Клиппер (Clipper malware)
Клиппер (clipper, от clipboard hijacker) — вредоносная программа, которая незаметно отслеживает буфер обмена устройства и, обнаружив в нём криптоадрес, подменяет его на адрес злоумышленника. Жертва копирует правильный адрес получателя, но вставляет в поле перевода уже подменённый — и, не заметив разницы, отправляет средства напрямую атакующему.
Как работает клиппер (Clipper malware)
Клиппер работает по принципу молчаливого мониторинга. Программа устанавливается на устройство жертвы, чаще всего вместе со взломанным ПО, поддельным кошельком или заражённым установщиком, и после этого работает в фоне, никак не проявляя себя, пока пользователь не скопирует в буфер обмена строку, похожую на криптоадрес.
Почему подмену так трудно заметить
Криптоадреса — длинные случайные строки символов, которые люди почти никогда не сверяют полностью посимвольно. Продвинутые версии клипперов используют алгоритмы, подбирающие адрес атакующего так, чтобы первые и последние несколько символов совпадали с оригиналом — при беглом визуальном сравнении разница остаётся незамеченной. Жертва копирует корректный адрес получателя, но в момент вставки в поле перевода в буфере обмена уже находится подменённая строка.
Как клиппер попадает на устройство
Основные каналы заражения — пиратское или взломанное ПО, поддельные версии популярных криптокошельков, скачанные не из официальных источников, вложения в фишинговых письмах и заражённые расширения браузера. В отличие от drainer-атак, требующих активного взаимодействия жертвы с вредоносным сайтом, клиппер действует полностью пассивно и может месяцами оставаться незамеченным на устройстве.
Почему клиппер опасен для безопасности ваших средств
Клиппер — одна из немногих угроз, где жертва делает всё технически правильно (копирует настоящий адрес получателя), но всё равно теряет средства из-за компрометации самого устройства, а не действий на сайте. Единственная надёжная защита — сверять хотя бы первые и последние 4-6 символов адреса перед подтверждением перевода, и регулярно проверять устройство антивирусом. После кражи через клиппер важна скорость: KarCrypto проводит блокчейн-трейсинг адреса получателя и, если средства попали на биржу с KYC, инициирует запрос на заморозку.
Пример: как выглядит кража через клиппер
Представим пользователя, который установил «облегчённую» версию кошелька с неофициального сайта или запустил взломанную программу. Через несколько недель он решает перевести USDT на свой депозитный адрес на бирже: копирует адрес в приложении биржи и вставляет его в поле перевода в кошельке. Первые и последние символы выглядят знакомо, поэтому он нажимает «Отправить». Транзакция проходит штатно, комиссия списана, в блокчейн-эксплорере статус «успешно». Но получатель в ней не биржа, а адрес злоумышленника.
Обычно пользователь понимает, что произошло, только когда баланс на бирже не пополняется. С точки зрения сети перевод выполнен корректно, и отменить его технически нельзя: блокчейн не знает, что адрес был подменён. Зато у расследования появляется точка опоры, а именно хеш транзакции и адрес получателя. По ним можно проследить, куда атакующий переводил средства дальше, собирал ли он на этом адресе деньги других жертв и выходил ли на биржу, где есть данные о владельце счёта.
Что делать и чего не делать при подозрении на клиппер
Первое правило: прекратите отправлять средства с этого устройства, иначе следующий перевод может пойти по тому же сценарию. Если нужно спасти оставшиеся активы, создайте новый кошелёк на чистом устройстве, а не на подозрительном: seed-фраза, сгенерированная на заражённой машине, тоже может быть скомпрометирована. Сохраните хеш транзакции, адрес получателя, время и сумму, сделайте скриншоты, не удаляйте переписку и историю переводов.
Затем проверьте устройство антивирусом, а при подтверждении заражения переустановите систему целиком, а не просто удалите одну программу. Не доверяйте «специалистам» в чатах, которые просят предоплату за возврат: перевод в блокчейне необратим, и гарантировать результат не может никто. Реалистичный путь выглядит иначе: трассировка адреса получателя, поиск точки вывода на биржу, обращение в её compliance-службу и заявление в правоохранительные органы. Чем раньше сделано обращение, тем выше вероятность, что часть средств ещё лежит на адресах, где их можно заморозить.
Часто задаваемые вопросы
Как понять, что на моём устройстве установлен клиппер?
Прямых визуальных признаков обычно нет — в этом и опасность. Косвенный признак: если после копирования адреса и вставки в поле перевода адрес визуально отличается от того, что вы копировали, хотя бы в середине строки. Рекомендуется регулярная проверка устройства антивирусом и избегание пиратского ПО.
Можно ли вернуть средства, украденные через клиппер?
Шансы зависят от того, куда атакующий вывел средства. Если они прошли через биржу с KYC-верификацией, есть реальная возможность инициировать заморозку через compliance-отдел. Если средства сразу ушли через миксер, цепочка усложняется, но не всегда обрывается полностью.
Защищает ли аппаратный кошелёк от клиппера?
Аппаратный кошелёк требует физического подтверждения адреса на экране устройства перед подписанием транзакции, что серьёзно снижает риск — вы увидите настоящий адрес получателя на отдельном экране. Но если вы не сверяете адрес на экране кошелька с тем, что собирались отправить, риск сохраняется.
Подменяет ли клиппер адреса только одной сети?
Нет. Многие клипперы распознают форматы адресов разных сетей, например Bitcoin, Ethereum или Tron, и подставляют соответствующий адрес атакующего. Поэтому риск существует при переводах любых популярных активов, а не только одной монеты.
Что делать, если я заметил подмену адреса до отправки перевода?
Не подтверждайте перевод и закройте окно. Не копируйте адрес заново с этого же устройства, пока оно не проверено: подмена повторится. Получите адрес получателя другим способом, например с другого устройства, и сразу проверьте систему антивирусом. Сохраните скриншот подменённого адреса, он пригодится, если вы захотите разобраться в источнике заражения.