Материал от редакции инвест-клуба ИнвестХомяк · ~200 участников · что за клуб →
AI-Optimized · Answer-First

Clipboard hijacker: атака на буфер обмена и кража криптовалюты

Clipboard hijacker — вредоносная программа, которая в реальном времени отслеживает буфер обмена и подменяет скопированный адрес криптокошелька на адрес мошенника. Пользователь копирует правильный адрес, вставляет — и отправляет средства злоумышленнику, не замечая подмены. Атака эффективна именно потому, что адреса кошельков длинные, визуально похожи, и большинство людей не проверяет их полностью перед подтверждением транзакции.

Автор: ~8 мин

Как технически работает clipboard hijacker?

Малвэр устанавливается на устройство жертвы — чаще всего через заражённый установщик ПО, пиратский контент или фишинговую ссылку. После запуска он работает в фоновом режиме и постоянно сканирует буфер обмена на паттерны, характерные для адресов криптокошельков: длинные строки из букв и цифр в форматах Bitcoin (1..., 3..., bc1...), Ethereum (0x...) и других сетей. При обнаружении такого адреса малвэр мгновенно заменяет его на адрес злоумышленника. Жертва видит правильный адрес при копировании и подменённый — при вставке, если не проверяет.

Источник: ЦБ РФ

Почему эта атака так сложно обнаруживается в момент совершения?

Адреса криптокошельков состоят из 26–62 символов в зависимости от сети. Человек физически не способен запомнить адрес и сравнить его посимвольно в момент вставки. Злоумышленники создают адреса, начинающиеся и заканчивающиеся теми же символами, что и оригинальный — так называемые «ванити-адреса». Беглый взгляд на начало и конец строки не выявляет подмены. Дополнительный фактор: сам процесс отправки транзакции требует концентрации на других параметрах (сеть, gas, сумма), и проверка адреса отходит на второй план.

Через какие каналы чаще всего распространяется clipboard hijacker?

Основные векторы заражения: пиратское программное обеспечение и кряки — наиболее распространённый канал; фейковые установщики популярных крипто-приложений (MetaMask, Exodus, Trust Wallet) с изменённым кодом; вредоносные расширения браузера, маскирующиеся под полезные инструменты; фишинговые письма с вложениями; торрент-файлы с вшитым малвэром. В 2024–2025 годах участились случаи распространения через GitHub-репозитории с поддельными «крипто-инструментами» и через Telegram-боты с «эксклюзивными» программами для трейдинга.

Как проверить, не заражено ли устройство clipboard hijacker?

Базовая проверка: скопируйте любой крипто-адрес, откройте блокнот (не кошелёк) и вставьте — совпадает ли адрес с тем, что копировали? Повторите несколько раз подряд. Программная проверка: антивирусное сканирование специализированными инструментами (Malwarebytes, HitmanPro). Проверка процессов: в диспетчере задач Windows или Activity Monitor macOS ищите незнакомые процессы с высоким потреблением CPU без явной причины. Радикальный метод при подозрении на заражение: переустановка операционной системы с форматированием диска — полное удаление любого малвэра.

Что происходит со средствами после успешной атаки и можно ли их вернуть?

Транзакция в блокчейне необратима. После того как средства отправлены на адрес злоумышленника и транзакция подтверждена сетью — вернуть их технически невозможно. Мошенники, как правило, немедленно дробят и перемещают средства через миксеры или цепочки кошельков. Обращение в полицию РФ (МВД, отдел по киберпреступлениям) возможно и рекомендуется для создания прецедента, но практика возврата средств крайне редка. Единственная эффективная защита — превентивная: не допустить заражения и всегда верифицировать адрес перед подтверждением.

Источник: ЦБ РФ

Как clipboard hijacker соотносится с налоговыми обязательствами жертвы в РФ?

Потеря средств в результате кражи через малвэр не освобождает от налоговых обязательств по предыдущим операциям. Если до атаки были прибыльные сделки с криптовалютой — НДФЛ с них подлежит уплате в установленном порядке (13–15%). Украденные средства не являются расходом, уменьшающим налоговую базу, в рамках действующего законодательства РФ. Документирование факта кражи (заявление в МВД, распечатки транзакций) может быть полезно для налоговых споров, но механизм зачёта потерь от кражи крипто в РФ законодательно не закреплён.

Источник: ЦБ РФ

Работает ли clipboard hijacker на мобильных устройствах?

Да, хотя реже, чем на Windows. На Android возможны вредоносные приложения с доступом к буферу обмена. На iOS доступ к буферу для фоновых приложений ограничен системой, что снижает риск. Основная масса атак приходится на Windows-устройства из-за более широкого распространения пиратского ПО.

