Кратко
Что такое дрейнер криптокошелька?
Дрейнер криптокошелька — это фишинговый набор, обычно сдаваемый в аренду как услуга, который показывает поддельный сайт или захваченный настоящий, просит посетителя подключить кошелёк и подписать, а затем выводит активы. ScamSniffer насчитал $83.85M, украденных у 106,106 жертв в 2025 году. Wardmint регистрирует похожие имена, которые проект может занять раньше атакующих.
Потери от фишинга дрейнеров в сетях EVM, 2023–2025
| Год | Losses | Victims | Случаи от $1M и выше |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
Типы подписей, которые запрашивают дрейнеры
| Signature type | Что жертва фактически разрешает | Reported in 2025 |
|---|---|---|
| approve | Названный адрес может тратить заданную сумму одного токена | Указан как распространённый тип |
| permit / Permit2 | Тот же allowance, выданный внесетевой подписью без on-chain транзакции жертвы | 38% потерь в случаях от $1M и больше ($8.72M, 3 случая); крупнейшая кража 2025 года, $6.5M в сентябре, использовала подпись Permit |
| setApprovalForAll | Названный адрес может перевести все NFT коллекции | Указан как распространённый тип |
| increaseApproval, Transfer | Больший allowance или прямой перевод токена | Указан как типы в использовании |
| EIP-7702 batch | Делегированный код аккаунта, который выполняет несколько действий сразу | Появился после обновления Pectra; 2 крупных случая в августе, $2.54M |
Как работает дрейнер кошелька?
Работает в три шага: приманка, подключение, подпись. Приманка — ссылка в сообщении, рекламе или профиле в соцсети, которая ведёт на страницу, копирующую настоящий проект. Страница просит посетителя подключить кошелёк, что раскрывает адрес и токены на нём. Набор затем создаёт один или несколько запросов на подпись, которые выглядят рутинными, например claim, mint или верификация. Как только жертва подписывает, оператор использует одобрение или перевод, чтобы забрать активы, обычно в считанные мгновения.
ScamSniffer определяет дрейнер кошелька как фишинговую инфраструктуру на вредоносных сайтах, которая побуждает пользователей подписывать вредоносные транзакции и позволяет быстро вывести средства. Набору не нужна seed-фраза. Пользователь добровольно предоставляет полномочия, поэтому страница, которая их просит, должна выглядеть правдоподобно, и поэтому домен, на котором она стоит, так важен.
Откуда дрейнеры берут домены?
Они используют похожие домены, зарегистрированные для кампании, и всё чаще — собственный домен проекта после захвата. Путь через похожий домен — простой: examplecoin-claim.xyz или examplecoin-airdrop.com, копия страницы проекта, кнопка подключения. Варианты такого рода описаны в какие виды похожих доменов регистрируют фишеры, а схема с airdrop — в как работают поддельные сайты claim airdrop и фишинговые домены.
Путь через захват обходит похожий домен. Blockaid отнёс пять компрометаций фронтенда 16–23 февраля 2026 к сервису дрейнеров AngelFerno, ранее известному как Inferno, с новыми SSL-сертификатами, выпущенными в тот же день, что и смена DNS. The Block сообщил, что около дюжины DeFi-сайтов у Name.com перенаправили вечером 30 октября 2026 и загрузили Step Drainer, инструментарий malware-as-a-service, с около $138,000, прослеженными до трёх EVM-кошельков. В обоих случаях посетитель вводил настоящий адрес.
Сколько похищают дрейнеры и снижаются ли потери?
ScamSniffer сообщает, что потери от дрейнеров упали на 83% в 2025 году, до $83.85M, тогда как общая картина мошенничества выросла. Итог 2025 года — доля от $494M в 2024, а число жертв сократилось на 68%. В отчёте учтено 11 случаев на $1M и больше против 30 в 2024. Также подписи Permit и Permit2 составили 38% потерь в крупных случаях, а пиковым месяцем был август 2025 с $12.17M и 15,230 жертвами.
Падающий итог не означает безопасной пользовательской базы. Chainalysis в отчёте от 13 января 2026 оценил крипто-мошенничество не менее чем в $14 млрд, поступивших on-chain в 2025, при росте выдачи себя за другого более чем на 1,400% к 2024 и среднем платеже мошенникам, выросшем с $782 до $2,764. Дрейнеры — один инструмент в этой картине; текст Chainalysis сообщает, что мошенничество с фишинговыми наборами было в долларах гораздо эффективнее обычного. Оговорка самого ScamSniffer тоже применима: его цифра учитывает только дрейнеры на фишинговых сайтах.
Что может сделать проект, чтобы дрейнеры не использовали его имя?
