Коротко
- Дрейнер — вредоносный сайт или контракт, который выманивает у вас подпись. После неё злоумышленник получает право выводить токены, и для этого ему не нужна ваша seed-фраза.
- Самые опасные подписи: Permit/Permit2, approve и increaseAllowance, setApprovalForAll, а с 2025 года ещё и делегирование EIP-7702 — «обновление кошелька до смарт-аккаунта».
- В первые 10 минут: прекратите подписывать, с чистого устройства создайте новый кошелёк, переведите туда всё ценное и отзовите разрешения через revoke.cash или проверку разрешений в обозревателе блоков.
- Делегирование EIP-7702 не видно в обычных инструментах отзыва approve. Если seed-фраза утекла, отзыв не поможет — только перевод активов на новый кошелёк.
- Фишинг с подписями никуда не делся: в январе 2026 года потери выросли на 207%, крупнейшая кража по одной подписи составила $3,02 млн.
Сценарий типичен: вы заходите на сайт «аирдропа» или «компенсации», подключаете кошелёк, подписываете запрос, который выглядит безобидно. Через минуту токены начинают исчезать один за другим. Ниже — что делать прямо сейчас, как закрыть доступ злоумышленнику и как не попасться в следующий раз.
- Как работает дрейнер
- Что делать в первые 10 минут: пошагово
- Делегирование EIP-7702: отдельная угроза
- 🔎 Как распознать опасную подпись до подтверждения
- Профилактика: чистите разрешения раз в месяц
- Риски
- FAQ
- Что такое approve в криптокошельке?
- Как отозвать approve?
- Поможет ли отзыв approve, если я ввёл seed-фразу на фишинговом сайте?
- Что такое фишинг через EIP-7702?
- Можно ли вернуть токены, украденные дрейнером?
- Как часто нужно проверять разрешения кошелька?
Как работает дрейнер
Для кражи токенов дрейнеру не нужна ваша seed-фраза. Ему нужна подпись, которая даёт право распоряжаться вашими активами:
| Тип подписи | Что она разрешает | Как выглядит в кошельке |
|---|---|---|
| Permit / Permit2 | Тратить токены без отдельной транзакции, по подписи «вне сети» | Запрос на подпись данных с полями spender, value, deadline |
| approve / increaseAllowance | Тратить определённое или неограниченное количество токена | «Разрешить доступ к вашему USDT» |
| setApprovalForAll | Распоряжаться всеми NFT коллекции | «Предоставить доступ ко всем NFT» |
| Делегирование EIP-7702 | Выполнять в вашем кошельке код злоумышленника | «Обновить до смарт-аккаунта», «активировать функцию» |
| Прямой перевод | Отправить средства | Обычная транзакция, замаскированная под «клейм» |
По данным Scam Sniffer, в 2025 году Permit и Permit2 стали главным типом подписей в крупных кражах — около 38% потерь в случаях от $1 млн. После обновления Ethereum Pectra появились атаки через пакетные подписи EIP-7702.
Что делать в первые 10 минут: пошагово
- Прекратите подписывать. Закройте фишинговый сайт и отключите кошелёк от всех незнакомых сайтов в настройках подключений.
- Создайте новый кошелёк на чистом устройстве. Новая seed-фраза, записанная на бумаге. Не используйте адреса, производные от той же seed-фразы.
- Переведите туда всё ценное. Начните с самых дорогих токенов и тех, на которые выдано разрешение. Это быстрее и надёжнее, чем отзывать разрешения по одному.
- Отзовите разрешения. Откройте revoke.cash или проверку разрешений (Token Approval Checker) в обозревателе блоков вашей сети, подключите старый кошелёк и отзовите все незнакомые approve. Для отзыва нужна небольшая сумма на газ.
- Проверьте делегирование EIP-7702. Если вы подписывали «обновление кошелька», адрес мог стать делегированным. Его не видно в списке approve — см. раздел ниже.
- Зафиксируйте всё. Хэши транзакций, адрес фишингового сайта, адреса, куда ушли средства, скриншоты.
- Подайте заявление в киберполицию. Если украдены USDT или USDC, эмитент может заморозить их по запросу правоохранителей, поэтому важна скорость.
