Мониторинг кошелька: как узнать о списании в ту же минуту

---

Прошлой весной я проснулась от сообщения в телеграме: с моего кошелька уходило 0,42 ETH. Я открыла эксплорер, увидела транзакцию, которой не делала, и потратила восемь минут на отзыв разрешений и перевод остатка на чистый адрес. Всё обошлось — потеряла только ту сумму и около трёх долларов на газ. Но если бы уведомлений не было, я узнала бы о взломе через сутки, когда на счету уже было бы пусто. Разница между «потеряла 1200 долларов» и «потеряла всё» — это один включённый алерт.

Дальше — как настроить сигнал в течение минуты и что делать, когда он сработал.

С чего начать

Мониторинг — это не про паранойю, а про скорость реакции. Хакер, который получил доступ к вашему ключу или к подписи контракта, действует быстро: в 70% случаев средства выводят в первые минуты после получения доступа. Каждая минута, которую вы экономите, повышает шанс спасти хотя бы часть денег.

Базовый уровень закрывается за полчаса: список адресов, push-уведомления в кошельке и письма от эксплорера.

Шаг 1. Соберите все адреса в один список

Заведите таблицу — в заметках, в облаке или на бумаге. Четыре колонки: сеть, адрес, что на нём лежит, где включены уведомления. Внесите туда все кошельки, включая те, которыми вы не пользовались полгода: старые адреса — любимая цель для дрейнеров, потому что владельцы про них забывают.

Никогда не вписывайте в эту таблицу seed-фразу или приватный ключ. Список адресов безопасен: по нему нельзя забрать деньги. Список ключей — это готовый подарок любому, кто получит доступ к заметкам.

Отдельно отметьте, какие кошельки вы подключали к dApp за последний год. Там же висят разрешения на списание — частая входная точка.

Шаг 2. Включите уведомления там, где они уже есть

Самый простой слой — встроенный в кошелёк.

• MetaMask (расширение и мобильный): Settings → Notifications. Включает push о входящих и исходящих транзакциях по вашим аккаунтам.
• Trust Wallet, Coinbase Wallet, OKX Wallet: push-уведомления в настройках приложения, работают по адресу, без доступа к ключам.
• Аппаратный кошелёк: сам по себе не присылает пушей, но его адрес можно добавить в мобильный кошелёк как watch-only — об этом ниже.

Проверьте, что уведомления не задавлены системными настройками телефона. На iPhone зайдите в Настройки → Уведомления → ваш кошелёк и убедитесь, что режим «Тихо» или «Сводка» не откладывает push на утро. Это самая частая причина, по которой люди узнают о взломе позже всех.

Шаг 3. Добавьте внешний слой: эксплорер и watch-only

Встроенные пуши могут не прийти, если приложение удалено с телефона или вы вошли не в тот аккаунт. Второй канал страхует.

Etherscan и аналоги. Создайте бесплатный аккаунт на Etherscan, добавьте адрес в Watch List. Письма приходят на почту при любой транзакции по адресу — входящей и исходящей. Для BSC есть BscScan, для Polygon — PolygonScan, для Arbitrum — Arbiscan; логика одинаковая.

Watch-only кошелёк. В BlueWallet можно добавить биткоин-кошелёк только для просмотра по xpub — без возможности подписывать транзакции. Удобно держать холодный кошелёк под наблюдением на телефоне и видеть каждое движение.

Дашборды портфеля. Zerion и DeBank показывают все EVM-адреса в одном окне: балансы, позиции в протоколах, историю. Это не замена алертам, но хороший способ раз в неделю проверить, что ничего лишнего не появилось.

Телеграм-боты. Их много, они удобны, но правило одно: боту можно дать только публичный адрес. Любой сервис, который просит seed-фразу или приватный ключ «для подключения», — это кража. Второго шанса не будет.

Шаг 4. Настройте пороги, чтобы не утонуть в шуме

Если включить абсолютно всё, через неделю вы перестанете читать уведомления. Нужны приоритеты.

