Фишинг в крипте: как распознать и защититься

Фишинг не взламывает биржу и не ищет уязвимость в блокчейне. Он работает проще. Заставляет вас самостоятельно отдать доступ к деньгам. Ссылка, письмо, сообщение в Telegram, поддельная кнопка подключения кошелька, и вот уже средства ушли на чужой адрес без единого шанса на отмену транзакции.

По данным аналитической компании Scam Sniffer, в 2025 году криптофишинг принёс мошенникам 83,85 млн долларов, пострадали 106 106 человек. Цифра выглядит скромно на фоне 2024 года, когда потери составили около 494 млн долларов, а жертвами стали свыше 330 тысяч пользователей. Падение почти на 83%. Но радоваться рано. Пик пришёлся на третий квартал 2025 года, когда на волне роста ETH мошенники вытянули из кошельков 31 млн долларов у 40 тысяч человек всего за три месяца. Средний ущерб на одну жертву в 2025 году составил 790 долларов против 1500 годом ранее. Мошенники перешли от охоты за крупной рыбой к массовому обворовыванию розничных трейдеров. Мошенничество с криптовалютой в 2025 году редко выглядит как эффектный взлом, чаще это обычная невнимательность на ровном месте.

Эта статья разберёт основные виды фишинга, признаки, по которым его можно вычислить ещё до клика, и рабочий чек-лист защиты. Отдельно поговорим про фишинг, нацеленный на API-ключи торговых терминалов, потому что для активного трейдера это один из самых чувствительных векторов атаки.

Виды фишинга в крипте

Схемы мошенников меняются вслед за технологиями, но суть остаётся одной: получить доступ к вашим средствам, выдав себя за что-то легитимное. Разберём четыре основные категории, с которыми сталкивается практически каждый, кто торгует криптовалютой дольше нескольких месяцев.

Фейковые сайты бирж

Классика жанра, клон сайта биржи с почти идентичным доменом. Одна лишняя буква, замена латинской "i" на строчную "l", дефис вместо точки, и вот уже адрес binancce.com или bybit-pro.com выглядит как настоящий. Дизайн копируется один в один, вплоть до баннеров и текста поддержки.

Отдельная головная боль, отравленная реклама (poisoned ads). Мошенники покупают рекламные позиции в поисковых системах, и фишинговый сайт оказывается выше официального в выдаче Google. Пользователь ищет "binance вход" и жмёт на первую ссылку, даже не проверяя, реклама это или нет.

Я как-то сам перешёл по рекламному баннеру вместо привычной закладки, было лень искать сайт вручную. Хорошо, что заметил лишнюю букву в домене ещё на странице ввода пароля и закрыл вкладку. С тех пор захожу на биржи только через сохранённые закладки, никаких поисковых запросов.

Такие клоны обычно просят логин и пароль, а на более продвинутых версиях еще и код двухфакторной аутентификации в реальном времени, перехватывая сессию за секунды.

Фишинговые письма

Письмо якобы от службы безопасности биржи. Аккаунт заблокирован, требуется подтверждение в течение двух часов, иначе средства заморозят. Внутри ссылка на клон сайта или вложение с вредоносным ПО, часто кейлоггером, который потом тихо собирает пароли и сид-фразы.

Признаки таких писем обычно совпадают. Обратный адрес похож на настоящий, но с отличием в один символ, логотип биржи вставлен из открытых источников, а текст написан с искусственным давлением по срокам. Иногда встречаются и более изощрённые варианты, имитирующие уведомление о выигрыше в розыгрыше токенов или приглашение на закрытый список для нового листинга.

Часто подделывают уведомления именно о безопасности аккаунта. Письмо про "подозрительный вход с нового устройства" выглядит правдоподобнее, чем банальный розыгрыш, потому что бьёт по тревоге пользователя напрямую.

Скам через Telegram и Discord

Здесь работает социальная инженерия чистого вида. Клонируют канал биржи или проекта, меняя одну букву в названии, набирают ботов в подписчики для правдоподобия и начинают рассылать личные сообщения с "техподдержкой", готовой "решить проблему прямо сейчас".

