Krótka odpowiedź
Czym jest wallet drainer?
Crypto wallet drainer to zestaw phishingowy, zwykle wynajmowany jako usługa, który pokazuje fałszywą lub przejętą prawdziwą stronę, prosi odwiedzającego o połączenie portfela i podpisanie, a potem wyprowadza aktywa. ScamSniffer policzył $83.85M skradzionych od 106,106 ofiar w 2025 roku. Wardmint rejestruje podobne nazwy, które projekt może zająć, zanim zrobią to atakujący.
Straty z phishingu drainerów portfeli na EVM, 2023 do 2025
| Rok | Losses | Victims | Przypadki od $1M lub więcej |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
Rodzaje podpisów, o które proszą drainery
| Signature type | Na co ofiara faktycznie się zgadza | Reported in 2025 |
|---|---|---|
| approve | Wskazany adres może wydać określoną kwotę jednego tokena | Wymieniony jako częsty typ |
| permit / Permit2 | Ta sama zgoda, udzielona podpisem poza łańcuchem, bez transakcji on-chain od ofiary | 38% strat w przypadkach od $1M wzwyż ($8.72M, 3 przypadki); największa kradzież 2025, $6.5M we wrześniu, użyła podpisu Permit |
| setApprovalForAll | Wskazany adres może przenieść każdy NFT z kolekcji | Wymieniony jako częsty typ |
| increaseApproval, Transfer | Większa zgoda lub bezpośredni transfer tokenów | Wymienione jako typy w użyciu |
| EIP-7702 batch | Delegowany kod konta, który wykonuje kilka działań naraz | Pojawił się po aktualizacji Pectra; 2 duże przypadki w sierpniu, $2.54M |
Jak działa wallet drainer?
Działa w trzech krokach: przynęta, połączenie, podpis. Przynętą jest link w wiadomości, reklamie lub profilu społecznościowym, który prowadzi do strony kopiującej prawdziwy projekt. Strona prosi o połączenie portfela, co ujawnia adres i posiadane tokeny. Zestaw buduje potem jedno lub więcej żądań podpisu, które wyglądają rutynowo, np. odbiór, mint lub weryfikację. Gdy ofiara podpisze, operator używa zgody lub transferu, by zabrać aktywa, zwykle w ciągu chwil.
ScamSniffer definiuje wallet drainer jako infrastrukturę phishingową na złośliwych stronach, która nakłania użytkowników do podpisania szkodliwych transakcji, co pozwala na szybką ekstrakcję. Zestaw nie potrzebuje frazy seed. Użytkownik dobrowolnie przekazuje uprawnienie, dlatego strona, która o nie prosi, musi wyglądać wiarygodnie, i dlatego domena, na której stoi, ma takie znaczenie.
Skąd drainery biorą domeny?
Używają podobnych domen zarejestrowanych na potrzeby kampanii, a coraz częściej domeny projektu po przejęciu. Najprostsza droga to podobna domena: examplecoin-claim.xyz lub examplecoin-airdrop.com, kopia strony projektu, przycisk połączenia. Warianty tego rodzaju opisuje jakie rodzaje podobnych domen wybierają phisherzy, a wzorzec airdropów omawia jak działają fałszywe strony odbioru airdropów i domeny phishingowe.
Droga przez przejęcie omija podobną domenę. Blockaid przypisał pięć kompromitacji frontendów z 16 do 23 lutego 2026 usłudze AngelFerno drainer, wcześniej znanej jako Inferno, z certyfikatami SSL wydanymi tego samego dnia co zmiana DNS. The Block poinformował, że około tuzina stron DeFi zarejestrowanych w Name.com zostało przekierowanych wieczorem 30 października 2026 i załadowano na nie Step Drainer, zestaw narzędzi malware-as-a-service, a około $138,000 prześledzono do trzech portfeli EVM. W obu przypadkach odwiedzający wpisał prawdziwy adres.
Ile kradną drainery i czy to spada?
ScamSniffer podaje, że straty z drainerów spadły w 2025 roku o 83%, do $83.85M, podczas gdy szerszy obraz oszustw rósł. Suma z 2025 to ułamek $494M z 2024, a liczba ofiar spadła o 68%. Raport policzył 11 przypadków na $1M lub więcej wobec 30 w 2024. Stwierdził też, że podpisy Permit i Permit2 stanowiły 38% strat w dużych przypadkach, a szczytowym miesiącem był sierpień 2025 z $12.17M i 15,230 ofiarami.
Spadająca suma nie oznacza bezpiecznej bazy użytkowników. Chainalysis w raporcie z 13 stycznia 2026 oszacował oszustwa i wyłudzenia kryptowalutowe na co najmniej $14 miliardów wpłaconych on-chain w 2025 roku, z oszustwami podszywania się wzrostem o ponad 1,400% względem 2024 i średnią płatnością w oszustwie rosnącą z $782 do $2,764. Drainery są jednym z narzędzi w tym obrazie, a tekst Chainalysis podaje, że oszustwa z użyciem zestawów phishingowych były w ujęciu dolarowym znacznie skuteczniejsze niż zwykłe. Dotyczy to też zastrzeżenia ScamSniffera: jego liczba obejmuje tylko drainery na stronach phishingowych.
Co projekt może zrobić, by drainery nie używały jego nazwy?
