Фейковый аирдроп в сезон фарминга: 7 признаков скама и что делать после подписи

Фейковый аирдроп: как распознать за 3 проверки

Фейковый аирдроп — это имитация раздачи токенов, цель которой не подарить монеты, а получить от вас seed-фразу, оплату «комиссии за клейм» или подпись, открывающую доступ к кошельку. Отличить его можно до первого клика: настоящий аирдроп анонсирован в официальных каналах проекта и никогда не просит ни ключей, ни денег вперёд.

Три проверки, которые отсекают большую часть скама:

1. Просят seed-фразу, приватный ключ или оплату за получение — это скам. Без исключений и без «особых случаев».
2. Сайт требует подключить кошелёк, а вы пришли на него не из официального источника — по ссылке из ответа в X, личного сообщения, рекламы или из описания токена, который сам появился в кошельке. Открывайте адрес только из документации проекта или своей закладки.
3. О раздаче нет ни слова на официальном сайте, в блоге и в аккаунтах проекта. Если проект действительно что-то раздаёт, он об этом пишет сам и там, где его можно проверить.

В англоязычных справках кошельков и бирж то же явление называют fake airdrop или fake crypto airdrop, а сами схемы собирательно — airdrop scams. Если коротко, airdrop scam — это приманка в виде бесплатных токенов, за которой стоит кража. Это один из вариантов более широкого скама в крипте, и дальше разберём именно его: механику, признаки, реальные кейсы и план действий, если подпись уже ушла.

Почему сезон фарминга аирдропов — золотое время для скамеров

Сезон фарминга — это период, когда десятки проектов одновременно раздают поинты, запускают тестнеты, объявляют снапшоты и открывают страницы проверки права на токены. Для мошенников это идеальная среда по трём причинам.

Фейк теряется среди настоящего. Когда за неделю вы подключаете кошелёк к пяти легитимным dApp и подписываете десяток транзакций, шестое подключение уже не вызывает вопросов. Привычка «подключить и подписать» — именно то, на что рассчитан аирдроп скам.

Anthropic обновила правила Claude: с 12 ноября запрещена жестокость к модели

Дипфейк-скам со знаменитостями в крипте: признаки фейкового видео и что делать

Крипторынок в сентябре: фонды второй месяц покупают биткоин, но слабее августа

Крипторынок 28 сентября – 4 октября: биткоин-ETF на паузе, Zcash-ETF в оттоке

ZachXBT под видом клиента вскрыл китайский синдикат Lazarus: заморожено 442 000 USDT

Срочность настоящая. У реальных раздач бывают сроки клейма, и мошенники копируют эту срочность: «окно закрывается через 24 часа», «осталось 100 мест». Отличить настоящий дедлайн от поддельного на глаз невозможно — только по официальному источнику.

Инфоповоды используются как приманка. Скамеры регистрируют домены под любое громкое событие: по подсчёту Evercodelab, вокруг чемпионата мира по футболу 2026 года зарегистрировали более 13 000 доменов, и многие из них продвигали фейковые токены, привязанные к турниру. Во время аирдроп-сезона такой инфоповод — сама раздача: как только проект объявляет клейм, в поиске и в соцсетях появляются клоны его страницы.

Масштаб задаёт общий фон. По оценке Chainalysis, за 2025 год на крипто-скаме и мошенничестве украли около $17 млрд, а схемы с имперсонацией — когда мошенник выдаёт себя за проект, биржу или известного человека — выросли на 1400% год к году. Цифра $17 млрд — это оценка: на момент отчёта в блокчейне было зафиксировано около $14 млрд, остальное Chainalysis досчитала по историческому тренду доучёта (+24% между отчётными периодами). Scam Sniffer в годовом отчёте за 2025 год отдельно отмечает, что крупные кражи через фишинговые подписи концентрировались в третьем квартале, на пике рыночной активности: 6 из 11 случаев от $1 млн пришлись на июль–сентябрь.

