Антифрод

Фишинговые сайты — это поддельные страницы, практически идентичные настоящим биржам или кошелькам. Мошенники распространяют ссылки через рекламу в поисковиках, поддельные письма и соцсети, чтобы заставить пользователей ввести свои данные.

Самый распространённый приём — незначительные изменения в доменном имени: замена буквы «l» на цифру «1», добавление лишнего дефиса (например, binance-pro.com) или использование другого домена верхнего уровня. Некоторые фишинговые страницы даже имеют действительный HTTPS-сертификат.

Самая эффективная защита — заходить на биржу только через закладки, которые вы сами создали, никогда не переходя по ссылкам из писем или сообщений.

Мошенники в Telegram, Twitter/X и Discord выдают себя за официальных сотрудников поддержки и сами пишут пользователям. Типичный сценарий: вы задаёте вопрос в официальном чате, и через несколько минут вам пишет «сотрудник».

Цель почти всегда одна — выманить сид-фразу или приватный ключ, или заставить перевести средства на адрес «для верификации». Реальная поддержка никогда не пишет первой и не просит пароль или сид-фразу.

Ещё одна схема — «совместный экран»: лжеагент просит установить программу удалённого доступа (TeamViewer, AnyDesk), а затем переводит ваши активы.

Высокодоходные схемы обещают стабильную дневную доходность 1–5%, часто утверждая использование «арбитражных ботов» или «количественных стратегий». По сути это схемы Понци: ранние инвесторы получают выплаты за счёт новых участников, пока схема не рухнет.

Типичные признаки: подозрительно стабильная доходность, невозможность свободно вывести депозит, обязательное привлечение новых участников, анонимная или размытая команда, отсутствие реальных торговых записей.

В крипте схемы Понци принимают разные формы: DeFi-пулы с «высоким APY», «хостинг» майнеров, «AI-торговые» платформы и традиционные MLM-структуры.

Фейковые аирдропы заманивают жертв предложением «подключи кошелёк и получи бесплатные токены». Подключившись и подписав транзакцию, вы на самом деле даёте разрешение вредоносному контракту, который опустошает кошелёк.

«Раздачи от знаменитостей» тоже распространены: поддельные посты от имени Илона Маска, CZ или других людей обещают «отправь 1 BTC — получи 2». Жертвы потеряли сотни миллионов долларов.

Exit scam биржи — это когда операторы платформы исчезают с деньгами пользователей. Обычно это происходит на небольших нерегулируемых биржах без чёткого юридического лица. Схема: платформа привлекает депозиты высокими бонусами → вывод средств уходит «на техобслуживание» → сайт пропадает.

Крах FTX (ноябрь 2022) стал одной из крупнейших катастроф в истории криптобирж: более $10 млрд пользовательских средств были растрачены. Это напомнило: даже крупные платформы несут риски — выбирайте регулируемые биржи с Proof of Reserves.

Ведущие биржи — Binance, OKX, Bybit, Bitget — проходят сторонние аудиты, публикуют Proof of Reserves и работают много лет. Это наиболее безопасный выбор.

«Не твои ключи — не твои монеты.» Сид-фраза (12 или 24 слова) генерирует все ваши приватные ключи — тот, кто ею владеет, полностью контролирует кошелёк.

Для крупных сумм аппаратный кошелёк (Ledger, Trezor) — самый безопасный способ хранения. Приватные ключи хранятся в офлайн-чипе и защищены даже при заражённом компьютере.

Сид-фразу нужно записать физически — от руки на бумаге или на металле. Никогда не фотографируйте и не храните в облаке. Если сид-фраза утечёт, кошелёк можно опустошить за секунды.

2FA добавляет второй уровень защиты поверх пароля. Даже если пароль утечёт, злоумышленник не сможет войти без второго фактора.

Используйте Google Authenticator, Authy или аппаратный ключ (YubiKey). Избегайте SMS 2FA — атака SIM Swap позволяет перенести ваш номер на чужое устройство.

При настройке 2FA обязательно сохраните резервные коды физически. Без них при потере телефона доступ к аккаунту может быть потерян навсегда.

API-ключи позволяют сторонним программам (торговым ботам, трекерам портфеля) получать доступ к вашему аккаунту. Если ключ утечёт или имеет лишние права, злоумышленник сможет торговать от вашего имени или вывести средства.

Многие пользователи вставляют ключи в ненадёжные сторонние инструменты или жёстко прописывают их в публичных репозиториях (GitHub). Автоматические сканеры находят их за считанные минуты.

Лучшие практики: минимум прав (никогда не разрешайте вывод), ограничьте по IP, регулярно меняйте ключи, не храните в коде.