3 офиса в Нижнем Новгороде
№1 по отзывам в НН · ★ 5.0 · 218 отзывов на Я.Картах
SОбмен52
Написать
Мошенничество

Approval phishing и дипфейки: как крадут USDT в 2026

Как мошенники с помощью дипфейков и approval phishing воруют USDT в 2026 году: реальные кейсы, механика атак, технические детали и способы защиты.

· ≈ 12 мин чтения

В июле 2026 года кто-то потерял ровно 999 999 USDT - почти миллион долларов - за 36 секунд. Не потому что взломали кошелёк. Не потому что утёк приватный ключ. Человек просто подписал транзакцию, которую ему показали как безобидный «verify wallet». Дрейнер-скрипт засёк отклонение первой попытки, скорректировал сумму под баланс и провёл три транзакции подряд: 639 999, 159 999 и 200 000 USDT. Всё это зафиксировал Scam Sniffer 9 июля 2026 года.

Это не единичный случай. По данным Chainalysis, только задокументированные потери от дипфейк-скамов в 2025-2026 годах превысили 600 млн долларов. Surfshark считает совокупный ущерб не менее 3,7 млрд долларов и замечает, что 89% из них пришлись на 2025 год и первое полугодие 2026-го. Реальная цифра ещё выше: большинство жертв не обращаются в полицию и не публикуют истории.

Что изменилось в 2026-м по сравнению с предыдущими волнами фишинга - так это связка двух технологий. Approval phishing сам по себе существовал годами. Дипфейки тоже не новость. Но когда их объединяют в одну атаку, у жертвы практически не остаётся шансов почувствовать подвох до момента подписания.

Что такое approval phishing и почему он не требует взлома кошелька

Классическое представление о краже крипты выглядит так: хакер получает приватный ключ и переводит всё себе. Approval phishing работает иначе, и в этом его опасность.

Атака эксплуатирует легитимный механизм блокчейна: стандарт ERC-20 позволяет владельцу токенов «одобрить» другой адрес для управления своими средствами. Это нужно, например, чтобы DEX мог списать токены при свопе. Проблема в том, что жертву убеждают одобрить не легитимный протокол, а адрес злоумышленника.

Технически жертва подписывает approve(drainer_address, unlimited), то есть буквально «разрешаю этому адресу тратить мои токены без ограничений». После подписания деньги ещё лежат на кошельке, но уже под чужим контролем. Когда именно дрейнер их заберёт - вопрос секунд.

Современные дрейнеры также используют EIP-2612 (permit), разновидность одобрения через подпись без on-chain транзакции. Это значит, что жертва даже не видит запрос в блокчейне до момента дрейна. А функция Multicall позволяет объединить несколько переводов в одну транзакцию. Именно так 999 999 USDT ушли тремя частями быстрее, чем человек успел бы открыть Etherscan.

По данным Scam Sniffer, в январе 2026 года потери от подписного фишинга выросли на 207% по сравнению с декабрём 2025-го. При этом число жертв даже упало на 11%: мошенники перешли к точечным атакам на крупные кошельки. В январе всего два человека составили 65% потерь за месяц.

Как дипфейки убеждают людей подписывать то, чего они не должны

Сам по себе фишинговый сайт с кнопкой «approve token» сработает на новичков. Опытного держателя USDT так просто не поймаешь. Вот здесь в игру входят дипфейки.

В марте 2026 года миллионы пользователей соцсетей увидели видео, где Илон Маск объявляет о раздаче крипты. Видео выглядело убедительно: мимика, интонации, фирменная манера речи - всё сгенерировано ИИ. Люди переходили по ссылке под роликом, попадали на «платформу раздачи», одобряли контракт и теряли деньги. За несколько часов ущерб измерялся тысячами долларов у каждой жертвы.

Прецедент, который показал масштаб угрозы раньше, - кейс британской инженерной компании Arup в 2024 году. Сотрудник финансового отдела подключился к видеоконференции, где CFO и несколько коллег обсуждали «конфиденциальную транзакцию». Все участники звонка были AI-сгенерированными дипфейками. Человек поначалу заподозрил неладное, но живые лица и узнаваемые голоса развеяли сомнения. Он одобрил переводы на 25 млн долларов на 15 счетов.

В крипто-контексте схема работает чуть иначе, но эффект тот же. Знакомое лицо на экране - Виталик Бутерин, Чанпэн Чжао, известный российский трейдер - объясняет, почему нужно «верифицировать кошелёк» или «получить аирдроп». Доверие к персонажу переносится на действие, которое он рекомендует.