Для контраста полезно помнить, как выглядит легитимная раздача. Классика — аирдроп UNI от Uniswap в 2020 году: каждый подходящий кошелёк получил 400 токенов, и на пике цены это было больше $16 000. Никто не просил за них платить или сообщать ключи — токены забирали через официальный интерфейс Uniswap, оплатив только комиссию сети за собственную транзакцию. Есть и вариант вообще без внешнего кошелька: на Bybit, например, новые токены раздаются через Launchpool — вы размещаете монеты внутри своего биржевого аккаунта, а начисления приходят туда же, без подключения кошелька к стороннему сайту и без подписей. Такой канал проверяется одним способом: вы заходите в свой аккаунт напрямую — через приложение или закладку, а не по ссылке из сообщения.

От клона сайта до дрейнера: путь фейкового аирдропа

Дрейнер (wallet drainer) — это набор скриптов на фишинговом сайте, который уговаривает кошелёк подписать разрешение на вывод средств, а затем выводит их. Ему не нужны пароль от биржи и даже seed-фраза: достаточно одной подписи. Путь атаки обычно выглядит так.

1. Приманка. Пост от поддельного аккаунта проекта, ответ под официальным твитом, реклама в поиске, личное сообщение в Discord или Telegram. Отдельный вариант — токен или NFT, который сам появился в вашем кошельке, с адресом «сайта для получения» прямо в названии.
2. Клон сайта. Поддельная страница получения токенов (в англоязычных предупреждениях — fake airdrop website) копирует дизайн настоящего проекта, отличаясь доменом: одна буква, другая зона, лишний дефис.
3. Подключение кошелька. Само по себе оно не отдаёт средства, но показывает сайту ваш адрес и балансы. Дрейнер выбирает, что выгоднее запросить: самые дорогие токены, NFT-коллекции или всё сразу.
4. Подпись. Вместо кнопки «Claim» вы получаете запрос на подпись, которая на деле означает одно из трёх: approve с неограниченной суммой, setApprovalForAll для NFT или Permit — подпись вне блокчейна, которая не стоит газа и потому выглядит безобидно.
5. Вывод. Средства уходят сразу или позже — иногда через дни и недели, когда вы уже забыли про тот сайт.

Ключевой момент — approval. Это разрешение контракту тратить токены определённого типа с вашего адреса, причём неограниченное разрешение действует сейчас и в будущем: если завтра на кошелёк придут новые токены того же типа, контракт сможет забрать и их. Ближайшая аналогия — доверенность на снятие денег с карты без лимита и без срока. Как устроены такие разрешения и где их смотреть, подробно разобрано в материале про безопасность криптокошелька, дрейнеры и approvals.

Отсюда неочевидный вывод: approval живёт дольше атаки. Разрешение, выданное год назад безобидному на вид сайту прошлого аирдроп-сезона, можно активировать в любой момент. Если вы фармили раздачи раньше, у вас почти наверняка висят старые разрешения, и их стоит проверить до новой волны.

EIP-7702 и CrimeEnjoyor: как апгрейд Pectra добавил новый вектор

EIP-7702 — это стандарт Ethereum, включённый в апгрейд Pectra в мае 2025 года. Он позволяет обычному адресу делегировать выполнение коду смарт-контракта, и делегирование остаётся в силе, пока владелец не заменит или не снимет его новой подписью. Это даёт объединять несколько операций в одну, оплачивать газ не в ETH, а в других токенах или за счёт спонсора, пользоваться функциями «умного» кошелька без смены адреса. Для пользователей это удобство, но у него есть обратная сторона: делегирование можно выдать вредоносному контракту, и тот получит возможность выводить средства с адреса. Само такое делегирование не истекает — его нужно снять вручную.

