Распознать отравление адреса в истории транзакций и не отправить деньги мошеннику помогает одно правило: адрес берётся из адресной книги и сверяется целиком, а не по первым и последним символам. Двойник потому и строится под совпадение краёв строки — именно края показывает интерфейс. Середина решает. Сверка её занимает секунды и обходится дешевле любой другой привычки. Остальное — следствие: подписанные имена вместо истории, вставка через проверку, оплата с устройства, где нет чужих ссылок.

Отравление адреса в истории транзакций — это запись, созданная злоумышленником с адреса-двойника, у которого начальные и конечные символы совпадают с адресом вашего контрагента, а середина отличается.

Как выглядит схема со стороны жертвы

Ошибка происходит на последнем шаге, когда решение уже принято. Человек открывает список операций, находит прошлый перевод нужному контрагенту, копирует адрес получателя и вставляет его в поле. Интерфейс сокращает строку: видны шесть символов в начале и четыре в конце. Края совпадают. Дальше подпись. Потом отправка.

Генерация двойника автоматизирована. Стоит она мало. Злоумышленнику нужно подобрать адрес, у которого края совпадут с адресом вашего контрагента, и отправить вам с него любой перевод, чтобы строка закрепилась в истории рядом с настоящей. В разборе Chainalysis описан эпизод 3 мая 2024 года: пострадавший отправил около 68 млн долларов в WBTC на адрес, начинавшийся теми же символами 0xd9A1, но заканчивавшийся иначе, чем у настоящего получателя. Средства тогда вернули 9 мая после переговоров. Такой исход — исключение.

Пробный перевод на мелкую сумму не доказывает правильность адреса. В том же эпизоде первый платёж прошёл в 9:14 UTC, а ошибочный перевод на основную сумму последовал минутами позже: тест подтверждает работоспособность сети, а не личность получателя.

Признаки, по которым распознаётся подмена

Способы сверки различаются не удобством, а тем, какую ошибку каждый из них способен поймать.

Способ сверки Что он ловит Чего он не ловит
Сравнение первых четырёх символов Случайную вставку постороннего адреса из буфера обмена Двойника, подобранного именно под совпадение начала строки
Сравнение краёв: начало и конец Большинство опечаток и вставок не того адреса Двойника, у которого подобраны обе границы, а отличается середина
Сверка строки целиком по сегментам Любое расхождение, включая середину адреса Случай, когда у вас изначально записан неверный адрес контрагента
Контрольная сумма в регистре символов Опечатку или потерю символа при ручном вводе адреса Корректно сгенерированный адрес злоумышленника — его сумма тоже верна
Адресная книга с подписанным именем Подмену источника: адрес берётся не из истории операций Ситуацию, когда контрагент сменил адрес и прислал новый в переписке
Подтверждение адреса вторым каналом Подмену адреса в переписке или в счёте на оплату Компрометацию самого канала связи с контрагентом

Проверка за 60 секунд: как распознать отравление адреса в истории транзакций и не отправить деньги мошеннику

  1. Возьмите адрес из адресной книги кошелька, а не из списка последних операций.
  2. Если адреса в книге нет, запросите его у контрагента и сохраните с подписанным именем.
  3. Вставьте адрес и разверните строку.
  4. Сравните сегменты: начало, середина, конец.
  5. Проверьте получателя и сеть на экране подписи.
  6. Посмотрите входящие операции своего адреса: наличие переводов от похожих адресов означает, что посев уже был.

Шестой пункт переводит разовую сверку в понимание обстановки, потому что посев всегда предшествует ошибке, и обнаружить его можно задолго до платежа; если в истории уже стоят записи от двойников, то любое копирование из списка операций становится опасным действием, а не удобным сокращением. Механика самого посева и работа с оповещениями разобраны в материале про отравление истории адресов.

