Обучение
Ошибки новичков с криптокошельком: как теряют доступ и деньги
Сид-фразу не хранят в фото и облаке и не называют «поддержке». Монеты на площадке защищены её ключами, а не вашими. Перед переводом сверяют сеть, монету для комиссии и адрес целиком, крупную сумму — после пробной. Подпись может выдать право списывать токены. «Сервисы восстановления» — второй обман.
Вы копируете адрес из истории переводов, сверяете первые и последние четыре символа — совпадает. Нажимаете «Отправить», а через час получатель пишет, что ничего не пришло: адрес был чужим и совпадал ровно там, где вы проверяли. Перевод в блокчейне не отменить, и банка, который вернёт деньги, здесь нет. Большинство потерь у новичков — не хитрые взломы, а десяток повторяющихся ошибок. Разбираем, как работает каждая и что её предотвращает.
Коротко
- Сид-фраза — это и есть кошелёк: её не хранят в фото, облаке и мессенджерах и не называют никому, включая «поддержку».
- Монеты на площадке защищены её ключами, а не вашими. О собственном кошельке должен знать кто-то, кроме вас.
- Перед переводом сверяют сеть, монету для комиссии и адрес целиком, а крупную сумму отправляют после пробной.
- Подпись в кошельке может выдать право списывать токены — без сид-фразы.
- Если деньги уже ушли, «сервисы восстановления» не помогут: это вторая волна обмана.
Ошибки с сид-фразой: как доступ получают посторонние
Сид-фраза — набор слов, из которого кошелёк восстанавливает все ключи; в стандарте BIP-39 это от 12 до 24 слов. Кто знает фразу, тот распоряжается монетами с любого устройства. Пароль приложения защищает телефон, а не кошелёк.
Ошибка 1. Фраза в фото, облаке или мессенджере. Снимок экрана уходит в облачную галерею, заметки синхронизируются, переписка хранится на серверах — всё это открывается вместе с аккаунтом и доступно вредоносным программам. В феврале 2025 года «Лаборатория Касперского» описала троян из официальных магазинов приложений: получив доступ к галерее, он искал на снимках фразы восстановления. Весной 2026 года он вернулся в новых приложениях.
Как не допустить: записать фразу от руки на бумаге или металле, держать две копии в разных местах и не вводить её в устройства «на всякий случай». Подробно — о том, как хранить сид-фразу.
Ошибка 2. Фраза «поддержке» или «для проверки». После вопроса в общем чате в личку пишет «сотрудник поддержки» и присылает ссылку на «синхронизацию» или «разблокировку» кошелька. Форма просит фразу — и через несколько минут кошелёк пуст. Фразу вводят только при восстановлении кошелька в самом приложении. Любой, кто её просит, — мошенник.
Кто держит ключ и что будет с монетами без вас
Ошибка 3. Считать счёт на площадке своим кошельком. На площадке у вас учётная запись, а ключи от адресов — у площадки. Документация Ethereum формулирует прямо: вы владеете не монетами, а ключами. Значит, вы зависите от решений и устойчивости площадки. В ноябре 2022 года биржа FTX фактически остановила вывод средств, а 11 ноября подала заявление о банкротстве.
Как не допустить: на площадке оставлять только то, без чего переживёте её блокировку или сбой, остальное — в кошельке, сид-фраза от которого есть только у вас. Но собственный кошелёк переносит всю ответственность на вас — отсюда остальные ошибки списка.
Ошибка 4. Одна копия и никакого плана. Бумажка сгорела, второй копии нет — восстановить доступ не сможет никто: у кошелька нет кнопки «забыли пароль». Если о кошельке никто не знает, наследники его не найдут. Как не допустить: две копии, проверка копии восстановлением до того, как на кошелёк приходят деньги, и близкие, которые знают, что актив существует. Как оставить доступ, не раскрывая ключ заранее, — в разборе о наследовании криптовалюты.
Ошибки при переводе: не та сеть, нет комиссии, нет пробы
Ошибка 5. Перевод в другой сети. Один токен часто выпускается в нескольких блокчейнах: USDT, по списку эмитента, — больше чем в десяти. Адреса в совместимых сетях выглядят одинаково: адрес вычисляется из открытого ключа и не содержит указания на сеть. Кошелёк примет его без возражений, а монеты окажутся там, где получатель их не ждёт.
Если это ваш обычный кошелёк с сид-фразой, монеты, как правило, видны после добавления нужной сети в то же приложение. Если адрес принадлежит площадке, вернуть перевод может только она — по своим правилам и не всегда. Если это смарт-контракт, монеты могут пропасть совсем. Как не допустить: выбирать сеть, которую назвал получатель, и сверять её название в окне отправки.
Ошибка 6. Нет монеты сети для комиссии. Комиссию блокчейн берёт в своей «родной» монете: в Ethereum — в эфире. Если на кошельке одни токены, обычный перевод не отправится. Как не допустить: держать немного монеты той сети, где лежат токены, с запасом на рост комиссии.
