Как проверить резервную копию кошелька после подозрительной активности

После подозрительной активности резервную копию кошелька проверяют не первым действием, а вторым: сначала уводят остаток на заведомо чистый адрес, и только потом разворачивают копию на устройстве без сети. Порядок такой потому, что проверка требует времени, а злоумышленник с доступом к ключам его не даст. Если копия сошлась, а деньги всё равно ушли, утёк не секрет восстановления, а разрешение или само устройство.

Что считать подозрительной активностью

Слово «подозрительная» в обращениях читателей покрывает слишком многое. Разделим. Есть события, которые говорят о компрометации ключей. Есть такие, что говорят о компрометации устройства или браузера. И есть шум, который пугает, но ничего не означает.

К первой группе относится исходящий перевод, под которым вы не подписывались, и появление транзакции с адреса, где подпись возможна лишь вашим ключом и никаким другим способом получена быть не могла. Ко второй — списание по разрешению, выданному когда-то смарт-контракту, подмена адреса в буфере обмена, уведомление о входе в приложение с незнакомого устройства.

Третья группа — входящие токены и пылевая мелочь. Сама по себе она доступа не даёт: отправить вам что-то может любой, не зная ваших ключей. Как отличить этот шум от подготовки к атаке, разобрано в материале о том, как распознать пылевую атаку и что делать с полученной мелочью.

Триаж: о чём говорит каждый признак

Таблица отвечает на единственный вопрос: нужна ли вообще проверка копии или сразу нужен новый секрет. Ответ зависит не от суммы потерь и не от громкости тревоги, а от того, где именно побывал ваш секрет восстановления и кто мог его увидеть.

Как проверить резервную копию кошелька после подозрительной активности

Порядок ниже рассчитан на ситуацию, когда остаток уже в безопасности или суммы на кошельке нет. Проверка здесь нужна для другого — понять, рабочая ли копия вообще и можно ли на неё опираться дальше.

1. Отключите от сети компьютер и телефон, с которых работали с кошельком. Инцидент разбирают на другой машине.
2. Соберите хронологию: время каждой операции, хеши транзакций, адреса получателей. Записывайте в файл, а не в память.
3. Возьмите устройство, которое не участвовало в инциденте. Старый аппарат для сверки не подходит, он сам под подозрением.
4. Разверните копию на этом устройстве и сравните первый адрес с тем, что вы видели до инцидента. Слова вводите кнопками аппарата.
5. Сверьте расширенный публичный ключ: он покажет, та же это ветка ключей или другая. Как он устроен, объясняет разбор расширенного публичного ключа в мультиподписи.
6. Сделайте вывод письменно: копия рабочая и секрет не раскрыт, копия рабочая, но секрет скомпрометирован, копия нерабочая. От этого зависит всё дальнейшее.

Когда проверять уже нечего

Бывает, что сверка теряет смысл. Это случается в одном из двух случаев: слова побывали в поле ввода на чужом ресурсе либо носитель копии оказался в руках посторонних. Тогда копия перестаёт быть секретом, а значит, перестаёт быть защитой.

Дальше работает эвакуация. Новый секрет создают на чистом устройстве, проверяют по полной процедуре со сверкой адреса и пробной подписью, и только после удачной сверки переводят на него активы. Старый кошелёк остаётся пустым, но его не удаляют: по нему ещё придётся сверять историю.

Порядок переноса средств на новую схему — отдельная процедура со своими ловушками. Как выстроить её так, чтобы активы пережили не один инцидент, разобрано в материале о том, как организовать хранение, если держите активы годами.

Ошибки первых часов

Первые часы после инцидента решают больше, чем недели последующего разбора, и именно в эти часы владелец принимает решения на эмоциях, без хронологии и без второго мнения. Ошибаются почти все одинаково.

• Проверка копии раньше эвакуации остатка. Пока вы вводите слова, остаток уходит.
• Ввод слов на том же компьютере, где всё началось. Если там стоял перехватчик, вы отдали ему вторую копию.
• Переустановка системы до фиксации хронологии. Вместе с системой исчезают доказательства.
• Обращение к «специалисту» из личных сообщений. Так теряют остаток те, у кого он сохранился.
• Повторное использование скомпрометированного секрета для «небольших сумм». Небольшая сумма тоже уходит.
• Молчание. Если кошелёк рабочий или семейный, остальные владельцы узнают об инциденте последними.

Отдельно о границе ответственности. Никакой оператор не вернёт перевод, подписанный вашим ключом, и это следствие самого режима самостоятельного хранения; что такое самостоятельное хранение и какую ответственность оно даёт — чьи ключи, того и ответственность.

Если доступ уже потерян

Остаток ушёл, копия не помогла. Дальше два трека, и идут они параллельно.

Технический трек: фиксируете хеши и адреса, сохраняете скриншоты с временными метками, собираете переписку и реквизиты, через которые заходили на сомнительный ресурс, и складываете всё в один каталог с датой. Правовой: обращение в полицию по месту жительства, затем заявление в банк, если участвовал фиатный перевод.

Юридическая опора у владельца появилась. Конституционный Суд в постановлении от 20 января 2026 года № 2-П указал, что цифровая валюта может рассматриваться как «иное имущество» в смысле статьи 128 Гражданского кодекса, и подтвердил право законного владельца на судебную защиту имущественных требований. Это не возврат денег. Это основание для иска.

Чек-лист

• Остаток переведён на кошелёк с новым секретом.
• Заражённые устройства отключены от сети.
• Хронология инцидента записана в файл.
• Копия сверена на устройстве, не участвовавшем в инциденте.
• Вывод о копии зафиксирован письменно.
• Разрешения контрактам пересмотрены.
• Предложения «вернуть средства» проигнорированы.
• Заявление подано, хеши и адреса приложены.

Частые вопросы