" Основные выводы:
- В первой половине 2025 года было украдено более 2 400 000 долларов, что превышает показатель 2024 года.
- Такие повседневные ловушки, как фишинг, токсичные подтверждения и фальшивая «поддержка», наносят больше вреда, чем экзотические эксплоиты.
- Надежная двухфакторная аутентификация (2FA), тщательная подпись, разделение горячих и холодных кошельков и чистые устройства значительно снижают риск.
- Наличие плана восстановления - с инструментами отзыва, контактами службы поддержки и порталами для сообщений - может превратить ошибку в неудачу, а не в катастрофу.
Число взломов криптовалютных систем продолжает расти. Только в 1-2 квартале 2025 года компании, которые занимаются информационной безопасностью, зафиксировали кражу более 2 400 000 долларов в более чем 300 инцидентах, что превышает общее количество краж за 2024 год.
Одна из крупных утечек, кража Bybit, приписываемая северокорейским группировкам, несколько увеличила статистику, но не стоит привлекать к себе всеобщее внимание.
Большинство повседневных потерь по-прежнему происходят из-за простых ловушек: фишинговых ссылок, вредоносных авторизаций кошельков, подмены SIM-карт и поддельных аккаунтов «поддержки».
Чтобы повысить свою безопасность, вам не нужно быть экспертом по кибербезопасности. Несколько основных привычек, которые можно выработать за считанные минуты, могут значительно снизить риск.
Вот 7 наиболее важных способов в 2025 году.
1. Откажитесь от SMS: используйте устойчивую к фишингу двухфакторную аутентификацию (2FA)
Если вы все еще полагаетесь на SMS-коды для защиты своих аккаунтов, вы подвергаете себя риску.
Атаки с подменой SIM-карт остаются одним из самых распространенных способов опустошения кошельков преступников, и прокуратура продолжает конфисковывать миллионы, связанные с ними.
Наиболее безопасным способом является двухфакторная аутентификация (2FA), устойчивая к фишингу (например, аппаратные ключи безопасности или ключи доступа платформы).
Начните с блокировки самых важных данных для входа: электронной почты, бирж и менеджера паролей.
Такие агентства по кибербезопасности США, как Агентство по кибербезопасности и безопасности инфраструктуры, подчеркивают это, поскольку это блокирует фишинговые уловки и мошенничество с использованием метода «push-fatigue», которые обходят более слабые формы многофакторной аутентификации (MFA).
Используйте длинные уникальные парольные фразы (длина важнее сложности), храните резервные коды офлайн и на биржах, а также включите списки разрешенных выводов, чтобы средства могли переводиться только на контролируемые вами адреса.
В 1-2 квартале 2025 года число фишинговых атак, нацеленных на пользователей криптовалют, выросло на 40%, при этом основным вектором стали поддельные сайты обмена криптовалют.
2. Гигиена подписи: остановите «сливателей» и токсичные подтверждения
Большинство людей теряют средства не из-за современных эксплоитов, а из-за одной-единственной некорректной подписи.
«Сливатели» кошельков вынуждают пользователя обманным путем предоставлять неограниченное количество разрешений или одобрять мошеннические транзакции. После того, как вы подпишете, они могут многократно списывать ваши средства без повторного запроса.
Лучшая защита - это не торопиться: каждый клиент должен внимательно читать запрос на подпись, особенно если вы видите «setApprovalForAll», «Permit/Permit2» или неограниченное количество «одобрить».
Если вы экспериментируете с новыми децентрализованными приложениями (dApps), используйте одноразовый кошелек для монет или рискованных взаимодействий и храните свои основные активы в отдельном хранилище. Периодически отзывайте неиспользованные подтверждения с помощью таких инструментов, как Revoke.cash - это просто и стоит небольших затрат на газ.
Исследователи уже отслеживают резкий рост числа краж, совершаемых «сливателями», особенно на мобильных устройствах. Правильные навыки подписи позволяют разорвать такой блокчейн еще до его начала.
3. Горячие против холодных: разделите расходы и сбережения
Относитесь к кошелькам так же, как к банковским счетам.
Горячий кошелек - это расчетный счет владельца, удобный для его расходов и взаимодействия с приложениями.
Аппаратный или мультиподписной кошелек - это хранилище пользователя, созданное для долгосрочного и безопасного хранения.
Хранение приватных ключей в автономном режиме практически полностью исключает риск заражения вредоносными программами и веб-сайтами.
Для долгосрочной экономии запишите свою сид-фразу на бумаге или носителе: никогда не храните ее на телефоне, компьютере или в облачном сервисе.
Проверьте настройки восстановления, выполнив небольшое восстановление, прежде чем переводить значительные суммы. Если вы уверены в обеспечении дополнительной безопасности, рассмотрите возможность добавления парольной фразы BIP-39, но помните, что ее потеря означает безвозвратную потерю доступа.
Мультиподписные кошельки для крупных балансов или общих казначейских кошельков могут требовать подписи с двух или трех отдельных устройств для одобрения любой транзакции, что значительно затрудняет кражу или несанкционированный доступ.
В 2024 году компрометация приватных ключей составила 43,8% от всех украденных криптовалютных средств.
4. Гигиена устройства и браузера
Настройки вашего устройства так же важны, как и ваш кошелек.
Обновления исправляют те самые уязвимости, на которые рассчитывают злоумышленники, поэтому включите автоматическое обновление операционной системы, браузера и приложений кошелька и перезагружайте устройство при необходимости.
