На новом устройстве отравление истории адресов распознаётся по тому же признаку, что и на старом: входящая запись на пыль с адреса, похожего на адрес контрагента. Разница в условиях. Кошелёк после восстановления подтягивает историю заново с индексатора сети, локальных пометок и подписей рядом с адресами нет, а баланс первые минуты показывается неполным. Перед первым переводом с нового устройства адрес берут из документа, а не из восстановленного журнала.

Индексатор — это служба, которая по запросу кошелька собирает все операции конкретного адреса из блоков сети и отдаёт их приложению готовым списком. Именно она формирует ту «историю», которую владелец видит на экране, поэтому любая запись из блокчейна возвращается на новое устройство целиком, включая подсеянные атакующим.

Как выглядит схема со стороны жертвы

Телефон новый. Всё идёт штатно. Приложение установлено, seed-фраза введена, двенадцать слов приняты без ошибки, и приложение отрисовывает список операций ровно в том виде, в каком его отдал индексатор сети. Через несколько секунд на экране список операций, и он отличается от того, к чему владелец привык: привычные подписи получателей исчезли, цветные метки пропали, а записи выстроились единым столбцом по дате. Среди них лежат пылевые поступления — те же, что были на прошлом устройстве, но теперь без пометки «не доверять».

Дальше включается спешка. Она и подводит. Баланс в первые секунды показывается меньше ожидаемого, владелец решает, что восстановление прошло неверно, и начинает проверять состав активов переводами на знакомые, как ему кажется, адреса из списка. Первая же отправка идёт по адресу, скопированному из свежего журнала. Этот сценарий в обращениях читателей встречается чаще остальных: сама подмена старая, а срабатывает она на новом устройстве, где нет ни одной локальной подсказки о подделке.

Объём приёма измерен независимо. Chainalysis в разборе от 23 октября 2024 года описала кампанию длиной 66 дней: 82 031 подсеянный адрес, 2 774 кошелька, с которых средства ушли на подделки, и 69,7 млн долларов суммарных потерь жертв. Вывод из этих цифр ясный по форме и неудобный по сути: подсев привязан не к устройству и не к приложению, а к адресу кошелька, поэтому переезд на новый аппарат не отменяет ни одной подсеянной записи. Адрес тот же. История та же.

Признаки, по которым распознаётся подмена

На новом устройстве часть обычных ориентиров отсутствует. Метки стёрлись. Приходится читать то, что осталось: сумму поступления, адрес отправителя целиком, контракт токена и время записи относительно ваших собственных операций.

Что видно после восстановления Почему так происходит Что делать владельцу
Баланс меньше ожидаемого, часть адресов кошелька не отображается. Кошелёк сканирует адреса по порядку и останавливается, встретив двадцать неиспользованных подряд. Дождаться полной синхронизации и при необходимости увеличить лимит сканирования в настройках.
Рядом с адресами нет подписей и цветных меток, хотя на прошлом устройстве они были. Пометки хранились в памяти приложения, а не в блокчейне, и восстановлению из seed-фразы не подлежат. Не считать отсутствие метки признаком доверия и сверять адрес с внешним реестром.
Пылевые входящие записи вернулись в список в том же виде. История читается с индексатора сети, где запись существует независимо от устройства владельца. Пометить отправителей заново и не использовать их адреса как источник.
Порядок операций отличается от привычного, часть переводов сгруппирована иначе. Разные индексаторы по-разному показывают внутренние вызовы и переводы токенов. Сверять операции по хешу, а не по месту в списке.
Адрес получателя в журнале совпадает с нужным по краям строки и расходится в середине. Подделка собрана подбором под привычную проверку по трём-четырём знакам. Сверить полную строку с документом и подтвердить её у контрагента по второму каналу.

Проверка за 60 секунд: как распознать отравление истории адресов на новом устройстве

Схема из пяти шагов: источник приложения, восстановление и путь производных ключей, полная синхронизация с учётом лимита сканирования, сверка состава кошелька с эталоном, первый перевод по документу
Схема из пяти шагов: источник приложения, восстановление и путь производных ключей, полная синхронизация с учётом лимита сканирования, сверка состава кошелька с эталоном, первый перевод по документу

Порядок первого запуска отличается от повседневного. Разница принципиальная. Сначала кошелёк должен прийти в заведомо известное состояние — с полным балансом, с понятным путём ключей и со сверенным составом активов, — и только затем с него делают первую отправку.

  1. Поставьте приложение из того источника, который указан на официальном сайте разработчика. Имя в каталоге подделывается.
  2. Восстановите кошелёк и зафиксируйте путь производных ключей, который приложение использует по умолчанию.
  3. Дайте синхронизации закончиться. Пока она идёт, выводы о балансе и о составе активов ничего не значат.
  4. Сверьте первые адреса кошелька и общий баланс с эталоном, сохранённым до переезда, — выпиской, снимком наблюдающего кошелька или записью в реестре.
  5. Пройдите по журналу и отметьте пылевые поступления как недоверенные, пока список свежий.
  6. Первый перевод сделайте по адресу из документа вне кошелька, сверив строку целиком.
Стандарт BIP-44 задаёт путь вида m/44’/тип монеты’/аккаунт’/цепочка/индекс и прямо формулирует правило остановки: лимит разрыва адресов равен 20. Встретив двадцать неиспользованных адресов подряд, приложение считает, что дальше использованных нет, и прекращает поиск. Отсюда и неполный баланс в первые минуты: средства на адресе с индексом за пределами лимита существуют, а в интерфейсе их нет.

