Как проверить, что биржа и её приложение настоящие

Я почти попалась на этом в 2023 году. Утром пришло сообщение: «Ваш аккаунт заблокирован из-за подозрительной активности, подтвердите личность по ссылке». Аккаунта на той бирже у меня отродясь не было — но палец уже тянулся нажать. Я остановилась, вбила адрес сайта руками и увидела, что домен зарегистрирован шесть дней назад, а копия страницы входа просит не только пароль, но и сид-фразу. Идеальная, аккуратная, с правильным логотипом подделка. С тех пор я проверяю любую крипто-ссылку по одной и той же схеме из четырёх шагов.

С чего начать: три места, где подделывают биржу

Подделка почти всегда приходит с одной стороны: домен, приложение или «служба поддержки». Логотип и вёрстку скопировать несложно, потратить на это можно полчаса. А вот адрес, имя издателя в магазине и официальные каналы связи подделать трудно — именно их я и проверяю.

Сразу договоримся: зелёный замок и «https» в строке браузера ничего не доказывают. Бесплатный сертификат Let's Encrypt выпускается за пару минут на любой домен, включая мошеннический. Так что https — не признак настоящей биржи, а всего лишь признак того, что трафик шифруется.

Шаг 1. Читаю домен посимвольно

Официальный адрес крупной биржи я не угадываю, а сверяю с тем, что написано в её же мобильном приложении или в письме, которое точно пришло раньше. Смотрю три вещи.

Первое — лишние слова и дефисы. Настоящая биржа почти никогда не живёт на binance-login.com, okx-support.net или bybit.help. Домены такого вида — типичная приманка.

Второе — похожие буквы. Мошенники меняют одну-две: rn вместо m, латинскую o на цифру 0, а иногда подставляют кириллические буквы, которые в шрифте выглядят идентично. Chrome в таком случае показывает в адресной строке служебный код вида xn--, и это красный флаг. Если вижу xn-- там, где его быть не должно, — закрываю страницу.

Третье — возраст домена. Открываю любой бесплатный WHOIS-сервис и смотрю дату регистрации. У сайта крупной биржи это годы. У свежего домена, зарегистрированного три недели назад, история короткая, и именно так выглядят почти все клоны. Ещё смотрю, на кого он записан: нормальная компания или скрытый владелец с бесплатным хостингом.

Шаг 2. Проверяю приложение в магазине

Здесь я никогда не ставлю то, что прислали файлом в Telegram или в личку на форуме. Установочный .apk из чата — это самый быстрый способ отдать телефон вместе с кошельком в нём.

Захожу только в App Store или Google Play и смотрю на карточку приложения:

• Издатель. У настоящей биржи он называется так же, как сама биржа, а не «Wallet Tools Dev Ltd» или набором букв.
• Число загрузок. У топовых бирж это миллионы и десятки миллионов. Пять тысяч загрузок у «Binance Pro» — почти наверняка подделка.
• Дата обновлений. Живое приложение обновляется каждые несколько недель. Клон висит без изменений месяцами.
• Отзывы. Читаю не средний балл, а свежие отзывы за последний месяц: именно там чаще всего пишут «после ввода сид-фразы деньги исчезли».

И ещё: приложение на телефоне — это горячий кошелёк на устройстве, к которому у меня есть доступ через интернет. Чем меньше на телефоне сомнительных программ, тем меньше шансов, что доступ заберут через сторонний код.

Шаг 3. Проверяю, с кем я переписываюсь

Настоящая поддержка биржи никогда не пишет первой в мессенджер. Она не звонит, не присылает «персонального менеджера» и не предлагает перевести деньги «для разблокировки» или «для проверки кошелька». Официальные каналы всегда перечислены на сайте биржи, и туда я иду сама, а не по ссылке из диалога.