Мошенники используют его двумя путями. Первый — фишинговая подпись: Scam Sniffer отмечает, что вскоре после Pectra появились вредоносные подписи EIP-7702, упаковывающие несколько операций вывода в одно подтверждение; крупнейшие такие случаи пришлись на август 2025 года — $2,54 млн в двух инцидентах. Второй — sweeper-контракты на адресах с уже утёкшим ключом. Самый распространённый из них получил название CrimeEnjoyor: такой контракт автоматически выводит любой входящий ETH со скомпрометированного адреса. По данным Wintermute, которые в июне 2025 года привёл CoinDesk, свыше 97% всех делегаций EIP-7702 были выданы контрактам с одним и тем же кодом — именно таким sweeper-контрактам.

Для баланса: по тому же исследованию, на момент публикации CrimeEnjoyor ничего не заработал — злоумышленник потратил около 2,88 ETH на делегирование примерно 79 000 адресов с утёкшими ключами, но входящих переводов ETH на адрес получателя не было. Массовость вектора не равна его доходности.

Практический смысл для фармера: если вы ввели seed-фразу на фейковом сайте, адрес потерян целиком. Попытка «спасти» токены, отправив на него ETH для оплаты газа, скорее всего закончится тем, что sweeper сразу заберёт и этот ETH.

7 признаков фейкового аирдропа: таблица «что видите → что это значит»

Binance Academy сводит схемы фейковых аирдропов к трём типам: фишинговые клоны сайтов, имперсонация инфлюенсеров и сотрудников бирж, непрошенные токены и NFT, отправленные ради заманивания на вредоносный сайт. Внутри этих типов повторяются одни и те же симптомы.

Четвёртая строка заслуживает отдельного пояснения, потому что здесь ошибаются чаще всего. Самая частая ошибка — не бездействие, а попытка самостоятельно избавиться от подозрительного токена: обменять его, перевести или «сжечь». Именно обмен через ссылку из описания токена обычно и запускает дрейнер. Справка MetaMask формулирует это прямо: если на ваш адрес прислали скам-токены, просто оставьте их — любые действия с ними чаще всего вам вредят.

Примеры фейковых аирдропов: Celestia, Earndrop и Inferno Drainer

Признаки из таблицы удобнее запоминать на реальных случаях. Оба первых кейса разобрал ForkLog UA; второго независимого описания именно этих эпизодов нет, поэтому они здесь как иллюстрация техники, а не как статистика.

• Celestia: поддельный аккаунт. Фейковые аккаунты вида «calestiatoken» имитировали официальный «CelestiaOrg» и обещали токены в течение 24 часов за репосты. Разница — одна буква в имени, а срочность и «награда за активность» выглядят как у настоящих кампаний. Урок: имя аккаунта проверяется по ссылке с официального сайта проекта, а не по аватарке и числу подписчиков.
• Earndrop: клон домена. Фейковый сайт «eansrdrop.io» вместо легитимного «earndrop.io» сразу требовал подключить кошелёк, тогда как оригинал просто запрашивал адрес. Это полезный маркер: если настоящему сервису для проверки права на раздачу достаточно адреса, а «его» сайт настаивает на подключении и подписи — перед вами клон.
• Inferno Drainer: масштаб индустрии. По данным Evercodelab, этот дрейнер-сервис связан с более чем 16 000 фишинговых доменов и имперсонацией свыше 100 реальных крипто-брендов. Дрейнеры давно работают как сервис по подписке: разработчики сдают набор скриптов в аренду и берут комиссию с каждой кражи — у Inferno Drainer, по данным Check Point Research, 15–20%, — а остальное достаётся партнёрам, которые приводят жертв. Поэтому после закрытия одного бренда быстро появляется следующий с той же механикой.

Общий знаменатель всех трёх случаев — не техническая сложность, а невнимательность в одной точке: имени аккаунта, домене или запросе на подключение.

Как проверить аирдроп перед подключением кошелька: чек-лист из 5 шагов

Эти пять шагов занимают несколько минут и закрывают почти все сценарии из таблицы выше.