Пошаговые действия, если деньги уже ушли

Отправленную транзакцию не отменить. Это исходное условие. Остаются две задачи: зафиксировать следы, пока маршрут средств читается по обозревателю, и закрыть доступы, пока на кошельке ещё остаётся что-то, чем можно распорядиться.

  1. Сохраните хеш исходящей операции, адрес подделки, верный адрес контрагента и время по часам обозревателя.
  2. Снимите скриншоты журнала на новом устройстве — вместе с пылевой записью, с которой началась история.
  3. Отзовите выданные разрешения на списание и разорвите сессии подключений кошелька.
  4. Подайте заявление в полицию: обращение в электронной форме принимают через сервис на официальном сайте МВД, срок рассмотрения — 30 дней со дня регистрации по Федеральному закону от 02.05.2006 № 59-ФЗ.
  5. Если адрес получателя относится к площадке, направьте ей обращение с хешем и временем операции.
Повторный ввод seed-фразы «для проверки» на сторонних сайтах и в приложениях поддержки — отдельная схема, которая часто идёт сразу за переездом на новое устройство. Seed-фраза вводится в одном месте: в самом кошельке, при восстановлении. Ни служба поддержки, ни сервис диагностики, ни страница с предложением «синхронизировать историю» в ней не нуждаются.

Как закрыть дыру, чтобы не повторилось

Переезд на новый аппарат стоит готовить заранее. Подготовка занимает вечер. Зато на новом устройстве появляется то, чего там по умолчанию не бывает ни в одном приложении, — независимая точка сравнения, с которой можно свести состав кошелька и список получателей.

Чек-лист

  • Приложение установлено из источника, указанного разработчиком.
  • Путь производных ключей зафиксирован письменно.
  • Синхронизация завершена до любых выводов о балансе.
  • Состав кошелька сверен с эталоном, снятым до переезда.
  • Пылевые поступления помечены как недоверенные заново.
  • Адрес первого перевода взят из документа вне кошелька.
  • Полная строка адреса сверена, включая середину.
  • Уведомления о входящих переводах включены на новом устройстве.

Частые вопросы

Почему после восстановления баланс меньше, чем был?

Чаще всего это лимит сканирования адресов. По стандарту BIP-44 кошелёк прекращает поиск после двадцати неиспользованных адресов подряд, и средства на адресе с большим индексом в интерфейс не попадают. Вторая причина — незавершённая синхронизация с индексатором. Третья — другой путь производных ключей, выбранный приложением по умолчанию.

Переезжают ли мои пометки получателей на новое устройство?

Нет, если приложение не хранило их в облаке своей учётной записи. Имена и метки лежат в памяти приложения, а seed-фраза восстанавливает ключи, а не настройки. Поэтому после переезда рядом с адресом подделки не будет предупреждения, которое вы однажды поставили. Реестр контрагентов стоит вести вне кошелька.

Может ли подсев появиться уже на новом устройстве?

Да, и это обычный ход событий. Атакующий рассылает пыль по адресам, которые видны в сети как активные, независимо от того, с какого телефона вы ими пользуетесь. Новое устройство не меняет адреса кошелька, если восстановление прошло из той же seed-фразы. Защита остаётся прежней — регламент сверки адреса.

Стоит ли переносить кошелёк копированием файлов приложения?

Это ненадёжный путь. Форматы хранилищ у приложений разные, файл может оказаться несовместимым с новой версией, а скопированная база подтянет на новое устройство и собственные ошибки. Штатный сценарий — восстановление из seed-фразы с последующей сверкой состава кошелька по заранее снятому эталону.

Фоновую фактуру по необратимым переводам и по типологиям риска держат регулятор и профильные аналитики: обзор операций без добровольного согласия клиентов за I квартал 2026 года Банка России и отчёт Elliptic о типологиях риска в криптоактивах, опубликованный 14 июля 2026 года. По обзору Банка России от 14 мая 2026 года, в I квартале 2026 года зафиксировано 495 761 операция без добровольного согласия клиентов на 7,4 млрд рублей при доле возмещённых средств 5,7%. Данные в материале проверены на 14 октября 2026 года.

Вердикт

Новое устройство опаснее старого не техникой, а потерей контекста. Исчезают метки, исчезает привычный порядок записей, остаётся чистый список из цепочки — и подделка в нём выглядит ровно так же, как настоящий контрагент. Из редакционной практики: те, кто снимает эталон состава кошелька до переезда, тратят на первый запуск лишние десять минут и не делают ни одной отправки по адресу из журнала. Эталон дешевле восстановления.

Разборы схем и свежие инциденты — в Telegram-канале Cryptium.