Як захистити криптовалютні активи від шахраїв і хакерів

У лютому 2025 року криптовалютна біржа Bybit стала жертвою найбільшого злому в історії не тільки криптовалютної індустрії, а й усього фінансового світу: хакери переказали на свої рахунки більше ніж 400 000 ETH на загальну суму близько $1,5 млрд. Атаку здійснили через уразливість в інфраструктурі провайдера Safe, що дала змогу впровадити хибний інтерфейс у процес підписання операцій – працівник біржі самостійно натиснув на кнопку переказу, будучи впевненим у безпеці.

Цей інцидент укотре наголосив на важливості захисту активів від шахраїв і хакерів, які не знають втоми і щодня вигадують нові методи розкрадання.

Не можна захиститися раз і назавжди – це постійний процес, що вимагає регулярних перевірок, пильності та оновлення інструментів. І важливо не тільки розуміти, як влаштовані схеми обману, а й вбудувати захист у свою повсякденну діяльність.

Щоб розібратися в цьому, розберемо дві основні категорії загроз і методи боротьби:

• Шахраї, що впливають на емоції та розраховують на «особистий вибір» жертви
• Хакери, що використовують технічні вразливості у «звичному» середовищі

Розуміння цих схем і методів обману допоможе вибудувати міцніший захист.

Як працюють шахраї: гра на довірі та емоціях

Шахрайство працює не на логіці, а на емоціях. Злочинці намагаються зловити момент, коли людина не думає, а діє – під впливом страху, азарту, жаги не упустити вигоду. Їхня головна мета – змусити жертву самостійно видати ключ, відкрити доступ до активів, підписати шкідливий протокол, інвестувати кошти.

Емоційні тригери, які найчастіше використовують:

• FOMO (Fear of Missing Out) – страх втраченої вигоди. Особливої ефективності використання цієї емоції досягає укупі з терміновістю: обмежені в часі пропозиції, ліміт доступних слотів – що швидше потрібно ухвалити рішення, то менше часу перевірити і побачити обман у режимі паніки.
• FUD (Fear, Uncertainty, Doubt) – страх, невпевненість, сумнів. Не слабкіше, ніж бажання отримати максимум прибутку, страх втратити свій депозит. Мета: вивести людину зі спокою і змусити приймати поспішні дії.

Ці дві полярні емоції – основа всіх шахрайських схем. У доповненні до них: «поспіх», щоб жертва не отримала шансу засумніватися і перевірити ще раз, і «авторитет» – маскування під офіційний канал, акаунт лідера думок, експерта в індустрії.

Поширені схеми криптовалютних шахраїв:

• Фальшиві аірдропи та розіграші. Користувачеві пропонують «подарунок»: щоб його отримати, потрібно підключити гаманець, підписати транзакцію або «активувати» токен. На цьому етапі і відбувається крадіжка.
• Фейкові інвест-проекти і DeFi-протоколи. Під виглядом нових стартапів і токенів створюють сайти і дашборди з анімацією, графіками і обіцянкою прибутковості. Усе виглядає як реальний проєкт – поки не трапиться «rug pull».
• Сайти, що маскуються під відомі сервіси. Шахраї копіюють сайти та інтерфейси гаманців (MetaMask, Phantom), бірж (Binance) і NFT-майданчиків. Жертва не помічає підміни: вводить seed-фразу і підтверджує транзакцію.
• Повідомлення від «служби підтримки». У Discord, Telegram або Twitter шахраї прикидаються представниками проєкту. Вони пишуть першими і пропонують «вирішити проблему» з пропозицією перейти за посиланням і ввести свої дані.
• Схеми «подвоєння коштів» і фальшивих знаменитостей. Згідно з «правилом авторитету» шахраї зламують акаунти лідерів думок і використовують їх для «анонсу» або, наприклад, пропозиції миттєво «подвоїти внесок».
• Шахрайські боти та фальшиві дропи в Telegram. Боти автоматично згадують користувачів у коментарях із пропозицією взяти участь у закритому дропі або проєкті. Мета – направити людину на підроблений сайт.
• Імітація помилок і збоїв. Користувач бачить повідомлення про блокування акаунта, технічну помилку, необхідність терміново підтвердити особу або відновити доступ. У паніці людина натискає на посилання в листі..

Як захистити свої кошти від шахраїв

Основа вашої безпеки – відсутність поспіху. Майже кожна схема націлена на миттєву дію, миттєве рішення, а тому потрібно діяти усвідомлено. 

