Сид-фраза, публичный Wi-Fi и подмена адреса: как теряют криптокошелёк (2026)

Потеря кошелька почти никогда не выглядит как взлом. В большинстве историй ничего не ломали: человек сам ввёл сид-фразу на чужой странице, сам подтвердил перевод на подменённый адрес или сам установил приложение, похожее на настоящее. Разбираем три сценария и честно отделяем то, что закрывает шифрование канала, от того, что оно не закрывает никогда.

Сценарий первый: сайт с похожим именем

Человек ищет кошелёк или обменник в поиске, переходит по верхней ссылке и попадает на копию интерфейса. Домен отличается одним символом, дефисом или зоной: вместо .io — .com, вместо буквы l — цифра 1. Страница открывается по HTTPS, замок в адресной строке есть — сертификат сейчас выдают за пару минут почти на любой домен, и он подтверждает только то, что соединение именно с этим доменом не подслушивают, а не то, что домен настоящий.

Дальше интерфейс просит «восстановить кошелёк» или «подтвердить владение» и показывает поле на 12 или 24 слова. Настоящий кошелёк просит сид-фразу ровно один раз — при восстановлении на новом устройстве. Ни один сервис, ни одна поддержка, ни один аирдроп и ни одна проверка баланса её не запрашивают.

Сценарий второй: адрес подменили в буфере обмена

Адреса не набирают руками — их копируют. На этом и построен приём: вредоносная программа следит за буфером обмена, узнаёт по формату строки, что скопирован криптоадрес, и подставляет вместо него свой. Пользователь жмёт «вставить», видит длинную строку нужного вида, взглядом сверяет первые символы — и подтверждает перевод.

Сверка по краям тут не работает: адрес-двойник генерируют перебором заранее, и совпасть могут и первые, и последние символы — именно так устроены подставные адреса в истории транзакций. Надёжно только одно: читать адрес целиком и не с того экрана, на который его подставили, — на дисплее аппаратного кошелька, на втором устройстве или в заранее сохранённой адресной книге.

Сценарий третий: поддельное приложение

Клон живёт в двух местах: в рекламной выдаче поисковика над настоящим сайтом и в самом магазине приложений — с похожей иконкой, знакомым названием и отзывами. Такое приложение работает как настоящее ровно до момента, когда вы вводите сид-фразу при импорте кошелька. После этого оно ничего не показывает и не ломается — просто фраза уже не только у вас.

• Ставьте приложение только по ссылке с сайта проекта, а сайт открывайте из закладки, а не из поиска.
• Смотрите на разработчика в карточке приложения, а не на название: у подделки он обычно новый, без истории и без других программ.
• Дата первой публикации и количество установок у клона обычно скромнее — но и то и другое накручивается, так что это довод, а не доказательство.
• Расширение браузера для кошелька проверяйте так же: у подделки другой идентификатор в адресе страницы магазина расширений.

Что VPN здесь не закрывает

Туннель отвечает за канал: он шифрует трафик между устройством и сервером и меняет сетевой адрес, с которого вас видит сайт. Он не проверяет, куда вы пришли — для него настоящий домен и опечатка в домене одинаковы. Он не заглядывает в буфер обмена и не сравнивает адрес, который вы вставили, с тем, что вы копировали. Он не отличает настоящее приложение кошелька от подделки с той же иконкой.

Все три сценария выше происходят при включённом VPN ровно так же, как без него: данные доедут до злоумышленника в целости и по защищённому соединению. И анонимности здесь тоже нет — VPN меняет сетевой адрес, и только его; про остальные слои — в разборе деанонимизации через идентификаторы устройства.

Что VPN закрывает по делу

Есть отдельная задача, где туннель работает именно по назначению — чужая сеть. В кафе, отеле, аэропорту и коворкинге вы подключаетесь к точке доступа, которой не управляете. Владелец точки (или тот, кто поднял точку с похожим названием рядом) видит, к каким доменам вы обращаетесь, и сам отвечает на ваши DNS-запросы. Ответ можно подменить и увести на свою страницу — на этом же механизме обычно и работают страницы-приветствия в гостиничных сетях.

