Как избежать мошенничества при crypto swap
Как избежать мошенничества при crypto swap
CoinGecko насчитала 164 инцидента crypto-взломов и эксплойтов по состоянию на 7 августа 2026 года. С 2016 года из DeFi-проектов и crypto-бирж было украдено более $14,27 млрд. Это данные о взломах и эксплойтах, а не подсчёт отдельных жертв мошенничества.
Обычно советы по защите от мошенничества начинаются с огромного списка пугающих схем. Поэтому сосредоточьтесь на том, что нужно проверить до того, как транзакция покинет ваш кошелёк. Запрос кошелька важнее заголовка.
Но простой swap не требует дополнительного риска кастодиальной биржи: если биржу взломают или она перестанет работать, ваши активы окажутся под контролем другой стороны. Некастодиальный swap, такой как SwapCherry, оставляет в центре внимания саму транзакцию, а не депозит.
Поэтому выполняйте проверки по порядку: выявите предупреждающие признаки, проверьте токен и платформу, изучите разрешения, а затем ограничьте ущерб, если что-то пойдёт не так.
В этой статье
- Мошенничество в crypto широко распространено, но риск проще разделить на составляющие
- Первый вопрос — контролирует ли кто-то ещё ваши средства
- Гарантированная доходность или срочное сообщение — повод остановиться
- Адрес токена важнее его названия
- Проверять нужно и swap-платформу, и токен
- Разрешение может сохраняться дольше, чем длится swap
- Сделайте проверку перед swap скучной и повторяемой
- Если вы подписали что-то подозрительное, действуйте до расследования
- SwapCherry предлагает некастодиальный способ совершать swap
Мошенничество в crypto широко распространено, но риск проще разделить на составляющие
Согласно подсчёту CoinGecko от 7 августа, на 2022 год пришлось $2,77 млрд — самый дорогостоящий год в этой серии. Текущее количество инцидентов даёт общий контекст рынка. Практический вопрос гораздо уже:
- Кто контролирует ваши средства до swap? Ваш кошелёк или кастодиальная биржа?
- Что вы разрешаете? Предполагаемый swap или контракт с более широкими разрешениями?
Правильно организованный некастодиальный swap устраняет риск хранения средств на депозите этой биржи. Фишинг, вредоносные токены, неверные адреса и опасные разрешения остаются рисками, которые необходимо оценить на этапе подписания транзакции в кошельке.
Поэтому оставшаяся часть руководства может сосредоточиться на практических проверках.
Первый вопрос — контролирует ли кто-то ещё ваши средства
Кастодиальная биржа получает ваши активы во владение, пока её система отражает баланс вашего аккаунта. Взлом, неплатёжеспособность или заморозка вывода средств могут повлиять на средства, размещённые там. Исторические инциденты с Mt. Gox, FTX, WazirX и DMM Bitcoin иллюстрируют эту категорию; Hedge With Crypto перечисляет их среди крупных инцидентов с централизованными биржами.
Некастодиальный swap оставляет средства в вашем кошельке до исполнения транзакции. Сервис обеспечивает проведение swap, а ваш кошелёк остаётся местом хранения активов до и после транзакции. Такая схема устраняет риск сбоя, связанного с хранением средств на бирже. Эксплойты контрактов, фишинг и небезопасные разрешения по-прежнему требуют вашего внимания.
| Модель | Где находятся средства до swap | Какой риск нужно проверить |
|---|---|---|
| Кастодиальная биржа | У биржи | Взлом, неплатёжеспособность и ограничения на вывод |
| Некастодиальный swap | В вашем кошельке | Фишинг, контракты, разрешения и детали транзакции |
| Прямое взаимодействие с незнакомым контрактом | В вашем кошельке, с учётом разрешений после подписания | Поведение контракта и разрешения кошелька |
SwapCherry является некастодиальным сервисом. Он предлагает быстрые swap, комиссию 0,5%, отсутствие KYC и регистрации. Вам не нужно сначала размещать средства на кастодиальной бирже.
Если вам нужно долгосрочное хранение, fiat-инфраструктура или продвинутые типы ордеров, используйте для этого биржу. Поэтому для простого token swap обычно нет причин сначала вносить средства на депозит.