Три фразы, после которых я закрываю переписку:

• «Назовите вашу сид-фразу / 12 слов для подтверждения».
• «Пришлите код из SMS или из приложения-аутентификатора».
• «Переведите 0,1 ETH, и средства разморозятся».

Если человек просит сид-фразу — он не менеджер, а вор, кем бы он ни представлялся. Ни биржа, ни её поддержка не имеют права просить этот набор слов.

Шаг 4. Фиксирую безопасный вход один раз и надолго

Проверять домен каждый раз — утомительно. Проще один раз проложить безопасный маршрут и пользоваться только им.

Вбиваю адрес биржи руками, удостоверяюсь, что сайт тот, затем добавляю в закладки. Дальше захожу только через закладку, никогда — через поисковую выдачу. Это важно: рекламные объявления над результатами поиска покупают и мошенники тоже, а визуально такое объявление почти не отличить от настоящей ссылки.

Включаю 2FA через приложение-аутентификатор, а не через SMS. Код из SMS можно перехватить, а вместе с подменой SIM это рабочая схема — так работает SIM-свап. Параллельно включаю анти-фишинговый код в письмах: тогда я вижу в письме своё слово и отличаю настоящее письмо от копии.

И последнее — белый список адресов вывода. Даже если кто-то получит доступ в аккаунт, вывести монеты он сможет только на заранее одобренный мой адрес. Новый адрес добавляется с задержкой, и у меня есть время заметить взлом и остановить вывод.

Шаг 5. Что делать, если я уже ввела данные на фейке

Порядок такой, и тянуть с ним нельзя ни часа.

1. С чистого устройства (не с того, где я вводила данные) меняю пароль на настоящей бирже.
2. Завершаю все активные сессии и удаляю API-ключи, которые я не создавала.
3. Завожу новый кошелёк с новой сид-фразой и вывожу туда все средства. Старую фразу считаю украденной навсегда — скомпрометированную фразу больше не использую, даже если на кошельке пока пусто.
4. Отзываю разрешения токенов, выданные сомнительным контрактам.
5. Включаю 2FA и белый список адресов заново, если взломщик их снял.

Если с аккаунта уже ушли деньги, пишу в поддержку биржи и в полицию. Вернуть активы удаётся редко, но зафиксированный факт в заявлении позже помогает хотя бы в налоговых и юридических вопросах.

Частые ошибки

Первая и самая дорогая — считать, что раз сайт под «https», то он настоящий. Шифрование канала не проверяет владельца.

Вторая — искать биржу через поиск и кликать по первому результату. Рекламные клоны на этом и живут.

Третья — ставить приложение файлом из мессенджера. Об этом даже нечего добавить: единственный источник для меня — официальный магазин приложений.

Четвёртая — переиспользовать один и тот же пароль от биржи на форумах и в других сервисах. Одну утечку на стороне — и пароль от биржи у мошенника уже есть.

Пятая — считать, что взломщику нужна именно моя сид-фраза от кошелька. Иногда достаточно пароля от биржи, чтобы настроить вывод, и здесь спасает только белый список и 2FA приложением.

Коротко

• Домен сверяю посимвольно, без дефисов и лишних слов вроде «-support».
• Служебный код xn-- в адресной строке — признак подмены букв, закрываю вкладку.
• Смотрю дату регистрации домена в WHOIS: свежая регистрация — повод уйти.
• Ставлю приложение только из App Store и Google Play, никогда не .apk из чата.
• Проверяю издателя, число загрузок, свежие отзывы и дату обновлений.
• Поддержка не пишет первой и никогда не спрашивает сид-фразу и коды 2FA.
• Захожу на биржу только по закладке, не через поиск и рекламу.
• Включаю 2FA приложением, а не SMS, плюс анти-фишинговый код писем.
• Настраиваю белый список адресов вывода.
• Если ввела данные на фейке — меняю пароль с чистого устройства, убиваю сессии, вывожу монеты на новый кошелёк с новой сид-фразой.