Сведите использование расширений браузера к минимуму - несколько громких краж произошли из-за взломанных или вредоносных дополнений. Использование отдельного браузера или профиля только для криптовалюты помогает предотвратить утечку файлов cookie, сеансов и логинов в повседневный просмотр.
Пользователям аппаратных кошельков следует по умолчанию отключить функцию слепой подписи: она скрывает детали транзакций и подвергает вас ненужному риску в случае обмана.
По возможности выполняйте конфиденциальные действия на чистом рабочем столе, а не на телефоне, набитом приложениями. Стремитесь к минимальной, обновленной настройке с минимальным количеством потенциальных точек атаки.
5. Проверка перед отправкой: адреса, блокчейны, контракты
Самый простой способ потерять криптовалюту - отправить ее не по адресу. Всегда дважды проверяйте адрес получателя и сеть, прежде чем нажать «Отправить».
При первом переводе сделайте небольшой тестовый платеж (дополнительная комиссия стоит вашего спокойствия). При работе с токенами или невзаимозаменяемыми токенами (NFT) убедитесь, что у вас правильный контракт, проверив официальный сайт проекта, у таких авторитетных агрегаторов, как CoinGecko, и таких обозревателей, как Etherscan.
Перед взаимодействием с любым контрактом ищите подтвержденный код или значок владельца. Никогда не вводите адрес кошелька вручную - всегда копируйте и вставляйте его, проверяя первый и последний символы, чтобы избежать подмены буфера обмена. Избегайте копирования адресов непосредственно из истории транзакций, так как атаки с использованием пылевого копирования или поддельные записи могут заставить вас повторно использовать скомпрометированный адрес.
Будьте особенно осторожны с теми сайтами, на которых можно получить аирдроп, особенно с теми, что запрашивают необычные разрешения или кросс-чейн действия. Если что-то не так, приостановите и проверьте ссылку через официальные каналы проекта. А если вы уже дали подозрительные разрешения, немедленно отзовите их, прежде чем продолжить.
6. Защита от социальной инженерии: романтические отношения, «задания», самозванство
Крупнейшие криптовалютные мошенничества редко полагаются на код - они полагаются на людей.
Схемы романтических отношений и забоя свиней строят фиктивные отношения и используют поддельные торговые панели для демонстрации фиктивной прибыли, а затем оказывают давление на жертв, чтобы те внесли больше средств или заплатили фиктивные «комиссии за освобождение».
Мошенничество с трудоустройством часто начинается с дружелюбных сообщений в WhatsApp или Telegram с предложениями микрозаданий и небольших выплат, прежде чем перейти к мошенническим схемам пополнения счета. Мошенники, выдавая себя за «сотрудников службы поддержки», могут затем попытаться показать вам экран или обманным путем получить вашу сид-фразу.
Признак всегда один и тот же: настоящая служба поддержки никогда не попросит ваши приватные ключи, не перенаправит вас на сайт-двойник и не потребует оплату через биткоин-банкоматы или подарочные карты. Как только вы заметите эти тревожные сигналы, немедленно прекратите общение.
В 2024 году количество депозитов в мошеннические схемы по забою свинины выросло примерно на 210% в годовом исчислении, хотя средняя сумма депозита значительно снизилась.
7. Готовность к восстановлению: сделайте ошибки терпимыми
Даже самые осторожные люди ошибаются. Разница между катастрофой и восстановлением - в подготовке.
Сохраните краткую офлайн-карточку с ключевыми ресурсами для восстановления: проверенными ссылками поддержки бирж, надежным инструментом отзыва и такими официальными порталами, как Federal Trade Commission и Internet Crime Complaint Center (IC3) ФБР.
Если что-то пойдет не так, включите в свой отчет хэши транзакций, адреса кошельков, суммы, временные метки и скриншоты. Используя эти общие данные, иледователи часто связывают несколько дел.
Возможно, вы не сможете вернуть средства немедленно, но наличие плана превратит полную потерю в управляемую ошибку.
Если случится худшее: что делать дальше
Если вы перешли по вредоносной ссылке или по ошибке отправили средства, действуйте быстро. Переведите все оставшиеся активы в новый кошелек, который находится под вашим полным контролем, а затем отзовите старые разрешения с помощью таких проверенных инструментов, как Token Approval Checker от Etherscan или Revoke.cash.
Смените пароли, перейдите на защищенную от фишинга двухфакторную аутентификацию (2FA), выйдите из всех других сеансов и проверьте настройки электронной почты на наличие правил пересылки или фильтрации, которые вы не создавали.
Затем обратитесь к своему провайдеру: свяжитесь с вашей биржей, чтобы отметить адреса назначения, и подайте заявление в IC3 или местный регулирующий орган. Приложите хэши транзакций, адреса кошельков, временные метки и скриншоты; эти данные помогут следователям связать дела, даже если восстановление займет много времени.
Вывод прост: 7 привычек (надежная многофакторная аутентификация, тщательная подпись, разделение горячих и холодных кошельков, поддержание чистоты устройств, верификация перед отправкой, внимание к социальной инженерии и наличие плана восстановления) блокируют большинство повседневных угроз криптовалюты.
Начните с самого простого: обновите свою двухфакторную аутентификацию (2FA) и укрепите гигиену подписания сделок уже сегодня, а затем постепенно наращивайте темпы. В настоящее время небольшая подготовка может уберечь вас от катастрофических потерь в 2025 году.
Эта статья не содержит инвестиционных советов или рекомендаций. Любое инвестиционное и торговое действие сопряжено с риском, и читателям следует провести собственное исследование при принятии решения.
