Подмена адреса в буфере обмена

В марте 2026 года я отправляла подрядчику 650 USDT за ремонт техники. Адрес взяла из переписки: выделила, скопировала, вставила в кошелёк и нажала «Отправить». Подтверждение пришло за минуту, а через час мастер написал, что денег нет. В блокчейне транзакция была — но ушла на другой адрес. Первые четыре и последние четыре символа совпадали, середина отличалась, и я её не проверила.

Так работает клиппер — вирус, который сидит в системе и следит за буфером обмена. Он не взламывает кошелёк и не подбирает seed-фразу: он ждёт, когда я скопирую адрес, и подменяет его на адрес мошенника.

Как работает клиппер

Клиппер — небольшая программа, которая крутится в фоне и постоянно читает буфер обмена. Как только в нём появляется строка, похожая на адрес кошелька, вирус заменяет её на свою. Хитрость в подборе: мошенник берёт адрес с теми же первыми и последними знаками, что у реального получателя.

Дальше всё решает привычка. Я копирую, вставляю, вижу строку из 42 символов и нажимаю «Отправить». Сверять каждый знак руками я не стану.

Почему подмену не видно

Кошелёк показывает адрес сокращённо: несколько первых и последних символов. Если мошенник совпал с ними, интерфейс выглядит знакомо, а разница прячется в середине. Сумма уходит целиком, и отменить перевод нельзя: подтверждённые транзакции не откатывают. Схема родственна отравлению адресов: там мусорный перевод оседает в истории, здесь адрес подменяют прямо при отправке.

Где чаще всего ловят клиппер

• Расширения браузера, которые обещают «удобнее работать с кошельком».
• Торренты, «кряки» и взломанные версии торговых программ.
• Файлы из Telegram: «скрипт для арбитража», «установщик бота», «настройки сетки».
• Пиратские драйверы и активаторы Windows без цифровой подписи.

Та же зараза часто тянет второй модуль: кражу паролей и фишинговые копии бирж. Опаснее всего на горячем кошельке, где запас монет лежит рядом с рабочим браузером.

Как проверить адрес перед отправкой

1. Сверяйте первые 6 и последние 6 символов — не с буфером, а с сообщением от человека, которому платите.
2. Проверьте 4–5 знаков из середины адреса. Именно их и подменяют.
3. На крупной сумме сначала отправьте 5–10 USDT и дождитесь подтверждения в блокчейне.
4. Отправляйте с холодного кошелька или с устройства, где нет сомнительных расширений и кряков.
5. Никогда не вставляйте адрес, который пришёл в личку вместе с просьбой «побыстрее».

Что делать, если деньги уже ушли

Проверить транзакцию в обозревателе и сохранить её хеш. Написать в поддержку биржи, если адрес получателя биржевой, — иногда счёт помечают. Заявить в полицию с распечаткой перевода. И переустановить систему: клиппер живёт в связке с другим вирусом, смены паролей мало.

Коротко

• Клиппер подменяет адрес в буфере обмена на адрес мошенника за доли секунды.
• Подмену прячут в середине адреса: первые и последние символы совпадают.
• Признаки на экране нет — кошелёк показывает те же сокращённые знаки.
• Защита: сверка середины адреса, тестовый перевод на 5–10 USDT, холодное хранение.
• Пришли сомнительный софт — переустановите систему, а не только пароли.