Drainer криптокошелек обычно связывают с вредоносным сайтом или смарт-контрактом, который помогает злоумышленнику получить доступ к активам жертвы. При этом drainer криптокошелек не обязательно «взламывает» Bitcoin, Ethereum или приложение кошелька. Во многих атаках владелец сам подтверждает действие, которое дает мошенническому контракту возможность распоряжаться определенными токенами, сообщает bitbetnews.com.
Поэтому обычный совет «никому не сообщать seed-фразу» защищает только от части угроз. Drainer может работать без знания recovery phrase, пароля от телефона, номера Vodafone, Киевстар или lifecell и даже без заражения устройства классическим вирусом. Достаточно убедить владельца перейти на поддельный dApp, подключить кошелек и подтвердить опасный запрос.
Главная особенность drainer-атаки состоит в том, что технически корректная подпись пользователя может разрешить операцию, которую он вовсе не собирался совершать.
Drainer криптокошелек простыми словами
Wallet drainer можно представить как набор инструментов для кражи криптоактивов через Web3-взаимодействие. Пользователя заманивают на страницу под видом NFT mint, airdrop, проверки кошелька, получения бонуса, стейкинга, восстановления аккаунта или подключения к известному сервису. После нажатия Connect Wallet появляется запрос на подпись либо разрешение смарт-контракту.
Само подключение кошелька еще не означает передачу денег. В обычной ситуации сайт получает публичный адрес и может увидеть связанные с ним публичные данные блокчейна. Опасность начинается тогда, когда вместе с подключением пользователь подтверждает дополнительное действие.
Для понимания базовой модели хранения полезен материал о том, как работает горячий криптокошелек. Именно hot wallet чаще используется с dApp, DeFi, NFT-маркетплейсами и децентрализованными биржами, поэтому количество потенциальных взаимодействий у него выше.
В drainer-схемах могут использоваться:
- разрешения на расходование токенов, или token approvals;
- вредоносные транзакции;
- подписи сообщений с опасным содержанием;
- поддельные интерфейсы известных Web3-сервисов;
- фишинговые домены, визуально похожие на настоящие;
- социальная инженерия через Telegram, Discord, X или личные сообщения;
- поддельные уведомления о блокировке, подарке или необходимости срочно подтвердить кошелек.
Комментарий по кибербезопасности: подключение кошелька и разрешение на управление токенами нельзя считать одним и тем же действием. После обычного Disconnect ранее выданный approval может остаться активным.
Последний пункт часто становится причиной ложного чувства безопасности. Закрыть вкладку или отключить dApp недостаточно, если контракт уже получил разрешение перемещать токены.
Как drainer-атака работает изнутри
Большинство подобных схем строится не вокруг взлома криптографии, а вокруг разрешений, подписей и поведения владельца кошелька. Злоумышленнику выгоднее убедить человека подтвердить подготовленную операцию, чем пытаться вычислить приватный ключ.
Упрощенный сценарий выглядит так:
- Пользователь получает ссылку на фальшивый сайт через рекламу, поиск, Telegram, Discord, email или социальную сеть.
- Страница имитирует известный проект, NFT-платформу, биржу или сервис раздачи токенов.
- Сайт предлагает подключить криптокошелек.
- После подключения появляется запрос на approval, подпись сообщения или транзакцию.
- Пользователь подтверждает запрос, считая его обычной авторизацией.
- Полученное разрешение используется для перевода доступных активов на адреса злоумышленников.
При этом возможны разные механизмы. Approval разрешает определенному смарт-контракту работать с конкретными токенами владельца. В некоторых интерфейсах можно ограничить сумму разрешения, тогда как неограниченный approval потенциально охватывает весь доступный баланс соответствующего токена.
Именно поэтому защита криптокошелька от мошенников включает проверку не только адреса получателя при обычном переводе, но и разрешений, которые выдаются приложениям.
