Никогда не сообщайте сид-фразу поддержке, разработчикам кошелька, сотрудникам биржи, страницам аирдропа или «сервисам восстановления». Это не средство проверки личности, а полномочие заново создать кошелёк и переместить его активы.
Сам запрос уже является предупреждением#
Мошенники придумывают технические объяснения, потому что прямой запрос звучал бы абсурдно. Они называют фразу кодом валидации, ключом синхронизации, миграционной фразой, ключом исправления кошелька или комплаенс-копией. Новое название не меняет её полномочий.
Децентрализованное приложение может попросить подключить кошелёк или подписать запрос. Базовые слова восстановления ему не нужны. Производитель аппаратного кошелька диагностирует устройство без фразы. Биржа может проверять личность владельца аккаунта, но ей не нужен секрет самостоятельного кошелька.
Какие истории используют для получения фразы#
«Кошелёк нужно синхронизировать»
Атакующий присылает ссылку на поддельную форму для всех слов. Настоящий кошелёк восстанавливается локально в официальном приложении, а не через универсальную веб-форму.
«Поддержке нужно исправить неудачную транзакцию»
Блокчейн-транзакции изучают по публичным адресам и хешам. Сид-фраза для их просмотра не требуется.
«Получите или разблокируйте аирдроп»
Страница может напрямую запросить слова или после подключения показать вредоносную подпись. Неожиданная награда — не повод раскрывать полномочия.
«Мы вернём украденное»
Мошенники по возврату обращаются к испуганным жертвам, готовым поверить второму незнакомцу. Запросивший фразу человек способен украсть всё оставшееся.
Почему пароль кошелька не спасает#
Пароль обычно защищает данные на одном устройстве. Сид-фраза создаёт ключи в другом совместимом кошельке, обходя пароль, биометрию и сеанс расширения.
Смена пароля после раскрытия не заменяет производные приватные ключи. Нужно создать новые данные восстановления и перевести активы на созданные из них адреса.
Если вы уже отправили слова#
Считайте, что они у злоумышленника, даже если переводов пока нет.
- На доверенном устройстве создайте кошелёк с новой фразой.
- Тщательно проверьте адрес назначения.
- Перенесите оставшиеся нативные активы и токены с учётом комиссий и разрешений.
- Перестаньте использовать все аккаунты из старой фразы.
- Сохраните сообщения мошенника, домен и данные транзакций.
Не создавайте «новый аккаунт» под той же фразой: атакующий также может его получить.
Часто задаваемые вопросы#
Можно ли безопасно сообщить одно или два слова?
Поддержке не нужны даже фрагменты. Частичное раскрытие снижает секретность и может сочетаться с другими утечками.
Можно ли вводить фразу в официальный кошелёк?
Только при восстановлении, которое вы сами начали в проверенной программе. Сначала проверьте приложение, устройство и обстановку.
Выдаёт ли биржа сид-фразу?
Обычный кастодиальный аккаунт использует данные входа и не выдаёт пользователю сид кошельков биржи. Некоторые продукты предлагают отдельный самостоятельный кошелёк — определите, каким именно продуктом вы пользуетесь.
QR-код фразы безопаснее слов?
Нет. Он кодирует тот же секрет и копируется любой камерой или читающим приложением.
Источники#
- MetaMask: защита Secret Recovery Phrase
- Trezor: распространённые схемы и фишинг
- Ethereum.org: безопасность и предотвращение мошенничества
Предупреждение о рисках: после раскрытия фразы восстановления считайте скомпрометированными все производные аккаунты и переходите на новые данные восстановления.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
