Пылевая атака и клиппер-вирус: как крадут USDT и как защититься

Два незаметных приёма - и деньги уходят не туда. Один работает прямо в истории ваших транзакций, второй - в буфере обмена, пока вы думаете, что скопировали нужный адрес. Потери по этим схемам за 2024-2025 годы исчисляются сотнями миллионов долларов: одна жертва лишилась $50 млн USDT после того, как провела «осторожную» тестовую транзакцию. Другая потеряла $68 млн за один невнимательный клик.

Это не история про хакеров в капюшонах и уязвимости смарт-контрактов. Это история про то, как мошенники эксплуатируют привычку людей копировать адреса, не глядя. Разберём обе схемы технически, покажем реальные кейсы и дадим конкретную защиту.

Если вы только знакомитесь с темой крипто-мошенничества, сначала прочитайте общий разбор схем обмана в криптовалюте - там описаны базовые принципы, которые помогут лучше понять материал ниже.

Масштаб проблемы: почему USDT чаще всего теряют именно на подмене адресов

USDT - самый популярный стейблкоин в мире, и именно он становится основной мишенью. Причина простая: его переводят часто и крупными суммами, а адреса в сети Tron и Ethereum длинные - 34 и 42 символа соответственно. Мало кто сверяет каждый символ перед отправкой.

Боты мошенников рассылают миллионы пылевых транзакций по всем активным кошелькам. Вероятность кражи с одного адреса - около 0,1%. Но при массовой рассылке и суммах в десятки миллионов долларов даже такая вероятность приносит мошенникам колоссальную выручку. По данным Cyvers, только в мае 2025 года одна кампания address poisoning унесла 2,6 млн USDT. В декабре 2025 года другая жертва потеряла $50 млн одним переводом.

Что такое пылевая атака и зачем мошенникам присылать вам копейки

Пылевая атака (dust attack) - это когда на ваш кошелёк приходит крошечная сумма: несколько центов, иногда меньше доллара. Сама по себе эта «пыль» ничего не стоит. Зачем тогда её присылают?

Изначально схема появилась в сети Биткоин с другой целью - деанонимизацией. Когда пользователь объединяет мелкие входящие суммы с основным балансом в одной транзакции, блокчейн-аналитик может связать несколько адресов в один кластер. Так становится понятно, сколько у человека активов, где он хранит средства и с какими биржами работает. Дальше следует таргетированная атака: фишинг, социальная инженерия или физическое воздействие.

В сетях Ethereum, Tron и Solana схема эволюционировала. Пыль стала не просто инструментом слежки, а наживкой. Мошенники присылают микроперевод с адреса, который выглядит почти как адрес вашего обычного контрагента. И ждут, пока вы перепутаете его с настоящим.

Address poisoning: как поддельный адрес оказывается в вашей истории транзакций

Это эволюция пылевой атаки - и именно она приносит мошенникам самые крупные кражи. Схема работает так.

Вы регулярно переводите USDT на один и тот же адрес - скажем, на биржу или партнёру. Мошенник создаёт адрес, у которого первые 4-6 и последние 4-6 символов совпадают с настоящим. Середина - другая, но кошельки и биржи часто обрезают отображение до «0xAbcd...1234». Разницу не видно.

Мошенник делает микроперевод с этого фейкового адреса на ваш кошелёк. Теперь он появляется в вашей истории транзакций рядом с настоящим адресом. При следующем переводе вы открываете историю, копируете «привычный» адрес - и отправляете деньги мошеннику.

В декабре 2025 года один крупный инвестор решил действовать осторожно: сначала вывел 50 USDT с биржи как тестовую транзакцию. Вскоре после этого получил с похожего адреса 0,005 USDT - классическое «отравление». При следующем переводе скопировал адрес из истории и лишился $50 млн USDT.

Реальные потери 2024-2025: от $553 тысяч до $68 миллионов

Кейсы помогают понять масштаб и типичные ошибки жертв.

Май 2024 года - крупнейшая задокументированная потеря от address poisoning: $68 млн. Пользователь скопировал адрес из истории транзакций, не сверил символы. Один перевод - и деньги ушли мошенникам безвозвратно.

Август 2024 года - в течение месяца на кошелёк приходили спам-транзакции с фейкового адреса. Пользователь привык видеть его в истории, в какой-то момент скопировал его вместо настоящего и отправил 211 ETH. Потеря составила $553 тысячи.