1. Найдите анонс в официальных каналах. Откройте сайт проекта вручную или из закладки, оттуда перейдите в блог, документацию и аккаунт в X. Раздача должна быть описана хотя бы в двух из них, с условиями и адресом страницы клейма.
2. Введите адрес страницы клейма руками или скопируйте из документации. Не переходите по ссылкам из ответов, рекламы, личных сообщений и описаний токенов — даже если аккаунт выглядит как официальный.
3. Проверьте токен в блок-эксплорере и на агрегаторах. Найдите контракт на Etherscan или эксплорере нужной сети, сверьте его с адресом из документации проекта, посмотрите токен на CoinGecko или CoinMarketCap. Известные скам-токены эксплореры уже помечают. Более глубокий разбор того, что смотреть в контракте, — в чек-листе проверки смарт-контракта перед подписью.
4. Подключайте отдельный кошелёк с минимальным балансом. Для фарминга держите адрес, на котором лежит только то, что нужно для комиссий. Основные сбережения на нём не храните — тогда даже ошибочная подпись обойдётся в сумму газа.
5. Читайте, что именно подписываете. Настоящий клейм — это обычно вызов функции получения на контракте проекта. Если кошелёк показывает approve на неограниченную сумму, setApprovalForAll, Permit или предложение «обновить аккаунт» через делегирование EIP-7702 — отклоняйте. Предупреждения кошелька о подозрительной транзакции не пропускайте.

У MetaMask есть официальная процедура проверки, отличающая обычный аирдроп от фишинга, и она хорошо дополняет чек-лист. Первое: виден ли токен через встроенное автоопределение токенов — если нет, его нет в доверенных списках, которыми пользуется эта функция, и это повод насторожиться. Второе: блок-эксплорер уже помечает известные скам-токены. Третье: у проекта должны быть официальный сайт, живое сообщество, названные создатели и whitepaper.

Отдельно про поиск раздач. Агрегаторы аирдропов с репутацией отсеивают часть очевидных скамов лучше, чем реклама в соцсетях, но и они не заменяют проверку по официальным каналам самого проекта: у агрегатора своя заинтересованность, а ошибиться может любой список.

Подписали фишинговую транзакцию: что делать в первые минуты

Если подпись уже ушла, действует простое правило: скорость важнее идеальности. Порядок действий зависит от того, что именно вы отдали — разрешение или seed-фразу.

1. Остановитесь и отключите сайт. Закройте вкладку, в настройках кошелька отключите подключённые сайты. Больше ничего не подписывайте.
2. Если подписали approve или setApprovalForAll — отзовите разрешение. Это делается через revoke.cash или Etherscan Token Approval Checker: вы видите список выданных разрешений и отправляете транзакцию, обнуляющую нужное. Отзыв стоит газа, но это самая дешёвая часть инцидента. Пошагово процедура разобрана в материале про то, как «спящие» разрешения сливают кошельки и как их отозвать.
3. Если подписали Permit или делегирование EIP-7702 — переводите средства. Permit живёт вне блокчейна, и мошенник может использовать его позже; обычный отзыв approval такую подпись не всегда отменяет. Делегирование EIP-7702 на вредоносный контракт само не истекает — его снимают новой подписью. В обоих случаях надёжнее сразу перевести активы на новый адрес.
4. Если ввели seed-фразу — адрес потерян целиком. Создайте новый кошелёк на новой фразе и переведите туда всё, что ещё можно вывести, начиная с самого дорогого. Не отправляйте на скомпрометированный адрес ETH «на газ»: sweeper-контракт вроде CrimeEnjoyor может забрать его сразу.
5. Зафиксируйте следы и сообщите. Сохраните хеши транзакций, адрес дрейнера и адрес сайта. Если украденное ушло на адрес биржи, напишите в её поддержку с хешами — биржа может заморозить средства на своём счёте. Жалобу подайте в киберполицию своей страны.

И последнее: после кражи почти наверняка придут «специалисты по возврату криптовалюты». Это вторая волна того же мошенничества — вернуть средства за предоплату никто не может.

