# Фишинг криптокошельков: как крадут сид-фразы и что делать > Как устроен фишинг криптокошельков: поддельные кошельки и биржи, страницы «синхронизации», кража сид-фразы. Признаки, первые шаги и как закрывают такие сайты. - Language: ru - Published: 2026-10-25 · Updated: 2026-10-25 - HTML: https://rikidomains.at/ru/guides/fishing-kriptokoshelkov/ - Markdown: https://rikidomains.at/ru/guides/fishing-kriptokoshelkov/index.md - EN version: https://rikidomains.at/en/guides/crypto-wallet-phishing/ Самая массовая схема в нашей практике. За май–октябрь 2026 года [служба блокировки](https://rikidomains.at/ru/guides/blokirovka-fishingovyh-saytov/) вела 827 доменов фишинга под криптосервисы, по ним собрана [статистика](https://rikidomains.at/ru/guides/skolko-zhivet-moshennicheskiy-domen/). Это не теория: ниже описаны страницы, которые мы закрывали, признаки, по которым их видно, и что делать, если сид-фраза уже введена. ## Как выглядит схема Цель одна: получить сид-фразу, приватный ключ или подпись транзакции. Упаковок несколько. - **Поддельный кошелёк или биржа.** Копия сайта популярного кошелька или биржи с формой входа или «импорта кошелька». Отличается адресом: имя бренда плюс слово (wallet, app, login, support, sync), дефис, другая доменная зона. - **Страницы «синхронизации», «валидации», «разблокировки», «миграции».** Легенда: в кошельке ошибка, транзакция зависла, нужно обновление, и для этого «подтвердите кошелёк», то есть введите 12 или 24 слова. Таких процедур не существует ни у одного кошелька. - **Страницы «выплат», «аирдропов», «компенсаций».** «Вам начислены токены, подключите кошелёк, чтобы получить». После подключения просят подписать транзакцию, и она выводит активы. - **Поддельная поддержка.** Чат, бот или «специалист», который появляется после жалобы в соцсети или комментария под постом и просит фразу, удалённый доступ или перевод на «безопасный адрес». Трафик ведут отовсюду: реклама над результатами поиска по названию кошелька, рассылки о «подозрительной активности», личные сообщения в мессенджерах, комментарии под постами, поддельные расширения и приложения. Одна группа держит десятки доменов на один бренд, и после блокировки витрина переезжает на следующий. ## Как крадут деньги 1. **Сид-фраза или приватный ключ.** Введённые слова дают полный контроль над кошельком. Скрипт на странице передаёт их сразу, средства уходят за минуты, иногда бот ждёт новых поступлений. 2. **Подпись «безопасной» транзакции.** Кнопка «подключить кошелёк» открывает настоящий кошелёк с запросом подписи или разрешения на токены. Вводить ничего не нужно: одно подтверждение, и контракт-дрейнер выводит всё, на что получил разрешение. 3. **Вход в «биржу».** Логин, пароль и код из приложения проходят через прокси-страницу и в ту же минуту используются на настоящей бирже. 4. **«Поддержка».** Удалённый доступ к компьютеру или «переведите средства на временный адрес, пока мы чиним». 5. **Вторая волна.** Пострадавшему пишут «сервисы возврата»: за предоплату обещают вернуть украденное. ## Признаки, по которым схему видно до того, как что-то вводить - Просят сид-фразу или приватный ключ. Настоящему кошельку они нужны только внутри приложения при восстановлении, и никогда на сайте, в чате или в письме. - Адрес с лишним словом, дефисом или другой зоной. Домен зарегистрирован недавно: дата видна в [RDAP-запросе](https://rikidomains.at/ru/glossary/whois-rdap/), бренду с годами истории не бывает две недели. - Вы пришли по рекламе над результатами поиска или по ссылке из личного сообщения, а не по закладке. - Слова «синхронизировать», «валидировать», «разблокировать», «миграция», «подтвердить кошелёк». - Срочность и угрозы: «кошелёк будет заморожен через 24 часа», «транзакция отменится». - Запрос подписи, смысл которой непонятен, или разрешение на токены с неограниченной суммой. - Выплаты, аирдропы и компенсации, для получения которых нужно «подключить кошелёк» или заплатить «комиссию за вывод». ## Что делать, если сид-фраза уже введена 1. Считать кошелёк потерянным. Создать новый с новой фразой и немедленно перевести туда всё, начиная с самого ценного. Старую фразу больше не использовать нигде. 