Афера «Нулевые переводы»

Мошенники в криптовалюте редко ломают сам кошелёк. Чаще они подсовывают пользователю чужой адрес, «подарочные» токены, поддельный сайт или письмо «от производителя» и ждут, что человек сам подпишет перевод или отдаст seed-фразу. Ниже разобраны самые частые схемы: «нулевые переводы» (отравление адреса), скам-токены, поддельные сервисы, фишинговые письма и один частый вопрос про комиссию в сети TRON.

Материал обновлён в октябре 2026 года и объединяет несколько отдельных статей 2020–2022 годов о мошенничестве. Описания конкретных случаев (SafePal, BitBox) приведены по заявлениям производителей на тот момент: актуальные версии приложений и правила смотрите на их официальных сайтах.

Золотое правило: проверяйте адрес получателя

Почти все схемы ниже сводятся к одному: вы отправляете монеты не туда или подписываете лишнее. Поэтому перед каждым переводом проверяйте весь публичный адрес получателя, а не только первые и последние символы, и сверяйте его на экране устройства. Нагляднее всего это показывает видео ниже.

«Нулевые переводы» (отравление адреса)

В декабре 2022 года техническая поддержка SafePal получила от сообщества сообщения о схеме «Zero Transfer». Она работает в сетях EVM (Ethereum и совместимых) и в сети TRON. Мошенники с помощью смарт-контракта и функции transferFrom создают переводы на нулевую сумму «от имени» любого адреса, и в истории кошелька появляется запись, будто вы получили или отправили 0 монет.

Смысл схемы в том, что адрес отправителя подделывается так, чтобы он был похож на настоящий адрес, с которым вы уже работали (начало и конец совпадают). Если позже вы скопируете адрес из истории, а не из надёжного источника, то отправите деньги мошеннику. В общепринятой терминологии это называется «отравление адреса» (address poisoning).

Ваши ключи и средства при этом не затронуты: «нулевой перевод» не даёт мошенникам доступа к кошельку. Опасность только в том, что вы сами воспользуетесь поддельным адресом.

Что сделала SafePal

По заявлению SafePal, в версии приложения V3.7.3 в истории транзакций стали показывать первые и последние десять символов адреса (для удобства проверки), а нулевые переводы в сетях EVM и TRON стали автоматически скрываться из записей. Для ранее показанных записей предлагалось заново импортировать кошелёк, чтобы обновить историю. Актуальную версию приложения скачивайте только с официального сайта SafePal.

Как защититься

• Не копируйте адрес получателя из истории транзакций. Берите его из надёжного источника или из своей адресной книги.
• Сверяйте весь адрес, а не только начало и конец, и подтверждайте его на экране аппаратного кошелька.
• Перед крупным переводом отправьте небольшую тестовую сумму.
• Игнорируйте записи о нулевых переводах и неизвестных отправителях: отвечать на них не нужно.

Скам-токены в кошельке

В августе 2021 года злоумышленники начали массово присылать пользователям SafePal на адреса неизвестные токены в сетях Binance Smart Chain и Ethereum, выдавая их за настоящие. Расчёт такой: человек радуется «подарку», ищет, где его продать, находит поддельное децентрализованное приложение и выдаёт ему разрешение на доступ к своему кошельку. Разрешение (approval) даёт приложению право распоряжаться вашими средствами, и после этого деньги можно потерять.

Если в кошельке появились неизвестные токены, их можно скрыть: нажмите «Добавить» (управление монетами) и отключите токен. Он перестанет отображаться, хотя на блокчейне останется. Главное не пытаться его продать или обменять через сторонние сайты. Пользуйтесь только приложениями, встроенными в мобильный кошелёк, и помните, что ответственность за любые действия в криптопространстве лежит только на вас.

Поддельные сервисы и сайты

В октябре 2021 года разработчики SafePal предупредили о поддельном проекте: мошенники создали сайт со «стейкингом» и «фармингом», токен с названием, похожим на SFP, логотип, видеоуроки и аккаунты в соцсетях, а в список «партнёров» вписали и сам SafePal. Ссылки на App Store и Google Play у них не работали. Отсюда простые правила:

• покупайте кошельки только в официальном магазине производителя (как купить холодный кошелёк);
• скачивайте приложения и прошивки только с официальных сайтов;
• не вводите seed-фразу и не подключайте кошелёк к сайтам, найденным в рекламе или присланным в сообщениях (что такое seed-фраза);
• про доходные функции SafePal читайте в обзоре SafePal Earn и сверяйте условия в приложении.

Фишинговые письма после утечки рассылки

В июле 2022 года производитель BitBox02 предупредил пользователей о возможных фишинговых письмах. Причиной стала утечка данных у сервиса рассылок ActiveCampaign: по сообщению производителя, неавторизованная сторона загрузила списки электронных адресов. Компания заявила, что средства на кошельках BitBox02 не затронуты, и призвала быть внимательными к подозрительным письмам. Ожидалось, что мошенники попробуют писать подписчикам рассылки.

Урок этого случая универсален, и он относится к любым утечкам (например, к утечкам магазинов): электронную почту и имя вашего покупателя мошенники знают, и могут писать от имени производителя про «обновление», «возврат» или «проверку». Что делать:

• настоящий производитель никогда не просит seed-фразу и не просит вводить её на сайте;
• не переходите по ссылкам из писем: открывайте официальный сайт вручную или через закладку;
• если seed-фразу всё же ввели на подозрительной странице, считайте кошелёк скомпрометированным и немедленно переведите средства на новый.

Про сам кошелёк: официальный сайт BitBox02. Про безопасность SafePal S1: как проверяли S1 и что ответила SafePal.

Частый вопрос: «нужно заплатить 10 TRX комиссии»

Это не мошенничество, но читатели часто путают сообщение кошелька с обманом. За любое действие в блокчейне платят комиссию майнерам или валидаторам, причём в монете этой сети: BTC в Bitcoin, ETH в Ethereum, TRX в TRON, BNB в BSC. Если вы отправляете USDT (TRC-20) в сети TRON, а на адресе нет TRX, кошелёк сообщит, что нужно заплатить комиссию (в 2022 году это было около 10 TRX), и не отправит перевод. Решение: пополнить адрес небольшим количеством TRX, чтобы хватило на комиссию.

Варианты, которые описывали в 2022 году (условия могли измениться, проверяйте в приложении): купить TRX на бирже и вывести на свой адрес, обменять активы функцией Swap в приложении SafePal (тогда был минимальный обмен около 80 долларов) или воспользоваться функцией Gas Station (обмен от 5 долларов, тогда только с SFP и USDT BEP-20). После пополнения добавьте монету TRX в списке через «Управление монетами» и повторите перевод. Подробнее о приложении: как пользоваться SafePal S1.

Главное

Все эти схемы объединяет одно: мошенникам нужны ваши действия, а не взлом устройства. Не называйте seed-фразу, не подписывайте то, что не понимаете, проверяйте адрес на экране кошелька и скачивайте всё только с официальных сайтов. Больше о том, как не потерять монеты: как сохранить свой биткоин.