Zajmij oczywiste nazwy, wzmocnij prawdziwą i zadbaj o szybkie zgłaszanie. Według badania Wardmint z 12 listopada 2026, 40 z 50 największych projektów crypto nie miało zarejestrowanej nazwy -claim .com, a 39 z 50 nie miało zarejestrowanej nazwy -airdrop .com w RDAP, więc dokładne słowa, których potrzebuje przynęta claim, były otwarte dla każdego. Pełne wyniki, wraz z 171 z 578 wariantów (29.6%) wolnych, są na stronie audyt obronnych domen projektów crypto 2026.
Projekt może działać na cztery sposoby. Zarejestruj własne warianty i przekieruj je na oficjalną stronę; zbiór domen phisherów (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) kosztuje $212.41 rocznie. Wzmocnij konto rejestratora i DNS według listy kontrolnej bezpieczeństwa domeny projektu crypto. Znajdź istniejące podobne domeny darmowymi narzędziami z jak znaleźć podobne domeny swojej marki. I zgłaszaj każdą działającą, postępując według jak zgłosić domenę phishingową. Wardmint sprzedaje wyłącznie rejestracje, bez monitoringu i usuwania, i rejestruje warianty projektu, nigdy cudze marki.
Co może zrobić użytkownik przed podpisaniem?
Przeczytaj, co portfel mówi, że zrobi, i traktuj każde żądanie, którego nie rozpocząłeś, jako wrogie. Żądanie połączenia na stronie, do której trafiasz z reklamy lub wiadomości, to moment, by się zatrzymać. Otwórz projekt z zakładki lub z jego zweryfikowanych kanałów, sprawdź, czy adres jest dokładnie tym, który projekt ogłosił, i przeczytaj monit o podpisie. Prośba o zatwierdzenie wydatków tokena, zatwierdzenie całej kolekcji NFT lub podpisanie Permit dla odbioru to wzorzec z tabeli powyżej. Trzymaj długoterminowe aktywa w portfelu, którego nie używasz do łączenia z nowymi stronami.
Projekty mogą pomagać użytkownikom, ogłaszając jeden oficjalny adres przed każdym wydarzeniem. Zasada do cytowania: uprawniony odbiór nigdy nie wymaga frazy seed, a podpis, który przyznaje zgodę, nie jest odbiorem.
Pytania o drainery portfeli
Czy wallet drainer to malware na moim komputerze?
Zwykle nie. Drainery w tych raportach działają jako skrypty na stronie phishingowej i działają przez portfel, który połączysz. Ryzyko pochodzi z podpisu, który dajesz, a nie z oprogramowania zainstalowanego na urządzeniu.
Dlaczego drainer nie potrzebuje mojej frazy seed?
Podpisane zatwierdzenie lub Permit daje atakującemu prawo do przeniesienia Twoich tokenów bez żadnego klucza. Uprawnienie przyznaje podpis i trwa, dopóki nie zostanie cofnięte lub użyte.
Czy straty z drainerów naprawdę spadły w 2025?
Tak, według danych ScamSniffer spadły o 83% do $83.85M przy 106,106 ofiarach, z $494M w 2024. Raport obejmuje tylko drainery na stronach phishingowych i jest dolną granicą.
Czy rejestracja domen może powstrzymać drainery?
Usuwa nazwy, których operator drainera spróbowałby najpierw, takie jak nazwa projektu z dodanym claim lub airdrop. Nie zatrzymuje ataków na inne słowa, subdomeny na platformach hostingowych ani przejęcia prawdziwej domeny.
Co projekt powinien zrobić po znalezieniu strony drainera?
Zgłosić domenę rejestratorowi i hostowi, dodać ją do list blokad, ostrzec użytkowników we wszystkich zweryfikowanych kanałach i zapisać zrzuty ekranu na wypadek późniejszego sporu. Kolejność zgłoszeń opisuje przewodnik Wardmint o zgłaszaniu domeny phishingowej.
Podsumowanie
- Wallet drainer to zestaw phishingowy, który uzyskuje podpis i przenosi aktywa, bez potrzeby frazy seed.
- ScamSniffer: $83.85M i 106,106 ofiar w 2025 roku wobec $494M i 332,000 w 2024.
- Permit i Permit2 stanowiły 38% strat w przypadkach $1M lub więcej; największa była na $6.5M we wrześniu 2025.
- Drainery działają na podobnych domenach i na przejętych prawdziwych domenach (raporty z lutego i października 2026).
- Chainalysis (13 stycznia 2026): co najmniej $14 miliardów oszustw kryptowalutowych wpłaconych on-chain w 2025.
- 40 z 50 nazw -claim .com i 39 z 50 nazw -airdrop .com największych projektów było wolnych 12 listopada 2026.
- Wardmint sprzedaje rejestracje, nie monitoring ani usuwanie; dziewięć rozszerzeń dla phisherów kosztuje $212.41 rocznie.
Źródła (4)
- Scam Sniffer: straty z phishingu kryptowalutowego w 2025 spadają o 83% do $84 million — ScamSniffer, 3 January 2026 (odczytano 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (odczytano 2026-11-12)
- Przejęcie front-endu i powierzchnia ataku Web2 zagrażająca protokołom Web3 — Blockaid, 19 March 2026 (odczytano 2026-11-12)
- Hakerzy przejmują tuzin witryn DeFi zarejestrowanych w Name.com — The Block, 31 October 2026 (odczytano 2026-11-12)