Взломали криптокошелёк: что делать в первые 30 минут

Первые 30 минут: пошаговый алгоритм

Если вы только что обнаружили, что кошелёк взломан и средства выводятся, у вас есть небольшое окно времени. Блокчейн-транзакции необратимы, но часть средств может ещё находиться в пути или на промежуточных адресах, а биржи способны заморозить входящие зачисления по оперативному запросу. Действуйте строго по порядку, без паники.

Как понять, что именно произошло

Взлом кошелька происходит одним из нескольких способов, и понимание механизма влияет на стратегию дальнейших действий. Самый распространённый сценарий в 2025-2026 годах — дренер через фальшивый mint или airdrop. Жертва переходит по ссылке на поддельный сайт NFT-проекта или airdrop и подписывает транзакцию, которая на самом деле выдаёт смарт-контракту права на вывод всех ERC-20 токенов. Деньги уходят за секунды. Признак именно этого сценария: seed-фраза не была нигде введена, но средства всё равно ушли.

Второй сценарий — утечка seed-фразы или приватного ключа. Ключ мог быть перехвачен вирусом-стилером, скопирован при вводе на фишинговом сайте или просто сфотографирован. В этом случае злоумышленник получает полный контроль над кошельком. Признак: исчезли не только токены, но и весь ETH (BNB, SOL) вместе с NFT. Скомпрометированный кошелёк необходимо считать безвозвратно потерянным: никогда больше не используйте этот адрес.

Третий сценарий — SIM-swap или взлом email, через который злоумышленник сбросил пароль биржевого аккаунта. Это не взлом кошелька как такового, а взлом аккаунта на централизованной бирже. Здесь первое действие — немедленно позвонить в поддержку биржи и заблокировать аккаунт, а параллельно обратиться к мобильному оператору для блокировки SIM-карты.

Чего категорически нельзя делать

В панике жертвы взлома совершают ошибки, которые не только не помогают, но и усложняют расследование. Первая и самая опасная ошибка — вводить seed-фразу где-либо, пытаясь «восстановить» кошелёк. Если злоумышленник уже имеет доступ к вашему устройству, любой новый ввод seed-фразы будет перехвачен мгновенно, и второй кошелёк тоже будет скомпрометирован.

Нельзя переводить деньги «на безопасный адрес» по совету незнакомых людей в Telegram или чатах поддержки. Это стандартная вторая волна мошенничества: люди пишут жертвам взлома, представляются специалистами по безопасности и убеждают перевести оставшиеся средства на «защищённый кошелёк», который является их адресом. Нельзя устанавливать какие-либо программы по инструкциям из чатов — это может быть тот же дренер или инструмент удалённого доступа.

Не нужно в первые 30 минут тратить время на звонки в полицию. Правоохранительные органы не могут действовать с той скоростью, которая нужна для остановки on-chain транзакции. Сначала сделайте всё, что описано выше, и только потом зафиксируйте факт в МВД для открытия уголовного дела. Заявление в МВД о краже криптовалюты подаётся в течение нескольких дней, а не в первые минуты.

Трассировка: как работает форензик-анализ после взлома

Блокчейн предоставляет полную и неизменную историю всех транзакций. Это одновременно плохая новость (кражу нельзя отменить) и хорошая (каждый шаг вора задокументирован). Профессиональный форензик-анализ позволяет восстановить полный граф движения средств: от вашего адреса через цепочку промежуточных кошельков до конечных точек обналичивания.

Большинство похитителей рано или поздно выводят средства через биржу. Децентрализованные обменники (Uniswap, dYdX) не требуют KYC, но для конвертации в фиат нужен централизованный обменник с верификацией личности. Именно здесь создаётся точка идентификации. Форензик-отчет с картой транзакций и установленными биржевыми адресами является основанием для официального запроса в compliance биржи, который обязывает её раскрыть KYC-данные владельца аккаунта.

Анализ украденных средств на блокчейне показывает, что в 58% случаев похищенные активы проходят через известные биржи в течение первых 48 часов. Это означает: оперативный запрос, направленный в нужную биржу в течение нескольких часов после взлома, имеет реальные шансы привести к заморозке. Каждый час промедления снижает вероятность.

Как защитить кошелёк в будущем

После того как непосредственный кризис урегулирован, важно понять точку входа взломщика и устранить её. Если произошло заражение вирусом-стилером, переустановите операционную систему с нуля перед созданием нового кошелька. Никакого «удалить вирус и продолжить» — стилеры умеют прятаться глубоко в системе. Новая seed-фраза создаётся только на полностью чистом устройстве, никогда не хранится в цифровом виде и никогда не вводится на сайтах.

Основная защита от дренеров — внимательность при подписи транзакций. Перед любой подписью сверяйте адрес контракта с официальными источниками проекта. Используйте revoke.cash еженедельно для проверки и отзыва ненужных approvals. Рассмотрите хранение значительных сумм на аппаратном кошельке (Ledger, Trezor): дренер через браузерное расширение не имеет доступа к приватным ключам, хранящимся на аппаратном устройстве.

Ещё один полезный инструмент — мониторинг адресов через сервисы вроде Etherscan Watchlist или специализированные on-chain alert системы. При любой исходящей транзакции с отслеживаемого адреса вы получите немедленное уведомление, что даёт несколько минут для реакции, если кошелёк всё-таки окажется скомпрометированным.