Сколько теряют на фейковых аирдропах и дрейнерах: цифры за 2024–2025

Цифры потерь от фишинга выглядят противоречиво — от десятков миллионов до миллиардов долларов. Противоречия нет: разные исследователи считают разные вещи, и смешивать их в одном ряду нельзя.

Узкая метрика. Отчёт Scam Sniffer за 2025 год считает только кражи через вредоносные подписи — approve, Permit, setApprovalForAll — на фишинговых сайтах. Это ровно механика фейкового аирдропа, поэтому для нашей темы цифра самая точная. По ней потери упали с $494 млн в 2024 году до $83,85 млн в 2025-м.

Широкая метрика. CertiK в отчёте Hack3d за 2024 год считает все инциденты, которые отнёс к фишингу, без разбивки по приёмам (компрометацию приватных ключей ведёт отдельной строкой — $855 млн за 65 инцидентов). Отсюда $1,05 млрд за тот же 2024 год — в два с лишним раза больше, чем у Scam Sniffer. Chainalysis берёт ещё шире — все виды скама, включая инвестиционные схемы, — и получает оценку около $17 млрд за 2025 год.

Что из этого следует. Узкий вектор дрейнеров действительно сдаёт позиции. Одна из причин — кошельки научились предупреждать о подозрительных подписях, а блок-листы фишинговых доменов обновляются по многу раз в сутки: в открытом репозитории MetaMask eth-phishing-detect бот только 26 сентября 2026 года открыл больше 400 запросов на синхронизацию списка.

При этом скам в целом не отступает, а перестраивается: по Chainalysis, средний платёж жертвы всех видов крипто-скама за 2025 год вырос на 253%, до $2 764, а схемы с имперсонацией выросли на 1400%. У дрейнеров картина обратная: по данным Scam Sniffer, средняя потеря на одну жертву снизилась примерно с $1 490 в 2024 году до $790 в 2025-м (наш расчёт: сумма потерь, делённая на число пострадавших, — он совпадает с цифрами самого отчёта). Деньги уходят туда, где жертву обрабатывают дольше и точнее, — поэтому для фармера сейчас опаснее не случайный клон, а адресная имперсонация проекта или «поддержки».

Эти цифры устареют первыми: годовые отчёты Scam Sniffer и Chainalysis за 2026 год выйдут в начале 2027-го. Данные FTC — историческая база, а не текущая картина: их стоит читать как масштаб явления в США на середину 2022 года.

Привычки защиты от скама на весь сезон фарминга

Разовая проверка защищает от одного сайта, привычки — от всего сезона. Вот набор, который стоит завести до начала активной фазы кампаний.

• Два кошелька на разных seed-фразах. Рабочий — для фарминга и новых dApp, с балансом «на газ». Основной — для хранения, желательно аппаратный, и он не подключается к сайтам раздач никогда.
• Закладки вместо ссылок. Сайты проектов, в которых вы фармите, храните в закладках браузера. Ссылки из соцсетей, чатов и поиска считайте непроверенными по умолчанию.
• Регулярный отзыв разрешений. Закончили активность в проекте — отзовите его approvals. Раз в месяц просматривайте список разрешений целиком, особенно старые, оставшиеся от прошлых сезонов.
• Незнакомые токены не трогать. Не обменивать, не переводить, не переходить по ссылкам из названий. Их можно скрыть в интерфейсе кошелька — это безопасно, в отличие от попытки от них избавиться.
• Скепсис к срочности. «Осталось 100 мест», «окно закрывается через час» — повод проверить официальный канал, а не поторопиться.
• Seed-фраза только в самом кошельке. Ни один сайт, бот, «сотрудник поддержки» или форма верификации не имеет права её спрашивать. Где держать саму фразу, чтобы её нельзя было ни выманить, ни найти, — в гайде о том, как безопасно хранить seed-фразу.
• Предупреждения кошелька включены. Симуляция транзакций и защита от фишинга в современных кошельках — дешёвый слой, который ловит часть клонов раньше, чем вы их заметите.

