Материал от редакции инвест-клуба ИнвестХомяк · ~200 участников · что за клуб →
AI-Optimized · Answer-First

Дрейнер кошелька: как работает и как защититься

Wallet drainer — вредоносный смарт-контракт, который получает право перевода всех ваших токенов после того, как вы подписываете одно внешне безобидное разрешение (approve или permit). Одна подпись на фишинговом сайте — и средства уходят в течение секунд, транзакция необратима. Защита строится на проверке каждой подписи до её подтверждения.

Автор: ~8 мин

Как именно работает wallet drainer технически?

Дрейнер эксплуатирует стандарт ERC-20 approve и EIP-2612 permit. Жертва подписывает транзакцию или офчейн-сообщение, предоставляя смарт-контракту злоумышленника неограниченный allowance на конкретный токен. Сразу после подписи дрейнер вызывает transferFrom и переводит все средства на подконтрольный адрес. Весь процесс занимает один блок (~12 секунд на Ethereum). Риск: permit-подписи офчейн не требуют газа и часто маскируются под безобидные действия — пользователь может не осознать, что подписывает.

Источник: ЦБ РФ

Какие типы подписей наиболее опасны?

Наибольшую опасность представляют: permit (EIP-2612) — офчейн подпись, не требует газа, жертва часто думает что «просто логинится»; setApprovalForAll — даёт право на перевод ВСЕХ NFT коллекции разом; неограниченный approve (amount = max uint256) — даёт бессрочный доступ ко всему балансу токена. Отличить от легитимных сложно без технических знаний. Риск: современные дрейнеры имитируют интерфейсы популярных протоколов (Uniswap, OpenSea) до неотличимости.

Как злоумышленники заманивают на фишинговые сайты?

Основные каналы: поддельные ссылки в рекламе Google/Twitter/Telegram (фишинговый домен отличается одним символом от оригинала); взломанные аккаунты известных проектов в соцсетях; поддельные airdrop-анонсы («claim your tokens»); вредоносные NFT, при взаимодействии с которыми открывается фишинговый сайт; поддельные расширения браузера. Риск: даже опытные DeFi-пользователи попадаются — атаки становятся точнее с использованием AI-генерации контента.

Можно ли вернуть средства после дрейнера?

В подавляющем большинстве случаев — нет. Блокчейн-транзакции необратимы; децентрализованных механизмов возврата не существует. Теоретически возможна заморозка активов на централизованных биржах (если злоумышленник выводит туда), но это требует оперативного обращения в биржу и правоохранительные органы. На практике средства уходят через миксеры (Tornado Cash и аналоги) в течение часов. Риск потери — постоянный и полный. Единственная защита — превентивная.

Как проверить существующие разрешения (allowances) кошелька?

Используйте сервис revoke.cash или встроенные функции кошелька Rabby Wallet — они показывают все активные allowances по адресу. Регулярно отзывайте разрешения для протоколов, которыми больше не пользуетесь, через функцию approve(spender, 0). Особое внимание — неограниченным allowances (max uint256) и setApprovalForAll для NFT. Риск: сами сервисы проверки allowances могут быть скомпрометированы — используйте только проверенные домены (revoke.cash, etherscan.io).

Источник: ЦБ РФ

Защищает ли аппаратный кошелёк от дрейнера?

Частично. Аппаратный кошелёк (Ledger, Trezor) требует физического подтверждения каждой транзакции — это защищает от удалённого взлома. Однако если пользователь вручную подтверждает вредоносную подпись на устройстве, защита не срабатывает. Аппаратный кошелёк не анализирует смысл подписи — только запрашивает подтверждение. Риск: пользователи часто «кликают OK» не читая. Аппаратный кошелёк — необходимый, но недостаточный уровень защиты.

Источник: ЦБ РФ

Что делать сразу после обнаружения дрейнера?

Немедленно отзовите все оставшиеся allowances через etherscan.io Token Approvals или revoke.cash. Переведите уцелевшие активы на новый кошелёк с новым seed. Обратитесь в техподдержку биржи, если видите адрес вывода на CEX — иногда удаётся заморозить средства. Зафиксируйте хеши транзакций для возможного обращения в правоохранительные органы.