Второй распространённый сценарий. Фейковый админ пишет первым в личные сообщения после того, как вы оставили комментарий в официальном чате с вопросом. Формулировка почти всегда одинаковая, что-то в духе "напишите нам в личку, поможем". Настоящая поддержка бирж и серьёзных проектов практически никогда не пишет первой.

Отдельно стоят фейковые airdrop-кампании. Обещание бесплатных токенов за подключение кошелька к сайту, который на деле запрашивает подпись на вывод активов. В 2025 году именно этот вектор стал одним из самых массовых, судя по квартальной статистике Scam Sniffer, где количество жертв росло быстрее суммы ущерба.

Фейковые dApps

Самая техничная категория. Мошеннический сайт имитирует интерфейс известного протокола (DEX, лендинг стейкинга, маркетплейс NFT) и просит подключить кошелёк. Дальше начинается самое неприятное. Запрос на подпись транзакции, которая выглядит безобидно, но на деле даёт смарт-контракту разрешение (permit) распоряжаться вашими токенами без дополнительного подтверждения.

По данным того же отчёта Scam Sniffer, атаки через Permit и Permit2 составили 38% всех краж на сумму свыше миллиона долларов в 2025 году. Самый крупный отдельный случай, украдено 6,5 млн долларов в сентябре через именно такую подпись. После обновления Ethereum Pectra появился и новый вектор, эксплуатация EIP-7702. Два инцидента в августе принесли мошенникам 2,54 млн долларов совместно.

Проблема в том, что кошелёк показывает техническое окно подписи, а не человеческое объяснение "вы разрешаете снять все USDT с этого адреса". Пользователь жмёт "Подтвердить", не читая, что подписывает. Это называется blind signing (слепая подпись): пользователь одобряет транзакцию, не понимая, какие права она даёт смарт-контракту. Именно это убивает депозиты чаще любых паролей.

Сравнение потерь от криптофишинга (2024 против 2025)

Как распознать фишинг

Хорошая новость. Большинство фишинговых схем построены на одинаковых паттернах. Научившись их видеть, вы отсекаете процентов девяносто угроз ещё до того, как откроете подозрительную ссылку.

7 признаков

• Домен отличается от оригинала хотя бы на один символ. Лишняя буква, цифра вместо буквы, другая доменная зона.
• Сообщение создаёт искусственную срочность, например "заблокируем через 2 часа" или "успейте до конца дня".
• Предложение выглядит слишком выгодным для правды, например удвоение депозита или бесплатные токены за минимальное действие.
• Запрашивают сид-фразу, приватный ключ или полный доступ к API вместо ограниченных прав.
• Первое сообщение приходит от "поддержки" без вашего запроса.
• Дизайн подан правдоподобно, но текст содержит грамматические ошибки, странные переводы или неровное форматирование.
• Кошелёк или биржа просят подтвердить действие, суть которого не объяснена простым языком.

Если сработали хотя бы два пункта из списка, стоит остановиться и проверить источник отдельно, а не через ссылку из сообщения.

Проверка URL

Первое правило простое. Заходить на биржи и в кошельки только через сохранённые закладки, никогда через поисковую выдачу и тем более рекламные объявления. Рекламные позиции в поиске мошенники покупают регулярно, и это не редкость, а системная практика.

Второе, наводите курсор на ссылку перед кликом и смотрите на реальный адрес в статус-баре браузера, а не на текст самой ссылки. В письмах и Telegram-сообщениях текст и фактический URL могут отличаться кардинально.

Третье, сверяйте домен посимвольно с официальным, особенно если сайт открылся после перехода из рекламы или сообщения. На моём опыте, лучше потратить пять секунд на сверку, чем потом объяснять себе, куда делись средства с аккаунта.

Четвёртое, проверяйте возраст домена и сертификат сайта через whois-сервисы. Свежесозданный домен, зарегистрированный неделю назад, у "крупной биржи с десятилетней историей" это уже красный флаг сам по себе.

Чек-лист безопасности

Как защититься от фишинга в криптовалюте на практике, а не в теории? Свести риск к минимуму помогает короткий набор привычек: заходить на биржи только через закладки, хранить сид-фразу офлайн и не в цифровом виде, включить 2FA через приложение вместо SMS и регулярно отзывать разрешения смарт-контрактам. Дальше про каждый пункт подробнее.

