При подозрении на взлом действуют в таком порядке: сначала выводят оставшиеся активы на новый адрес, созданный на чистом устройстве, затем отзывают выданные разрешения, потом фиксируют доказательства и обращаются на площадку, если средства уходили через биржу. Старая секретная фраза считается скомпрометированной навсегда и восстановлению не подлежит. Транзакцию в блокчейне отменить нельзя.

Ниже — как отличить взлом от собственной ошибки, почему очерёдность первых двух шагов зависит от ситуации, что писать в обращение и по каким признакам распознать вторую волну мошенников, которая приходит сразу после первой.

Первые пятнадцать минут

Скорость здесь важнее аккуратности формулировок.

  1. Отключите устройство от сети, если подозреваете вредоносную программу. Дальнейшие действия выполняются с другого устройства.
  2. Создайте новый кошелёк на чистом устройстве либо на аппаратном, где ключ никогда не был в браузере.
  3. Переведите активы на новый адрес, начиная с самых ценных и ликвидных.
  4. Отзовите разрешения со старого адреса через сервис проверки прав, если вывести успели не всё.
  5. Зафиксируйте доказательства: хеши операций, адреса получателей, время, скриншоты.
  6. Сообщите площадке, если средства уходят на адрес известной биржи — иногда получателя удаётся заблокировать.
  7. Смените пароли и вторые факторы у почты, площадок и менеджера паролей, привязанных к этому кругу доступов.

Очерёдность первых двух пунктов не догма. Если у злоумышленника есть сама секретная фраза, он видит новые поступления и переводы, поэтому гонка за перевод выигрывается не всегда — а если утекло только разрешение на один токен, отзыв может оказаться быстрее и дешевле вывода всего портфеля.

Формально компрометация кошелька — это получение посторонним лицом доступа к секретной фразе, приватному ключу либо права распоряжаться вашими токенами через выданное разрешение. Первые два случая означают полный контроль над адресом, третий ограничен конкретным токеном и конкретным контрактом, и меры защиты у них разные.

Взлом или своя ошибка

Причину выясняют сразу. От неё зависит, нужен ли новый кошелёк вообще или достаточно почистить устройство и отозвать пару разрешений.

Что видно Вероятная причина Что это значит для нового адреса
Ушёл один токен, остальные на месте Выданное разрешение на этот токен Ключ, возможно, цел. Разрешения отозвать
Ушло всё разом, включая монету сети Утечка секретной фразы или ключа Адрес мёртв. Новый кошелёк обязателен
Средства уходят частями по мере поступления Автоматический сборщик следит за адресом Пополнять старый адрес бессмысленно
Перевод ушёл на адрес, похожий на ваш Подмена адреса в буфере обмена Проверить устройство, ключ может быть цел
Списание с биржевого счёта Взлом аккаунта, а не кошелька Работа со службой поддержки площадки

Четвёртая строка выпадает из ряда. Подмена адреса в буфере обмена — не взлом кошелька, а работа программы на устройстве: вы копируете один адрес, вставляется другой, и средства уходят по вашей же подписи, поэтому кошелёк остаётся исправным, а лечить нужно компьютер.

Отсюда и разница в действиях. При утечке фразы адрес бросают навсегда, при подмене буфера чистят устройство, при выданном разрешении отзывают права — и путать эти сценарии дорого.

Что стоит знать до инцидента: транзакция в блокчейне необратима, отменить её не может ни площадка, ни разработчик кошелька, ни правоохранительные органы. Шанс на возврат появляется лишь тогда, когда средства проходят через централизованную площадку, успевающую заморозить счёт получателя по обращению, а секретная фраза, однажды введённая на постороннем сайте или в подделке, считается скомпрометированной навсегда. Сменить её у существующего кошелька невозможно.

Что делать, если доступа к устройству больше нет

Отдельный сценарий — потеря или кража самого устройства.

Решают две вещи. Записана ли секретная фраза вне устройства и закрыто ли приложение паролем: если фраза лежит в надёжном месте, а вход в приложение защищён, у вас есть запас времени — восстановите кошелёк на новом устройстве и переведите активы на свежий адрес, пока злоумышленник подбирает доступ.

Если фраза хранилась в заметках телефона или в облаке, времени нет. Считайте кошелёк скомпрометированным с момента пропажи и действуйте по тому же порядку, что при взломе: новый адрес, перевод остатков, отзыв разрешений.

Аппаратное устройство — случай попроще. Без кода доступа оно бесполезно для нашедшего, а восстановление по записанной фразе на новом устройстве возвращает вам полный контроль над адресами.

Вторая волна

Она приходит быстро.

Через считанные часы после публичной жалобы или сообщения в тематическом чате появляются предложения помочь: вернуть средства, отследить злоумышленника, взломать его кошелёк, восстановить транзакцию. Все они работают одинаково — берут предоплату и исчезают.

Отличительные признаки собраны ниже.

  • Обещание вернуть средства с гарантией и предоплатой за услугу
  • Просьба ввести секретную фразу для «проверки» или «анализа» кошелька
  • Предложение установить программу удалённого доступа для помощи
  • Личное сообщение от «поддержки» кошелька, начатое первым
  • Ссылка на сайт восстановления, присланная в ответ на ваш пост
  • Требование оплатить комиссию сети, чтобы «разблокировать» возврат средств
  • Ссылка на «официальную форму компенсации потерпевшим» с полями для ввода фразы

Про сообщения от «поддержки» скажу отдельно. Служба поддержки кошелька или биржи не пишет пользователям первой — обращение всегда идёт от клиента через официальный канал, и любое входящее сообщение с предложением помощи по вашей проблеме исходит от того, кто следил за публичными жалобами.