Март 2025 года - перевод около $510 тысяч на адрес-имитатор. Анализ транзакций подтвердил: в истории незадолго до этого появился пылевой перевод с поддельного адреса.

Май 2025 года - эксперты Cyvers зафиксировали потерю 2,6 млн USDT. Сначала жертва перечислила 843 000 USDT, через три часа - ещё 1,75 млн на тот же мошеннический адрес. То есть после первой ошибки снова открыла историю и повторила её.

Декабрь 2025 года - $50 млн USDT. Жертва провела тестовую транзакцию и всё равно попалась. Причина: при основном переводе скопировала фейковый адрес из обновившейся истории.

Отдельный кейс - апрель 2025 года. Пользователя перенаправили через Telegram на фейковый сайт под предлогом «проверки AML». Там предложили создать кошелёк и пополнить его. После пополнения мошенники вывели 6 836 USDT через адреса в сети Tron. Это уже сочетание социальной инженерии с подменой адресов.

Клиппер-вирус: угроза, которая живёт в буфере обмена

Clipper malware - отдельный класс вредоносного ПО, термин «cryware» для него ввела Microsoft. Принцип работы предельно простой, и от этого особенно опасный.

Вирус следит за буфером обмена. Каждые 500 миллисекунд он проверяет: не скопировали ли вы адрес криптокошелька? Как только видит характерную строку - адрес Bitcoin, Ethereum, Tron или другого блокчейна - мгновенно заменяет его на адрес злоумышленника. Вы думаете, что вставляете правильный адрес. Деньги уходят мошеннику.

Первые клипперы появились в 2017 году. С тех пор они сильно усложнились. 17 июня 2026 года Microsoft Threat Intelligence раскрыла кампанию, которая тихо работала с февраля 2026 года. Windows-клиппер на основе Windows Script Host и ActiveX использовал встроенный Tor-прокси для связи с C2-сервером в анонимной сети. Он не просто подменял адреса - перехватывал скриншоты и искал в буфере обмена seed-фразы BIP39 (12 или 24 слова), немедленно отправляя их на сервер злоумышленника.

В тот же день Check Point Research опубликовал отчёт о Rust-based клиппере под Windows и macOS: в одном бинарном файле исследователи нашли более 15 500 адресов кошельков атакующих.

Как клиппер попадает на устройство и почему его сложно заметить

Основные каналы распространения клипперов в 2025-2026 годах - это не взлом и не фишинг в классическом смысле. Пользователи устанавливают их сами.

Check Point Research зафиксировал распространение через фейковые «снайперские боты» для Solana и Pump.fun, предсказатели краш-игр, взломанные утилиты для работы с кошельками. Человек ищет инструмент для трейдинга, находит пиратскую версию или «эксклюзивный бот» в Telegram, скачивает - и заражает устройство.

Ещё один вектор заражения - заражённые USB-накопители: файл запускается при подключении к Windows-машине.

Клиппер работает тихо. Он не замедляет компьютер, не показывает рекламу, не блокирует файлы. Единственный момент, когда его можно заметить вручную - при вставке адреса, если специально сверить скопированное с оригиналом.

Чем пылевая атака отличается от клиппера

Оба метода ведут к одному результату: деньги уходят не тому получателю. Но механика разная, и это важно для защиты.

Пылевая атака и address poisoning работают на уровне блокчейна и вашей невнимательности при чтении истории транзакций. Никакого вредоносного ПО на устройстве нет. Злоумышленник просто создаёт похожий адрес и ждёт, пока вы сами скопируете его вместо настоящего.

Клиппер живёт на вашем устройстве и перехватывает правильный адрес прямо в момент вставки. Даже если вы открыли нужный сайт и нажали «скопировать» под правильным адресом - в поле ввода окажется адрес мошенника.

Комбинация этих двух угроз особенно опасна. Если на устройстве стоит клиппер, а в истории транзакций появился поддельный адрес, шансы ошибиться возрастают кратно.

Как распознать подозрительное и что проверять перед отправкой

При address poisoning главный признак - транзакция с суммой от нуля до нескольких центов USDT в вашей истории. Особенно если отправитель - адрес, похожий на ваш обычный контрагент. Некоторые кошельки скрывают середину адреса: проверяйте первые 6 и последние 6 символов вручную.

При клиппере признак один - несовпадение скопированного и вставленного адреса. Скопируйте адрес, вставьте в текстовый редактор, сравните с оригиналом символ за символом. Если хотя бы один символ отличается - на устройстве может быть клиппер.