Разовая проверка ссылки не спасает от системного риска. Нужна привычка, которая работает на автомате, без ежедневного напряжения внимания.

Сохраните официальные адреса бирж и кошельков в закладки браузера и пользуйтесь только ими.

Включите двухфакторную аутентификацию везде, где это доступно. Google Authenticator надёжнее SMS, потому что SIM-карту можно перевыпустить мошенническим путём.

Никогда не вводите сид-фразу на сайтах. Легитимные сервисы её просто не спрашивают, кошелёк генерируется локально и остаётся у вас.

Регулярно проверяйте и отзывайте разрешения смарт-контрактам через сервисы вроде Revoke.cash, особенно после взаимодействия с новыми DeFi-проектами или airdrop-кампаниями.

Для новых протоколов заведите отдельный "тестовый" кошелёк с минимальной суммой, а не основной с полным депозитом.

Три ошибки, из-за которых чаще всего сливают депозит, несмотря на все чек-листы:

• Хранят сид-фразу в заметках телефона или скриншотом в галерее, а потом синхронизируют это с облаком.
• Включают API-ключу право на вывод средств "на всякий случай", хотя для скальпинга оно вообще не нужно.
• Подключают кошелёк к каждому новому airdrop-сайту тем же адресом, где лежит основной депозит.

Чек-лист не панацея, и вот пример, когда он не спасает. Трейдер держал 2FA через Google Authenticator, проверял домены и никогда не вводил сид-фразу, всё по правилам. Но мошенники перевыпустили его SIM-карту у оператора связи (типичный SIM-swap) и через SMS-код восстановления зашли в почту, а оттуда, уже без сид-фразы, сбросили пароль на бирже. Урок простой: привязывайте восстановление аккаунтов не к телефону, а к отдельной защищённой почте, и там тоже держите 2FA через приложение, а не SMS. Знаю случай в трейдерском чате, где именно так слили депозит за один вечер, при этом человек был максимально осторожен во всём остальном.

Если ещё не до конца разобрались, как правильно выдавать права API-ключу и подключать биржу к терминалу, там реально есть нюансы, посмотрите бесплатный урок из нашего курса по трейдингу с нуля на YouTube. Он как раз про API-ключи и подключение биржи, и входит в полный плейлист «Обучение трейдингу с нуля | бесплатный курс по криптотрейдингу и скальпингу».

Отдельная тема, безопасность API-ключей для тех, кто торгует через терминалы. Ключ дает программе доступ к вашему аккаунту биржи, и фишинговая атака на терминал или его аналог по сути равна атаке на саму биржу. Здесь работает простое правило. Выдавайте ключу только нужные разрешения (фьючерсы отдельно, спот отдельно, вывод средств желательно вообще не включать), привязывайте IP White List там, где биржа это позволяет, и никогда не храните ключ в открытых заметках или мессенджерах. Подробный разбор всех правил создания и хранения API-ключей смотрите в статье «Безопасное подключение API-ключей к терминалу».

Кстати, именно поэтому архитектура терминала имеет значение. Secret Terminal хранит API-ключи и секретные данные локально на устройстве пользователя, без передачи на сторонние серверы и без облачного хранения. Соединение с биржами идёт напрямую, что убирает лишнее звено, через которое ключ теоретически можно перехватить. Для трейдера это не абстрактная маркетинговая фраза, а конкретное снижение поверхности атаки. Чем меньше мест, где хранится ключ, тем меньше шансов, что его украдут.

Если подозреваете, что уже стали жертвой фишинга, действуйте быстро. Переведите оставшиеся средства на новый, чистый адрес. Отзовите все разрешения смарт-контрактам со старого кошелька. Смените пароли и пересоздайте API-ключи на всех биржах, если есть хоть малейшее подозрение на утечку. Скорость реакции здесь решает больше, чем что-либо ещё, потому что вернуть уже списанную криптовалюту, как правило, невозможно.

