Отравление адресов: разбор подозрительной активности

После подозрительной активности отравление истории адресов распознаётся не по ощущению, а по таймлайну. Собирают три журнала: обозреватель сети, само приложение кошелька и уведомления площадки. Приводят все отметки к единому времени и расставляют события по порядку — подсев, ваша операция, подпись, списание. Если пылевое поступление встало перед вашей отправкой тому же контрагенту, это подсев. Порядок важнее сумм.

Таймлайн инцидента — это выстроенная по времени последовательность всех событий кошелька и аккаунта за период наблюдения, в которой у каждой записи указан источник, исходная часовая зона и приведённое к единому времени значение. Без такого приведения выводы о причине и следствии получаются обратными.

Содержание статьи

Как выглядит схема со стороны жертвы

Сначала приходит тревожный сигнал. Повод бывает любым. Письмо о входе с незнакомого устройства, уведомление о смене настроек, непонятный токен на балансе или пылевой перевод в журнале — поводов хватает, и каждый из них владелец трактует как начало атаки. Дальше начинается восстановление картины по памяти, и память подводит: в воспоминаниях события выстраиваются так, как их удобнее объяснить.

Разные источники показывают разное время. Это не сбой. Обозреватель сети пишет время блока в универсальном формате, приложение кошелька переводит его в зону устройства, площадка ставит собственное серверное время в уведомлениях. Расхождение в три часа превращает следствие в причину: подсев, случившийся после вашей отправки, выглядит как предшествующий ей, и владелец делает вывод об утечке ключа там, где была ошибка копирования адреса.

Масштаб явления измерен. Chainalysis в разборе от 23 октября 2024 года описала кампанию длиной 66 дней: 82 031 подсеянный адрес, 2 774 кошелька, с которых средства ушли на подделки, и 69,7 млн долларов потерь жертв. Кампания растянута во времени намеренно. Подсев редко стоит рядом со списанием.

Признаки, по которым распознаётся подмена

Каждый журнал врёт по-своему. Знать, как именно, дешевле, чем переделывать разбор.

Источник записи	Чьё время показано	Типичная ошибка чтения
Обозреватель блоков: страница транзакции и высота блока.	Универсальное координированное время, привязанное к моменту включения блока в цепь.	Сравнение этой отметки напрямую с временем из приложения кошелька без пересчёта.
Приложение кошелька: список операций на экране.	Локальная зона устройства, на котором открыт кошелёк.	Перенос устройства в другую зону меняет подписи у старых записей задним числом.
Уведомления площадки на почте: вход, вывод, смена настроек.	Серверное время площадки, иногда отличающееся от зоны профиля пользователя.	Чтение времени из почтового клиента, который уже перевёл отметку в свою зону.
Журнал устройства: установки приложений, подключения к сетям.	Системное время аппарата, которое могло сбиться или быть изменено вручную.	Доверие к этой отметке как к точной без сверки с внешним источником.
Высота блока рядом с каждой операцией в сети.	Номер блока — величина без часовой зоны и без возможности пересчёта.	Игнорирование высоты блока как «технической детали», хотя порядок она задаёт однозначно.

Проверка за 60 секунд: как распознать отравление истории адресов после подозрительной активности

Схема из пяти шагов: фиксация без изменений, приведение отметок к единому времени, привязка событий к высоте блока, склейка трёх журналов, проверка гипотезы о причине

Минуты хватает на черновой таймлайн. Он отвечает на один вопрос: что было раньше.

Зафиксируйте текущее состояние, ничего не меняя: скриншоты журнала, список разрешений, письма площадки.
Выпишите каждое событие с исходной отметкой времени и названием источника. Источник указывается всегда.
Приведите все отметки к универсальному времени. Зону устройства и зону почтового клиента учитывайте отдельно.
Для операций в сети поставьте рядом высоту блока — она задаёт порядок без оглядки на часовые зоны.
Склейте три журнала в одну таблицу и отсортируйте по приведённому времени.
Проверьте гипотезу: подсев раньше вашей отправки означает подмену адреса, подпись раньше списания — выданное разрешение.

В сети Ethereum слот консенсуса длится 12 секунд, и высота блока растёт монотонно. Поэтому два события, разнесённые на один блок, упорядочены однозначно, даже если отметки времени в двух интерфейсах расходятся на часы. Для разбора инцидента это главный якорь: высота блока не переводится между зонами и не зависит от настроек устройства.

Пошаговые действия, если деньги уже ушли

Списание в сети необратимо. Отмены нет. Первые часы тратят на другое — на сбор материала, пока он доступен, и на перекрытие того, что ещё открыто.

