Как распознать отравление истории адресов и проверить официальность источника

Чтобы распознать отравление истории адресов и проверить официальность источника, смотрите не на вид адреса, а на канал, из которого он пришёл. Реквизиты считаются подтверждёнными, когда их выдал кабинет сервиса под двухфакторной аутентификацией, подписанный счёт или сам получатель на проверенном домене. Журнал кошелька источником не является: туда пишет сеть, а в сеть пишет кто угодно. Адрес из чата, скриншота или истории операций — черновик, а не реквизиты.

Как распознать отравление истории адресов и проверить официальность источника: правило одного канала

Атака работает на подмене авторитета. Отравленная запись в журнале выглядит как след прошлой сделки, то есть как подтверждение: «этому адресу я уже платил». Подтверждения там нет. Запись в блокчейн добавляет отправитель перевода, а не вы и не ваш контрагент, поэтому её ценность как источника реквизитов равна нулю.

Отсюда правило одного канала: адрес получателя берут там же, где заключена сделка, и нигде больше. Сменился канал — сменился уровень доверия, и перевод откладывается до сверки.

Подмена канала — массовая практика, причём далеко за пределами криптовалют. По обзору Банка России за 2025 год, опубликованному 13 февраля 2026 года, среди ресурсов, по которым регулятор инициировал меры, 43% составили фишинговые сайты, копирующие названия известных банков и инвестиционных компаний; ещё около 36% приходилось на безлицензионную деятельность, 21% — на финансовые пирамиды.

Из обращений читателей складывается похожая картина: адрес кошелька приходит «от менеджера» в мессенджере, на домене, который отличается от официального одной буквой, и подкрепляется ссылкой на прошлую операцию в истории.

Как выглядит схема со стороны жертвы

Жертва не видит взлома. Ей приходит обычная рабочая задача: оплатить счёт, пополнить баланс, вернуть долг контрагенту. Адрес она берёт из того, что лежит ближе: из переписки, из скриншота, из журнала кошелька, где уже есть похожая строка. Дальше ставится подпись собственным ключом — и сеть исполняет распоряжение, которое никто не отменит.

Есть и другой вариант — поддельный сайт сервиса. Домен копирует официальный, страница вывода показывает чужой адрес пополнения, а пользователь сверяет его с записью в истории и находит совпадение по краям строки. Совпадение подстроено заранее.

Пять каналов, из которых приходит адрес получателя

Каналы различаются не удобством, а ценой ошибки.

Проверка за 60 секунд: что открыть и на что смотреть

1. Ответьте себе на один вопрос: кто выдал этот адрес и где я могу открыть тот же адрес заново, без чужих ссылок.
2. Наберите домен сервиса руками или откройте из своей закладки, а не из письма, чата или результатов рекламного блока.
3. Проверьте организацию в справочнике участников финансового рынка Банка России и в списке компаний с признаками нелегальной деятельности.
4. Сверьте адрес в кабинете со строкой, которую собираетесь использовать, целиком — расхождение в середине и есть подмена.
5. Отправьте пробную сумму и получите подтверждение от контрагента до основного перевода.

Проверка юридического лица занимает минуту и отвечает на другой вопрос: с кем вы имеете дело. Регулятор пополняет оба перечня постоянно, а домены мошенников живут недолго: по тому же обзору, в 2025 году Банк России направил регистраторам сведения о 1 002 ресурсах для снятия с делегирования, и среднее время разделегирования составляло от трёх часов до нескольких дней.

Отдельная история — официальность аккаунта, а не сайта. Угнанный канал проекта рассылает «обновлённые реквизиты» от его имени; как устроена такая атака, разобрано в материале про то, как защитить аккаунт проекта в социальной сети от угона.

Пошаговые действия, если деньги уже ушли

1. Зафиксируйте хеш операции, сеть, сумму, время в UTC и тот канал, из которого пришёл адрес, — последнее понадобится и полиции, и площадке.
2. Сохраните доказательства канала: адрес страницы, имя аккаунта, письмо с заголовками, запись переписки.
3. Сообщите реквизиты сервису, если перевод ушёл на депозитный адрес площадки; блокировку оператор ставит по запросу правоохранительных органов.
4. Подайте заявление в полицию и приложите выгрузку операции: сообщения о происшествиях принимают круглосуточно, по телефону 102 с мобильного, обращение рассматривают 30 дней со дня регистрации.
5. Оцените, какие ещё адреса и аккаунты затронуты, опираясь на разбор про то, как проследить движение украденных средств и оценить остаточный риск.

Предложения «вернуть перевод за процент» игнорируйте. Возврат в публичной сети зависит от решения правоохранительных органов и оператора, принимающего средства, а не от посредника с рекламой в поиске.

Как закрыть дыру, чтобы не повторилось

Порядок строится вокруг закладок и белого списка. Домены сервисов, которыми вы пользуетесь, лежат в закладках браузера; адреса получателей — в адресной книге кошелька с понятными именами. Всё, что приходит извне, попадает в черновик и ждёт сверки.

Второй контур — способы входа в сами аккаунты. Если злоумышленник заходит в кабинет, он меняет реквизиты пополнения на стороне сервиса, и внешняя сверка уже не спасает; механика описана в материале о том, как защитить аккаунт от схем с восстановлением доступа.

Третий контур — заранее подготовленный план на случай ошибки. Пишется он в спокойный день и хранится там, где вы найдёте его за минуту; шаблон лежит в гайде о том, как распознать отравление истории адресов и подготовиться к худшему сценарию.

Чек-лист

• Канал происхождения адреса назван вслух до отправки.
• Домен сервиса открыт из закладки, а не из письма или чата.
• Организация проверена в справочнике и в предупредительном списке регулятора.
• Адрес из кабинета сверен со строкой перевода целиком.
• Реквизиты из мессенджера подтверждены по второму каналу связи.
• QR-код расшифрован и сверен, а не отсканирован на доверии.
• Журнал операций не используется как адресная книга.

Частые вопросы