⚠ Не платите за возврат. Услуга «вернём криптовалюту» с оплатой вперёд — вторая кража подряд, рассчитанная на человека, который уже потерял деньги и готов рискнуть ещё раз. Расследованием занимаются правоохранительные органы по заявлению, а не анонимные специалисты из личных сообщений.

Что писать в обращение

Текст пишут один раз. Дальше его рассылают во все адреса: на площадку, в правоохранительные органы, в поддержку сервисов, через которые прошли средства.

Что должно быть в тексте

«Дата и время обнаружения списания. Адрес моего кошелька. Адреса получателей средств. Хеши всех несанкционированных транзакций. Наименования и количество выведенных активов. Обстоятельства: какие сайты посещались, какие расширения устанавливались, какие подписи ставились в последние дни перед списанием. Приложения: скриншоты истории операций, переписка, ссылки на страницы обозревателя блоков по каждой транзакции».

Хеши здесь главное. Они превращают рассказ в проверяемый факт: по ним видно направление движения средств, и если оно упирается в счёт на централизованной площадке, у обращения появляется практический смысл.

После инцидента

  1. Разберитесь в причине до того, как переносить активы. Новый кошелёк на заражённом устройстве повторит судьбу старого.
  2. Проверьте устройство антивирусом, а при серьёзных подозрениях переустановите систему.
  3. Разделите хранение: аппаратный кошелёк для основных средств, браузерный — для расходных сумм.
  4. Заведите отдельный кошелёк для подключения к незнакомым приложениям.
  5. Возьмите за правило раз в квартал просматривать выданные разрешения и снимать неиспользуемые.
  6. Сохраните весь пакет документов — он понадобится, если появятся новости о движении украденных средств.

Первый пункт нарушают чаще всего. Человек в спешке восстанавливает старую фразу в новом кошельке на том же компьютере, где живёт вредоносная программа, и теряет остатки во второй раз за сутки.

Чек-лист первых действий

  • ✓ Активы выведены на новый адрес с чистого устройства
  • ✓ Разрешения со старого адреса отозваны
  • ✓ Хеши, адреса и время зафиксированы
  • ✓ Площадка уведомлена, если средства ушли на биржу
  • ✓ Пароли и вторые факторы смещены
  • ✓ Причина инцидента установлена
  • ✗ Не восстанавливать старую фразу на том же устройстве
  • ✗ Не платить за возврат средств
  • ✗ Не сообщать секретную фразу никому, включая тех, кто представился поддержкой

Порядок подготовки заявления и состав приложений разобраны отдельно — в материале про подготовку обращения при мошенничестве, а профилактика на год вперёд — в чек-листе безопасности кошелька.

Частые вопросы

Можно ли отменить транзакцию

Нет. Подтверждённая операция в блокчейне необратима по устройству самой сети, и никакой участник её не отменит. Единственная точка вмешательства — счёт получателя на централизованной площадке, где средства можно заморозить при быстром обращении.

Можно ли сменить секретную фразу у существующего кошелька

Нельзя. Фраза определяет сам кошелёк математически, поэтому её замена означает создание другого кошелька с другими адресами. Скомпрометированную фразу выводят из обращения навсегда, а активы переносят на новую.

Стоит ли пополнять старый адрес, чтобы вывести застрявшие токены

Обычно нет. За скомпрометированным адресом часто следит автоматический сборщик, который забирает монету сети в ту же секунду, и присланного газа вы не увидите. Обходные способы существуют, но они технически сложны и оправданы лишь при заметной сумме остатка.

Помогает ли обращение в правоохранительные органы

Смысл есть. Шансы на возврат честнее оценивать невысоко, однако адреса и хеши прослеживаются, дела о выводе средств через площадки расследуются, и без заявления вы не попадёте в число потерпевших, если злоумышленника найдут по другому эпизоду.

Как понять, что причиной было выданное разрешение

Посмотрите характер списания. При утечке фразы уходит всё, включая монету для оплаты газа; при сработавшем разрешении списывается конкретный токен, а остальные остаются нетронутыми. Список активных прав по вашему адресу покажет сервис проверки разрешений.

Куда идти дальше

Профилактика дешевле разбора последствий. Проверка адреса страницы перед подключением кошелька собрана в материале про проверку ссылки, а порядок вывода остатков с площадки при закрытии счёта — в инструкции о том, как закрыть аккаунт и вывести остатки.

Первоисточники: сервис проверки и отзыва выданных разрешений и разбор порядка действий при краже криптовалюты с рекомендациями по составу обращения.

Вердикт

Побеждает тот, кто действует первым. Пятнадцать минут между обнаружением и переводом остатков решают больше, чем все последующие обращения вместе взятые, потому что вернуть ушедшее почти невозможно, а спасти оставшееся вполне можно.

Моя позиция такая. Сначала спасайте активы, потом разбирайтесь в причинах, и ни при каких обстоятельствах не платите за обещание возврата — это ровно та ставка, на которой строится вторая волна.

Разборы инцидентов и предупреждения о новых схемах публикуем в Telegram-канале Cryptium.