Криптодрейнер списал токены: как остановить доступ и собрать доказательства

Остановить подписи и изолировать подозрительное устройство

Закройте вкладку, отключите кошелёк от dApp и не подтверждайте «отмену», присланную тем же сайтом. Обычная команда disconnect убирает соединение интерфейса, но не всегда отменяет выданное смарт-контракту разрешение. Снимите экран с доменом, временем, запросом подписи и историей операций. Затем используйте отдельное доверенное устройство для проверки адреса через публичный обозреватель.

Если могла быть раскрыта seed-фраза или установлен вредоносный файл, считайте скомпрометированным весь кошелёк, а не один токен. Не вводите seed в неизвестный «revoke-сервис». Создайте новый кошелёк с новой seed-фразой на чистом устройстве и продумайте порядок переноса остатка: злоумышленник может следить за поступлением газа и автоматически выводить активы.

Разобрать, что было подписано: approval, Permit или перевод

Выпишите TxID, сеть, адрес кошелька, контракт токена, адрес spender, сумму и время UTC. Классический approve изменяет лимит, который spender может расходовать через transferFrom. Подпись Permit или Permit2 может не выглядеть как немедленная транзакция, но позже использоваться для списания. Прямая отправка токена, разрешение и внутренняя операция контракта — разные записи и требуют разного объяснения.

Сопоставьте первый подозрительный контакт с последующими списаниями. Сохраните calldata и decoded method из обозревателя, но не полагайтесь только на автоматическую расшифровку. Укажите все активы и сети: отзыв доступа в Ethereum не отменяет разрешение в другой EVM-сети. Если списание произошло с централизованной биржи, это уже сценарий компрометации аккаунта, а не только drainer.

Отозвать разрешения и безопасно перенести остаток

Используйте встроенный раздел кошелька либо известный инструмент, на который ведёт официальная документация, и вручную сверяйте сеть, адрес и spender. Отзывайте ненужные разрешения, начиная с тех, где доступ неограничен и актив ещё остаётся. Отзыв — новая on-chain транзакция с комиссией; её TxID тоже сохраните. Не подписывайте пакет, смысл которого не понимаете.

Не отправляйте газ на старый адрес без плана. Автоматический sweeper может забрать его раньше, чем вы выполните спасательную транзакцию.

Как зафиксировать drainer-инцидент в двух регионах

Не приносите seed-фразу в распечатке и не позволяйте «эксперту» восстанавливать кошелёк на его устройстве. Для заявления достаточно публичного адреса, воспроизводимых транзакций и описания контроля до инцидента.

Описать признаки доступа, не подменяя квалификацию

В заявлении укажите, какую подпись вы видели, понимали ли её смысл, какие разрешения возникли и какие операции не совершали. Если сайт подменил содержание, приложение получило неправомерный доступ или использовался вредоносный код, это требует проверки технических обстоятельств. Статьи УК РФ выбирает уполномоченный орган; заявителю не нужно доказывать состав преступления готовой формулой.

Закон № 259-ФЗ не отменяет approvals и не возвращает токены. Российская уголовно-процессуальная рамка допускает меры в отношении цифровой валюты, но только при наличии оснований и технической точки контроля. TxID, отчёт по spender и сохранённый домен помогают проверке, однако не гарантируют, что актив останется на доступной бирже или будет изъят.

Завершить очистку и исключить повторное списание

Проверьте расширения браузера, установленные приложения, активные сессии, резервные копии seed-фразы и правила автозаполнения. Перевыпустите пароли и 2FA для связанной почты и бирж, удалите неизвестные API-ключи. Старый адрес оставьте в режиме наблюдения, если это безопасно, и сохраняйте новые TxID с UTC. Не используйте его для хранения нового актива только потому, что разрешения отозваны.

Остерегайтесь второго drainer под видом recovery: сайт может попросить подключить новый кошелёк и «подписать возврат». Проверяйте каждое действие в официальной документации и не платите комиссию частному лицу за гарантированное восстановление. Уже списанные токены требуют отдельной трассировки; revoke решает будущий риск, а не прошлую потерю.

Частые вопросы