Как выглядит полная схема: от фейкового видео до пустого кошелька

Пошагово современная атака выглядит так.

Сначала - привлечение внимания. Ролик с дипфейком размещается в YouTube, Telegram, TikTok или Instagram. Алгоритмы помогают распространению: провокационный заголовок («Срочно! Бесплатная раздача ETH от Виталика - только 24 часа») собирает клики. Под видео - ссылка на «официальный сайт».

Сайт выглядит как клон известного протокола. Домен отличается одной буквой от оригинала, дизайн скопирован пиксель в пиксель. Пользователю предлагают подключить кошелёк и «получить» токены. При подключении MetaMask показывает запрос на подписание - именно здесь и происходит ключевой момент.

Запрос замаскирован под стандартное разрешение. Написано что-то вроде «Claim Airdrop: approve token transfer». Технически это setApprovalForAll(drainer, true) или permit с бесконечным лимитом. Жертва нажимает «Подтвердить».

Дальше дрейнер-скрипт работает автоматически: сканирует баланс, формирует транзакции вывода, при необходимости корректирует сумму. Именно это произошло в кейсе с 999 999 USDT: первая попытка превысила баланс, скрипт пересчитал за 36 секунд. Средства уходят через цепочку промежуточных адресов в микшеры или на биржи без KYC.

Реальные кейсы: от $400 тысяч до $25 миллионов

Кейс с Arup и 25 млн долларов уже упомянут. Он стал точкой отсчёта для понимания, что дипфейки в мошенничестве вышли за пределы теории.

В крипто-пространстве цифры поменьше, но кейсов больше. В декабре 2025 года один BNB-«кит» потерял 13,5 млн долларов через единственную вредоносную ссылку - классический дрейн через approval. В том же месяце инвестор лишился 12,25 млн долларов, скопировав мошеннический адрес из собственной истории транзакций (address poisoning - отдельная ветка тех же атак).

В мае 2026 года поддельный сайт Uniswap собрал около 400 000 долларов у нескольких пользователей, одобривших вредоносный контракт. В августе 2025-го серия атак через EIP-7702 принесла злоумышленникам 1,54 млн и 1,00 млн долларов соответственно.

Scam Sniffer подсчитал: в 2025 году потери от подписного фишинга составили 83,85 млн долларов - резкое снижение по сравнению с 494 млн в 2024-м. Но в начале 2026 года тренд развернулся: атаки стали реже, зато крупнее и прицельнее. Средняя сумма потерь одной жертвы выросла с 782 долларов в 2024-м до 2 764 долларов в 2025-м и продолжает расти.

Дипфейки знаменитостей, ИИ-трейдеры и то, где они живут

Помимо дипфейков реальных людей, в 2025-2026 годах распространился другой формат: полностью выдуманные персонажи. Серия Telegram-каналов запускала «опытных аналитиков» с придуманными биографиями, историями успеха и даже поддельными верификациями. Никакой знаменитости нет. Есть ИИ-аватар с убедительной легендой, который «ведёт» подписчиков к подписанию approval под видом «доступа к закрытой торговой платформе».

Реальные публичные персоны тоже не застрахованы. В мошеннических схемах без их ведома использовались дипфейки Илона Маска, Виталика Бутерина, Чанпэн Чжао. Российские жертвы чаще видели дипфейки известных отечественных трейдеров и финансовых блогеров.

По данным МВД РФ, в 2026 году с применением технологий дипфейков были обмануты 4 тысячи человек на сумму около 2 млрд рублей. 10 ноября 2025 года МВД опубликовало перечень характерных фраз, которые мошенники используют в дипфейк-схемах. Это сигнал того, что ведомство фиксирует устойчивый паттерн.

Замначальника Следственного департамента МВД Данил Филиппов выступил с инициативой законодательно закрепить понятие «дипфейк», ввести обязательную маркировку AI-контента и защищать цифровую личность так же, как юридическую. По состоянию на дату публикации этот законопроект находится на стадии инициативы. Принятого закона ещё нет.

Как мошенники маскируют атаку и почему опытные держатели теряют больше

Фишинговые сайты 2026 года отличаются от примитивных клонов прошлых лет. SSL-сертификат есть всегда. Доменное имя может использовать юникод-символы, визуально неотличимые от латиницы (так называемые гомоглифы). Контракт иногда проходит первичный аудит бесплатных инструментов. Вредоносная логика активируется только при определённых условиях.

