Криптобезопасность: чек-лист на 15 минут

Кража крипты почти никогда не выглядит как взлом с хакерами в капюшонах. Обычно это: перешёл по ссылке из рекламы, ввёл сид-фразу «для подтверждения», отправил «перевод не туда» — и всё. Большинство взломов происходит через самих владельцев. Вот чек-лист, который закрывает 90% дыр. Пятнадцать минут — и вы в безопасности.

1. Включите двухфакторную аутентификацию

На бирже, в почте, везде, где есть деньги. Используйте приложение-аутентификатор (Google Authenticator, Aegis, 2FAS), а не SMS — SMS перехватывают.

В отчёте ФБР за 2025 год подмена SIM-карты (SIM-своп) снова в пятёрке самых массовых угроз: перехватив номер, мошенник получает коды и сбрасывает пароль. С приложением-аутентификатором номер ему не нужен. Это главная защита аккаунта: даже с вашим паролем без кода мошенник не войдёт.

2. Проверьте, где лежит сид-фраза

Сид-фраза не должна быть: в скриншотах, в заметках телефона, в облаке, в мессенджере. Она должна быть: на бумаге, от руки, в двух местах. Если сейчас она где-то в цифре — прямо сегодня заведите новый кошелёк, переведите монеты и запишите фразу на бумагу. Старый кошелёк удалите.

3. Включите белый список адресов

На биржах есть функция «белый список адресов для вывода» (allowlist). Новый адрес в списке блокируется на 24 часа — это стандарт у Bybit, OKX, Crypto.com и KuCoin; у Binance в Withdrawal Protection окно настраивается от 1 до 7 дней. Пока блокировка стоит, вывод на свежий адрес не пройдёт, даже если мошенник уже внутри аккаунта: у вас есть сутки, чтобы заметить и отреагировать. Включается в настройках безопасности за минуту.

Заодно поставьте анти-фишинг код: короткое слово, которое биржа сама добавляет в свои письма. Письмо без этого слова можно удалять не читая.

4. Научитесь замечать фишинг

Правило: любое сообщение, которое требует срочных действий или просит «подтвердить» — это фишинг, пока не доказано обратное. «Ваш аккаунт заблокирован, перейдите по ссылке», «подтвердите кошелёк, введите сид-фразу», «вы выиграли, отправьте комиссию» — всё это схемы. Служба поддержки никогда не просит сид-фразу и приватный ключ. Никогда.

5. Сверяйте адрес целиком, а не первые символы

Совет «смотреть первые и последние 6 символов» в 2026 году стал ловушкой, под которую подстроился адрес-пойзонинг (address poisoning). Атакующий генерирует vanity-адрес, совпадающий с вашим привычным и в начале, и в конце, и засылает с него пыль — нулевые или копеечные переводы. Фейк оседает в истории транзакций рядом с настоящим адресом, и через день-другой вы копируете из истории не то. 30 января 2026 года так увели 4 556 ETH — около $12,4 млн. 21 августа 2026 года — 2 000 000 USDC на адрес, совпадавший с настоящим в 7 символах из 40.

Что делать вместо сверки «начала и конца»:

• Отправляйте только из адресной книги или из белого списка биржи. Вставлять адрес руками из истории переписки нельзя.
• Новый адрес проверяйте целиком, все 40 символов. Удобный способ — сканировать QR-код: по картинке подмена не проходит.
• Первый перевод на новом адресе — тестовый, минимальной суммой.
• Увидели рядом в истории «пылевой» перевод от похожего адреса — не трогайте его и не копируйте ничего из истории.

6. Держите крупные суммы в холоде

Биржа — не сейф, а арендованная ячейка. Хранить на ней стоит только то, что нужно для торговли. Всё, что выше «готов потерять», — в холодный кошелёк (аппаратный или хотя бы кошелёк на отдельном устройстве). Это правило спасает и от взлома биржи, и от её банкротства.

7. Отдельная почта для крипты

Заведите отдельный почтовый ящик для бирж и криптосервисов, с отдельным сложным паролем и своей 2FA. Если мошенники получат доступ к вашей основной почте, они смогут сбросить пароли на биржах. Разделение почт — дешёвая страховка от цепочки взломов.

8. Не рассказывайте о своих запасах

Крипта не просит никому ничего доказывать. Скриншоты балансов в соцсетях, разговоры о «сколько у меня в крипте» — это приглашение для целенаправленной атаки. Чем меньше людей знает, тем меньше мотивации вас «разводить».

Что изменилось в 2026

Ставки выросли, и суммы потерь это показывают. В отчёте ФБР за 2025 год общий ущерб от интернет-мошенничества — $20,9 млрд, на 26% больше, чем годом раньше. Криптоинвестиционные схемы дали $7,2 млрд (+25% за год), а обращений по ним стало на 48% больше. Свыше 22 000 жалоб касались схем с использованием ИИ, и больше 180 000 дел мошенники прогоняли через крипту — перевод здесь не отменить, поэтому именно её и выбирают для вывода украденного.

Адрес-пойзонинг за полгода превратился из редкости в массовый фон. После апгрейда Ethereum Fusaka 3 декабря 2025 года комиссии в сети упали примерно в 6 раз, и спам-«пыль» стала почти бесплатной: по данным Blockaid, число попыток подмены выросло с 628 000 в ноябре 2025-го до 3,4 млн в январе 2026-го. Подтверждённых потерь от этого вектора — около $83 млн, а нулевых переводов-приманок насчитали больше 270 млн.

Кошельки атакуют через поставку. В декабре 2025-го в Chrome Web Store попала троянизированная версия расширения Trust Wallet: по данным Group-IB, пострадали 2 520 кошельков, украдено около $8,5 млн. Отсюда правило: расширение и приложение ставьте только по ссылке с официального сайта проекта и после обновления проверяйте, что разрешения не изменились.

Фишинг переехал в фейковые CAPTCHA. Схема ClickFix: сайт предлагает «подтвердить, что вы не робот», просит нажать Win+R и вставить код — а это команда, которая ставит на компьютер стилер. Такие кампании в 2026-м идут волнами. Ни один сайт не просит выполнять команды в терминале или PowerShell.

В России с 1 сентября 2026 года действует ФЗ № 282-ФЗ: крипта признана имуществом. Обратиться в суд при краже теперь можно, но вернуть монеты это не помогает — транзакция необратима, и компенсации, как в банке, здесь не будет. Страховка одна: не дать перевести деньги.

Проверка после чек-листа

• 2FA включена везде ✅
• Сид-фраза на бумаге, в двух местах, нигде в цифре ✅
• Белый список адресов на бирже включён ✅
• Адрес перевода берётся из адресной книги, а не из истории ✅
• Расширения и приложения кошельков — только с официального сайта ✅
• Крупные суммы — в холодном кошельке ✅
• Отдельная почта для крипты ✅

Если по всем пунктам галочки — вы в безопасности лучше, чем 90% криптосообщества. Пятнадцать минут, которые реально стоят ваших денег.