Гарантированная доходность или срочное сообщение — повод остановиться
Начните с предупреждающих признаков, которые можно заметить ещё до технической проверки.
Гарантированная доходность, фиксированная прибыль и «безрисковая» доходность — немедленные причины остановиться. Проект может выглядеть легитимным благодаря анонимным командам, поддельным whitepaper и заявлениям об аудите, которые невозможно проверить. Отполированный dashboard с выдуманной прибылью всё равно остаётся ложью, просто с более качественной типографикой.
Срочные сообщения мешают ясно мыслить. «Купите в течение десяти минут», «ваша аллокация истекает сегодня вечером» и «отправьте средства сейчас, чтобы мы могли проверить ваш кошелёк» — всё это требует немедленной паузы. Легитимные инструкции по swap не требуют seed phrase и не просят отправлять crypto незнакомцу для проверки.
К непрошенным личным сообщениям следует относиться с таким же подозрением. Мошенничество по схеме pig-butchering может начаться с дружеской беседы. Затем оно может превратиться в инвестиционное предложение и закончиться на поддельной платформе, показывающей выдуманную прибыль. Похожий на настоящий домен может затем собрать данные для входа, подключение кошелька или подписанную транзакцию.
Если адрес контракта токена получен из поисковой рекламы, случайного поста в социальных сетях или личного сообщения, считайте его ненадёжным, пока не подтвердите через официальные каналы проекта.
Представим, что пост в социальных сетях продвигает недавно обнаруженный токен. Он ведёт на почти знакомый сайт swap, обещает рост цены в течение часа и указывает адрес контракта. Прекратите следовать его инструкциям. Откройте официальный сайт проекта через источник, который можно проверить, найдите указанные в документации ссылки и получите адрес там.
Адрес токена важнее его названия
Адрес из поста в социальных сетях по-прежнему остаётся ненадёжным. Тикер и логотип можно скопировать; contract или mint address идентифицирует актив в своей сети.
Используйте это пошаговое руководство, чтобы научиться проверять токен перед swap.
-
Найдите адрес через официальные каналы.
Используйте сайт проекта, документацию или верифицированный аккаунт в социальных сетях. Walllet и Defi-Intel описывают такой подход. Избегайте адресов из личных сообщений, случайных публикаций и поисковой рекламы. Скопируйте полный адрес, а не полагайтесь на поиск по тикеру внутри кошелька или интерфейса swap. -
Проверьте сеть вместе с адресом.
Один и тот же тикер может обозначать разные активы в разных сетях; проверяйте chain и его contract или mint address одновременно. Сравните официальный адрес с адресом, отображаемым вашим кошельком или интерфейсом swap. -
Откройте соответствующий block explorer.
Используйте explorer этой сети, например Etherscan или Solscan. Найдите индикатор verified-source в explorer. Верифицированный deployment обычно содержит опубликованный исходный код, соответствующий его bytecode. Это описывает соответствие исходного кода; само по себе оно ничего не говорит о токеномике или управлении upgradeable-proxy. -
Изучите функции и контроль доступа.
Ищите такие функции, какmint,pause,burnиtransferOwnership, затем выясните, кто может их вызывать и при каких условиях. На вкладках Contract или Read/Write explorer ищите адреса владельцев или ролей и описанные механизмы контроля доступа. Если вы не можете их интерпретировать, считайте проверку незавершённой, а не делайте предположения. -
Проверьте держателей и ликвидность.
Очень высокая концентрация у держателей повышает риск dump, но учитывайте назначение адресов. Казначейство, liquidity pool, bridge или vesting wallet отличаются от неизвестного кошелька, на котором хранится большая часть предложения. Проверьте, заблокирована ли ликвидность и может ли крупная позиция liquidity provider быть удалена. -
Оцените историю и аудиты.
Совсем новый актив с небольшой историей торгов оставляет вам меньше данных для анализа. Аудит охватывает определённый код и область проверки на конкретный момент времени. Он автоматически не охватывает будущие изменения, governance, ликвидность или токеномику. Если проект заявляет о проведённом аудите, найдите отчёт через собственные каналы аудитора и сравните адрес контракта и его версию. -
По возможности симулируйте транзакцию.