Подробные базовые меры собраны в инструкции как защитить криптокошелек от взлома. Для drainer-схем особенно актуальны отдельный рабочий кошелек, проверка домена и внимательное чтение каждого запроса перед подписью.
Почему обычный пароль не спасает
Пароль приложения защищает локальный доступ к кошельку. Он не отменяет уже подписанную блокчейн-операцию и не блокирует ранее предоставленное смарт-контракту разрешение.
Двухфакторная аутентификация тоже решает другую задачу. Она полезна для централизованной биржи, электронной почты и других аккаунтов, но типичный self-custody wallet подтверждает блокчейн-действия приватным ключом. Код из SMS или приложения-аутентификатора в этот процесс может вообще не входить.
Если мошенническому контракту уже выдано действующее разрешение на токены, смена пароля телефона или отключение сайта от кошелька само по себе проблему не устраняет.
Где встречаются drainer-схемы
Самый очевидный вариант представляет собой копию популярного криптосервиса. Домен может отличаться одной буквой, дополнительным словом или другой доменной зоной. Внешне страница иногда практически полностью повторяет оригинал.
Другой распространенный сценарий связан с предложениями ограниченного характера: «забрать airdrop», «получить бесплатный NFT», «вернуть комиссию», «подтвердить право на токены». Срочность снижает вероятность того, что пользователь станет анализировать содержание запроса.
Среди наиболее характерных приманок встречаются:
- фальшивые airdrop и розыгрыши;
- поддельные NFT mint;
- копии DeFi-протоколов;
- сообщения якобы от технической поддержки;
- предложения проверить «скомпрометирован ли кошелек»;
- фейковые страницы claim rewards;
- реклама поддельного сервиса в поиске;
- токены и NFT, которые сами содержат подозрительный призыв перейти на сайт.
Отдельную опасность представляет комбинация нескольких приемов. Например, сообщение может вести на качественно сделанную копию настоящего проекта, а адрес отправителя выглядеть похожим на официальный.
Типовые приемы подробно разбираются и в материале о скаме в криптовалюте и способах его распознать.
Комментарий по кибербезопасности: просьба «подтвердить кошелек», сопровождаемая таймером, угрозой блокировки или обещанием неожиданной выплаты, должна рассматриваться как повод остановить операцию, а не ускорить ее.
Как защититься от drainer и вредоносных approvals
Полностью исключить человеческую ошибку невозможно, поэтому эффективнее строить защиту слоями. Потеря одного рабочего адреса не должна автоматически означать потерю всего криптопортфеля.
Первое правило состоит в разделении кошельков. Адрес, на котором хранится основной резерв BTC, ETH, USDT или других активов, не стоит регулярно подключать к неизвестным Web3-приложениям. Для DeFi, NFT, тестирования сервисов и airdrop можно использовать отдельный hot wallet с ограниченной суммой.
Для долгосрочного резерва подходит другая модель хранения. Принцип подробно объяснен в материале о том, где хранить криптовалюту и чем отличаются горячий кошелек, холодный кошелек и биржа.
Практическая последовательность защиты выглядит так:
- Проверять домен dApp до подключения кошелька.
- Не подтверждать запрос, если смысл операции непонятен.
- Ограничивать размер token allowance вместо unlimited approval, когда кошелек и протокол позволяют это сделать.
- Периодически просматривать действующие разрешения и отзывать ненужные.
- Использовать отдельный Web3-кошелек для рискованных взаимодействий.
- Не вводить seed-фразу на сайтах и не отправлять ее «поддержке».
- При предупреждении кошелька о malicious-сайте или подозрительной операции отменять взаимодействие до выяснения причины.
Seed-фраза криптокошелька требует отдельной защиты. Получение recovery phrase представляет для преступника еще более прямой путь к средствам: кошелек можно восстановить на другом устройстве независимо от разрешений конкретного dApp. Правила хранения разобраны в материале что такое seed-фраза и где ее хранить.
