Поверхня атаки: фішинг, викрадачі вмісту буфера обміну, підроблені застосунки та підміна SIM-карт

Ви копіюєте адресу гаманця, вставляєте її в поле для надсилання й натискаєте кнопку підтвердження. На перший погляд, усе гаразд. Та щойно адреса потрапляє в буфер обміну, непомітна шкідлива програма підмінює її — і ваші кошти безповоротно зникають, опиняючись у незнайомця. Більшість успішних атак на власників криптовалют не зламують блокчейн. Вони використовують передбачувані звички людей: копіювати й вставляти адреси, не перевіряючи їх, завантажувати застосунки з результатів пошуку та вважати номер телефону засобом відновлення доступу. Самостійне зберігання означає, що саме ви є останнім рубежем захисту. Розуміння поверхні атаки — перший крок до її захисту.

Фішинг: коли загроза ховається за знайомим обличчям

У криптосфері фішинг має три основні форми. Фішингові листи імітують сповіщення біржі чи гаманця, щоб змусити вас діяти терміново: повідомляють про заблокований обліковий запис, підозрілий вхід або виведення коштів, якого ви не здійснювали. Фішинг через пошукову рекламу виводить оплачені оголошення, що імітують сайти гаманців чи децентралізованих бірж, вище за звичайні результати пошуку. Домен оголошення лише трохи відрізняється від справжнього («metamask-app.io» замість «metamask.io»). Соціальний фішинг надходить у приватних повідомленнях Discord від фальшивих ботів підтримки або в групах Telegram, що обіцяють роздачу токенів.

Мета в усіх випадках одна: викрасти вашу сид-фразу або приватний ключ чи змусити вас схвалити шкідливу транзакцію. Жоден легітимний сервіс ніколи не просить сид-фразу. Ні постачальник гаманця, ні служба підтримки біржі, ні сайт, який нібито пропонує підтвердити ваш обліковий запис.

Фішинг через пошукову рекламу стає дедалі небезпечнішим, адже підроблений сайт може бути візуально майже точнісінько таким, як справжній. Зловмисник купує рекламу в Google чи Bing за запитами на кшталт «завантажити MetaMask» або «застосунок Uniswap». Користувачі, які натискають оголошення замість того, щоб перейти на сайт напряму, потрапляють на сайт для викрадення коштів. Ознаки небезпеки — невідповідність URL-адреси, запит імпортувати гаманець одразу після відкриття сайту та створення відчуття терміновості — легко не помітити, коли ви поспішаєте.

Як захиститися: Додайте офіційні URL-адреси гаманців у закладки й переходьте на сайти безпосередньо. Ніколи не натискайте посилання на гаманці з електронних листів чи пошукових оголошень. Якщо можливо, використовуйте апаратний гаманець для підписання: навіть переконливий підроблений сайт не зможе отримати ваші ключі, адже для підтвердження на пристрої потрібно фізично натиснути кнопку на його захищеному від втручання екрані.

Викрадачі вмісту буфера обміну: непомітна підміна адреси

Викрадач вмісту буфера обміну — це різновид шкідливого програмного забезпечення, що перевіряє вміст системного буфера на збіги зі зразками адрес криптовалютних гаманців. Адреси Bitcoin починаються з 1, 3 або bc1; адреси Ethereum — з 0x. Виявивши відповідний рядок, шкідлива програма непомітно підмінює його адресою під контролем зловмисника ще до вставлення.

За задумом ця атака непомітна. У полі для надсилання відображається адреса зловмисника, яка на перший погляд може здаватися правильною, особливо якщо перші й останні кілька символів підібрано так, щоб вони нагадували адресу потрібного вам одержувача.

Шляхи поширення цього шкідливого програмного забезпечення різноманітні: шкідливі розширення браузера, троянізовані настільні застосунки, як-от зламані інструменти для торгівлі чи підроблені трекери портфеля, а також підроблене програмне забезпечення для роботи з апаратними гаманцями. Кампанія GitVenom, про яку Kaspersky повідомила наприкінці 2024 року, поширювала викрадачі вмісту буфера обміну через підроблені репозиторії GitHub. У постраждалих із Бразилії, Туреччини та Росії викрали приблизно 5 BTC — на той час це було близько $485,000. Викрадення вмісту буфера обміну загрожує не лише користувачам Windows. Виявлена Cyble у лютому 2026 року програма ClipXDaemon атакує системи Linux, перехоплюючи сеанси буфера обміну X11.