Делегирование EIP-7702: отдельная угроза
С обновлением Pectra (май 2025 года) обычный кошелёк Ethereum может «делегировать» выполнение смарт-контракту. Для злоумышленника это идеальный инструмент:
- одна подпись превращает ваш кошелёк в «пылесос»: любые поступающие токены и ETH уходят мошеннику автоматически;
- делегирование не отображается в инструментах отзыва approve;
- если вы отправите ETH на газ, чтобы «спасти» токены, его тоже заберут.
По данным Wintermute, которые приводит разбор на DEV Community, более 97% наблюдаемых делегирований EIP-7702 указывали на вредоносные контракты-«свиперы».
Что делать:
- Если seed-фраза не утекла — делегирование можно отменить новой авторизацией EIP-7702 на нулевой адрес или безопасный контракт. Некоторые кошельки позволяют вернуть аккаунт в обычный режим в настройках. Если вы не уверены, как это сделать, не экспериментируйте с крупными суммами — переведите остаток на новый кошелёк.
- Если seed-фраза утекла — отзыв не поможет: злоумышленник подпишет делегирование заново. Единственный путь — новый кошелёк.
🔎 Как распознать опасную подпись до подтверждения
- Читайте, что именно подписываете. Если кошелёк показывает «spender», «allowance», «permit», «setApprovalForAll» или «upgrade account», а вы просто хотели «получить аирдроп», это красный флаг.
- Неограниченный approve — только для проверенных протоколов. Во многих кошельках можно задать точную сумму разрешения вместо бесконечной.
- Не подписывайте «обновление до смарт-аккаунта» на сторонних сайтах. Если кошелёк предлагает такую функцию, включайте её только в самом кошельке.
- Проверяйте домен. Фишинговые сайты копируют интерфейс популярных протоколов и рекламируются в поиске и соцсетях.
- Держите крупные суммы отдельно. Используйте отдельный «горячий» кошелёк для экспериментов с DeFi и аирдропами, а основные средства храните на аппаратном кошельке.
- Включите симуляцию транзакций. Многие кошельки и расширения показывают, какие токены уйдут из кошелька после подписи.
Профилактика: чистите разрешения раз в месяц
- Откройте revoke.cash или проверку разрешений в обозревателе блоков.
- Отзовите разрешения для протоколов, которыми больше не пользуетесь.
- Замените неограниченные разрешения на ограниченные там, где это возможно.
- Отключите кошелёк от сайтов, которые не используете.
Риски
- Украденное почти невозможно вернуть. Транзакции необратимы, шанс есть в основном для стейблкоинов с функцией заморозки.
- «Спасательный» газ уходит злоумышленнику. Если кошелёк делегирован или seed-фраза утекла, любой отправленный ETH заберёт бот.
- «Специалисты по возврату» — второй круг мошенничества. Они находят жертв в комментариях и просят предоплату.
- Фишинг подстраивается под новости. Взломы, аирдропы и «компенсации» — главные поводы для новых рассылок.
FAQ
Что такое approve в криптокошельке?
Это разрешение смарт-контракту тратить определённое количество ваших токенов. Оно нужно для работы с DeFi-протоколами, но мошенники используют его, чтобы вывести токены после одной подписи.
Как отозвать approve?
Откройте revoke.cash или проверку разрешений в обозревателе блоков вашей сети, подключите кошелёк, найдите незнакомые или ненужные разрешения и отзовите их. Каждый отзыв — это транзакция, для которой нужна небольшая сумма на газ.
Поможет ли отзыв approve, если я ввёл seed-фразу на фишинговом сайте?
Нет. Если seed-фраза утекла, злоумышленник полностью контролирует кошелёк. Создайте новый кошелёк на чистом устройстве и переведите туда всё, что осталось.
Что такое фишинг через EIP-7702?
Это атака, при которой вас просят подписать «обновление кошелька» или «активацию функции». На деле подпись делегирует выполнение вашего кошелька вредоносному контракту, и все поступающие средства автоматически уходят злоумышленнику. Такое делегирование не видно в обычных инструментах отзыва approve.
Можно ли вернуть токены, украденные дрейнером?
Как правило, нет. Если украдены USDT или USDC, эмитент может заморозить их по запросу правоохранителей, поэтому быстро подайте заявление в киберполицию и сохраните хэши транзакций.
Как часто нужно проверять разрешения кошелька?
Хорошая практика — раз в месяц и после каждого взаимодействия с новым протоколом. Отзывайте разрешения, которыми не пользуетесь, и заменяйте неограниченные на ограниченные.