Инструменты симуляции могут показать предполагаемые последствия до подписания. Инструменты обнаружения honeypot могут выявить ограничения, затрудняющие продажу. Используйте и те и другие как сигналы, а не как окончательный вердикт.
Неверифицированный контракт, высокая концентрация владения, возможность удалить ликвидность или минимальная история должны стать причиной остановиться и провести дополнительное расследование. Эти признаки требуют осторожности; сами по себе они не доказывают мошенничество.
Проверять нужно и swap-платформу, и токен
Даже легитимный проект может быть представлен через поддельный интерфейс. Начните с домена. Откройте сервис с его официального сайта или из закладки, созданной вами самостоятельно, затем проверьте написание и доменную зону верхнего уровня.
Сайт не проходит базовую проверку безопасности, если просит внести средства для обработки, отправить crypto в службу поддержки или раскрыть seed phrase. Перед подключением кошелька проверьте модель хранения средств. Затем сравните заявленную комиссию, информацию о slippage и маршрут транзакции с данными интерфейса.
В рассматриваемом примере похожий сайт не проходит проверку платформы, поскольку его ссылка была опубликована в посте в социальных сетях. Некастодиальная модель SwapCherry делает процесс сосредоточенным на подключении кошелька и проверке транзакции, а не на размещении средств на аккаунте биржи.
Значок Proof of Reserves не является сертификатом безопасности. Он может показать, какими активами платформа владела в определённый момент. Он не доказывает отсутствие скрытых обязательств или операционных рисков.
| Проверка | Что она может показать | Чего она не может показать |
|---|---|---|
| On-chain reserves | Какими активами платформа владела на момент снимка | Были ли активы временно заимствованы |
| Liability tree | Отражён ли заявленный вами баланс в этом liability tree | Включила ли платформа все обязательства или точно их отразила |
| Дата и частота отчёта | Насколько актуальны доказательства | Что произошло после снимка |
| Аудитор или поставщик attestation | Кто проводил указанные процедуры | Проверялись ли все операционные риски |
| Соотношение резервов и обязательств | Покрывали ли заявленные резервы заявленные обязательства на тот момент | Прибыльность, скрытый долг или долгосрочная платёжеспособность |
Образовательный Proof of Reserves explainer от Blockchain Council описывает модель снимка. Платформа может занять активы перед созданием снимка и вернуть их после него, тогда как off-chain обязательства останутся за пределами отчёта.
Эти проверки не могут доказать, что сервис сохранит платёжеспособность или что контракт не содержит невыявленных ошибок. Исследование для этого руководства наиболее надёжно в части наблюдаемых рисков транзакций и слабее в части операций частных компаний. Учитывайте это при оценке доказательств, а затем переходите к тому, что ваш кошелёк просит вас разрешить.
Разрешение может сохраняться дольше, чем длится swap
Для токенов стандарта ERC-20 approval предоставляет контракту право перемещать токены из вашего кошелька в пределах установленного allowance. Swap может завершиться быстро, а это разрешение останется активным, пока вы не отзовёте его или не замените меньшим allowance.
В январе 2026 года отчёт CCN оценил потери SwapNet в $13,4 млн после эксплойта, связанного с unlimited approval. Вывод здесь более узкий: approval заслуживает такого же внимания, как и сам swap.
Unlimited approvals обменивают безопасность на удобство. Разрешайте только необходимую сумму и отзыву́йте разрешения, которыми больше не пользуетесь.
Иллюстративная проверка кошелька, не являющаяся копией какого-либо конкретного интерфейса:
В интерфейсе swap проверьте:
- Маршрут и сумму: какой путь будет использовать swap и сколько вы обмениваете
- Минимум к получению: минимальную сумму, которую вы готовы принять
- Slippage: допустимое изменение цены для сделки
В запросе кошелька проверьте:
- Контракт и spender: адрес, получающий разрешение, если он отображается
- Сеть и комиссия: chain и стоимость транзакции
- Approval allowance: точную или неограниченную сумму
Если approval target не прошёл проверку, отклоните запрос, пока не сможете его идентифицировать и обосновать. Легитимный адрес токена не делает неизвестного spender приемлемым.