Disconnect и revoke — не одно и то же
Эту разницу полезно рассматривать отдельно.
| Действие | Что происходит | Убирает token approval |
|---|---|---|
| Disconnect dApp | сайт теряет текущее подключение к интерфейсу кошелька | Нет |
| Закрыть вкладку | прекращается текущая сессия с сайтом | Нет |
| Очистить браузер | удаляются локальные данные сайта | Нет |
| Revoke approval | разрешение смарт-контракту изменяется в блокчейне | Да |
| Перевести активы на новый адрес | средства покидают потенциально опасный кошелек | Не отменяет approval старого адреса |
Approval хранится в состоянии блокчейна. Поэтому его отзыв обычно является отдельной ончейн-транзакцией и может потребовать сетевую комиссию.
Практическое правило: если неизвестному контракту случайно выдано разрешение, приоритетом становятся проверка действующих approvals и вывод ценных активов из зоны риска, а не простое отключение сайта.
Drainer против обычного фишинга и взлома
Термины часто смешивают, хотя механика отличается. Drainer-атака на криптокошелек обычно ориентирована именно на блокчейн-активы и пытается использовать возможности самого кошелька, смарт-контрактов и подписей.
| Тип атаки | Что пытаются получить | Нужна seed-фраза | Типичный результат |
|---|---|---|---|
| Wallet drainer | подпись, approval или транзакцию | Не обязательно | вывод токенов или NFT |
| Фишинг seed-фразы | recovery phrase | Да | полный контроль над кошельком |
| Вредоносное ПО | ключи, данные или управление устройством | Зависит от атаки | кража активов или учетных данных |
| Подмена адреса | ошибочный перевод | Нет | перевод на адрес мошенника |
| Взлом биржевого аккаунта | доступ к учетной записи | Обычно нет | вывод средств с платформы |
У drainer есть важное отличие: транзакция злоумышленника может выглядеть в блокчейне как операция, разрешенная владельцем. Сеть не умеет определять, понимал ли человек содержание интерфейса и был ли сайт мошенническим.
История крупных криптоинцидентов показывает, насколько разными бывают точки компрометации. Подробнее такие случаи собраны в обзоре крупнейших взломов в истории криптовалют.
Что делать после подозрительной подписи
Если потенциально опасный запрос уже подтвержден, медлить не стоит. При этом хаотичное нажатие кнопок на том же подозрительном сайте может создать дополнительные разрешения.
Безопасная последовательность зависит от того, что именно было подписано:
- проверить историю последних транзакций через обозреватель нужного блокчейна;
- посмотреть действующие token approvals через встроенные средства кошелька или официальный обозреватель сети;
- отозвать подозрительные разрешения;
- отключить неизвестные dApp;
- если есть риск компрометации приватного ключа или seed-фразы, создать новый кошелек на чистом устройстве;
- перевести оставшиеся активы на безопасный адрес;
- не использовать скомпрометированную seed-фразу повторно.
Если recovery phrase была введена на постороннем сайте, обычного revoke уже недостаточно. Такая фраза должна считаться скомпрометированной: новый кошелек должен получить новую seed-фразу, а не импортировать старую.
Ситуация отличается, если был выдан только ограниченный approval одному контракту. Тогда проблема может касаться конкретного токена и разрешенной суммы, а не всего кошелька.
Как отозвать разрешение dApp, зависит от приложения и блокчейна. Современные кошельки могут показывать token allowances непосредственно в интерфейсе; кроме того, для ряда EVM-сетей соответствующие инструменты доступны в обозревателях блокчейна.
Плюсы и ограничения защитных инструментов
У кошельков появились системы анализа транзакций, предупреждения о вредоносных сайтах и симуляция ожидаемого результата операции. Они способны распознать часть известных drainer-сценариев до подписи.
Но такой механизм нельзя превращать в единственную линию защиты. Новый мошеннический контракт может еще не присутствовать в базах угроз, а нестандартная операция иногда выглядит подозрительно даже при легитимном использовании.
