В 2026 году хакеры применяют ChatGPT для генерации персонализированных фишинговых писем, которые невозможно отличить от настоящих. Поддельные DeFi-проекты крадут ликвидность через троянские смарт-контракты, а нейросети перебирают сид-фразы со скоростью 10¹² комбинаций в секунду. Разбираем механику каждой атаки — без паники и без рекламы «чудо-кошельков».
Сверяйте адрес контракта на CoinGecko или CoinMarketCap. Если проект новый — проверьте код на GitHub, активность команды в Discord и аудит от CertiK/Trail of Bits. Фейки часто копируют интерфейс Uniswap, но меняют одну букву в домене или используют прокси-контракты с backdoor. Риск: даже аудированный проект может быть взломан — диверсифицируйте риски.
Теоретически — нет, 256 бит энтропии невозможно перебрать за время жизни Вселенной. Практически — хакеры атакуют короткие или неслучайные фразы (12 слов, генерация без энтропии, утечка с экрана). Многие пользователи хранят сид в телефоне, Google Диске или скриншоте — это главный вектор утечки, а не брутфорс. Hardware wallet + стальной крипто-сейф — решение.
Хакеры загружают в нейросеть вашу публичную переписку (Telegram, X, e-mail) и генерируют письмо от имени биржи или партнёра с точным копированием стиля, упоминанием ваших сделок. Письмо приходит с реального адреса (через спуфинг SPF/DKIM) и ведёт на страницу входа, которая 1:1 повторяет интерфейс Bybit или Binance. После ввода логина и 2FA — вы теряете доступ к аккаунту.
Никогда не переходите по ссылкам из писем — заходите на биржу только через закладку браузера. Используйте аппаратный ключ безопасности (YubiKey) как второй фактор. Включите белый список IP-адресов на бирже. Проверяйте отправителя через SPF-запись (dig txt domain). Даже если письмо выглядит идеально — не верьте. AI генерирует подделку за секунды.
НДФЛ с утраченных активов не платится — вы не получили доход. Но если хакер вывел монеты, а страховая биржи (или DeFi-протокол) компенсирует убыток, компенсация считается доходом в РФ и облагается НДФЛ 13-15%. Заявить утрату как убыток в 3-НДФЛ можно лишь при наличии официального акта от полиции — его дают редко. ФНС в 2026 запрашивает данные по крипто-счетам через автоматический обмен (ФАТФ/CRS).
С точки зрения взлома — риски выше, чем на CEX из-за ошибок в смарт-контрактах и оракулов. Атаки на пулы ликвидности (flash loan, reentrancy) в 2026 случаются ежемесячно. DeFi-протоколы не страхуют потери от взлома (кроме Nexus Mutual, но покрытие ограничено). Диверсифицируйте сумму: не держите более 30% портфеля в DeFi без страховки. Выбирайте протоколы с tvl > $1B и мультиподписью.
Используйте Token Sniffer или RugDoc. Проверьте, что контракт не имеет функций mint()/burn() у неограниченного адреса. Смотрите tvl и количество холдеров через DeFiLlama.
| Тип атаки | Используемые уязвимости | Средний ущерб ($) |
|---|---|---|
| Фишинг через AI | Социальная инженерия, спуфинг DKIM | $10 000 – 500 000 |
| Поддельные DeFi-проекты | Backdoor в контракте, rug pull | $50 000 – 5 000 000 |
| Брутфорс сид-фраз | Утечка энтропии, короткие фразы | $1 000 – 100 000 |
| Сочетание AI + фишинг + фейковый DeFi | Компрометация почты + подмена адреса кошелька | $100 000 – 10 000 000 |
| Критерий | Hardware wallet (Ledger/Trezor) | Hot wallet (MetaMask/Phantom) |
|---|---|---|
| Цена | $80 – 200 | Бесплатно |
| Сопротивление фишингу | Полное (транзакция подтверждается на экране устройства) | Низкое (любая подпись через браузер) |
| Уязвимость к взлому | Физическая кража устройства, supply chain атаки | Утечка приватного ключа, вредоносное расширение браузера |
| Скорость транзакций | Требуется подключение устройства | Мгновенно |
| Удобство для DeFi | Низкое (ручное подтверждение) | Высокое (авто-подпись для разрешённых dApps) |
Перенесите все активы с онлайн-кошельков на Ledger/Trezor. Не используйте Seed+Phrase без дополнительного BIP39 passphrase. Без passphrase устройство уязвимо при физической краже.