Ошибка 7. Крупная сумма без пробного перевода. Ошибку в адресе или сети видно только после отправки. Пробный перевод небольшой суммы проверяет всю цепочку и стоит одной лишней комиссии. Условие: основную сумму отправляют на адрес из того же исходного источника, а не из истории операций. Почему — ниже.
Подмена адреса: буфер обмена и «отравленная» история
Ошибка 8. Сверять только начало и конец адреса. Адрес — строка из десятков символов, целиком её почти никто не читает. На этом построены две схемы.
Первая — вредонос, который следит за буфером обмена и подменяет скопированный адрес на адрес злоумышленника. В 2022 году исследователи описали программу, подбиравшую подставной адрес, похожий на настоящий в начале и в конце.
Вторая — «отравление» истории. Злоумышленник создаёт адрес, похожий на адрес вашего частого получателя, и присылает нулевой или копеечный перевод, чтобы двойник появился в истории. Расчёт на то, что в следующий раз вы скопируете адрес оттуда. Исследование, представленное на USENIX Security в 2025 году, насчитало в Ethereum и BNB Smart Chain за два года 270 млн таких атак на 17 млн адресов; 6633 из них принесли потери не менее 83,8 млн долларов. В мае 2024 года так ушли 1155 WBTC — около 68 млн долларов; злоумышленник вернул большую часть после переговоров, но это редкое исключение.
Как не допустить: брать адрес у получателя по проверенному каналу или из адресной книги кошелька, куда он внесён после проверки, и после вставки сверять его целиком. Непрошеный перевод от незнакомца — повод насторожиться. Как устроена проверка адреса целиком — в разборе «Как проверить адрес перед переводом».
Подписи и приложения: как кошелёк опустошают без сид-фразы
Ошибка 9. Подписывать, не читая. Стандарт токенов в Ethereum позволяет выдать другому адресу право многократно списывать ваши токены в пределах лимита. Приложения нередко просят лимит без ограничения, а разрешение действует, пока его не отзовут. Для части токенов его выдаёт простая подпись сообщения — без транзакции и комиссии с вашей стороны. Этим пользуются дрейнеры: окно подписи на их сайте выглядит как вход или получение подарка.
Как не допустить: перед подписью смотреть тип операции, сумму и адрес, которому выдаётся право; не подключать кошелёк к сайтам из рекламы и чатов; ненужные разрешения отзывать. Подробно — в материале о дрейнерах и фишинге.
Ошибка 10. Кошелёк по ссылке из рекламы или чата. Подделка копирует название, иконку и экраны оригинала. Она либо просит сид-фразу «для импорта», либо создаёт новый кошелёк — и в обоих случаях фраза уходит злоумышленникам. Как не допустить: устанавливать приложение по ссылке с официального сайта разработчика, набранного вручную, и сверять разработчика в магазине. Признаки подделки — в разборе поддельного приложения кошелька.
Если ошибка уже случилась: что делать и чего не делать
Если сид-фраза могла утечь, создают новый кошелёк с новой фразой и переводят туда остаток. Если выдано лишнее разрешение, его отзывают или переносят средства на новый адрес. Если монеты ушли на адрес площадки в другой сети, пишут в её поддержку, найденную на официальном сайте.
Главная ловушка на этом этапе — «сервисы восстановления». После жалобы в чате появляются «специалисты», которые обещают вернуть монеты за предоплату или просят сид-фразу. Банк России описывает похожую типовую схему: мошенники предлагают помочь вернуть похищенные деньги и выманивают личные и финансовые данные. Отменить перевод в блокчейне по заказу не может никто, и предоплата за «возврат» — второе хищение. О краже подают заявление в полицию.
Что запомнить
- Сид-фраза — полный доступ к кошельку: только офлайн, две копии, никому.
- На площадке ключи чужие, в собственном кошельке вся ответственность ваша.
- Перед переводом: сеть, монета для комиссии, адрес целиком, пробная сумма.
- Подпись может стоить всего баланса: читайте, что подписываете.
- «Вернём ваши монеты» — признак мошенничества.
Источники
- BIP-39: github.com/bitcoin/bips; EIP-20: eips.ethereum.org/EIPS/eip-20; EIP-2612: eips.ethereum.org/EIPS/eip-2612
- Документация Ethereum: аккаунты, комиссии; эмитент USDT: сети выпуска
- Tsuchiya T. и др. Blockchain Address Poisoning. USENIX Security 2025: usenix.org
- Банк России, «Обещают помочь с компенсацией похищенных денег»: cbr.ru
- Троян, читающий снимки: Anti-Malware.ru, 04.02.2025 и 03.04.2026; The Register, 07.02.2025; TechRadar, 06.04.2026
- Подмена адреса в буфере: Anti-Malware.ru, 07.11.2022; The Hacker News, 08.11.2022. Кража 1155 WBTC: ForkLog, 09.05.2024; Cointelegraph, 10.05.2024
- FTX: The Block, 08.11.2022; Reuters, 09.11.2022; Al Jazeera, 11.11.2022; CNBC, 11.11.2022
Материал носит информационный характер и не является индивидуальной инвестиционной рекомендацией. Редакция не даёт оценок доходности и не призывает к совершению операций с цифровыми активами.
