Как защитить крипто-транзакции от фишинга

Фишинг — главная причина потерь в крипте. Атаки стали умнее: поддельные сайты кошельков, «дренеры» в DApp, фальшивые airdrop’ы, подписки на бесконечные списания (approve/permit), подменённые QR-коды и «address poisoning». Хорошая новость: простая операционная дисциплина почти полностью закрывает эти векторы. Ниже — практическая система, которая защищает транзакции до и после нажатия «Send/Sign».

1) Три кита защиты: адрес → сеть → подпись

1. Адрес получателя: сверяйте минимум первые и последние 4–6 символов, используйте только QR/реквизиты из личного кабинета, а не из чатов/поиска.

2. Сеть/актив: сеть токена (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON и т. д.) должна совпадать у отправителя и получателя. Для XRP/XLM/BNB/EOS проверяйте Memo/Tag.

3. Подпись/транзакция: читайте, что именно подписываете: `transfer`, `approve`, `permit`, `setApprovalForAll`, `swap`, `bridge`, `mint`. Если не понимаете — не подписывайте.

2) Основные векторы фишинга (и как их закрыть)

Поддельные сайты и домены-гомографы. Работайте только из собственных закладок; не переходите по рекламным объявлениям и «поддержке» в мессенджерах.

Клипборд-стилеры и подмена QR. Сканируйте QR с официальной страницы, сверяйте символы адреса. Любое несоответствие — отмена.

Address poisoning. Не копируйте адреса из истории входящих. Используйте адресную книгу/вайтлист.

Drainer-скрипты в DApp. Никогда не импортируйте seed на сайтах. Перед подписью смотрите какие права запрашивает DApp (лимит, токен, срок).

Фальшивые airdrop/NFT. Не взаимодействуйте с «подарочными» NFT/ссылками. Любая кнопка «claim» вне проверенных источников — запрет.

Социнженерия (почта, Telegram/Discord). «Саппорт» никогда не просит seed/приватный ключ/экспорт ключей. Антифишинг-фраза в биржах должна быть включена.

Интеграции WalletConnect. Сверяйте имя DApp и домен в запросе сессии. Если не совпадает с открытым сайтом — отклоняйте.

Мосты/бриджи. Используйте только официальные; сверяйте целевую сеть и контракт токена.

Lightning/QR-инвойсы. Инвойс одноразовый, живёт минуты. Просрочен — генерируйте новый, не «освежайте» старый.

3) Аппаратный кошелёк и «подтверждение на экране»

Аппаратный кошелёк резко снижает риск фишинга: он показывает реальные данные подписи у вас в руках. Привычки:

Подтверждайте адрес/сумму/метод на экране устройства.
Никогда не вводите seed на ПК/телефоне/сайте — только на самом устройстве.
Для крупных сумм — политика «четырёх глаз»: второй человек/второй ключ в мультисиге.

4) Безопасные подписи в EVM-сетях (ETH, BSC, Polygon и др.)

Approve/Permit:

Выдавайте доступ только нужному токену, ставьте минимальный лимит, а не «∞».
Периодически отзывайте (revoke) старые разрешения через надёжные ревок-сервисы кошельков/DApp.
Подписи без газа (EIP-2612/Permit2/Off-chain orders): читайте текст. «Бесплатная подпись» может давать долгосрочный доступ к тратам.
Симуляция транзакции: используйте кошельки/расширения, которые показывают, что изменится после выполнения (откуда/куда уйдут токены).

5) Гигиена браузера и устройства

Отдельный профиль браузера для крипты, минимум расширений.

Автообновления кошелька — только из официальных источников; проверяйте подпись/хэш десктоп-билдов.

2FA TOTP/U2F на биржах; загрузите резервные коды и второй ключ-токен.

Не проводите крупные операции в публичном Wi-Fi.

Ведите журнал транзакций: дата, сеть, адрес, сумма, TxID.

6) Чеклист перед отправкой/подписью (1 минута)

Адрес взят из закладки/официального приложения, совпадают первые/последние 4–6 символов.
Сеть/актив и (при необходимости) Memo/Tag проверены.
Понимаю тип операции: `transfer`/`approve`/`permit`/`swap`/`bridge`.
Лимит разрешения ограничен суммой сделки, не «∞».
Для суммы > $200 — тестовая транзакция и ожидание зачисления.
Аппаратный кошелёк: адрес/сумма/контракт подтверждены на экране устройства.

7) Протокол при подозрении на фишинг (действия по минутам)

0–5 минут:

Немедленно отключите интернет/расширение, остановите дальнейшие подписи.
На биржах — заморозьте выводы, смените пароли, выключите активные сессии.

5–30 минут:

Проверьте последние approve/permit и отзовите подозрительные.
Переведите активы с уязвимого кошелька на чистый кошелёк (sweep), начните с самых ликвидных токенов/монет.
Сохраните TxID, скрины, логи.

Переустановите кошелёк на чистом устройстве, с новыми ключами.
Сообщите на сервисы, где могли оказаться активы злоумышленника (биржи/мосты).
Проведите разбор: откуда пришла ссылка, кто запросил подпись, какие расширения установлены.

8) Частые «красные флаги»

Срочность и дефицит: «сделайте сейчас, иначе заморозим бонус/аккаунт».

Просьба ввести seed/приватный ключ «для проверки/активации/airdrop».

Несовпадение домена в WalletConnect и открытого сайта.

Запрос «approve для всех токенов» или «безлимит навсегда».

Поддельные кнопки «speed up/claim/verify» на клон-сайтах.

9) Мини-FAQ

Достаточно ли сверки последних 4 символов адреса? Лучше — первые и последние 4–6: некоторые атаки подбирают одинаковый «хвост».

Нужно ли всегда ограничивать approve? Да. Разрешение на «∞» удобно злоумышленнику и дренерам.

Как часто делать ревок прав? После каждой сессии с новым DApp и регулярно по расписанию (например, раз в месяц).

Аппаратный кошелёк решает всё? Он сильно снижает риск, но не защитит от вашей подписи на вредной операции — читайте, что подписываете.

Можно ли «отменить» перевод? Нет. Максимум — успеть не подписать вредную операцию или отозвать права до списания.

Защита от фишинга — это не софт «анти-всё», а процедура: свои закладки, сверка адреса/сети, чтение подписи, лимитированные approve/permit, аппаратный кошелёк, ревок лишних прав и тестовые переводы. Сделайте из этого рутину — и шанс потерять средства из-за фишинга станет статистически ничтожным, даже если вы активно пользуетесь DApp, мостами и биржами.