Удалите все фото, файлы и заметки с сид-фразой из Google Drive, iCloud и Telegram. Напишите фразу на стали (крипто-сейф), храните в банковской ячейке.
Загрузите адрес контракта в Etherscan — проверьте ликвидность, количество транзакций, код. Для новых проектов используйте тестовую сеть (Goerli/Sepolia). Смотрите возраст контракта — фейки часто живут < 7 дней.
На Bybit, OKX, Binance и других CEX включите опцию «Whitelist Withdrawal Addresses». Даже при компрометации аккаунта хакер не выведет монеты на свой адрес без предварительного добавления.
Создайте новый e-mail (например, ProtonMail) без привязки к соцсетям и телефону. Никогда не заходите в крипто-кабинеты с рабочего или личного компьютера — используйте отдельную ОС (Tails или чистый Linux).
Используйте Token Sniffer или RugDoc. Проверьте, что контракт не имеет функций mint()/burn() у неограниченного адреса. Смотрите tvl и количество холдеров через DeFiLlama.
Для сумм до 1000 $ — биржа с insured и 2FA нормальна. Для > 3000 $ — hardware wallet. Для DeFi-депозитов — не более 20% портфеля. Риск потери ключа — 100% потеря, риск взлома биржи — частичная потеря (страховка).
Не кликайте, не отвечайте. Сделайте скриншот, отправьте в службу безопасности биржи (support@...). Смените пароль и API-ключи. Проверьте разрешённые dApps в кошельке (revoke.cash).
Да, в РФ полученная компенсация — доход. Если вы восстановили монеты после взлома протокола, нужно подать 3-НДФЛ до 30 апреля следующего года. Ставка — 13-15% от суммы компенсации. ФНС отслеживает выплаты через DeFi-оракулы? Пока нет, но технически возможно.
Нет. 50%+ APY — маркер высокой инфляции токена или скрытой комиссии (tax). Реальный доход в проверенных протоколах (Aave, Lido) исторически — 3-8% годовых. Высокий APY чаще всего означает потерю средств через impermanent loss или rug pull.
Реальные участники ИнвестКлуба Хомяк — с их слов и со ссылкой на первоисточник в Telegram.
Точка входазашла пробно на 1 месяц после рекламы
Что изменилосьосталась на 1,5 года — структурированные знания, прямые эфиры с экспертами, освоила ИИ-инструменты
«Когда-то я зашла пробно, на 1 месяц. Прошло 1,5 года, а я по-прежнему там. Один только искусственный интеллект чего стоит.»история в Telegram →
Точка входавозрастной скепсис, долго не решался зайти в закрытый клуб
Что изменилосьгора структурированных материалов, отзывчивое сообщество, которое помогает и подсказывает
«Возрастной скепсис мешал зайти — думал, всё как обычно. Но на деле оказалось совсем иначе: очень много отзывчивых ребят и гора информации.»история в Telegram →
«В Хомяке уже полтора года… кайфовое, живое сообщество. Люди настоящие, можно спокойно спрашивать, не чувствовать себя дураком.»
«Зашла пробно на 1 месяц. Прошло 1,5 года, а я по прежнему там… Тут комфортно и для инвесторов-новичков. Вся информация отлично структурирована.»
Ещё реальные отзывы участников — t.me/traderreviews
