На кошелёк пришёл неизвестный токен: что делать

В понедельник я открыла MetaMask и увидела в списке активов четыре новых токена: «USDC Reward 25 000», «ETH 2.0 Airdrop», «BNB Bonus» и NFT с золотым слитком. Сверху светилось $26 400 — сумма, которой у меня никогда не было. Я не стала нажимать «получить» и первым делом открыла контракт самого дорогого токена в Etherscan. Создан 14 часов назад, 3 800 адресов-получателей, в пуле ликвидности $11, а в описании контракта — сайт claim-reward[.]top с кнопкой «Claim your 25 000 USDC». Через три дня знакомый с такого же сайта подписал одну транзакцию и потерял 0,84 ETH: никакого вывода, просто «подключить кошелёк» и «получить награду».

С чего начать

Три правила, которые закрывают 90% случаев. Не продавать токен. Не заходить на сайт из его описания. Не подписывать ничего, что просит «подключить кошелёк для получения». Сам по себе посторонний токен на балансе не даёт никому доступа к вашим средствам: это запись в контракте, а не ключ от кошелька. Опасность начинается с первого действия, которое вы совершите.

Шаг 1. Поймите, как токен оказался у вас

Стандарт ERC-20 не даёт получателю отказаться от перевода. Любой человек может отправить токен на ваш адрес — адрес публичный, он лежит в блокчейне после первой же транзакции. Перевод стоит от $0,01 в дешёвых сетях, поэтому рассылка на десятки тысяч кошельков окупается одной жертвой.

Мотивов два. Первый — реклама: в описании токена стоит ссылка на «обменник» или «клейм». Второй — атака: контракт устроен так, что взаимодействие с ним открывает доступ к вашим активам. Отдельный вид — пыль и отравление адреса: вам присылают нулевые переводы с адреса, похожего на ваш или на адрес контрагента, чтобы вы скопировали его из истории и отправили деньги туда.

Шаг 2. Проверьте контракт до любых действий

Откройте токен в Etherscan, BscScan или соответствующем обозревателе сети. Смотрите четыре вещи.

1. Дата создания контракта. Токен, созданный вчера и разосланный на 3 800 адресов, не имеет истории.
2. Держатели. Вкладка Holders: если топ-10 адресов держат 99,9%, реального рынка нет.
3. Ликвидность. Пул на $11 при «капитализации» $25 млн — это цифра в интерфейсе, а не деньги.
4. Верификация кода и сайт в описании. Неверифицированный контракт плюс свежий домен — достаточный повод закрыть вкладку.

Шаг 3. Не пытайтесь его продать

Кнопка «Sell» в интерфейсе спам-токена и кнопка «Claim» на сайте — один и тот же механизм. В первом случае контракт может быть honeypot-ловушкой: покупка проходит, продажа нет. Во втором вы подписываете разрешение на списание чужого токена — USDT или ETH, которые лежат рядом.

Знакомый, о котором я писала выше, получил токен «USDC Reward». На сайте была сумма 25 000 USDC и кнопка получения. После подписи с кошелька ушло 0,84 ETH — не потому, что он ввёл seed, а потому, что подписал permit: разрешение на списание без транзакции и без комиссии. Такие подписи не показывают суммы в понятном виде, поэтому правило простое: если вы не понимаете, что именно подписываете, — не подписывайте.

Шаг 4. Скройте токен из кошелька

Это бесплатно и не требует транзакции. В MetaMask откройте токен, нажмите на три точки и выберите «Скрыть». В Trust Wallet — свайп по токену и «Скрыть». В Rabby есть отдельный переключатель для спама. Токен останется в блокчейне, но перестанет мозолить глаза и портить расчёт стоимости портфеля. Удалить чужой токен со своего адреса технически нельзя, и это нормально.

Шаг 5. Проверьте выданные разрешения

Даже если вы ничего не подписывали сегодня, старые разрешения токенов живут годами. Зайдите на revoke.cash, подключите кошелёк и посмотрите список. Красный флаг — разрешение с суммой 2^256-1, то есть «без лимита»: такой контракт может забрать токен целиком в любой момент.

Отзыв одного разрешения — около 46 000 газа. При 20 gwei и ETH по $3 000 это примерно $2,76 за одно действие. Отзывайте только то, что не узнаёте, и никогда не делайте этого на сайте, который прислал вам токен: там кнопка «Revoke» сама является разрешением.

Шаг 6. Проверьте историю адреса на подмену

Посмотрите входящие переводы. Если среди них есть транзакции на 0 USDT с адреса, первые и последние символы которого совпадают с вашим, — это отравление адреса. Цель таких переводов одна: попасть в вашу историю, чтобы в следующий раз вы скопировали адрес оттуда.

Порядок защиты: не копировать адреса из истории операций, сверять первые 6 и последние 6 символов, брать адрес из переписки или адресной книги, а крупную сумму отправлять тестом на 5–10% и ждать подтверждения.

Шаг 7. Поймите, когда пора волноваться

Сам токен — не повод паниковать и не повод менять кошелёк. Повод есть в трёх случаях: вы уже подписали что-то после появления токена; в кошельке появились непонятные разрешения на USDT или ETH; кто-то пишет вам в личку «поддержка кошелька» и просит seed-фразу. В первых двух случаях отзывайте разрешения и переводите средства на новый адрес, в третьем — блокируйте и ничего не отвечайте.

Что делать с NFT-спамом

С NFT то же самое, только заметнее: картинка приходит как отдельный актив, а в описании — ссылка на «сайт коллекции» с обещанием бесплатного минта. Минт обычно стоит «всего 0,003 ETH» и приводит к подписи, которая разрешает списать всё. Правила те же: не открывать ссылку, не минтить, скрыть NFT в кошельке (MetaMask — вкладка NFT, три точки, «Скрыть»). Продавать его на маркетплейсе тоже не стоит: листинг потребует approve на контракт коллекции, а комиссия «за листинг» уйдёт автору схемы.

Как отличить настоящий аирдроп

Настоящий аирдроп почти всегда приходит без просьбы что-то подписывать: токен просто появляется на адресе, а проект публикует условия в своём проверенном аккаунте. Если для получения нужно зайти на сайт, подключить кошелёк и нажать кнопку — это не аирдроп, а запрос разрешения. Второй признак: у настоящего токена есть ликвидный пул и торги на бирже, у спама — пул на пару долларов и цена, нарисованная в интерфейсе кошелька.

Частые ошибки

• Продать токен «чтобы обнулить баланс» — это взаимодействие с контрактом, а не очистка кошелька.
• Зайти на сайт из описания токена, чтобы «просто посмотреть». Сайт может определить ваш адрес и подсунуть подписанную транзакцию.
• Отзывать approvals на том же фишинговом сайте. Кнопка Revoke там часто и есть разрешение.
• Вводить seed-фразу «для проверки» или «для возврата средств». Ни один легитимный сервис её не спрашивает.
• Считать сумму в кошельке реальными деньгами. Цена берётся из пула на $11, продать по ней нельзя.

Коротко

• Посторонний токен на балансе не даёт доступа к вашим деньгам.
• Не продавайте его и не заходите на сайт из описания.
• Проверьте контракт: дата создания, держатели, ликвидность, верификация.
• Скройте токен в настройках кошелька — это бесплатно.
• Проверьте approvals на revoke.cash и отзовите незнакомые, особенно безлимитные.
• Отзыв одного разрешения стоит около $3 при 20 gwei.
• Нулевые переводы с похожего адреса — это подготовка к подмене, не копируйте адрес из истории.
• Подпись permit не показывает сумму — не подписывайте то, чего не понимаете.