Если судить только по заголовкам, легко подумать, что безопасность крипты — это потерянное дело. Но это не так — хотя ставки стали выше. Независимые исследователи оценивают, что в первой половине 2025 года было украдено более 2,17 миллиарда долларов в крипте, в основном из-за нескольких крупных инцидентов и постоянного потока мошенничеств с дрейнерами кошельков. Самый крупный грабеж года (взлом Bybit) составляет около 1,5 миллиарда долларов, и аналитики предупреждают, что украденные средства из сервисов могут превысить 4 миллиарда долларов к концу года, если тенденция сохранится.
Тем временем классические инвестиционные мошенничества продолжают бушевать. Последний отчет ФБР о киберпреступлениях показывает, что мошенничество с инвестициями в крипту остается самой дорогой категорией онлайн-преступлений в 2024 году — убытки превысили 6,5 миллиарда долларов, — в то время как Федеральная торговая комиссия США зафиксировала 12,5 миллиарда долларов общих убытков от мошенничества в прошлом году по всем категориям. Эти цифры объясняют, почему базовая операционная безопасность больше не является опцией.
1) Используйте устойчивую к фишингу двухфакторную аутентификацию
Коды по SMS и push-уведомления можно перехватить или подделать в атаках «противник в середине» (AiTM). Когда ваша биржа или кошелек это поддерживает, перейдите на passkeys по стандарту FIDO2/WebAuthn или аппаратный ключ безопасности — они криптографически привязывают вашу авторизацию к реальному сайту, так что клонированные страницы не смогут украсть ваш второй фактор. CISA называет устойчивую к фишингу MFA «золотым стандартом» и предоставляет краткий факт-лист, чтобы помочь вам оценить варианты.
2) Разделяйте горячие и холодные средства
Храните средства для торговли в «горячем» кошельке; долгосрочные холдинги размещайте в холодном хранении (аппаратный кошелек или оффлайн-подписант). Таким образом, плохая подпись или скомпрометированное устройство не сможет поставить под угрозу весь ваш стек. Аудиторы безопасности, отслеживающие инциденты по цепочкам, выявили убытки более 2,28 миллиарда долларов только в первой половине 2025 года; минимизация вашего открытого баланса ограничивает радиус поражения, если что-то пойдет не так.
3) Подписывайте безопасно — или не подписывайте вовсе
Большинство розничных убытков теперь начинается с вредоносной подписи на сайте, который выглядит легитимно. Перед одобрением чего-либо:
- Прочитайте область разрешений (просит ли dApp «неограниченные траты» на токен, которого она не должна касаться?).
- Предпочитайте кошельки, которые «очеловечивают» подписи (показывая четкое резюме того, что произойдет).
После завершения работы с dApp отзывайте одобрения для токенов, которые больше не нужны. Это лучший антидот против дрейнеров кошельков, которые полагаются на вечные разрешения. Group-IB и другие команды по угрозам продолжают документировать наборы «дрейнер как услуга», которые массово фишат пользователей на плохие одобрения.
4) Считайте каждое личное сообщение ловушкой — и проверяйте «поддержку»
Самые крупные долларовые убытки не всегда от эксплойтов кода; они от социальной инженерии. Атакующие теперь сочетают дипфейковые голоса, фальшивые профили в LinkedIn и поддельные «команды безопасности», чтобы заставить вас установить плагин или подписать «верификационную» транзакцию. ФБР связывает большинство самых дорогих онлайн-мошенничеств с схемами инвестиций в крипту, а предупреждения FTC для потребителей показывают, насколько убедительно мошенники имитируют вакансии, гранты или платформы «заданий», чтобы выманить первоначальные депозиты. Выработайте привычку: никогда не доверяйте входящим обращениям; инициируйте контакт через официальные каналы сами.
5) Следите за макроугрозой: хаки, связанные с государствами
Это не только розница. Акторы, связанные с государствами, продолжают опустошать биржи и протоколы, и их методы отмывания становятся все изощреннее с каждым годом. Новый анализ Elliptic приписывает более 2 миллиардов долларов украденной крипты группам, связанным с Северной Кореей, только в 2025 году, доводя кумулятивный итог режима выше 6 миллиардов долларов. Когда эти кампании активизируются, фишинг и вредоносное ПО, нацеленные на индивидуальных трейдеров, тоже резко возрастают — потому что отмывание начинается с свежей ликвидности. Оставайтесь скептичны по отношению к внезапным «возможностям», особенно в недели с горячими новостями.
6) Предпочитайте смарт-аккаунты и лимиты трат, когда это возможно
Абстракция аккаунтов (ERC-4337) и новые стандарты кошельков позволяют использовать сессионные ключи, лимиты трат и даже белые списки транзакций — все это снижает ущерб от одного плохого клика. Если ваша цепочка и кошелек поддерживают смарт-аккаунты, включите лимиты на dApp или дневные капы для ценных токенов; это ближайший аналог «лимитов кредитной карты» в крипте. Хорошие вводные материалы по ERC-4337 объясняют, почему эти функции меняют модель рисков для повседневных пользователей.
7) Имейте план восстановления, который можно потренировать
Резервное копирование вашего seed/Секретной фразы восстановления должно быть оффлайн (бумага + металл), и рассмотрите passphrase или многочастную схему только если вы можете надежно ее поддерживать. Проведите тестовое восстановление на запасном устройстве до того, как оно понадобится. Чек-лист Cointelegraph охватывает основы; главный момент — операционный: протестированный план — это разница между неудобством и катастрофой.
Что изменилось в 2025 году
Дрейнеры кошельков стали индустриальными. Команды по разведке угроз отслеживают наборы, которые маскируются под налоговые органы, дашборды DeFi или лаунчпады и проводят жертв через сценарий «проверь и забери». Цель та же: получить широкое одобрение токена и опустошить его позже. Относитесь к любому сайту, запрашивающему доступ к полному балансу, как к враждебному, пока не доказано обратное.
Убытки сконцентрированы, но розница продолжает страдать. Обновление Chainalysis на середину года показывает, что 2025 год уже обгоняет 2024-й по украденным средствам, с хаки сервисов, доминирующими в пироге, — но доля краж из личных кошельков тоже растет. Именно это достигают все эти наборы дрейнеров: они масштабируют розничные кражи.
Дипфейки теперь часть арсенала мошенников. Банки и госагентства публикуют руководства по распознаванию ИИ-генерированного аудио/видео, используемого в социальной инженерии. Если кто-то «из поддержки» звонит вам по поводу срочной проблемы с кошельком, бросьте трубку и обратитесь через официальные каналы, которые найдете сами.
Почему эти привычки важны
Отчеты по безопасности расходятся в общих итогах, но все согласны в направлении: убытки растут — и большинство из них можно предотвратить лучшей гигиеной. Будь то обновление Chainalysis о преступлениях на середину года или сводки аудиторов за первую половину 2025 года, тенденция одна: под риском больше ценности, а атакующие быстрее вооружаются социальной инженерией плюс слабой 2FA. Хорошая новость в том, что те же 3–4 привычки — устойчивая к фишингу MFA, безопасная подпись/гигиена одобрений, разделение горячих/холодных средств и протестированное восстановление — нейтрализуют большинство атак потребительского уровня. Сделайте их мышечной памятью, и вы уже сделаете больше для своего стека, чем любой хайповый инструмент из заголовков.