2. Если подписывали транзакцию или разрешение: отозвать разрешения на токены через обозреватель блокчейна или сервис отзыва, затем переводить. Иначе дрейнер снимет и то, что придёт позже. 3. Если вводили данные биржи: сменить пароль и двухфакторный код, завершить все сессии, написать в поддержку биржи с просьбой заморозить вывод. 4. Сохранить всё: адрес сайта, скриншоты страниц, адреса-получатели, хэши транзакций, переписку с «поддержкой». 5. Заявление в полицию, в США дополнительно в IC3. Хэши транзакций и адреса помогают биржам пометить и заморозить средства, если они туда дойдут. 6. Пожаловаться на домен регистратору и хостингу, сообщить в чёрные списки браузеров и кошельков. Денег это не вернёт, но закроет ловушку для следующих. Как подаются такие жалобы и что ускоряет блокировку, описано на [странице услуги](https://rikidomains.at/ru/guides/blokirovka-fishingovyh-saytov/). 7. Не отвечать «сервисам возврата». Деньги в блокчейне не возвращаются по заявке, а предоплата уйдёт тем же людям. ## Как такие сайты закрывают Наши данные за май–октябрь 2026 года по 827 доменам этой схемы: блокировки достигли 49%, медиана от первой жалобы до блокировки 9 дней, каждый десятый домен держался дольше 43 дней. На один закрытый домен в среднем ушло 44 обращения, больше половины потребовали свыше 40 подач. Зона решает скорость: дешёвые .pro, .ink, .sbs и .gr.com закрываются за 1,5–4 дня, .com за 7,4 дня при доле 52%, .io и .co держатся около месяца. Отдельные домены получали по 300–600 жалоб и жили месяцами, объём сам по себе не гарантирует результат. Что ускоряет: скриншот формы, где просят сид-фразу, это прямое нарушение правил любого регистратора и хостинга; совпадение дизайна и названия с настоящим брендом; хэши транзакций на адреса, уже помеченные как мошеннические. Поскольку витрины клонируются, отдельно следим за появлением похожих доменов через [Certificate Transparency](https://rikidomains.at/ru/glossary/certificate-transparency/) и подаём жалобы на новые адреса до того, как они наберут жертв. Другая схема из той же практики, с другой механикой выманивания денег: [фальшивые автодилеры](https://rikidomains.at/ru/guides/falshivye-avtodilery-onlayn/). > [Открыть бота](https://t.me/riki_domains_bot?start=g23) ## Коротко Фишинг криптокошельков продаёт не услугу, а форму для сид-фразы или кнопку «подписать». Просьба ввести фразу, адрес с лишним словом, вход по рекламе или из личного сообщения и слова «синхронизация» и «валидация» это четыре признака, после которых вкладку закрывают. Если фраза уже введена, счёт идёт на минуты: новый кошелёк и перевод, отзыв разрешений, заявление, жалоба на домен. ## FAQ **Может ли настоящий кошелёк попросить сид-фразу на сайте?** Нет. Сид-фраза нужна только внутри самого приложения кошелька при восстановлении доступа. Любой сайт, чат, бот или «сотрудник поддержки», который просит её ввести или прислать, это кража, какой бы ни была причина. **Я ввёл сид-фразу, но деньги ещё на месте. Что делать?** Считать кошелёк скомпрометированным и немедленно перевести всё на новый кошелёк с новой фразой, начиная с самых ценных активов. Скрипт на фишинговой странице обычно выводит средства за минуты, но иногда ждёт поступлений, поэтому «пока на месте» ничего не значит. **Можно ли вернуть украденную криптовалюту?** Напрямую нет: транзакции необратимы. Шанс есть, если средства попали на биржу: хэши транзакций и заявление помогают заморозить адреса получателя. «Сервисы возврата», которые просят предоплату, это вторая волна той же схемы. **Как быстро закрывают фишинговые сайты под кошельки?** По нашей статистике за 2026 год из 827 доменов этой схемы блокировки достигли 49%, медиана 9 дней от первой жалобы, на домен в среднем 44 обращения. В дешёвых зонах 2–4 дня, в .com 7,4 дня, в .io около месяца.