• Домены, к которым вы ходите, перестают быть видны сети: имя запрашиваемого узла уходит внутри шифрованного соединения.
• DNS-запросы уходят в туннель, а не на чужой роутер — при условии, что клиент настроен так и не отдаёт их мимо туннеля.
• Содержимое трафика в такой сети не читается и не переписывается на лету.

Как выглядит попытка подмены DNS и как её заметить

Подмена почти всегда даёт видимые следы — их просто пролистывают, потому что торопятся. Признаки в открытой сети:

• Знакомый сайт открылся по http:// вместо https:// или сам «съехал» на другой домен.
• Браузер показал предупреждение о сертификате: имя в сертификате не совпадает с доменом, или сертификат выдан не тем, кем обычно.
• Сеть просит установить сертификат, профиль или отдельное приложение «для доступа в интернет».
• Страница входа выглядит как обычно, но просит данные, которых раньше не спрашивала: сид-фразу, приватный ключ, код из приложения-аутентификатора «для проверки».
• Сайт открывается только с этой сети, а с мобильного интернета — нет или выглядит иначе.

1. 1Не нажимайте «всё равно перейти» на предупреждении о сертификате — в чужой сети это ровно тот случай, ради которого предупреждение и сделано.
2. 2Закройте вкладку и переключитесь на мобильный интернет: если там всё в порядке, проблема была в сети, а не в сайте.
3. 3Подключайте туннель до того, как открываете что-либо важное, а не после первой неудачной попытки.
4. 4Не устанавливайте сертификаты и профили по просьбе Wi-Fi-сети: установленный сертификат позволяет читать даже защищённые соединения.
5. 5Если что-то уже вводили до подключения — считайте эти данные скомпрометированными и меняйте их с другого устройства.

Правила, которые работают

1. 1Сид-фраза живёт на бумаге или металле, а не в скриншоте, галерее, заметках, облаке и переписке с собой. Фотография фразы синхронизируется в облако автоматически — и дальше её безопасность равна безопасности вашей почты.
2. 2Фразу вводят один раз — при восстановлении кошелька на новом устройстве. Любой другой повод её ввести означает, что вы не на той странице.
3. 3Адрес перевода сверяйте целиком, а не по первым символам, и желательно на другом экране, чем тот, где его вставили. Для крупной суммы сначала отправьте пробный минимальный перевод.
4. 4Под кошелёк — отдельный контур: другой браузер без расширений, а лучше отдельное устройство, где нет ни игр, ни рабочих файлов, ни случайных загрузок.
5. 5Сайты кошельков, бирж и обменников открывайте из закладок. Поисковая выдача и особенно реклама над ней — самый частый вход в фишинг.
6. 6Суммы, которые жалко потерять, держите на аппаратном кошельке: он показывает адрес получателя на своём экране, и подмена в буфере обмена компьютера этот экран не меняет — но работает это только если вы адрес там действительно читаете, а не подтверждаете вслепую.

Если фразу уже ввели не туда

Здесь важна скорость, а не разбирательство. Считайте фразу известной посторонним с момента ввода: восстановить контроль над старым кошельком нельзя, доступ есть у всех, у кого есть фраза.

1. 1Создайте новый кошелёк на другом устройстве, которое вы считаете чистым, и запишите новую фразу на бумаге.
2. 2Переведите на него всё, что ещё осталось на старом адресе, — в первую очередь то, что уходит быстрее всего.
3. 3Проверьте устройство, с которого вводили фразу, на вредоносное ПО, а привязанные к нему аккаунты — на посторонние сессии и правила пересылки почты.
4. 4Смените пароли и коды подтверждения на биржах и в почте с другого, заведомо чистого устройства.
5. 5Не обращайтесь к «сервисам возврата средств» и «криптоюристам» из личных сообщений и комментариев: это вторая волна того же мошенничества. Вернуть уже ушедший перевод технически невозможно.

Частые вопросы

Итог короткий: VPN закрывает сеть — чужой Wi-Fi, видимость доменов, подмену DNS. Кошелёк закрываете вы: тем, где лежит фраза, откуда открыт сайт и на каком экране прочитан адрес. Дороже всего обходится смешение этих двух слоёв. Про то, чем расплачивается пользователь бесплатных клиентов, — в разборе бесплатный VPN: чем на самом деле платит пользователь.