Аппаратный кошелек также не является абсолютной защитой от кражи криптовалюты. Он хорошо изолирует приватный ключ, но владелец все равно способен подтвердить вредоносную транзакцию на самом устройстве. Защита работает только при проверке того, что именно подписывается.
Для оценки разных моделей хранения полезно разделять задачи:
| Сценарий | Практичный подход |
|---|---|
| Долгосрочное хранение | отдельный холодный кошелек |
| Ежедневные переводы | hot wallet с ограниченным балансом |
| DeFi и NFT | отдельный Web3-адрес |
| Эксперименты с неизвестными dApp | отдельный кошелек с минимальной суммой |
| Активная торговля | биржевой баланс только в необходимом объеме |
Такая сегментация не предотвращает каждую атаку, зато ограничивает ее возможный ущерб.
Стоит ли использовать Web3-кошельки в 2026 году
Drainer-атаки не делают некастодиальные кошельки бесполезными. Проблема возникает из самой модели Web3: владелец имеет право самостоятельно давать приложениям разрешения и подписывать операции, поэтому вместе с контролем получает ответственность за каждую подпись.
Безопасная схема предполагает, что основной резерв не взаимодействует со случайными dApp. Рабочий кошелек используется для регулярных операций, отдельный адрес предназначен для экспериментов, а ненужные approvals периодически удаляются.
Чем меньше средств находится на адресе, который постоянно подключается к Web3-сайтам, тем меньше максимальный ущерб от одной ошибочной подписи.
Для украинского пользователя мобильный оператор практически не меняет эту модель угроз. SIM-карта Vodafone, Киевстар или lifecell может быть связана с биржевым аккаунтом или электронной почтой, но не способна защитить некастодиальный адрес после утечки seed-фразы либо подтверждения опасного ончейн-разрешения.
Частые вопросы
Что такое drainer криптокошелек?
Drainer криптокошелек — это общее название вредоносных инструментов и схем, предназначенных для вывода криптоактивов из кошелька жертвы. Часто атака использует фишинговый dApp, token approval или подписанную владельцем транзакцию.
Может ли drainer украсть криптовалюту без seed-фразы?
Да. Для некоторых атак достаточно получить разрешение смарт-контракту управлять определенными токенами либо заставить владельца подписать подходящую операцию. Seed-фраза для этого не всегда требуется.
Достаточно ли нажать Disconnect после подозрительного сайта?
Нет. Отключение dApp и отзыв token approval являются разными действиями. Ранее выданное разрешение может оставаться активным в блокчейне после Disconnect.
Может ли аппаратный кошелек защитить от drainer?
Аппаратное устройство уменьшает вероятность кражи приватного ключа, однако не предотвращает подтверждение вредоносной операции самим владельцем. Содержание транзакции и адреса необходимо проверять до подписи.
Что делать, если seed-фраза уже попала на подозрительный сайт?
Нужно считать весь связанный кошелек скомпрометированным. Оставшиеся средства следует перевести на новый адрес, созданный с новой seed-фразой на безопасном устройстве. Старую recovery phrase нельзя использовать для нового хранилища.
Чек-лист защиты криптокошелька
- Основные накопления не используются для подключения к случайным dApp.
- Для Web3 и экспериментов создан отдельный адрес с ограниченным балансом.
- Домен сервиса проверяется до Connect Wallet.
- Неограниченные approvals не выдаются без необходимости.
- Ненужные разрешения периодически отзываются.
- Seed-фраза хранится офлайн и никогда не вводится на сайтах.
- Предупреждение кошелька о malicious-транзакции не игнорируется.
Drainer-атака опасна прежде всего тем, что маскирует кражу под привычное действие пользователя: подключение кошелька, получение токенов или обычную подпись. Наиболее надежная модель защиты состоит не в одном приложении или аппаратном устройстве, а в разделении активов, ограничении разрешений, контроле approvals и отказе от подписи непонятных операций.