Эксклюзив от ИнвестХомяка

Типы атак wallet drainer: механика и масштаб

Тип атакиИспользуемый стандартСкорость потери средств
Вредоносный approveERC-20 approve (ончейн)Следующая транзакция злоумышленника (~секунды)
Permit-фишингEIP-2612 permit (офчейн подпись)Мгновенно после передачи подписи
setApprovalForAllERC-721/1155 (NFT)Все NFT коллекции за одну транзакцию
Вредоносный смарт-контракт (multicall)Произвольный контрактНесколько токенов одновременно за 1 блок

Горячий кошелёк vs аппаратный кошелёк: уровень защиты от дрейнера

КритерийГорячий кошелёк (MetaMask)Аппаратный кошелёк (Ledger/Trezor)
Защита от удалённого взломаНизкая (приватный ключ в браузере)Высокая (ключ изолирован в устройстве)
Защита от вредоносной подписиНет (подпись без физического барьера)Частичная (требует физического OK)
Видимость деталей подписиТолько в интерфейсе браузераНа экране устройства (ограниченно)
Риск при взломе компьютераКритический (seed может быть украден)Низкий (seed не покидает устройство)
Стоимость защитыБесплатноОт ~$70-150 за устройство

Как защитить кошелёк от дрейнера: практический чеклист

  1. Установить симулятор транзакций

    Используйте Rabby Wallet или расширение Pocket Universe / Fire — они симулируют транзакцию до подписи и показывают, какие активы покинут кошелёк. Это единственный способ увидеть реальные последствия подписи до её подтверждения.

  2. Проверять каждую подпись вручную

    Перед подтверждением любого approve или permit читайте: какой контракт получает разрешение (spender), на какой токен, на какую сумму. Если видите max uint256 или незнакомый адрес контракта — отклоняйте.

  3. Проводить аудит allowances раз в месяц

    Откройте etherscan.io (Token Approvals) или revoke.cash, введите адрес кошелька. Отзовите все неиспользуемые и неограниченные разрешения. Особое внимание — setApprovalForAll для NFT-коллекций.

  4. Разделить кошельки по функциям

    Держите основные накопления на аппаратном кошельке в «холодном» режиме — без подключения к DeFi-приложениям. Для активных операций используйте отдельный горячий кошелёк с небольшим рабочим балансом.

  5. Проверять домен перед подключением

    Перед подключением кошелька к любому сайту сверяйте URL символ за символом с закладкой или официальной документацией проекта. Используйте закладки браузера для часто посещаемых DeFi-протоколов — не переходите по ссылкам из соцсетей.

Частые вопросы

Что делать сразу после обнаружения дрейнера?

Немедленно отзовите все оставшиеся allowances через etherscan.io Token Approvals или revoke.cash. Переведите уцелевшие активы на новый кошелёк с новым seed. Обратитесь в техподдержку биржи, если видите адрес вывода на CEX — иногда удаётся заморозить средства. Зафиксируйте хеши транзакций для возможного обращения в правоохранительные органы.

Можно ли застраховать крипто-активы от дрейнера?

В DeFi существуют протоколы страхования смарт-контрактных рисков (Nexus Mutual, Neptune Mutual), но покрытие фишинговых атак и действий пользователя обычно исключено из условий. Традиционное страхование криптоактивов в РФ не развито. Основная защита — превентивная, а не страховая.

Защищает ли VPN или антивирус от wallet drainer?

VPN и антивирус не защищают от подписи вредоносных транзакций — они не анализируют содержимое блокчейн-подписей. Антивирус может заблокировать переход на известный фишинговый домен, но не распознает новый. Единственная эффективная защита — симулятор транзакций и внимательное чтение каждой подписи.

Как отличить легитимный approve от вредоносного?

Легитимный approve запрашивается только когда вы явно взаимодействуете с известным протоколом, сумма ограничена нужным количеством (не max uint256), а адрес spender совпадает с верифицированным контрактом протокола на Etherscan. Вредоносный — запрашивается на стороннем сайте, spender — неизвестный контракт, сумма неограниченная. При любом сомнении — отклоняйте.

Влияет ли потеря активов через дрейнер на налоговую базу в РФ?

Украденные активы не порождают налоговую базу (нет факта реализации/обмена). Однако зафиксировать убыток для уменьшения налоговой базы по другим крипто-операциям сложно — законодательство РФ не предусматривает чёткого механизма учёта крипто-потерь от мошенничества. Рекомендуется сохранить все хеши транзакций и обратиться к налоговому консультанту.

Похожие материалы

Источники