• Критично: любое исходящее по адресу, где лежит больше 500 долларов. Настраивайте без порога — сам факт списания уже повод проверить.
• Критично: новые approve на токены. В MetaMask такие запросы видны в разделе Activity, а в сторонних сервисах можно включить отдельный алерт на Approval.
• Средне: входящие микросуммы на 0,01–1 доллар. Это не подарок, а address poisoning: мошенник подбрасывает пыль с похожего адреса, чтобы вы скопировали его из истории и отправили деньги не туда.
• Средне: падение баланса больше 5% за сутки без ваших действий. Иногда это просто цена, но иногда — вывод средств.

Отключите уведомления о цене на этом же канале. Если в один чат падают и алерты по BTC, и сигналы о списании, вы перестанете их различать за неделю.

Шаг 5. Проверьте, что сигнал доходит

Настройка, которую не проверили, не работает. Сделайте тестовую транзакцию: переведите себе 1–2 доллара в ETH на тот же адрес и замерьте время до push и до письма. Обычно push приходит за 5–15 секунд, письмо от эксплорера — за 30–90 секунд после подтверждения.

Если письма нет через 10 минут: проверьте папку «Спам», добавьте адрес отправителя в контакты и убедитесь, что в Watch List указан правильный адрес, а не похожий. Опечатка в одном символе — и вы наблюдаете за чужим кошельком.

На Ethereum проверка стоит 1–2 доллара газа, на Arbitrum или Base — центы. Раз в полгода её стоит повторить: сервисы меняют настройки и ломают рассылки.

Шаг 6. План первых 10 минут после срабатывания

Уведомление пришло, транзакция чужая. Дальше важен порядок действий, а не паника.

1. Не подписывайте ничего нового. Дрейнеры часто присылают второе «подтверждение» в расчёте на то, что человек в панике нажмёт кнопку.
2. Отзовите разрешения. Зайдите на revoke.cash или в раздел approvals вашего кошелька и снимите все активные разрешения. Один отзыв стоит около 46 000 газа — при 20 gwei это 0,00092 ETH, примерно 3 доллара.
3. Переведите остатки на чистый адрес, созданный на другом устройстве. Не на тот же телефон, не в тот же браузер.
4. Отключите dApp-сессии в настройках кошелька (Connected sites) — иначе мошенник сможет запросить подпись повторно.
5. Смените пароль почты и включите 2FA через приложение, а не через SMS. Если есть подозрение, что seed-фраза утекла, старый кошелёк больше не используется никогда.
6. Если средства ушли на биржу, напишите в поддержку с хешем транзакции. Шанс заморозить небольшой, но он не нулевой, а окно — часы.

Гигиена: раз в месяц и раз в квартал

Мониторинг работает, только если его поддерживать. Я делаю так: раз в месяц прохожу по revoke.cash и снимаю всё, чем не пользовалась 30 дней — это 10–15 минут. Раз в квартал сверяю список адресов с таблицей и удаляю те, что больше не нужны, а на нужных проверяю, что алерты живы.

Отдельный кошелёк под dApp и экспериментальные протоколы — самое дешёвое улучшение безопасности. Держите на нём 50–100 долларов: если его сольют, вы потеряете эту сумму, а не основной портфель.

Частые ошибки

• Алерты на почту, которую не читаете. Отдельный ящик для крипты — правильно, но проверять его нужно ежедневно, иначе смысла нет.
• Мониторинг только биржи. На CEX вывод защищён 2FA, а вот кошелёк без присмотра — нет.
• Один адрес на всё. Основной капитал, dApp и тесты должны жить на разных адресах с разными уровнями доступа.
• Игнор мелких входящих. Пыль на 0,5 доллара — это разведка перед атакой, а не случайность.
• Бот, которому отдали seed. Любой такой сервис — кража, независимо от отзывов.

Коротко

• Мониторинг нужен для скорости: взломщик выводит средства за минуты
• Соберите все адреса в таблицу, без ключей и seed-фраз
• Включите push в кошельке и Watch List в эксплорере — два независимых канала
• Пороги: все исходящие, новые approve, пыль на входящие
• Проверьте алерты тестовой транзакцией на 1–2 доллара
• При срабатывании: отозвать approve, вывести остатки на чистый адрес, сменить пароли
• Раз в месяц — ревизия разрешений, раз в квартал — ревизия адресов