После подозрительной активности первым проверяют не ключи, а перечень сетей в кошельке. Частая причина странных балансов и непонятных запросов на подпись — подменённая запись сети: в приложение добавлена цепь с тем же идентификатором, но с чужим узлом. Такой узел показывает любой баланс, который ему удобно, и собирает ваши запросы. Проверка начинается со сверки идентификатора цепи, который сообщает сам узел.

Узел доступа к сети — это сервер, через который кошелёк узнаёт балансы и отправляет транзакции, и его ответы приложение по умолчанию принимает на веру.

Подмена сети отличается от подмены токена, и путать их не стоит. Поддельный токен живёт в честной сети и виден в обозревателе. Поддельная сеть подделывает сам источник данных. В обозревателе её вообще нет.

Под какой сценарий подбирается кошелёк и порядок проверки

Порядок зависит от того, что показалось подозрительным. Исчезнувший баланс при целых ключах указывает на запись сети или на тип адреса. Появившийся из ниоткуда баланс или настойчивое приглашение подписать «подтверждение кошелька» указывает на враждебный узел, который рисует картинку под конкретное действие.

Отсюда правило первых минут. Не подписывайте ничего до окончания проверки и не вводите слова восстановления нигде, какие бы сообщения ни показывало приложение. Если за подозрением стоят необъяснимые мелкие зачисления, их механику стоит сначала понять: как распознать пылевую атаку на кошелёк и что делать с полученной мелочью.

Схема из пяти шагов: ревизия перечня сетей и поиск двойников, запрос идентификатора цепи у узла, сверка баланса в двух независимых обозревателях, замена записей сетей на официальные параметры, повторная проверка после очистки
Схема из пяти шагов: ревизия перечня сетей и поиск двойников, запрос идентификатора цепи у узла, сверка баланса в двух независимых обозревателях, замена записей сетей на официальные параметры, повторная проверка после очистки

Сравнение признаков: что меняется для пользователя

Что подменено Как выглядит в кошельке Видно ли в обозревателе Чем проверяется
Запись сети с чужим узлом Баланс не совпадает ни с чем, курс странный Нет: данных такой цепи не существует Запрос идентификатора цепи у узла и сверка с заявленным
Две записи одной сети Дубль в списке сетей, иногда с тем же названием Нет Ревизия перечня и удаление лишней записи
Контракт-двойник токена Знакомый тикер, незнакомое поведение Да, контракт существует Сверка адреса контракта с официальной публикацией
Выданное разрешение Внешне ничего, списания идут по праву Да, транзакция видна Запрос остатка разрешения в этой сети
Компрометация ключа Исходящие транзакции без вашего участия Да, подписи корректны Перевод средств на новый корень немедленно

Строки расположены по возрастанию серьёзности, и проверять их стоит в том же порядке. Первые две устраняются настройкой и ничего не стоят, последняя требует немедленного перевода средств и новой фразы восстановления.

Проверка шаг за шагом

  1. Откройте перечень сетей в приложении и найдите дубли: две записи с одинаковым названием либо одинаковым идентификатором цепи — первый признак подмены.
  2. Для каждой сомнительной записи сравните заявленный идентификатор цепи с тем, который сообщает сам узел. Расхождение означает подмену сети.
  3. Сверьте баланс адреса в двух независимых обозревателях целевой сети, не доверяя цифре в приложении.
  4. Удалите подозрительные записи и добавьте сети заново по параметрам из официальной документации каждой сети.
  5. Проверьте действующие разрешения в каждой сети и отзовите те, которых не выдавали осознанно.
  6. Повторите проверку баланса после очистки. Совпадение с обозревателями означает, что источник данных снова честный.
Почему узлу нельзя верить по умолчанию. Стандарт EIP-3085 (создан 1 ноября 2020 года, статус Stagnant) описывает добавление сети в кошелёк и прямо требует: для подписи транзакций использовать только заявленный идентификатор цепи и никогда не тот, который вернул узел. Там же сказано, что переданные адреса узлов нельзя считать честными, корректными или даже указывающими на ту же цепь, а кошелёк обязан отклонить запрос, если заявленный идентификатор не совпал с ответом узла. Масштаб подобных схем виден по отчёту Chainalysis от 8 января 2026 года: нелегальные адреса получили за 2025 год не менее 154 млрд долларов, рост составил 162 % год к году.

Резервная копия и проверка восстановления

Странности в кошельке — повод проверить копию, а не менять её. Слова восстановления компрометируются только их раскрытием: подменённый узел их не видит и видеть не может. Паника здесь опаснее самой угрозы.