Риски, которые не закрывает даже проверка аирдропа

Чек-лист и привычки снижают риск, но не обнуляют его. Есть сценарии, в которых формальные проверки проходят, а средства всё равно уходят, и о них лучше знать заранее.

• Взломан сам официальный канал. Проверка «есть ли анонс у проекта» не работает, если мошенник получил доступ к настоящему аккаунту проекта в X, серверу Discord или даже к фронтенду сайта. Ссылка тогда приходит из официального источника. Страховка — сверка минимум в двух независимых каналах и пауза: о взломе проекты обычно предупреждают в остальных каналах в течение нескольких часов.
• Аппаратный кошелёк не спасает от подписи. Он защищает ключ, но если вы подтвердили на устройстве approve или Permit, разрешение работает так же, как с горячего кошелька. Читать, что подписываете, нужно и на экране устройства.
• Предупреждения кошелька ловят не всё. Блок-листы и симуляции опираются на уже известные домены и контракты. Клон, зарегистрированный час назад, в них может ещё не попасть.
• Отзыв разрешения не возвращает украденное. Revoke закрывает дверь на будущее, но уже выведенные средства вернуть технически нельзя: транзакции в блокчейне необратимы, шанс остаётся только тогда, когда деньги осели на бирже.
• Рабочий кошелёк на той же seed-фразе — не отдельный кошелёк. Второй аккаунт в том же приложении обычно создаётся из той же фразы, и её утечка открывает оба адреса. Кошелёк для фарминга должен иметь собственную фразу.

Частые вопросы о фейковых аирдропах

Можно ли пострадать от фейкового аирдропа, если не подписывать никакую транзакцию?

Нет, если вообще ничего не подписывать и не вводить seed-фразу: само появление токена на адресе и даже подключение кошелька к сайту доступа к деньгам не дают. Но «ничего не подписывать» шире, чем «не отправлять транзакции»: Permit-подпись не выглядит как транзакция и не стоит газа, а разрешение на вывод токенов даёт. Второе слабое место — ввод фразы на поддельной странице «верификации».

Безопасно ли просто держать в кошельке неизвестный токен, который прилетел сам?

Да, держать его безопасно — опасно с ним взаимодействовать. Непрошенный токен не может сам вывести ваши средства. Проблемы начинаются, когда вы пытаетесь его обменять, перевести или открываете ссылку из его названия. MetaMask советует просто оставить такие токены в покое; в большинстве кошельков их можно скрыть из списка активов.

Как отличить официальную программу биржи (Binance HODLer Airdrops, Bybit Launchpool) от скама?

Биржевые программы работают внутри вашего аккаунта: токены начисляются на биржевой баланс, внешний кошелёк подключать не нужно, подписывать ничего не нужно. Проверка простая — зайти на биржу вручную и найти программу в разделе самой биржи. Как устроена одна из таких программ, разобрано в обзоре Binance HODLer Airdrops. Ссылка на «программу биржи» из личного сообщения — почти всегда фишинг.

Нужно ли платить газ, чтобы получить настоящий аирдроп?

Иногда да: при ончейн-клейме вы сами отправляете транзакцию на контракт проекта и платите комиссию сети, как это было с раздачей UNI. Красный флаг — другое: перевод денег на чей-то адрес, «комиссия за активацию», оплата вперёд за право получить токены. Газ платится сети внутри вашей транзакции, а не отправляется отдельным платежом незнакомцу.

Куда жаловаться, если стал жертвой фейкового аирдропа?

Сначала — в поддержку биржи, если украденное ушло на её адрес: с хешами транзакций у неё есть шанс заморозить средства. Затем — заявление в киберполицию своей страны и жалоба на фишинговый домен в сервисы блок-листов кошельков. Людям, которые после кражи пишут сами и обещают вернуть деньги за предоплату, не отвечайте: это вторая волна скама.