Горячий кошелёк опустошает не взлом, а ваша собственная подпись

Коротко

Горячий кошелёк — это кошелёк, приватный ключ которого лежит на устройстве с интернетом, и подпись под транзакцией ставится прямо там, в онлайне. Приложение на телефоне, расширение в браузере, программа на компьютере — всё это горячие кошельки. Именно связь с сетью, а не сумма и не название приложения, делает кошелёк горячим.

Главное, что стоит понять до того, как вы что-то на него положите:

• Деньги с горячих кошельков чаще всего уходят не через «взлом». Владелец сам подписывает разрешение на фишинговом сайте, приватный ключ при этом остаётся у него, а активы забирает чужой контракт — легально, по выданному праву.
• Горячий кошелёк и счёт на бирже — не одно и то же, хотя оба «онлайн». Это две разные оси: где лежит ключ и у кого он вообще есть.
• Сумма на кошельке — это и есть настройка риска. Цена ошибки ограничена остатком, поэтому вопрос «сколько держать» важнее вопроса «какое приложение поставить».
• Уход в холодное хранение снижает риск, но не обнуляет его. В январе 2026 года у владельца аппаратного кошелька забрали около $282 млн, просто уговорив продиктовать seed-фразу.

Ниже — что технически делает кошелёк горячим, какие они бывают, шесть механик, по которым из них реально вынимают деньги, свежие цифры потерь, ориентир по суммам и гигиена, которая работает. Цифры в статье — по состоянию на 1 августа 2026 года.

Что делает кошелёк горячим

Начнём с того, чего в кошельке нет: самих монет. Биткоины, эфир и токены существуют только записями в блокчейне. Кошелёк хранит приватный ключ — секретное значение, которым подписывается перевод. Кто может поставить подпись, тот и распоряжается активами.

Bybit · Rewards Hubдо $30,100Внеси депозит, торгуй 14 дней — и забери награды в Rewards HubЗабрать бонус →

Дальше всё сводится к одному вопросу: где этот ключ лежит и в какой среде ставится подпись.

Криптокошелёк не хранит ваши монеты — он хранит ключ от них

AWS Continuum придёт в Claude Code и Codex: поиск дыр прямо в редакторе

OpenClaw на Claude отменил чужую бронь, чтобы поднять хозяина с 4-го места на 3-е

GPT-5.6-Cyber от OpenAI: 95% ответов по безопасности вместо 1,5%

Skills для Claude: где брать и как не установить вредоносный скилл

• Горячий кошелёк — ключ хранится на устройстве, подключённом к интернету, и подпись формируется там же: в приложении на смартфоне, в расширении браузера, в программе на компьютере, на сервере сервиса.
• Холодный кошелёк — ключ живёт в среде без постоянного подключения, подпись ставится внутри отдельного устройства, а наружу выходит только готовая подпись.

Отсюда следует неочевидное. «Горячий» — это не про сумму и не про конкретный бренд. Это про среду, в которой существует ключ в момент подписи. Специалисты Kaspersky в разборе типов хранения формулируют это через простой критерий: если для отправки средств не нужно никаких дополнительных телодвижений с отдельным устройством или бумажкой — кошелёк горячий.

И обратное тоже верно. Распечатанный на бумаге приватный ключ считается холодным хранением ровно до момента, когда вы решите потратить деньги: чтобы это сделать, ключ придётся ввести в подключённое к сети приложение — и в эту секунду хранение перестаёт быть холодным. То же самое происходит, когда владелец аппаратного кошелька вводит свою seed-фразу в приложение на компьютере, чтобы «восстановить доступ».

Практический вывод: безопасность даёт не покупка устройства, а дисциплина «ключ никогда не появляется в онлайн-среде». Устройство лишь помогает эту дисциплину держать.

Горячий кошелёк это биржа или нет

Нет. Биржевой счёт — тоже горячее хранение, но вдобавок кастодиальное: ключом распоряжается компания. Горячий кошелёк вроде MetaMask тоже онлайн, однако ключ в нём ваш, и подписать перевод не может никто, кроме вас. «Горячий» отвечает на вопрос, подключён ли ключ к интернету, а «кастодиальный» — у кого он вообще есть.

Здесь путаются почти все, и не только новички. Один из материалов топа выдачи по этому запросу прямо называет MetaMask «горячим кастодиальным кошельком» — а это фактическая ошибка, которая стоит читателю неверной модели мира.

Дело в том, что осей две, и они независимы:

SpaceX · xStockSpaceX — частная компания. Торгуй её токеном на Bybit за крипту.Торговать SpaceX →

Счёт на бирже — горячий и кастодиальный: ключ подключён к сети, и он не ваш. MetaMask — горячий, но некастодиальный: ключ зашифрован и лежит на вашем устройстве, компания его не видит. Разница практическая, а не терминологическая:

• Забыли пароль от биржи — восстановите через поддержку. Потеряли seed-фразу от MetaMask — не восстановит никто.
• Биржу могут взломать, заблокировать вывод или обанкротить — и деньги уйдут вместе с ней. Ваш некастодиальный кошелёк от этого не зависит.
• Зато на бирже вы не подпишете вредоносное разрешение на фишинговом сайте: там просто нет такой операции. Основная механика потерь у горячего некастодиального кошелька в кастодиальном мире отсутствует как класс.

Подробнее эти две модели владения мы разбирали в материале про кастодиальные и некастодиальные кошельки — там о том, кому какая подходит.

