Одна подпись — и кошелёк пуст. Как работают дрейнеры и почему это бизнес
Человек заходит на сайт раздачи токенов, подключает кошелёк и видит запрос подписи. Не перевод, не ввод сид-фразы — просто подпись, которая даже не стоит комиссии. Он нажимает «Подписать», а через несколько секунд с кошелька уходят все токены. Это работа дрейнера — самого массового инструмента кражи криптовалюты последних лет.
Что именно подписывает жертва
Подпись в кошельке выглядит безобидно, потому что на вид это не транзакция: денег не списывают, газ платить не нужно. Но внутри подписи может лежать разрешение — «этот адрес вправе тратить мои токены», часто без лимита. Дальше владельцу разрешения не нужен ни ключ, ни согласие жертвы: он выводит токены сам, когда захочет.
- Permit — разрешение тратить токены, оформленное одной подписью вне блокчейна. В крупных кражах 2024 года на него пришлось 56,7% случаев.
- setOwner — смена владельца контракта, через который хранятся средства. Ещё 31,9% крупных случаев.
- Approve — то же разрешение тратить, но обычной транзакцией. Старые апрувы годами висят в кошельках и ждут своего часа.
Общий принцип один: жертва не отправляет деньги — она выдаёт ключ от двери.
Масштаб 2024 года
По данным Scam Sniffer, за 2024 год дрейнеры увели около $494 млн у 332 000 адресов — на 67% больше пострадавших, чем годом ранее. Рекорд года — $55,48 млн в августе. Владелец подписал смену владельца своего контракта и, судя по всему, не понял, что именно подтвердил. Один клик — и права на кошелёк ушли.
Откуда берутся ссылки
Сайт-дрейнер бесполезен, если на него никто не придёт. Основные каналы, по тому же отчёту:
- взломанные официальные аккаунты проектов в X и Discord — ссылку публикует «сам проект»;
- фейковые раздачи токенов и «ранний доступ»;
- платная реклама в поиске и соцсетях: первая строка выдачи ведёт на двойник сайта.
Именно поэтому дрейнер так хорошо работает: ссылка приходит из места, которому человек привык доверять.
Это бизнес, а не одиночки
За большинством краж стоят не хакеры-одиночки, а сервисы по модели «дрейнер как услуга». Group-IB разбирала один из них: разработчики сдавали готовый дрейнер в аренду и забирали 20% с каждой кражи, а с предоставлением инфраструктуры — 30%. Арендаторы занимались только трафиком. На этот сервис работало больше 16 000 доменов, имитировавших свыше 100 известных брендов.
Разделение труда делает схему устойчивой: закроют один сайт — арендатор поднимет новый за час, а код дрейнера останется тем же.
2025: меньше денег, больше обычных людей
Хорошая новость: в 2025 году Scam Sniffer насчитал $83,85 млн потерь от фишинга — на 83% меньше, чем годом ранее, и 106 106 пострадавших. Кошельки стали лучше предупреждать об опасных подписях, крупные сервисы дрейнеров закрывались.
Плохая новость — в средней сумме кражи: около $790. Дрейнеры переключились с китов на обычных людей, у которых на кошельке несколько сотен долларов и нет привычки читать, что они подписывают.
Четыре правила
- Ссылки на раздачи — только с официального сайта проекта. Не из рекламы, не из комментариев, не из сообщений «от поддержки». Взломанный аккаунт проекта тоже повод подождать день.
- Читать, что подписываешь. Слова Permit, Approve, setOwner, «разрешение», «смена владельца» означают доступ к деньгам. Если сайт раздачи просит такое — закрыть вкладку.
- Отдельный кошелёк для экспериментов. Раздачи, новые проекты и минты — с кошелька с небольшой суммой. Основные деньги живут в другом кошельке, который никуда не подключается.
- Регулярно отзывать старые разрешения. Это можно сделать в самом кошельке или через сервисы проверки апрувов в обозревателях блоков. Разрешение, выданное год назад забытому сайту, по-прежнему действует.
Дрейнер не взламывает кошелёк. Он просит владельца самому открыть дверь и делает это так, чтобы просьба выглядела как формальность. Защита тоже простая: подпись — это не формальность.
Источники:
Сайты, адреса и суммы на иллюстрациях вымышленные.
Разбираю такие схемы каждый день в Telegram: FantomInTheBlock