• Не вводьте ключі. Єдине, де це допустимо – офіційні джерела гаманців і протоколів. Будь-які форми, особливо «випадкові», мають бути виключені. Але навіть у першому випадку варто перевірити домен, URL ітд.
• Розділяй активи. Використовуй кілька гаманців або субаккаунтів для взаємодії з різними сайтами і протоколами. У цьому випадку навіть потрапивши в пастку, втрата коштів буде зведена до усвідомленого, допустимого мінімуму.
• Не вір у легкий прибуток. Ринок крипти може приносити величезні доходи, але більша частина успіху відбувається випадково. Ніхто не може гарантувати прибутковість – особливо в короткі терміни, особливо без технології та досвіду.
• Виділіть час. Перш ніж ухвалити рішення, вивчи проєкт і оціни всі ризики. Але навіть після цього витримай паузу, щоб дати охолонути своїм емоціям.

Не будь сам зі своїми думками, а звернися до думки професіоналів. Для цього приєднуйся до спільноти Incrypted+, де завжди готові дати пораду і вказати на обман. Якщо проєкт зацікавлений в інвестиціях, він почекає вашого вибору, а «рідкісний шанс» не вартий ризику. Ринок неквапливий і дає нові можливості завжди.

Як діють хакери: уразливість – це вхід

На відміну від шахраїв, хакери роблять ставку на технічні вразливості. Їхня мета в більшості випадків – отримати доступ до коштів без участі користувача або обдурити систему, щоб витягти активи. Часто атаки націлені не на окремих людей, а на цілі протоколи, мости, гаманці та блокчейни. Найчастіші методи: 

• Зломи DeFi через помилки в коді або логіці смарт-контрактів: наприклад, маніпуляція ціною і ліквідністю, щоб вивести більше, ніж встановлено, можливість перезапису даних, відсутність перевірки прав. 
• Зломи кросчейн-рішень. Уразливості міжмережевих протоколів – золота жила для хакерів: один «успішний» злом може принести сотні мільйонів. Сюди ж можна віднести прямі зломи біржі, як у випадку з тією ж ByBit.
• Крадіжка ключів і seed-фраз. Підроблені додатки можуть видавати себе за гаманці і красти seed-фрази або підписувати транзакції у фоновому режимі – через кейлоггери, clipboard-інжектори, віруси у файлах, трояни і бекдори.

У разі хакерських атак також часто використовується «натискання на кнопку» самою жертвою. Наприклад, вона бачить в інтерфейсі одну транзакцію, а в реальності підписує іншу – саме так було проведено атаку на ByBit: злом + людська помилка.

Головна проблема при захисті від хакерів – технічна складність. З цієї причини на їхні пастки потрапляють і досвідчені користувачі, і працівники цифрових сервісів. При цьому в блокчейні немає кнопки «скасування». Вистачить 1-ї дії, щоб втратити все. 

Як захистити свої кошти від хакерів

Абсолютного захисту немає, але є системний підхід, що істотно знижує ризики. 

• Використовуйте різні гаманці. Продовжуючи пораду «розділяти активи», працюйте не тільки з гарячими, а й холодними гаманцями (апаратними). Беріть на озброєння нові технології, наприклад, мультисиг-гаманці, що підписують транзакції після підтвердження кількома учасниками.
• Дотримуйтесь цифрової гігієни. Оновлюйте смартфон, браузер і ОС, вимкніть автопідключення й автопідпис у гаманцях. Застаріле ПЗ частіше «вивчене» хакерами = схильне до злому. Актуальні оновлення враховують це. 
• Зберігайте паролі поза пристроєм. Офлайн або ж у зашифрованому вигляді, але ніколи в скріншотах або нотатках. Є спеціальні сервіси, як-от BitWarden.

+ дві універсальні поради: використовуйте всі налаштування захисту ваших сервісів. 

Частіше частіше це PIN і двофакторна автентифікація (2FA), але є й унікальні механізми. Наприклад, у Binance це персональна фраза, що супроводжуватиме кожен лист від біржі, а в Trustee Plus – PIN, як основа для криптографічного шифрування даних + секретний PIN для кожного субаккаунта в основному гаманці.

Друга порада – навчайтеся. Оновлювати прошивку повинні не тільки ваші пристрої та гаманці, а й ви самі. Зануритися в криптосвіт і «бачити більше» не складе труднощів – для початку буде достатньо відеокурсу Incrypted на 2,5 години «Занурення в крипту».

Найкращий захист – усвідомлений підхід до безпеки. Розуміння, як працюють схеми, дає шанс вчасно відступити. Адже навіть технічно грамотні користувачі стають жертвами і втрачають кошти, якщо забувають базові принципи: не поспішати, не довіряти, не спрощувати безпеку заради зручності. І, звісно, вчитися.