Поддельные крипто-боты в Telegram: фейк-обмены USDT через approval и как распознать мошенника

Бот выглядит как легитимный p2p-обменник или DEX: показывает «выгодный курс» USDT/RUB или ETH/USDT, просит подключить кошелёк через WalletConnect или встроенный TON-кошелёк. После подключения предлагает «подтвердить обмен» — транзакция в реальности является вызовом функции approve, передающей права на списание всех токенов вредоносному контракту. Скрипт атакующего мониторит адрес и выводит средства немедленно. Нюанс: интерфейс бота может быть технически безупречным — внешний вид не гарантирует честность.

Восемь красных флагов: 1) бот найден через рекламу или спам, а не через официальный канал проекта; 2) предлагает курс значительно выгоднее рынка; 3) запрашивает подключение кошелька для «простого обмена»; 4) транзакция в MetaMask или Trust Wallet показывает функцию approve, а не transfer; 5) в адресной строке браузера или в данных транзакции — незнакомый контракт; 6) нет верифицированного юридического лица или лицензии; 7) поддержка отвечает только в чате бота; 8) бот создан недавно — проверьте дату через @username_to_id_bot.

Легитимный DEX (Uniswap, 1inch) запрашивает approve на конкретный верифицированный контракт-роутер, адрес которого опубликован в официальной документации и проверен аудиторами. Фейковый бот выдаёт approve на анонимный адрес без публичного кода или с неверифицированным контрактом на Etherscan. Проверка: скопируйте адрес контракта из окна подписи MetaMask, вставьте в Etherscan — если контракт не верифицирован или создан недавно, подписывать нельзя. Настоящие DEX используют контракты, задеплоенные годами ранее.

В сети TON механизм approve технически отличается от ERC-20, но аналогичные атаки существуют через jetton transfer с вредоносными payload-данными. Пользователь видит «перевод», но данные транзакции содержат инструкции, выгодные атакующему. В Telegram Mini Apps мошенники эксплуатируют встроенный Wallet: предлагают «подтвердить транзакцию» внутри приложения, скрывая реальные параметры. Нюанс: TON-транзакции так же необратимы, как Ethereum, — никакой отмены после подписи нет.

Сразу после подписи скрипт атакующего вызывает функцию transferFrom — она перемещает токены с вашего адреса на адрес мошенника или сразу на миксер. Весь процесс занимает секунды: время одного блока в Ethereum (~12 секунд) или меньше на L2. Средства проходят через цепочку кошельков, обменников без KYC и миксеров — отследить их практически невозможно. По данным on-chain аналитиков, большинство approve-краж выводятся через Tornado Cash-подобные протоколы или CEX с минимальным KYC.

Три правила. Первое: никогда не подключайте основной кошелёк с крупным балансом к ботам — используйте отдельный горячий кошелёк с минимальной суммой. Второе: перед подписью любой транзакции читайте её данные, а не описание бота — смотрите на адрес контракта и тип вызываемой функции. Третье: проверяйте бота через официальный канал проекта, а не через поиск Telegram или рекламу. Нюанс: даже проверенные боты могут быть взломаны — периодически проверяйте выданные аппрувы на Revoke.cash.

Если approve подписан, но transferFrom ещё не вызван — немедленно зайдите на Revoke.cash и отзовите разрешение. Если средства уже списаны — транзакция необратима, вернуть их практически невозможно. Действуйте в первые секунды после осознания ошибки.