Проверка идёт в безопасном порядке. Чистое устройство, ввод слов, сверка первого адреса с отпечатком, очистка, запись даты — и ни одной транзакции до окончания разбора. Если по итогам проверки подтверждается компрометация ключа, средства переводят на новый корень, а не продолжают настройку сетей, и регулярность таких ревизий удобно держать в общем цикле: как организовать хранение криптовалюты, если держите активы годами.

Типовые ошибки, которые стоят денег

Подпись «проверочной транзакции» по просьбе приложения или страницы поддержки. Ни одна техническая проверка сети не требует вашей подписи. Запрос подписи в момент разбора подозрительной активности — часть схемы, а не часть диагностики.

Вторая ошибка — доверие балансу в приложении. Цифру рисует узел, и если узел чужой, цифра означает ровно то, что ему нужно показать. Сверка идёт по обозревателям.

Третья ошибка — установка «обновления» или «патча безопасности» по ссылке из сообщения. Подлинное обновление прошивки устройства приходит через приложение производителя и проверяется подписью образа, а посторонняя страница с таким предложением попросит заодно слова восстановления: порядок законного обновления описан в разборе, как обновить прошивку аппаратного кошелька и не потерять доступ к средствам.

Четвёртая ошибка — вывод о компрометации ключа при первом же странном балансе. Исходящих транзакций нет, подписей нет, средства на месте — значит, разбираться надо с источником данных. Ответственность за такой разбор лежит на владельце, и её рамку описывает материал, что такое самостоятельное хранение и какую ответственность оно даёт.

Что делать при утере доступа

  1. Зафиксируйте время и признаки: что показало приложение, какие запросы приходили, какие записи сетей были в перечне.
  2. Проверьте по обозревателю, есть ли исходящие транзакции. Их отсутствие означает, что ключ цел, а испорчен источник данных.
  3. При наличии чужих исходящих переводите остаток на новый корень немедленно, не завершая диагностику сетей.
  4. После стабилизации пересоберите перечень сетей с нуля по официальной документации и запишите конфигурацию заново.

Чек-лист

  • Перечень сетей проверен, дубли и неизвестные записи удалены
  • Идентификатор цепи сверен с ответом узла по каждой сети
  • Баланс сверен в двух независимых обозревателях
  • Сети добавлены заново по официальным параметрам
  • Разрешения проверены и лишние отозваны по каждой сети
  • Ни одна «проверочная» подпись не поставлена
  • Слова восстановления нигде не вводились, кроме кошелька
  • Итог разбора записан с датой и перечнем изменений

Материалы по теме:

Частые вопросы

В кошельке появился баланс, которого не было. Это взлом?

Чаще это подменённый источник данных или контракт-двойник. Проверьте адрес в независимом обозревателе целевой сети: если там этого баланса нет, цифру рисует узел из записи сети. Подписывать при этом ничего нельзя — приглашение «подтвердить получение» и есть цель всей конструкции.

Как отличить подделку сети от подделки токена?

По обозревателю. Поддельный токен существует в честной сети: контракт виден, транзакции видны, обманывает только название. Поддельная сеть существует лишь в вашем приложении: в обозревателе ни баланса, ни транзакций нет вовсе. Первый случай решается сверкой адреса контракта, второй — удалением записи сети.

Можно ли доверять публичному узлу?

Ограниченно и с проверкой. Стандарт требует сверять заявленный идентификатор цепи с ответом узла и подписывать транзакции только по заявленному значению. Разумная практика: брать адреса узлов из официальной документации сети, держать два независимых источника данных и сверять балансы между ними при любых сомнениях.

Нужно ли сразу переводить средства на новый кошелёк?

Только при наличии чужих исходящих транзакций. Если подписей от вашего имени не было, ключ цел, и перевод лишь добавит расходов и спешки. Порядок такой: проверка обозревателем, затем ревизия записей сетей и разрешений, и перевод на новый корень — лишь при подтверждённой компрометации.

Вердикт

Подозрительная активность в кошельке чаще означает испорченный источник данных, чем украденный ключ. Проверять начинают с перечня сетей, потому что эта проверка бесплатна, занимает минуты и снимает большую часть случаев. Правило на время разбора одно: ни подписей, ни ввода слов восстановления. В обращениях читателей именно подпись «для проверки» превращает испуг в потерю.

Разборы и предупреждения о свежих схемах публикуем в Telegram-канале Cryptium.

Источники: спецификация EIP-3085 с требованиями к проверке идентификатора цепи и отчёт Chainalysis о криптопреступности за 2025 год.