что делает фишинг практически бесполезным против такой связки.

Как распознать фишинг до того, как ввели данные

Большинство фишинговых атак можно остановить на этапе, когда жертва еще не ввела ни одной цифры. Вот пять признаков, которые мы советуем проверять перед любым действием с кошельком:

1. Домен отличается на один символ. Binance.com превращается в binancе.com с кириллической «е» или Ledger.com в 1edger.com. Проверяйте адресную строку вручную, а не полагаясь на визуальное сходство.
2. Срочность и давление во времени. «Ваш аккаунт будет заблокирован через 15 минут» или «предложение действует только сегодня»: классический прием, чтобы отключить критическое мышление.
3. Запрос seed-фразы вообще в любой форме. Ни одна легитимная биржа, кошелек или служба поддержки никогда не запрашивает seed-фразу или приватный ключ. Это правило без исключений.
4. Неожиданное всплывающее окно с запросом на подпись транзакции. Если вы просто зашли на сайт и вам сразу предлагают подписать транзакцию или одобрить (approve) доступ к токенам без вашего явного действия, это почти всегда drainer.
5. Обращение первым в личных сообщениях от «поддержки» в Telegram, Discord или по почте, особенно если вы недавно писали в публичный чат с проблемой. Легитимная поддержка не пишет первой в личные сообщения.

Что делать, если подозреваете, что кошелек уже скомпрометирован

Если появились сомнения (странное расширение в браузере, переход по подозрительной ссылке, необъяснимая транзакция в истории), не ждите подтверждения. Первый шаг: проверьте кошелек на признаки взлома, изучите историю подключенных разрешений (approvals), список исходящих транзакций и активные сессии на биржах. Если проверка выявила проблему или средства уже ушли, дальнейшие действия зависят от того, успел ли атакующий вывести деньги на идентифицируемую площадку: команда, которая занимается восстановлением доступа к кошельку, поможет оценить реальные шансы и не терять время на действия, которые не дадут результата.