Защита от дрейнеров: как работают Scamsniffer, Wallet Guard и Revoke.cash

Плагины перехватывают запрос на подпись транзакции в браузере и анализируют его до отображения пользователю. Scamsniffer сверяет адрес контракта с базой известных дрейнеров и фишинговых сайтов, обновляемой в реальном времени. Wallet Guard дополнительно симулирует транзакцию: показывает, какие токены уйдут с кошелька после подписи. Revoke.cash не блокирует транзакции — он позволяет отозвать уже выданные approve. Нюанс: все три инструмента работают только в браузере и не защищают при использовании мобильного приложения кошелька напрямую.

False positive — ложная тревога: плагин помечает легитимную транзакцию как опасную. Это происходит при взаимодействии с новыми протоколами, которые ещё не попали в белые списки, при нестандартных approve с большими суммами (например, при предоставлении ликвидности), и при работе с малоизвестными DEX. Частота ложных срабатываний у Scamsniffer оценивается как умеренная — опытные DeFi-пользователи периодически игнорируют предупреждения. Риск: привычка «принять несмотря на предупреждение» обнуляет защиту в момент реальной атаки (plisio.net/ru/cybersecurity/wallet-drainer).

Четыре сценария, где плагины бессильны: новый дрейнер, не попавший в базу сигнатур (временное окно от часов до суток); атака через compromised frontend легитимного протокола (плагин видит известный адрес контракта); прямая компрометация приватного ключа или seed-фразы (транзакции идут в обход браузера); и мобильные кошельки без поддержки расширений. Кроме того, Scamsniffer не защищает от approve, выданных до его установки — для этого нужен отдельный аудит через Revoke.cash.

Revoke.cash показывает все активные разрешения (approve) по адресу кошелька: какому контракту, на какой токен и на какую сумму вы когда-либо давали доступ. Отозвать можно любое разрешение одной транзакцией. Это критично: дрейнер может воспользоваться старым approve спустя месяцы после его выдачи — достаточно, чтобы контракт оказался скомпрометирован. Рекомендуется проверять и чистить approve раз в 1–3 месяца. Нюанс: каждый отзыв — отдельная on-chain транзакция с комиссией газа.

Scamsniffer фокусируется на базе фишинговых доменов и адресов контрактов — блокирует на уровне «этот сайт в чёрном списке». Wallet Guard добавляет симуляцию транзакции: до подписи показывает, какие именно активы покинут кошелёк. Это помогает обнаружить атаку даже на неизвестном домене — если симуляция показывает вывод всех токенов при «безобидном» действии. Оба инструмента бесплатны в базовой версии. Нюанс: симуляция работает только для EVM-сетей и не охватывает Solana, TON и другие экосистемы (cryptofishka.com/fishing-v-kripto).

Действовать немедленно: перейти на Revoke.cash и отозвать все активные approve — это может остановить дрейнер, если он ещё не исполнил транзакцию вывода. Перевести оставшиеся активы на новый адрес с максимальной комиссией газа. Если средства уже ушли — отследить маршрут через Etherscan и обратиться в Matchsystems или аналогичный блокчейн-криминалистический сервис: заморозка возможна только при быстром обращении на биржу, куда пришли средства (matchsystems.com/ru/ya-pereshyol-po-ssylke).

Revoke.cash — устоявшийся инструмент с открытым исходным кодом, не запрашивает приватный ключ. При подключении через MetaMask сайт получает только адрес кошелька для чтения данных. Транзакции на отзыв approve инициируете вы сами и подтверждаете в MetaMask или на аппаратном кошельке. Как и с любым DeFi-сайтом — проверяйте URL (revoke.cash, не похожие домены) перед подключением.