Отзыв неиспользуемого approval является on-chain транзакцией. Для неё требуется network fee. Выполняйте её из затронутого кошелька через надёжный инструмент управления разрешениями и прочитайте эту транзакцию перед подписанием. Отзыв предотвращает дальнейшее использование этого allowance; он не может отменить уже совершившийся перевод.
Сделайте проверку перед swap скучной и повторяемой
Используйте эту 60-секундную процедуру до того, как средства покинут ваш кошелёк:
- Платформа: Откройте официальный URL и определите, является ли сервис кастодиальным или некастодиальным.
- Актив: Сопоставьте token address, mint address и сеть через официальные каналы проекта.
- Контракт и рынок: В explorer проверьте верификацию исходного кода, разрешения, распределение держателей, ликвидность и историю торгов.
- Транзакция: Сравните маршрут, сумму, минимум к получению, slippage, получателя, spender, комиссию и approval allowance с тем, что вы собираетесь разрешить.
- Кошелёк: Никому не сообщайте seed phrase или private key. Аппаратный кошелёк защищает хранение private key и добавляет физическое подтверждение; он не сделает вредоносную транзакцию безопасной, если вы её одобрите. Ledger Academy рассказывает о соответствующих методах безопасности.
Ведите записи для налоговой отчётности. Сохраняйте дату, актив, сумму, network fee, обменный курс или стоимость в fiat, timestamp или источник оценки и transaction hash, если он доступен. Это не налоговая консультация; правила отчётности различаются в зависимости от юрисдикции и типа транзакции.
Процедура скучная. В этом и смысл.
Если вы подписали что-то подозрительное, действуйте до расследования
Скучный ответ лучше остроумного: сначала ограничьте ущерб, потом проводите расследование.
Approval может оставаться активным после отключения кошелька, а раскрытая seed phrase даёт злоумышленнику постоянный контроль.
- Перестаньте подписывать. Если транзакция находится в ожидании, проверьте, поддерживают ли ваш кошелёк и сеть её отмену или замену. Не отправляйте ещё один swap, чтобы проверить ситуацию.
- Отключите подозрительный сайт. Затем отдельно отзовите token approvals. Отключение оставляет существующие approvals активными и не отменяет ожидающую транзакцию.
- Оцените компрометацию. Проблема с approval требует отзыва и проверки активов. Если вы ввели seed phrase или private key, считайте кошелёк скомпрометированным.
- Переместите оставшиеся активы, если ключ раскрыт. Создайте новый безопасный кошелёк и переведите всё, что осталось. Никогда не вводите старую фразу на другом сайте, который утверждает, что предлагает восстановление.
- Сохраните доказательства. Сохраните адреса кошельков, transaction hashes, URL, скриншоты, timestamps и сообщения.
- Свяжитесь с соответствующими сервисами и сообщите об инциденте. Уведомите участвующую биржу или поставщика кошелька. Найдите контакты chain-security через верифицированный сайт затронутого проекта или официальную документацию, затем сообщите об инциденте в местные правоохранительные органы или службы по борьбе с киберпреступностью.
- Откажитесь от услуг агентов по возврату средств. Любой, кто обещает вернуть средства за предварительную плату, может проводить вторую мошенническую схему.
Средства могут быть невозвратными. Ваши немедленные цели — остановить дальнейшие разрешения, защитить активы, ключи к которым остаются в безопасности, и сохранить полезные доказательства.
SwapCherry предлагает некастодиальный способ совершать swap
Для простого swap мы рекомендуем следующую модель: держите активы в своём кошельке, проверяйте транзакцию и не вносите средства сначала на кастодиальную биржу.
SwapCherry предлагает быстрые swap, комиссию 0,5%, отсутствие KYC и регистрации, а также некастодиальный процесс. Например, обменяйте BTC на XMR или обменяйте ETH на USDT без аккаунта на бирже. Если применяется указанная комиссия, swap на $1 000 предусматривает сервисную комиссию $5 до учёта network costs и любого указанного спреда.
Если вы совершаете простой swap, подключите кошелёк к SwapCherry, подтвердите официальный URL, адрес токена и сеть, проверьте точные approval и транзакцию, а затем подпишите только то, что показывает кошелёк. Это позволяет сохранять контроль над средствами там, где ему и место, пока вы совершаете swap.