Як захиститися: Після вставлення будь-якої адреси гаманця перевірте її повністю, символ за символом, перш ніж підтверджувати транзакцію. Апаратний гаманець допомагає дотримуватися цього правила: він показує справжню адресу одержувача на власному екрані, незалежно від вмісту буфера обміну комп’ютера. Ніколи не встановлюйте розширення браузера з джерел поза офіційними магазинами й не запускайте програмне забезпечення, отримане поза перевіреним каналом розробника.

Отруєння адреси: один неправильний символ коштує всього

Отруєння адреси використовує поширене спрощення в інтерфейсах гаманців. Більшість гаманців показує лише перші чотири-шість і останні чотири-шість символів адреси гаманця. Зловмисники створюють схожі адреси — vanity-адреси, — які точно збігаються з видимими символами. Потім вони надсилають із підробленої адреси на гаманець жертви крихітні транзакції «пилу» (малі суми, майже без вартості), додаючи схожу адресу до історії транзакцій жертви.

Коли згодом жертва хоче повторно надіслати кошти на відому адресу, вона переглядає історію транзакцій, бачить знайомий на вигляд запис, копіює його й надсилає кошти на гаманець зловмисника.

Масштаб цієї атаки значний. За даними Chainalysis, у межах однієї кампанії 2024 року було створено 82,031 підроблену адресу, постраждали 2,774 особи, а загальні втрати становили приблизно $69.7 мільйона. У травні 2024 року через отруєння адреси один власник ледь не втратив $68 мільйонів у Wrapped Bitcoin (WBTC); кошти повернули після переговорів, але за час переговорів зловмисник залишив собі приблизно $3 мільйони прибутку від зростання вартості. У грудні 2025 року криптотрейдер втратив $49,999,950 у USDT в одній транзакції через отруєну адресу.

Ніколи не копіюйте адреси з історії транзакцій. Користуйтеся збереженою адресною книгою або щоразу вставляйте адресу з перевіреного першоджерела.

Як захиститися: Зберігайте адреси, якими часто користуєтеся, в адресній книзі гаманця замість того, щоб знову копіювати їх з історії. Під час надсилання великих сум перевіряйте кожен символ адреси одержувача, а не лише перші й останні кілька. Апаратні гаманці показують повну адресу на екрані, щоб ви могли перевірити її вручну перед підписанням.

Підроблені застосунки-гаманці: шкідливе ПЗ в App Store

Підроблені застосунки-гаманці копіюють значок, назву й інтерфейс легітимних гаманців. Після встановлення вони або показують фальшивий екран імпорту сид-фрази, щоб викрасти фрази в користувачів, які відновлюють наявний гаманець, або непомітно здійснюють транзакції для викрадення коштів із підключених облікових записів.

Такі застосунки поширюються через офіційні магазини, тому здаються особливо надійними. У 2024 році Check Point Research задокументувала підроблений застосунок «WalletConnect — Crypto Wallet» у Google Play: за п’ять місяців його завантажили понад 10,000 разів, він повністю уникнув виявлення (нуль спрацьовувань VirusTotal) і викрав понад $70,000 у більш ніж 150 жертв за допомогою інструментарію MS Drainer. У 2025 році Google видалила понад 22 підроблені застосунки криптовалютних гаманців, що видавали себе за PancakeSwap, SushiSwap і Raydium. Багато з них використовували фальшиві екрани імпорту, щоб викрадати сид-фрази.

Реклама в пошуку й маніпуляції SEO просувають підроблені застосунки вище за справжні у результатах пошуку в магазинах застосунків і в інтернеті, посилюючи проблему.

Як захиститися: Перш ніж встановлювати будь-який застосунок-гаманець, спочатку перейдіть на офіційний сайт гаманця й скористайтеся посиланням для завантаження звідти. Перевірте точну назву розробника: єдиною помітною відмінністю може бути лише один символ. Перегляньте найновіші відгуки й пошукайте повідомлення про втрату коштів. І головне: ніколи не вводьте сид-фразу в щойно встановлений застосунок, якщо ви перейшли до нього не через офіційний канал поширення.

Підміна SIM-карт: коли номер телефону стає вразливістю

Підміна SIM-карт (також відома як викрадення номера) — це атака із застосуванням соціальної інженерії, під час якої зловмисник переконує мобільного оператора перенести ваш номер телефону на SIM-картку, якою він керує. Зазвичай це вдається завдяки поєднанню персональних даних, зібраних із витоків, соціальних мереж, а в деяких випадках — підкупу працівників оператора.

