При активных операциях с криптовалютой — покупке через DEX, использовании кроссчейн-мостов или переводах через обменные шлюзы — главная угроза потерять деньги кроется не во взломе блокчейна, а в вредоносных аппрувах (Token Approvals) и скриптах-дрейнерах.
Мошенники создают зеркала популярных обменников, поддельные виджеты оплаты или фейковые сервисы с «выгодным курсом обмена». Пользователь подтверждает стандартный запрос в кошельке, рассчитывая отдать 100 USDT, а смарт-контракт получает неограниченный доступ ко всем токенам на балансе и моментально списывает депозит.
Ниже — практический алгоритм экспресс-проверки смарт-контракта перед подтверждением транзакции, инструменты симуляции и правила очистки кошелька.
Как дрейнеры маскируются под обменные операции
Чтобы обменник или DEX-агрегатор мог взять токены с кошелька, блокчейн требует выдать смарт-контракту разрешение на распоряжение средствами. Злоумышленники используют три сценария обмана:
- Неограниченный аппрув (
Unlimited Approve): при попытке совершить обмен на фишинговом сайте всплывает окно подтверждения. По умолчанию там зашит доступ к списанию астрономической суммы (например, $1.15 \times 10^{59}$ токенов). Баланс опустошается сразу либо в момент следующего крупного пополнения кошелька. - Газлесс-подписи Permit / Permit2 (EIP-712): опасный метод, не требующий газа от пользователя. Сайт маскирует подпись под «Вход в личный кабинет обменника» или «Согласие с условиями обмена». На деле инвестор подписывает разрешение, по которому хакер может вывести активы за свой счет в любой момент.
- Фальшивые смарт-контракты токенов (Honeypot): при обмене на редкие монеты контракт может разрешать покупку, но программно блокировать продажу или перевод на другие адреса (взимать 99% налога на продажу).
| Что предлагает сайт | Что видит пользователь в кошельке | Реальное действие смарт-контракта |
| Быстрый обмен USDT на ETH | Запрос «Approve USDT» | Смарт-контракт забирает права на списание всех USDT без лимита |
| Авторизация в P2P-сервисе | Окно «Sign message» (без комиссии) | Подпись Permit2 для списания активов третьей стороной |
| Покупка токена по выгодному курсу | Транзакция «Swap» | Покупка актива с кодом Honeypot (нельзя продать или вывести) |
3 инструмента для моментальной проверки перед сделкой
1. Сканеры симуляции транзакций (Pre-execution)
Никогда не совершайте обмен через «слепое» подтверждение в MetaMask. Установите инструменты, которые до отправки транзакции в сеть показывают итог операции:
- Pocket Universe / Wallet Guard: бесплатные защитные плагины. При вызове транзакции расширение моделирует ее исполнение в изолированной среде. Если обменник честный, плагин покажет: «Отдаете: 200 USDT / Получаете: 0.08 ETH». Если контракт пытается украсть другие монеты, экран загорится красным предупреждением.
- Rabby Wallet: современный кошелек с встроенной проверкой рисков. Он автоматически подсвечивает, если контракт создан недавно, не имеет верифицированного кода или запрашивает доступ к активам, не участвующим в текущей сделке.
2. Экспресс-проверка контракта в эксплорере (Etherscan, Arbiscan, BSCScan)
Если обмен идет через новый мост, некастодиальный шлюз или малоизвестный пул ликвидности, скопируйте адрес контракта обменника и откройте в блокчейн-эксплорере:
- Статус верификации (зеленая галочка): код обязан быть верифицирован (Contract Source Code Verified). Если исходный код скрыт — сделка исключена.
- Возраст контракта: подавляющее большинство фишинговых обменников и дрейнеров развертываются за 1–3 дня до запуска скам-кампании. Проверенные обменные протоколы работают месяцами и годами.
- Объем и характер транзакций: обратите внимание на вкладку Transactions. У надежного сервиса идут сотни регулярных вызовов от разных пользователей. Если у контракта всего 5–10 переводов или сплошные ошибки Fail — это ловушка.
- Token Sniffer / Honeypot.is: если вы обмениваете средства на малоизвестный токен, вставьте адрес контракта в сканер Token Sniffer. Он моментально покажет наличие скрытых комиссий на продажу (Sell Tax), функций черного списка и возможности создателя чеканить новые монеты.
3. Регулярный сброс разрешений через Revoke-сервисы
Даже если обменный сервис был надежным, его контракт могут взломать в будущем. Все выданные когда-либо разрешения остаются активными бессрочно, пока вы сами их не отзовете.
- Revoke.cash: главный инструмент для ревизии кошелька. Подключите адрес, выберите сеть (Ethereum, BNB Chain, Arbitrum, Tron) и проверьте, кому открыт доступ к вашим USDT/USDC.
- Нажмите кнопку Revoke напротив каждого сервиса, обмен в котором уже завершен. За транзакцию отзыва спишется стандартная минимальная сетевая комиссия, но баланс будет изолирован от внешних угроз.
Чеклист: безопасный обмен криптовалюты за 4 шага
1.Верификация источника:Проверяем домен и защищаемся от поддельных зеркал.
Переходите на проверенные обменные пункты и мониторинги только через закладки браузера или официальные каталоги. Никогда не кликайте по рекламным объявлениям с пометкой «Реклама/Sponsored» в поисковиках — там чаще всего размещаются копии с дрейнерами.
2.Ручная настройка суммы разрешения:Убираем неограниченные аппрувы.
Когда кошелек запрашивает одобрение токена (Approve), не нажимайте кнопку «По умолчанию» (Default / Max). Кликните по сумме и впишите ровно столько, сколько меняете в рамках текущей заявки. Если сумма заявки 300 USDT — разрешайте списание ровно 300 USDT.
3.Контроль через окно симулятора:
Перед финальным нажатием кнопки «Подтвердить» сверьте графы Assets In (что уходит с кошелька) и Assets Out (что зачисляется). Убедитесь, что контракт запрашивает доступ только к той монете, которую вы продаете.
4.Очистка аппрува после завершения сделки:
Как только фиат получен на карту или встречная криптовалюта зачислена, перейдите на Revoke.cash и закройте разрешение для смарт-контракта обменного сервиса.
Разделение кошельков: главное правило криптообмена
Самый эффективный способ обезопасить себя от любых технических уязвимостей смарт-контрактов — жесткая сегментация адресов:
- Накопительный кошелек (Safe / Аппаратный кошелек): адрес, на котором лежат основные сбережения. Он никогда не подключается к обменным пунктам, P2P-шлюзам и децентрализованным сайтам.
- Транзитный (обменный) кошелек: горячий адрес исключительно для совершения сделок. Вы переводите на него ровно ту сумму, которую планируете обменять прямо сейчас, оформляете заявку и отправляете средства.
Даже если транзитный адрес наткнется на вредоносный смарт-контракт, ущерб ограничится только текущей суммой обмена, а основной капитал останется в полной безопасности.
