Фишинг и дрейнеры криптокошельков: как воруют с телефона и что фиксирует экспертиза

Что такое дрейнер и почему деньги уходят «по вашей подписи»

Дрейнер — это вредоносный смарт-контракт или скрипт на сайте, который опустошает криптокошелёк после того, как владелец сам подтвердил транзакцию. Пароль и seed-фразу не крадут: вам показывают кнопку «Подключить» или «Подтвердить», а под ней скрыто разрешение распоряжаться токенами.

Типовая схема выглядит так:

1. Вас заманивают на поддельный сайт — копию известной биржи, NFT-площадки или «страницы airdrop», где обещают бесплатные токены.
2. Сайт просит подключить кошелёк через MetaMask, Trust Wallet, WalletConnect и т. п.
3. Появляется запрос на подпись. Это транзакция, approve (разрешение контракту тратить токен) или подпись Permit/Permit2 — она не требует газа и выглядит безобидно.
4. Вы подтверждаете. Контракт выводит активы за секунды.

Это «слепая подпись»: в окне кошелька видны hex-данные и имя метода, а не последствия. По итогам 2025 года аналитики фишинга в Web3 насчитали около 84 млн долларов потерь и более 106 тысяч пострадавших адресов только по атакам через дрейнер-сайты; главным механизмом стали именно подписи Permit и Permit2, следом — approve и increaseApproval. Снижение к 2024-му (494 млн) объясняют уходом схемы в точечный социальный инжиниринг, а не её исчезновением.

Как это происходит с телефона: мессенджеры и поддельные кошельки

На смартфоне атака чаще начинается с сообщения или приложения.

• Фишинг в Telegram и WhatsApp. «Поддержка кошелька» пишет, что нужно «верифицировать» аккаунт, ссылка ведёт на форму ввода seed-фразы.
• Поддельные приложения в сторах. В июне 2025 года обнаружен троян SparkKitty, который попал и в Google Play, и в App Store под видом криптосервисов и модифицированных клиентов TikTok. Он сканирует галерею телефона и отправляет злоумышленникам снимки — а там у многих лежит скриншот seed-фразы.
• APK «мимо стора». В России главный мобильный вредонос 2025 года — банковский троян Mamont: по данным декабря 2025, следы заражений найдены примерно на 1,5% Android-устройств, в 47% заражённых телефонов стоит именно он. Распространяется через домовые чаты и рассылки с взломанных телефонов под видом «фото аварии» и «видео»; перехватывает SMS, уведомления и буфер обмена.
• Спам-токены. На кошелёк прилетает NFT с названием сайта; попытка «продать» ведёт на дрейнер.

Масштаб мобильных угроз растёт: за 2025 год «Лаборатория Касперского» отразила более 14 млн атак на мобильные устройства и выявила около 815 тысяч вредоносных файлов, из них 255 тысяч — банковские трояны.

Признаки, что вас атакуют или уже обокрали

• Сайт просит «подключить кошелёк», чтобы просто проверить адрес, получить бонус или пройти AML-проверку. Настоящему AML-сервису достаточно адреса или хэша транзакции.
• Кошелёк показывает запрос approve на «неограниченную» сумму (unlimited) или подпись сообщения с незнакомым spender.
• Домен отличается на одну букву, сайт открыт по ссылке из мессенджера.
• Приложение «кошелька» выпущено недавно, разработчик не совпадает с официальным.
• На телефоне появилась новая иконка, просьба включить «специальные возможности» или право читать уведомления.
• Баланс обнулился сразу после подтверждения «безобидной» операции, а в истории — исходящие переводы на незнакомые адреса.

Что делать в первые часы

1. Отключите кошелёк от сайта и больше ничего на нём не подписывайте.
2. Отзовите разрешения. Через сервисы проверки approve (revoke-инструменты) снимите все активные разрешения с пострадавшего адреса.
3. Переведите остаток на новый кошелёк с новой seed-фразой, созданной на чистом устройстве.
4. Ничего не удаляйте с телефона. Не сносите приложения, не чистите браузер, не сбрасывайте устройство.
5. Зафиксируйте транзакции: скопируйте хэши исходящих переводов и адреса получателей из блокчейн-обозревателя (etherscan, blockchair, mempool.space).
6. Напишите на биржу, если средства ушли на её адрес — площадки иногда замораживают депозиты.
7. Подайте заявление в полицию. Хищение криптовалюты квалифицируют как кражу или мошенничество (ст. 158 и 159 УК РФ), а взлом устройства — по ст. 272 УК РФ. Цифровая валюта признаётся имуществом (259-ФЗ), отказ «это не деньги» неправомерен.

