Эксперты рассказали о возвращении криптодрейнеров в Россию

Компания F6, специализирующаяся на разработке решений в сфере кибербезопасности, сообщает о возникновении новой волны мошеннических схем, связанных с хищением криптовалюты. В поле зрения экспертов попали как минимум три преступные группы, которые организовали кампанию против российских пользователей, маскируя свои действия под легальные инвестиционные проекты и партнерские программы. Об этом IT Speaker рассказали в F6.

Специалисты из подразделения F6 Digital Risk Protection зафиксировали всплеск активности злоумышленников в период с конца мая по начало июня, когда в сети появилось не менее пятнадцати фишинговых сайтов, оснащенных криптодрейнерами. Эти вредоносные инструменты активируются в момент авторизации пользователя через официальное приложение криптокошелька, после чего с помощью нескольких технических запросов злоумышленники получают доступ к балансу и мгновенно выводят все средства со счетов жертвы.

Как пояснил IT Speaker аналитик по расследованиям AML/KYT провайдера «Шард» Дмитрий Пойда, кража с использованием криптодрейнеров – не классический взлом. Злоумышленники эксплуатируют человеческий фактор, чтобы владелец кошелька собственноручно авторизовал вредоносное действие.

Он подчеркивает, что пользователи уже научились не передавать приватные ключи, но далеко не все осознают: «Цифровая подпись транзакции или выдача разрешений смарт-контракту по своим последствиям может быть сопоставима с оформлением нотариальной доверенности на распоряжение собственными активами».

Приманкой для потенциальных инвесторов служит обещание открыть счет с получением бонуса в размере 50 USDT. Для участия пользователю предлагают подключить кошелек через сканирование QR-кода, после чего жертву просят подписать запрос, который фактически является разрешением на передачу всех токенов и NFT. Помимо этой схемы, группировки применяют альтернативные сценарии, включая розыгрыши и покупку звезд для Telegram. По данным F6, заявки на блокировку обнаруженных ресурсов уже направлены, однако эксперты предупреждают, что мошенники способны быстро создавать новые домены. Дмитрий Пойда отмечает, что блокировка носит лишь превентивный характер, а ключевым элементом защиты остается осведомленность пользователей.

«Криптодрейнеры теперь предлагаются по модели Drainer-as-a-Service – разработчики продают готовые инструменты хакерам с низкой квалификацией, получая процент от украденного», – рассказал IT Speaker директор по маркетингу Web3 Tech Матвей Войтов.

Он также объясняет переориентацию на русскоязычных инвесторов ростом рынка и увеличением числа активных пользователей из России. В свою очередь, Дмитрий Пойда добавляет, что преступникам больше не нужно искать уязвимости в коде – гораздо эффективнее создать убедительную легенду. Несколько месяцев назад использовались фальшивые AML-проверки, сегодня – инвестиционные бонусы, но механизм неизменен – объектом атаки становится доверие.

Наибольшему риску, по словам Пойды, подвержены те, кто активно совершает P2P-обмены, участвует в аирдропах и регулярно подключает кошельки к новым сервисам. Он советует отказаться от операции, если сайт требует подписать запрос, смысл которого до конца не понятен.

Матвей Войтов прогнозирует обострение ситуации на фоне ожидания новой волны инвесторов из-за вступления в силу законопроекта с 1 июля 2026 года. При этом он отмечает, что развитие регулирования создает и механизмы защиты: для бизнеса становится обязательным переход на легальные кастодиальные платформы под надзором ЦБ, что позволяет избегать санкционных рисков.

Эксперты сходятся во мнении, что сценарии атак будут адаптироваться под любую информационную повестку. Как резюмирует Дмитрий Пойда, для преступников не имеет значения предлог – проверка AML, аирдроп или инвестпрограмма, – важно лишь заставить человека самостоятельно предоставить смарт-контракту полномочия на распоряжение активами. Владельцам криптовалют настоятельно рекомендуют проявлять предельную осторожность при работе с сайтами, эксплуатирующими громкие новостные поводы, и помнить, что любое подключение к непроверенному ресурсу может привести к полной потере средств.

Ранее компания F6 вошла в пятерку лидеров среди российских вендоров решений для защиты инфраструктуры. Такой вывод содержится в исследовании Центра стратегических разработок, выпущенном в мае 2026 года под названием «Рынок информационной безопасности РФ: текущее состояние и перспективы развития до 2031 года».