Фишинг криптокошельков: как крадут сид-фразы и что делать

Самая массовая схема в нашей практике. За май–октябрь 2026 года служба блокировки вела 827 доменов фишинга под криптосервисы, по ним собрана статистика. Это не теория: ниже описаны страницы, которые мы закрывали, признаки, по которым их видно, и что делать, если сид-фраза уже введена.

Как выглядит схема

Цель одна: получить сид-фразу, приватный ключ или подпись транзакции. Упаковок несколько.

• Поддельный кошелёк или биржа. Копия сайта популярного кошелька или биржи с формой входа или «импорта кошелька». Отличается адресом: имя бренда плюс слово (wallet, app, login, support, sync), дефис, другая доменная зона.
• Страницы «синхронизации», «валидации», «разблокировки», «миграции». Легенда: в кошельке ошибка, транзакция зависла, нужно обновление, и для этого «подтвердите кошелёк», то есть введите 12 или 24 слова. Таких процедур не существует ни у одного кошелька.
• Страницы «выплат», «аирдропов», «компенсаций». «Вам начислены токены, подключите кошелёк, чтобы получить». После подключения просят подписать транзакцию, и она выводит активы.
• Поддельная поддержка. Чат, бот или «специалист», который появляется после жалобы в соцсети или комментария под постом и просит фразу, удалённый доступ или перевод на «безопасный адрес».

Трафик ведут отовсюду: реклама над результатами поиска по названию кошелька, рассылки о «подозрительной активности», личные сообщения в мессенджерах, комментарии под постами, поддельные расширения и приложения. Одна группа держит десятки доменов на один бренд, и после блокировки витрина переезжает на следующий.

Как крадут деньги

1. Сид-фраза или приватный ключ. Введённые слова дают полный контроль над кошельком. Скрипт на странице передаёт их сразу, средства уходят за минуты, иногда бот ждёт новых поступлений.
2. Подпись «безопасной» транзакции. Кнопка «подключить кошелёк» открывает настоящий кошелёк с запросом подписи или разрешения на токены. Вводить ничего не нужно: одно подтверждение, и контракт-дрейнер выводит всё, на что получил разрешение.
3. Вход в «биржу». Логин, пароль и код из приложения проходят через прокси-страницу и в ту же минуту используются на настоящей бирже.
4. «Поддержка». Удалённый доступ к компьютеру или «переведите средства на временный адрес, пока мы чиним».
5. Вторая волна. Пострадавшему пишут «сервисы возврата»: за предоплату обещают вернуть украденное.

Признаки, по которым схему видно до того, как что-то вводить

• Просят сид-фразу или приватный ключ. Настоящему кошельку они нужны только внутри приложения при восстановлении, и никогда на сайте, в чате или в письме.
• Адрес с лишним словом, дефисом или другой зоной. Домен зарегистрирован недавно: дата видна в RDAP-запросе, бренду с годами истории не бывает две недели.
• Вы пришли по рекламе над результатами поиска или по ссылке из личного сообщения, а не по закладке.
• Слова «синхронизировать», «валидировать», «разблокировать», «миграция», «подтвердить кошелёк».
• Срочность и угрозы: «кошелёк будет заморожен через 24 часа», «транзакция отменится».
• Запрос подписи, смысл которой непонятен, или разрешение на токены с неограниченной суммой.
• Выплаты, аирдропы и компенсации, для получения которых нужно «подключить кошелёк» или заплатить «комиссию за вывод».

Что делать, если сид-фраза уже введена

1. Считать кошелёк потерянным. Создать новый с новой фразой и немедленно перевести туда всё, начиная с самого ценного. Старую фразу больше не использовать нигде.
2. Если подписывали транзакцию или разрешение: отозвать разрешения на токены через обозреватель блокчейна или сервис отзыва, затем переводить. Иначе дрейнер снимет и то, что придёт позже.
3. Если вводили данные биржи: сменить пароль и двухфакторный код, завершить все сессии, написать в поддержку биржи с просьбой заморозить вывод.
4. Сохранить всё: адрес сайта, скриншоты страниц, адреса-получатели, хэши транзакций, переписку с «поддержкой».
5. Заявление в полицию, в США дополнительно в IC3. Хэши транзакций и адреса помогают биржам пометить и заморозить средства, если они туда дойдут.
6. Пожаловаться на домен регистратору и хостингу, сообщить в чёрные списки браузеров и кошельков. Денег это не вернёт, но закроет ловушку для следующих. Как подаются такие жалобы и что ускоряет блокировку, описано на странице услуги.
7. Не отвечать «сервисам возврата». Деньги в блокчейне не возвращаются по заявке, а предоплата уйдёт тем же людям.

Как такие сайты закрывают

Наши данные за май–октябрь 2026 года по 827 доменам этой схемы: блокировки достигли 49%, медиана от первой жалобы до блокировки 9 дней, каждый десятый домен держался дольше 43 дней. На один закрытый домен в среднем ушло 44 обращения, больше половины потребовали свыше 40 подач. Зона решает скорость: дешёвые .pro, .ink, .sbs и .gr.com закрываются за 1,5–4 дня, .com за 7,4 дня при доле 52%, .io и .co держатся около месяца. Отдельные домены получали по 300–600 жалоб и жили месяцами, объём сам по себе не гарантирует результат.

Что ускоряет: скриншот формы, где просят сид-фразу, это прямое нарушение правил любого регистратора и хостинга; совпадение дизайна и названия с настоящим брендом; хэши транзакций на адреса, уже помеченные как мошеннические. Поскольку витрины клонируются, отдельно следим за появлением похожих доменов через Certificate Transparency и подаём жалобы на новые адреса до того, как они наберут жертв.

Другая схема из той же практики, с другой механикой выманивания денег: фальшивые автодилеры.

Коротко

Фишинг криптокошельков продаёт не услугу, а форму для сид-фразы или кнопку «подписать». Просьба ввести фразу, адрес с лишним словом, вход по рекламе или из личного сообщения и слова «синхронизация» и «валидация» это четыре признака, после которых вкладку закрывают. Если фраза уже введена, счёт идёт на минуты: новый кошелёк и перевод, отзыв разрешений, заявление, жалоба на домен.