Операция также индустриализировалась. Phishing-as-a-service - это готовый бизнес: один поставщик делает дрейнер-инфраструктуру, другой - фейковые сайты, третий - дипфейк-видео, четвёртый - сети для отмывания. Войти в эту «индустрию» как исполнитель можно за десятки долларов.

Парадокс опытных держателей в том, что у них больше активов на одном кошельке и больше привычки подписывать транзакции «на автомате». Именно поэтому в январе 2026 года двое жертв составили 65% месячных потерь. Оба, судя по всему, держали крупные позиции и регулярно взаимодействовали с DeFi-протоколами. Фишинговый сайт выглядел как очередной легитимный протокол, рефлекс сработал раньше, чем включилась проверка.

Как проверить выданные approvals и отозвать лишние: практически

Хорошая новость: approval можно отозвать. Плохая: многие держатели не знают, что у них накопились десятки старых разрешений.

Инструмент Revoke.cash (revoke.cash) позволяет подключить кошелёк и увидеть все выданные approvals с суммами. Для каждого есть кнопка отзыва. Аналогичный функционал есть в Etherscan Token Approvals. Для Tron (где тоже ходит USDT) - TronScan.

Что стоит сделать прямо сейчас:

  • Зайти на Revoke.cash, подключить кошелёк.
  • Отозвать все одобрения с неограниченным лимитом (unlimited) от неизвестных или давно неиспользуемых контрактов.
  • Проверить, нет ли approvals от адресов, которые вы не узнаёте.

Отзыв стоит небольшой газ, но это разовая трата. Если одобрение уже использовали - средства не вернуть, но дальнейший дрейн остановить можно.

Подробнее о том, как проверить историю своих транзакций и отличить легитимный запрос от фишингового, читайте в нашем гиде по базовой безопасности криптокошелька.

Красные флаги перед подписанием и что делать, если деньги уже ушли

Перед тем как нажать «Подтвердить» в MetaMask или любом другом кошельке, стоит проверить несколько вещей.

Первое: что именно вы подписываете. Если в тексте запроса есть слова approve, permit, setApprovalForAll - это разрешение, а не перевод. Разрешение без чёткого понимания, зачем оно нужно, лучше не подписывать.

Второе: адрес сайта в строке браузера. Скопируйте его и проверьте на ScamSniffer или Google Safe Browsing. Сравните с официальным доменом протокола посимвольно, не «на глаз».

Третье: источник ссылки. Если вы пришли по ссылке из видео, Telegram или соцсети - вероятность фишинга кратно выше, чем если открыли сайт из закладок или набрали вручную.

Если деньги всё же ушли, нужно действовать быстро. Зафиксируйте все транзакции: хэши, адреса, время. Подайте заявку в Scam Sniffer или аналогичный on-chain трекер - иногда адреса попадают в блэклисты на биржах, что мешает отмыванию. Обратитесь в полицию: заявление фиксирует факт, это важно для возможных гражданских исков. Если USDT на Tron - Tether Limited технически может заморозить адрес. Свяжитесь с их службой поддержки как можно скорее. Реальные шансы вернуть средства малы, но заморозка адреса на уровне эмитента - один из немногих рабочих инструментов.

Что противопоставляет индустрия

На технологическом уровне кошельки всё активнее предупреждают о подозрительных разрешениях. MetaMask с обновлениями 2025-2026 годов добавил симуляцию транзакций: кошелёк показывает, что реально произойдёт после подписания, а не только текст запроса. Ledger и другие аппаратные кошельки отображают полный контент permit-запроса на экране устройства.

Scam Sniffer и аналогичные сервисы интегрируются в браузерные расширения и предупреждают о фишинговых доменах до перехода. Это работает - именно поэтому потери от signature phishing в 2025 году снизились на 83% относительно 2024-го.

На регуляторном уровне Россия движется к маркировке AI-контента и законодательному определению дипфейка. По состоянию на октябрь 2026 года это инициатива, а не принятый закон. В ЕС регламент об ИИ (AI Act) вступил в силу в 2024 году и частично регулирует синтетический контент, но практическое правоприменение в отношении трансграничного крипто-мошенничества остаётся сложным.

Если вы держите USDT или другие токены и периодически взаимодействуете с DeFi - проверьте approvals прямо сейчас. Особенно если когда-либо участвовали в аирдропах или тестировали новые платформы. Это занимает пять минут и не требует никаких знаний блокчейна, кроме умения подключить кошелёк.

Обмен криптовалюты на наличные в Нижнем Новгороде - выгодный курс и живой оператор. Приходите в офис или пишите @obmen52bot.

Источники

Источники (6)
TelegramКурсыОфисы