Сохраните таблицу таймлайна файлом с датой составления и списком источников.
Выгрузите из обозревателя страницы всех причастных операций: хеш, высота блока, адреса, суммы.
Запросите у площадки журнал входов и операций по аккаунту за период наблюдения.
Отзовите разрешения на списание и разорвите сессии подключений кошелька.
Подайте заявление в полицию с приложением таймлайна; обращение в электронной форме принимают на официальном сайте МВД, срок рассмотрения — 30 дней по Федеральному закону от 02.05.2006 № 59-ФЗ.

Переустановка кошелька и «чистка» истории до фиксации уничтожают ровно те данные, по которым строится порядок событий, а восстановить их потом получается редко и не полностью. Сначала снимок, затем любые действия. Это правило дороже любой скорости реакции.

Как закрыть дыру, чтобы не повторилось

После разбора остаётся настроить среду так, чтобы следующий таймлайн собирался сам. Усилий немного. Пять шагов дают наблюдаемость без лишних инструментов.

Включите уведомления о входящих переводах любого размера и храните их в отдельной папке почты. Это готовый журнал с отметками времени.
Зафиксируйте часовую зону основного устройства и не меняйте её ради удобства в поездке — иначе старые записи поедут вслед за настройкой.
Сократите срок жизни сессий там, где это настраивается. Редакция NIST SP 800-63B от 26 августа 2025 года требует на уровне AAL2 выхода по неактивности не более часа и переаутентификации не реже раза в сутки.
Разберите смежные каналы: как распознать вредоносную подпись транзакции, как защитить аккаунт проекта в социальной сети от угона и как проследить движение украденных средств и подготовиться к худшему сценарию.
Держите под рукой опорный разбор кластера — как распознать отравление истории адресов и подготовиться к худшему сценарию.

Чек-лист

Состояние зафиксировано до изменений.
У каждого события указан источник.
Отметки приведены к единому времени.
Высота блока выписана.
Три журнала склеены.
Порядок «подсев — отправка» проверен.
Разрешения отозваны, сессии разорваны.
Таймлайн сохранён файлом с датой.

Частые вопросы

Как понять, что подозрительная активность связана с отравлением адреса?

По порядку событий. Если пылевое поступление с похожего адреса встало в таймлайне перед вашей исходящей операцией тому же контрагенту, речь о подмене адреса. Если же раньше списания стоит ваша подпись на странице сайта, канал другой — выданное разрешение. Суммы и названия токенов на этот вывод не влияют.

Почему время в кошельке и в обозревателе не совпадает?

Обозреватель показывает время блока в универсальном формате, а приложение переводит его в часовую зону устройства. Добавьте к этому серверное время площадки в письмах и зону почтового клиента — расхождения складываются. Поэтому в разборе инцидента отметки пересчитывают к одному формату, а порядок операций в сети сверяют по высоте блока.

Нужно ли сразу переносить остаток на новый кошелёк?

Перенос обоснован, когда таймлайн показывает утечку ключа или подписи: незнакомые исходящие операции, выданные вами разрешения, вход с чужого устройства. При чистом сценарии подмены адреса ключи не затронуты, и достаточно регламента сверки. Решение принимают после фиксации следов, а не до неё.

Сохранятся ли данные площадки, если я ничего не запрошу?

Сроки хранения журналов площадки определяет она сама, и уточнять их стоит сразу. Запрос лучше направить в первые дни, пока период наблюдения попадает в доступную выгрузку. Сведения о получателе средств площадка раскрывает по запросу правоохранительных органов, а пострадавшему выдаёт выписку по его собственному аккаунту.

Как распознать отравление истории адресов и подготовиться к худшему сценарию — опорный разбор кластера.
Как проследить движение украденных средств и подготовиться к худшему сценарию — что делать после сборки таймлайна.
Как распознать вредоносную подпись транзакции — как отличить перевод от выдачи прав в окне подтверждения.
Как защитить аккаунт проекта в социальной сети от угона — смежный источник подозрительной активности.

Внешнюю фактуру стоит брать у профильных аналитиков и у правоохранителей: разбор кампании отравления адресов от Chainalysis и страница приёмной МВД России с порядком подачи обращений. По обзору Банка России, опубликованному 14 мая 2026 года, за I квартал 2026 года зафиксировано 495 761 операция без добровольного согласия клиентов на 7,4 млрд рублей при доле возмещённых средств 5,7%. Данные в материале проверены на 14 октября 2026 года.

Вердикт

Таймлайн — скучная работа с большой отдачей. Он отвечает на вопрос, который в панике решают интуицией: что было причиной, а что следствием. Из редакционной практики: половина обращений с формулировкой «меня взломали» после сведения трёх журналов оказывается ошибкой копирования адреса, и наоборот — часть «моих же переводов» оказывается чужой подписью. Час на таблицу экономит недели неверных выводов.

Разборы инцидентов и новые схемы — в Telegram-канале Cryptium.