Как отличить поддельное приложение биржи от настоящего

В феврале мне в Telegram написали из «поддержки Binance»: аккаунт под угрозой блокировки, нужно срочно обновить приложение по ссылке. Файл весил 24 МБ, назывался binance-update.apk, а ссылка вела на binance-app-update.com вместо binance.com. Я не стала устанавливать и разобрала файл на тестовом телефоне: внутри был троян, который рисовал знакомый экран входа и отправлял всё введённое на чужой сервер. Теперь я прохожу шесть проверок на четыре минуты каждый раз, когда ставлю приложение биржи или кошелька на новое устройство.

С чего начать

Начните не с приложения, а с сайта: вручную наберите домен биржи в браузере, найдите раздел Download или «Приложения» и перейдите оттуда. Ссылка из Telegram, из письма и из рекламного блока в поиске — это не источник, а приглашение. Первый результат с пометкой «Спонсор» тоже бывает купленным: за клик по фейковому APK платят 0,4–1,2 доллара, и это окупается с одной украденной seed-фразы. Официальный домен держите в закладках и входите на биржу только через них.

Шаг 1. Сверьте адрес ссылки посимвольно

Смотрите на домен второго уровня — слово прямо перед .com или .io. У настоящей биржи там ровно её имя: binance.com, okx.com, bybit.com. У подделки появляются приставки: binance-app, binance-support, binance-login. Отдельная ловушка — похожие буквы: латинская l вместо i, rn вместо m. Цифры в конце (okx-2026.com) тоже признак клона. Выделите домен в адресной строке и прочитайте справа налево, от .com: не совпало с тем, что вы набрали сами, — дальше не идём.

Шаг 2. Посмотрите на разработчика в магазине

Нажмите на имя разработчика в App Store или Google Play — откроется страница со всеми его приложениями. У настоящей биржи там десятки тысяч отзывов и первая версия вышла много лет назад, у подделки — 8–40 отзывов за две недели, а рядом висят калькулятор и фонарик.

• Имя. Binance — да, Binance Ltd. или Binance Update Team — нет.
• Возраст. Настоящее обновляется годами, фейк живёт одну-две недели.
• Установки. 10 000 000+ против 500 — разница не в популярности.
• Сайт в карточке. Должен вести на домен, который вы проверили на шаге 1.

Шаг 3. Проверьте пакет и подпись файла

У каждого Android-приложения есть идентификатор пакета. У настоящей биржи он совпадает с официальным, например com.binance.dev. Подделки добавляют хвост: com.binance.dev.pro, com.binance.update, com.binance.dev1. Посмотреть можно в настройках: «Приложения» → нужное приложение → «О приложении».

Если ставите APK вручную (так бывает, когда биржи нет в вашем региональном магазине), сверьте контрольную сумму. На официальной странице загрузки рядом с файлом указан SHA-256. На компьютере он проверяется командой sha256sum binance.apk, на телефоне — файловым менеджером с хеш-калькулятором. Один несовпавший символ в 64-символьной строке значит, что файл другой, даже если имя и иконка совпадают.

На iPhone APK не бывает, зато есть корпоративные профили. Если после установки приложение просит «доверять разработчику» в настройках — это сборка вне App Store, и настоящая биржа так не ставится.

Шаг 4. Прочитайте список разрешений

Приложению биржи нужны камера (QR-коды), уведомления, биометрия и интернет. Всё. Если в списке есть чтение SMS, доступ к контактам, служба специальных возможностей (Accessibility), права администратора устройства или «показ поверх других приложений» — закрывайте установку.

Связка «SMS + Accessibility» — классический дрейнер: первое перехватывает коды двухфакторной аутентификации, второе читает экран и нажимает кнопки за вас. Приложение может показывать правильный баланс и графики, пока вы не зайдёте в кошелёк. Это единственный шаг, который виден до первого запуска, поэтому его не пропускают.

Шаг 5. Проверьте вход и «поддержку»

Настоящая биржа не пишет первой в Telegram или WhatsApp и никогда не просит seed-фразу, пароль, код из SMS, не предлагает установить AnyDesk и не зовёт на «верификацию» по ссылке. Любое сообщение с таким требованием — кража, как бы ни выглядел аватар.

При входе проверьте адрес внутри встроенного браузера: он должен совпадать с доменом из шага 1. Включите защиту от SIM-свопа: 2FA в приложении-аутентификаторе вместо SMS и антифишинговый код в письмах. Письмо без этого кода — не от биржи.

Шаг 6. Проверьте, что уже стоит на телефоне

Раз в месяц проходите по устройству. На iPhone: «Настройки» → «Основные» → «VPN и управление устройством» — незнакомых профилей быть не должно. На Android: Play Protect → «Проверить» и отдельно «Установка неизвестных приложений» — посмотрите, у каких программ есть это право. Всё, что вы не ставили, удаляйте. Заодно проверьте активные сессии на бирже.

Если приложение уже установлено

1. Удалите приложение и отключите интернет, чтобы оно не успело ничего отправить.
2. С другого чистого устройства смените пароли от биржи и от почты.
3. Завершите все сессии и удалите все API-ключи, даже старые.
4. Если вводили seed-фразу — создайте новый кошелёк и переведите средства туда. Старую фразу считайте скомпрометированной навсегда.
5. Проверьте адреса вывода: злоумышленники добавляют свой в белый список, и биржа разрешает вывод через 24 часа.
6. Отзовите одобрения токенов — приложение могло подписать разрешение на списание.
7. Напишите в поддержку через сайт, а не через чат в мессенджере, и приложите хеш файла.

Если seed-фраза уже введена, не переводите деньги на тот же кошелёк: боты-свиперы забирают входящие за секунды. Сначала новый кошелёк, потом перевод.

Частые ошибки

• Ставить с первой ссылки в поиске. Рекламный блок выглядит как обычный результат, но ведёт на клон.
• Верить иконке и названию. Их копируют в первую очередь, а разработчика и пакет — нет.
• Игнорировать разрешения. Приложение с SMS и Accessibility не нужно открывать, чтобы потерять деньги.
• Общаться с «поддержкой» в Telegram. Настоящая не пишет первой и не просит ставить удалённый доступ.

Коротко

• Скачивайте только с официального сайта, домен — в закладках.
• Разработчик без приставок, история с 2017–2019 года, миллионы установок.
• Идентификатор пакета сверяйте посимвольно, APK — по SHA-256.
• Разрешения: камера, уведомления, биометрия. SMS, Accessibility, админ устройства — стоп.
• Никаких seed-фраз, кодов и удалённого доступа по просьбе «поддержки».
• Раз в месяц проверяйте профили на iPhone и права установки на Android.
• После подозрительной установки: удалить, сменить пароли, убить сессии и ключи, отозвать одобрения, при вводе seed-фразы — новый кошелёк.