Отримавши контроль над вашим номером, зловмисник перехоплює одноразові паролі з SMS (SMS OTP). Це дає змогу скинути пароль до вашої електронної пошти, потім увійти у ваш обліковий запис на біржі, а тоді вивести всі ваші криптоактиви. Незворотність транзакцій у блокчейні робить криптовалюту ідеальною ціллю: на відміну від банківського переказу, скасувати транзакцію чи оскаржити її неможливо.

Масштаб проблеми підтверджений даними й зростає. У щорічному звіті Центру скарг на інтернет-злочини ФБР (IC3) за 2024 рік зафіксовано 982 скарги на підміну SIM-карт у США зі збитками близько $26 million. Британська служба з питань шахрайства Cifas повідомила про зростання кількості таких випадків на 1,055% у 2024 році: майже 3,000 інцидентів проти 289 роком раніше. У березні 2025 року T-Mobile зобов'язали виплатити $33 million за результатами арбітражу після того, як через одну підміну SIM-карт було викрадено криптоактиви клієнта.

Власники криптовалют стають непропорційно частою ціллю: статки в блокчейні публічно видимі, дописи в соціальних мережах часто видають наявність активів, а незворотність транзакцій унеможливлює їх скасування.

Як захиститися: Приберіть номер телефону зі способів двофакторної автентифікації (2FA) на всіх біржах, в електронній пошті та хмарних сервісах. Замініть одноразові паролі з SMS на застосунок-автентифікатор TOTP (наприклад, Aegis або Raivo) або апаратний ключ безпеки FIDO2. Установіть PIN-код чи пароль для облікового запису в мобільного оператора. Використовуйте для входу на біржі окрему адресу електронної пошти, не пов'язану із соціальними мережами. Не повідомляйте публічно про свої криптоактиви.

Одна звичка, що допомагає протистояти більшості атак: перевіряйте перед підтвердженням

Усі описані тут атаки використовують одну й ту саму прогалину: різницю між тим, що ви бачите на екрані, і тим, що насправді підписуєте, надсилаєте чи схвалюєте. Мета зловмисника завжди одна — спонукати вас щось підтвердити, перш ніж ви це перевірите.

Універсальний захист — зупинятися перед кожним підтвердженням:

1. Перевіряйте повну адресу одержувача, символ за символом, а не лише її перші й останні кілька символів.
2. Перш ніж підписувати, переконайтеся, що сума й актив правильні.
3. Перевірте, чи URL-адреса сайту або застосунку точно збігається із збереженою закладкою.

Апаратні гаманці допомагають дотримуватися цієї звички завдяки своїй конструкції. Деталі транзакції відображаються на захищеному від втручання екрані, який головний комп'ютер не може змінити, а для підписання потрібно натиснути фізичну кнопку. Це не робить апаратні гаманці невразливими, але усуває цілий клас атак, що ґрунтуються на маніпуляціях із зображенням на скомпрометованому екрані.

Для захисту облікових записів замініть SMS-автентифікацію 2FA на TOTP або FIDO2 на кожній платформі, що їх підтримує. Щоб убезпечити сид-фразу, ніколи не вводьте її у вкладці браузера чи вікні чату, не зберігайте на знімку екрана або в хмарній копії — незалежно від того, чого просить будь-який «фахівець служби підтримки».

Головне

• Фішинг, викрадачі вмісту буфера обміну, підроблені застосунки та підміна SIM-карт — основні способи атак на власників, які самостійно зберігають криптоактиви; для жодної з цих атак не потрібно зламувати криптографію.
• Під час отруєння адреси в історію транзакцій додають схожі адреси; ніколи не копіюйте адресу одержувача з історії транзакцій.
• Шкідливе ПЗ для викрадення вмісту буфера обміну непомітно підмінює скопійовані адреси; завжди перевіряйте повну вставлену адресу перед підтвердженням переказу.
• Підроблені застосунки-гаманці потрапляють до офіційних магазинів і не виявляються антивірусами; переходьте за посиланням для завантаження лише з офіційного сайту гаманця.
• SMS-автентифікація 2FA створює ризик — замініть її на TOTP або апаратний ключ безпеки FIDO2 у кожному обліковому записі, що захищає доступ до криптоактивів.
• Апаратний гаманець забезпечує перевірку під час підписання й усуває найбільшу категорію атак, що ґрунтуються на обмані через зображення на екрані.