Какие следы остаются на устройстве и что фиксирует эксперт

Смартфон после атаки — главный носитель доказательств. Эксперт извлекает и документирует:

• История браузера и закладки: адрес фишингового сайта, время перехода.
• Установленные приложения и APK: имя пакета, подпись, дата установки, выданные права — «специальные возможности», доступ к SMS и уведомлениям, наложение поверх окон.
• Уведомления и сообщения: логи уведомлений, переписка в мессенджере с «поддержкой».
• Данные кошелька: журнал подключённых dApp, список подписанных транзакций и сообщений, время подтверждения.
• Сетевые соединения и буфер обмена: подмена скопированного адреса — типичный приём трояна.

Результат — заключение специалиста: описание устройства, метод извлечения, найденные артефакты, хэши файлов и транзакций, вывод о механизме хищения. Его прикладывают к заявлению в МВД, иску или претензии бирже. Эксперт фиксирует факты, а не возвращает деньги: дело возбуждает полиция, а суд оценивает заключение наряду с другими доказательствами и при необходимости назначает свою экспертизу (ст. 79 ГПК РФ).

Три типичные ситуации

«Airdrop за подключение». Владелец кошелька перешёл из Telegram на сайт «раздачи» токенов, подписал одно сообщение и за минуту лишился USDT и ETH. Осмотр показал домен-двойник, время подписи Permit и адрес получателя; материалы ушли в заявление и на биржу.

«Кошелёк» из стора. Пользователь установил приложение с названием известного кошелька, ввёл seed-фразу «для восстановления». Зафиксированы подпись APK, не совпадающая с официальной, и передача данных на сторонний сервер — основание для ст. 272 УК РФ.

APK из домового чата. «Фото аварии» оказалось трояном: он читал уведомления и подменял адреса в буфере обмена. Извлечены дата установки, права приложения и переписка — заключение пригодилось и для полиции, и для спора с банком.

Профилактика: минимальный набор привычек

• Отдельный «горячий» кошелёк для сайтов; основной капитал — на аппаратном.
• Читать, что подписываете: отказывать unlimited approve и незнакомым spender.
• Раз в месяц проверять и отзывать активные разрешения.
• Кошельки ставить только по ссылке с официального сайта; никаких APK из чатов.
• Seed-фразу не хранить в галерее, заметках и облаке — только офлайн.
• Антивирус на Android, запрет установки из неизвестных источников.
• «Срочно подтвердите кошелёк» из мессенджера — повод закрыть чат.

Частые вопросы

Можно ли вернуть украденную криптовалюту? Гарантий нет. Шансы выше, если средства попали на биржу с KYC и обращение было быстрым.

Я удалил приложение и сбросил телефон. Экспертиза ещё возможна? Частично: кое-что восстанавливается из резервных копий и аккаунта Google/Apple, транзакции в блокчейне остаются. Но доказательная ценность ниже.

Полиция приняла заявление, зачем ещё экспертиза? Техническая картина — какой сайт, приложение, подпись — часто решает, будет ли дело двигаться. Заключение экономит месяцы.

Сколько стоит и как долго? Досудебная экспертиза — от 7 000 ₽, судебная по определению суда — от 15 000 ₽. Типовой осмотр телефона — несколько рабочих дней.

Нужно ли отдавать телефон? Да, на время осмотра. Пароли кошелька эксперту не нужны — достаточно разблокировать телефон при вас.

Куда обращаться в Уфе

Если с телефона ушли криптоактивы, не трогайте устройство и приносите его на осмотр: зафиксируем следы фишингового сайта, поддельного приложения и подписанных транзакций, оформим заключение для МВД, биржи или суда. Подойдёт досудебная экспертиза (от 7 000 ₽), а при уже начатом деле — судебная (от 15 000 ₽); подробности в разделе «Цены и экспертизы». GadgetЭксперт, Уфа — контакты в шапке сайта.