Банковская часть маршрута проверяется отдельно: приказом Банка России от 5 ноября 2025 года № ОД-2506 перечень признаков перевода без добровольного согласия клиента расширен с шести до двенадцати, и новые критерии применяются с 1 января 2026 года. Среди добавленных — смена номера телефона клиента за последние 48 часов, наличие вредоносного программного обеспечения на устройстве и перевод новому получателю вскоре после крупного входящего зачисления. Сведения приведены по состоянию на 13 октября 2026 года.
Схема из пяти шагов: адрес из адресной книги, вставка и развёртывание строки, сверка по сегментам, экран подписи, проверка входящих на посев
Схема из пяти шагов: адрес из адресной книги, вставка и развёртывание строки, сверка по сегментам, экран подписи, проверка входящих на посев

Пошаговые действия, если деньги уже ушли

  1. Второй перевод не отправляйте.
  2. Сохраните хеш операции, полный адрес получателя, сумму и время по UTC.
  3. Сравните этот адрес с настоящим адресом контрагента и зафиксируйте расхождение — это доказательство подмены, а не вашей опечатки.
  4. Подайте заявление в полицию через официальный сервис приёма обращений и уведомите контрагента.
  5. Проследите в обозревателе, куда ушли средства, и обратитесь к оператору сервиса, если цепочка привела туда.

Дальнейший порядок наблюдения за цепочкой описан в материале про движение украденных средств и подготовку к худшему сценарию.

Как закрыть дыру, чтобы не повторилось

Привычка меняется одним решением. Список последних операций перестаёт быть источником адресов. Книга заполняется заранее, при согласовании с контрагентом. Каждая запись получает имя, по которому её узнают без чтения строки. Регулярные платежи удобно отправлять по QR-коду, сохранённому вместе с записью, — ручной ввод и копирование из истории выпадают из процесса целиком.

Отдельный слой — экран подписи. Это последний рубеж. Здесь подмену ещё можно заметить, и читать экран стоит медленно: получатель, сеть, сумма, запрашиваемые разрешения. Что именно там смотреть, разобрано в материале про распознавание вредоносной подписи транзакции. Сами платежи логично отправлять с аппарата, где нет мессенджеров и чужих ссылок: такая настройка описана в разборе про выделенное устройство под криптооперации.

Чек-лист

  • Адрес взят из адресной книги.
  • Запись в книге подписана именем.
  • Строка развёрнута целиком.
  • Середина адреса сверена, а не только края.
  • Сеть и получатель проверены на экране подписи.
  • Входящие операции просмотрены на предмет посева.
  • Крупная сумма отправлена после сверки.
  • Платёж сделан с выделенного устройства.

Частые вопросы

Сколько символов адреса достаточно сверить?

Все. Двойник подбирается автоматически под нужное число совпадающих символов по краям, поэтому любое частичное сравнение проигрывает генератору. Удобный приём — делить строку на сегменты по четыре-пять символов и читать их вслух по порядку: так взгляд не перескакивает через середину, где и стоит отличие.

Защищает ли контрольная сумма в адресе?

Она защищает от опечатки, а не от подмены. Контрольная сумма подтверждает внутреннюю целостность строки: если вы ошиблись символом при ручном вводе, кошелёк откажется отправлять. Адрес злоумышленника сгенерирован корректно и такую проверку пройдёт, поэтому заменой сверки она не служит.

Почему пробный перевод не считается проверкой?

Потому что он проверяет сеть, а не получателя. Если адрес в поле принадлежит двойнику, пробная сумма дойдёт до него так же успешно, как основная. В разобранных эпизодах пробный платёж и ошибочный перевод разделяли минуты, и первый лишь придавал уверенности перед вторым.

Что делать, если контрагент прислал новый адрес в переписке?

Подтвердите его вторым каналом связи до платежа. Подмена адреса в переписке и в счёте на оплату — распространённый сценарий, и адресная книга здесь не помогает: вы сами впишете туда присланную строку. Короткий звонок или сообщение в другом канале закрывает вопрос за минуту.

Вердикт

Отравление адреса эксплуатирует не доверчивость, а экономию внимания: интерфейсы сами показывают края строки, а генератор двойников подбирается ровно под эти края. Поэтому единственная защита, которая держится годами, лежит не в технике, а в источнике адреса — подписанная запись в адресной книге против удобного копирования из истории. Пробный перевод, сверка четырёх символов и вера в контрольную сумму дают ощущение контроля без самого контроля. Маршрут при этом знакомый. Из обращений читателей видно, что ошибаются чаще всего там, где платили десятки раз. Механика кампаний описана в разборе Chainalysis, перечень признаков подозрительных переводов — на странице Банка России.

Предупреждения о свежих схемах с адресами-двойниками выходят в нашем Telegram-канале.