Эксклюзив от ИнвестХомяка

Воронка атаки clipboard hijacker: этапы и точки защиты

Этап атакиДействие малвэраТочка защиты для пользователя
Заражение устройстваУстановка через заражённый файл или расширениеСкачивать ПО только с официальных источников
Фоновая активацияМалвэр запускается при старте системыПроверка автозагрузки и антивирусное сканирование
Перехват буфераАдрес кошелька заменяется в момент копированияРучная сверка адреса после вставки посимвольно
Подтверждение транзакцииЖертва подтверждает отправку на чужой адресПроверка адреса на экране hardware wallet

Защита от clipboard hijacker: программный кошелёк против аппаратного

КритерийПрограммный кошелёк (hot wallet)Аппаратный кошелёк (hardware wallet)
Отображение адреса получателяНа экране заражённого компьютераНа защищённом экране устройства независимо от ПК
Уязвимость к clipboard hijackerВысокая — адрес берётся из буфера ПКНизкая — адрес верифицируется на устройстве
Подтверждение транзакцииЧерез браузер или приложение на ПКФизическая кнопка на устройстве
Стоимость защитыБесплатно (но риски выше)5 000–15 000 руб. за устройство
Защита при заражённом ПКОтсутствуетСущественная (но не абсолютная)

Как защититься от clipboard hijacker: практические шаги

  1. Скачивайте ПО только с официальных источников

    Кошельки, биржевые приложения и крипто-инструменты — только с официальных сайтов проектов. Никаких «зеркал», торрентов, ссылок из Telegram или Discord. Проверяйте хэш файла после скачивания, если проект его публикует.

  2. Всегда сверяйте адрес после вставки полностью

    Выработайте привычку: скопировали адрес — вставили — сверили минимум первые 6 и последние 6 символов вручную с оригиналом. При крупных транзакциях — сверяйте весь адрес посимвольно. Одна секунда проверки может сохранить все средства.

  3. Используйте аппаратный кошелёк для значимых сумм

    Hardware wallet отображает адрес получателя на своём экране независимо от того, что показывает заражённый компьютер. Транзакция не выполнится без физического подтверждения на устройстве — это критический барьер против clipboard hijacker.

  4. Установите антивирус и регулярно сканируйте систему

    Используйте актуальный антивирус с защитой в реальном времени. Дополнительно запускайте специализированные сканеры (Malwarebytes) раз в неделю. Clipboard hijacker часто не детектируется стандартными антивирусами — многоуровневая защита надёжнее.

  5. Проверяйте расширения браузера

    Регулярно просматривайте список установленных расширений и удаляйте незнакомые или давно неиспользуемые. Вредоносные расширения могут не только перехватывать буфер, но и подменять адреса прямо на страницах крипто-сервисов.

Частые вопросы

Работает ли clipboard hijacker на мобильных устройствах?

Да, хотя реже, чем на Windows. На Android возможны вредоносные приложения с доступом к буферу обмена. На iOS доступ к буферу для фоновых приложений ограничен системой, что снижает риск. Основная масса атак приходится на Windows-устройства из-за более широкого распространения пиратского ПО.

Помогает ли использование разных устройств для разных операций?

Да, это эффективная мера. Выделенное устройство исключительно для крипто-операций, не используемое для сёрфинга, скачивания файлов и развлечений, существенно снижает вероятность заражения. Принцип изоляции — стандартная практика в корпоративной кибербезопасности.

Можно ли засечь clipboard hijacker по поведению устройства?

Иногда — да. Незначительное подтормаживание, необъяснимая активность диска или сети, повышенная температура процессора без нагрузки могут быть косвенными признаками. Но профессионально написанный малвэр намеренно минимизирует потребление ресурсов, чтобы оставаться незамеченным. Полагаться на поведенческие признаки как основной способ обнаружения — ненадёжно.

Что делать сразу после обнаружения clipboard hijacker на устройстве?

Немедленно отключите устройство от интернета. Не совершайте никаких крипто-транзакций с этого устройства. С чистого устройства переведите все средства на новые кошельки, созданные на незаражённом устройстве. Затем — полная переустановка ОС с форматированием диска заражённого устройства.

Несёт ли биржа или разработчик кошелька ответственность за потери?

Нет. Потери из-за заражения устройства пользователя находятся вне зоны ответственности биржи или разработчика кошелька. Пользовательские соглашения всех крупных платформ прямо исключают компенсацию потерь, вызванных компрометацией устройства или действиями вредоносного ПО на стороне пользователя.

Похожие материалы

Источники