Займите очевидные имена, укрепите основное и ускорьте сообщения о нарушениях. По опросу Wardmint от 12 ноября 2026, у 40 из 50 крупнейших крипто-проектов не было зарегистрированного имени -claim .com, а у 39 из 50 — -airdrop .com, по данным RDAP; так точные слова, нужные приманке claim, были открыты любому. Полные результаты, с 171 из 578 вариантов (29.6%), свободных, — на странице аудит защитных доменов крипто-проектов 2026.
Проект может действовать четырьмя способами. Зарегистрировать собственные варианты и перенаправить их на официальный сайт; набор фишеров (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) стоит $212.41 в год. Укрепить аккаунт регистратора и DNS по чек-листу безопасности доменов для крипто-проекта. Найти существующие похожие домены бесплатными инструментами из как найти похожие домены вашего бренда. И сообщить о живом таком домене по как сообщить о фишинговом домене. Wardmint продаёт только регистрации, не мониторинг и не снятие, и регистрирует собственные варианты проекта, никогда — чужого бренда.
Что может сделать пользователь перед подписью?
Читайте, что кошелёк говорит, что он сделает, и считайте любой запрос, который вы не начинали, враждебным. Запрос на подключение на странице, открытой из рекламы или сообщения, — это место, где нужно остановиться. Откройте проект из закладки или из проверенных каналов, убедитесь, что адрес — именно тот, что проект объявил, и прочитайте запрос подписи. Запрос на одобрение траты токена, на одобрение всей NFT-коллекции или на подпись Permit для claim — это шаблон из таблицы выше. Держите долгосрочные активы в кошельке, которым вы не пользуетесь для подключения к новым сайтам.
Проекты могут помогать пользователям, объявляя один официальный адрес перед каждым событием. Правило для цитирования: легитимный claim никогда не требует seed-фразы, а подпись, которая даёт allowance, — это не claim.
Дрейнеры кошельков: вопросы
Является ли дрейнер кошелька вредоносной программой на моём компьютере?
Обычно нет. Дрейнеры в этих отчётах работают как скрипты на фишинговом сайте и действуют через кошелёк, который вы подключили. Риск исходит от подписи, которую вы даёте, а не от программы, установленной на устройстве.
Почему дрейнеру не нужна моя seed-фраза?
Подписанное одобрение или Permit даёт атакующему право переводить ваши токены без какого-либо ключа. Полномочие выдаёт подпись, и оно остаётся действительным, пока не отозвано или не использовано.
Потери от дрейнеров действительно упали в 2025?
Да, по данным ScamSniffer они упали на 83% до $83.85M у 106,106 жертв, с $494M в 2024. Отчёт учитывает только дрейнеры на фишинговых сайтах и является нижней границей.
Может ли регистрация доменов остановить дрейнеры?
Она убирает имена, которые оператор дрейнера попробовал бы первыми, например название проекта с добавленными claim или airdrop. Она не останавливает атаки на другие слова, поддомены на хостинг-платформах или захват настоящего домена.
Что должен сделать проект после обнаружения сайта дрейнера?
Сообщить о домене регистратору и хосту, добавить в блоклисты, предупредить пользователей во всех проверенных каналах и сохранить скриншоты на случай спора. Порядок сообщений описан в руководстве Wardmint о сообщении о фишинговом домене.
Вкратце
- Дрейнер кошелька — фишинговый набор, который получает подпись и выводит активы; для него не нужна seed-фраза.
- ScamSniffer: $83.85M и 106,106 жертв в 2025 году, против $494M и 332,000 в 2024.
- Permit и Permit2 составили 38% потерь в случаях $1M и больше; крупнейшая кража — $6.5M в сентябре 2025.
- Дрейнеры работают на похожих доменах и на захваченных настоящих доменах (отчёты февраля и октября 2026).
- Chainalysis (13 января 2026): не менее $14 млрд криптомошенничества поступило on-chain в 2025.
- 40 из 50 имён -claim .com и 39 из 50 -airdrop .com крупнейших проектов были свободны 12 ноября 2026.
- Wardmint продаёт регистрации, а не мониторинг или снятие; девять фишинговых окончаний стоят $212.41 в год.
Источники (4)
- Scam Sniffer 2025: потери от крипто-фишинга упали на 83% до $84 млн — ScamSniffer, 3 January 2026 (прочитано 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (прочитано 2026-11-12)
- Перехват фронтенда и поверхность атаки Web2, угрожающая протоколам Web3 — Blockaid, 19 March 2026 (прочитано 2026-11-12)
- Хакеры перехватили дюжину сайтов DeFi, зарегистрированных в Name.com — The Block, 31 October 2026 (прочитано 2026-11-12)