Больше о признаках мошеннических проектов и схем накрутки хайпа читайте в статье «Как распознать скам-проект в крипте», а общий разбор защиты кошелька и аккаунта, включая работу с холодным хранением, смотрите в материале «Как защитить свои криптоактивы».

FAQ

• Что такое фишинг в криптовалюте?

  Фишинг в крипте, это способ мошенничества, при котором злоумышленник заставляет пользователя самостоятельно передать доступ к кошельку или бирже через поддельный сайт, письмо или сообщение. В отличие от взлома, здесь жертва сама совершает действие, которое приводит к потере средств. Вводит пароль, подписывает транзакцию или сообщает сид-фразу.

• Как распознать фишинговый сайт биржи?

  Проверьте домен посимвольно с официальным адресом и обратите внимание, как вы попали на сайт. Если переход был через рекламу в поиске или ссылку из сообщения, а не через закладку, вероятность подделки резко растёт. Дополнительно смотрите на возраст домена через whois и наличие мелких грамматических ошибок в интерфейсе.

• Что делать, если перешёл по фишинговой ссылке?

  Если вы только открыли сайт, но не вводили данные и не подписывали транзакцию, закройте вкладку и больше туда не возвращайтесь. Если успели ввести пароль или подписать разрешение, немедленно смените пароли, отзовите разрешения смарт-контрактам через Revoke.cash и переведите оставшиеся средства на новый адрес.

• Можно ли вернуть криптовалюту после фишинга?

  В подавляющем большинстве случаев нет. Транзакции в блокчейне необратимы, и как только средства ушли на адрес мошенника, откатить перевод невозможно технически. Единственный шанс, обращение в биржу, если средства прошли через её кошелёк и она успела заморозить вывод, но это скорее исключение, чем правило.

• Как защитить API-ключи от фишинга?

  Выдавайте ключу только необходимые разрешения, отключайте право на вывод средств, привязывайте ключ к своему IP-адресу, где это поддерживается биржей, и никогда не сохраняйте ключ в текстовых файлах, заметках или мессенджерах. Терминалы с локальным хранением ключей, без передачи в облако снижают риск перехвата дополнительно.

• Опасны ли фишинговые сообщения в Telegram-группах бирж?

  Да, и это один из самых массовых каналов атаки в 2025 году. Мошенники клонируют официальные каналы, набирают ботов-подписчиков и пишут в личные сообщения от имени "поддержки". Запомните простое правило: настоящая поддержка крупных бирж почти никогда не пишет первой в личные сообщения.

• Как отличить реальный airdrop от фишингового?

  Реальные airdrop-кампании не требуют подписи транзакции с широкими правами на списание токенов и не просят сид-фразу. Если сайт кампании запрашивает подключение кошелька и сразу предлагает подписать что-то похожее на разрешение (permit) без понятного объяснения, что именно вы разрешаете, лучше закрыть вкладку и проверить проект через официальные каналы отдельно.

Итог

Фишинг работает не потому, что мошенники технически изощрённее бирж, а потому, что бьёт по невнимательности и спешке. Цифры Scam Sniffer за 2025 год говорят сами за себя. Общий ущерб упал почти на 83%, но количество мелких атак на розничных трейдеров выросло. Значит, схема сместилась с охоты на китов к массовому сбору с обычных пользователей, вроде тех, кто торгует на бирже каждый день. Если коротко ответить на вопрос, как защититься от фишинга в криптовалюте: меньше кликов на автомате, больше привычки проверять источник вручную.

Базовая гигиена спасает в большинстве случаев. Закладки вместо поиска, проверка домена посимвольно, разумные права у API-ключей, привычка отзывать разрешения смарт-контрактам. Для тех, кто работает через терминал, отдельный плюс даёт архитектура с локальным хранением ключей. Secret Terminal не передаёт API-ключи на сторонние серверы и не хранит их в облаке: если хотите торговать, не беспокоясь о том, где лежат ваши доступы, настройте его по чек-листу выше. Чем меньше точек, через которые может утечь ключ, тем спокойнее можно фокусироваться на самой торговле, а не на том, не увели ли аккаунт, пока вы разбирали ленту принтов.