Также насторожитесь, если недавно устанавливали сторонние крипто-инструменты, боты или пиратское ПО.

Пошаговая защита: что делать прямо сейчас

Это не теория - конкретные действия, которые работают.

Против address poisoning:

Никогда не копируйте адрес из истории транзакций для нового перевода. Всегда берите адрес из первоисточника: с сайта биржи, из мессенджера, из адресной книги кошелька. Используйте адресную книгу и сохраняйте туда проверенные адреса с понятными названиями. Перед каждой крупной отправкой сверяйте первые 6 и последние 6 символов адреса с оригиналом. Если в истории появился подозрительный микроперевод - не трогайте эти монеты и не смешивайте их с основными активами. Пометьте адрес-отправитель в кошельке как «спам».

Против клиппера:

Не устанавливайте криптоинструменты из неофициальных источников - ни боты, ни «взломанные» утилиты, ни что-либо с торрентов. Держите антивирус с актуальными базами. После копирования адреса вставляйте его в текстовый редактор и визуально сверяйте с оригиналом - каждый раз. При крупных переводах используйте устройство, на котором нет ничего лишнего: в идеале отдельный телефон или ноутбук только для крипты. Не подключайте незнакомые USB-накопители к компьютеру, где хранятся криптоактивы.

Тестовая транзакция - обязательно, но правильно:

История с $50 млн показывает: тестовая транзакция не защищает, если перед основным переводом вы снова открываете историю и копируете адрес оттуда. Тест работает только если вы берёте адрес из одного и того же источника для обоих переводов. Алгоритм: скопировать адрес, сверить, отправить тест, подождать подтверждения, сверить адрес получателя в блокчейн-эксплорере - и только потом отправлять основную сумму.

Какие блокчейны под наибольшим риском

Пылевые атаки изначально появились в сети Биткоин, но сейчас активно распространяются в Ethereum, Tron и Solana. Tron - особенно популярная мишень, потому что большинство USDT-транзакций проходит именно через эту сеть. Низкие комиссии делают рассылку миллионов пылевых транзакций практически бесплатной для мошенников.

Клипперы из отчёта Check Point Research 2026 года нацелены на Bitcoin, Ethereum и Solana. Windows-клиппер от Microsoft Threat Intelligence работал в связке с Tor и охватывал несколько блокчейнов одновременно.

Если вы работаете с USDT в сети Tron или переводите ETH в EVM-совместимых сетях - вы в зоне наибольшего риска по обеим схемам.

Чек-лист безопасности: минимум, который защитит ваши активы

Адрес для нового перевода - только из первоисточника, не из истории транзакций.
Сверяйте первые 6 и последние 6 символов адреса с оригиналом перед каждой отправкой.
После копирования адреса - вставьте в текстовый редактор и проверьте, не изменился ли он.
Не устанавливайте крипто-боты и утилиты из неофициальных источников.
Держите антивирус актуальным, особенно на Windows.
Не подключайте чужие USB-накопители к устройству с криптовалютой.
Тестовую транзакцию проводите правильно: адрес берите из одного источника для теста и для основного перевода.
Пылевые транзакции в истории не трогайте, не смешивайте с другими средствами.
Используйте аппаратный кошелёк с экраном для верификации адреса - он показывает адрес независимо от буфера обмена устройства.

Если хотите обменять USDT на наличные и при этом не рисковать ошибиться с адресом - в офисе всё проверяется на месте, а адрес для отправки получаете от живого оператора лично.

Обмен криптовалюты на наличные в Нижнем Новгороде - выгодный курс и живой оператор. Приходите в офис или пишите @obmen52bot.

Источники

Microsoft Threat Intelligence. «Crypto Clipper Threat - June 2026». 17 июня 2026 г. https://www.microsoft.com/en-us/security/blog/2026/06/17/threat-intelligence-crypto-clipper/
Check Point Research. «Rust-Based Crypto Clipper Targeting Windows and macOS». 17 июня 2026 г. https://research.checkpoint.com/2026/crypto-clipper-rust/
Cyvers. «Address Poisoning Incident - 2.6M USDT». Май 2025 г. https://cyvers.ai/blog/address-poisoning-2-6m-usdt
Binance Security Blog. «Stay Safe from Clipper Malware». https://www.binance.com/en/blog/security/stay-safe-from-clipper-malware-6970387782843525927