Важно не превращать это в мораль «биржа плохая». Биржевой счёт — другой обмен: вы отдаёте контроль над ключом и получаете взамен восстановление доступа, поддержку и мгновенную ликвидность. Для оборотной части, которой вы активно торгуете, счёт на бирже — рабочий инструмент, и держать её там разумнее, чем гонять через сеть с комиссиями. Ошибка начинается там, где на бирже остаются долгосрочные накопления «просто потому что так удобнее».

Виды горячих кошельков и слабое место каждого

Примеры горячих кошельков делятся на четыре формата, и уязвимости у них разные — это важнее, чем список функций.

Формат расширения заслуживает отдельного слова. Оно удобнее всех для DeFi и NFT именно потому, что стоит вплотную к сайтам — и по той же причине уязвимее всех. Кошелёк на телефоне обычно отделён от браузера, десктопный — от веба, а расширение живёт ровно там, где работают фишинговые страницы.

Кошелёк внутри сервиса — отдельная история, потому что риск здесь не ваш и не виден. К нему вернёмся ниже.

Риски горячего кошелька: как деньги уходят на самом деле

Совет «горячие кошельки менее безопасны, будьте осторожны» бесполезен, потому что не говорит, чего именно опасаться. Ниже — шесть работающих механик, от самой массовой к самой неожиданной.

Подпись разрешения: главный способ 2025–2026

Токены стандарта ERC-20 устроены так, что для работы с приложением вы выдаёте контракту разрешение тратить ваши токены — операция approve. Это штатная часть DeFi: без неё не работает ни один обмен. Фишинговый сайт подсовывает ту же самую операцию, но получателем ставит свой адрес, а суммой — максимально возможное число.

Дальше происходит вот что: приватный ключ у вас, вредоноса на компьютере нет, кошелёк по-прежнему «ваш». Просто чужой контракт теперь имеет право забрать токены в любой момент — и забирает.

У механики есть три разновидности:

• approve на максимум — бессрочное право тратить конкретный токен. Действует, пока вы его явно не отзовёте.
• setApprovalForAll — одна подпись отдаёт всю коллекцию NFT целиком.
• Офчейн-подпись Permit / Permit2 — самая опасная. Это не транзакция: газ не тратится, в истории кошелька ничего не появляется, интерфейс показывает нейтральное «подпишите сообщение». По данным годового отчёта Scam Sniffer, в 2025 году на подписи Permit и Permit2 пришлось $8,72 млн в трёх эпизодах — 38% всех потерь дороже миллиона долларов, а крупнейшая кража года ($6,5 млн в stETH и aEthWBTC) прошла именно через Permit-подпись в сентябре.

Насколько быстро всё заканчивается, показывает эпизод 9 июля 2026 года. Пользователь подписал вредоносное разрешение по USDT. Скрипт атакующего попытался забрать ровно $1 000 000, транзакция не прошла — на кошельке оказалось примерно на $631 меньше. Через 36 секунд скрипт пересчитал остаток и вывел его до нуля: итоговая потеря $999 999. Это не человек у экрана, а автоматика, которая мониторит, повторяет и оптимизирует.

Механику дрейнеров и сервисы проверки кошелька мы подробно разбирали в гайде по безопасности криптокошелька.

Дрейнер: что происходит после «Connect Wallet»

Дрейнер — это готовый набор для кражи через подпись, а не отдельный вирус. Цепочка одинаковая почти во всех кампаниях: приманка (фейковый аирдроп, рекламный пост, сообщение в личку) → подключение кошелька → фоновая разведка, сколько и чего у вас лежит → подпись «для верификации» → вывод.

Разведка объясняет, почему суммы такие точные: скрипт заранее оценивает содержимое кошелька по разным сетям и подбирает, что именно просить подписать. Отдельная неприятность — рынок стал сервисным: за депозит в $5000–10 000 исполнитель получает готовый набор, оставляет себе 75–95% украденного, а остальное отдаёт оператору. Поэтому фишинговые домены не кончаются: их не пишут заново, их арендуют.

Подмена адреса в буфере обмена

Вы копируете адрес получателя, вставляете — и деньги уходят не туда. Класс вредоносов, который этим занимается, называется клипером.

В июне 2026 года Microsoft Threat Intelligence опубликовала разбор кампании, идущей с февраля 2026-го: вредонос проверяет буфер обмена примерно каждые 500 миллисекунд, вылавливает по шаблонам seed-фразы и приватные ключи, а скопированные адреса кошельков подменяет на адреса атакующего. Заражение шло через ярлыки .lnk на USB-накопителях, Microsoft Defender детектирует это как Trojan:Win32/CryptoBandits.A.

Защита здесь неинтуитивная: смотреть надо не весь адрес целиком, а первые и последние символы — и обязательно после вставки, а не до копирования.

Seed-фраза уехала в облако

Seed-фраза — это 12 или 24 английских слова по стандарту BIP-39, из которых восстанавливаются все ключи кошелька. Причём восстанавливаются на кошельке любого производителя: фраза от Ledger спокойно поднимется в MetaMask и наоборот. То есть это не «пароль от приложения», а сам доступ к деньгам в переносимом виде.

Классическая ошибка — сохранить её как скриншот, заметку или файл. Дальше она попадает в облачный бэкап или её находит стилер, который целенаправленно ищет по компьютеру файлы и заметки с характерным набором слов. Оценки отрасли говорят, что около 35% владельцев кошельков не делают корректной резервной копии фразы — что бы за этим ни стояло, от полного отсутствия копии до файла в облаке.

Второй канал — прямой обман. В разборе Securelist схема выглядит так: письмо «от биржи» с просьбой подтвердить транзакцию или пройти повторную верификацию, переход по ссылке, страница с единственным полем — «введите seed-фразу». Никакой техники, только расчёт на невнимательность.

Как хранить фразу правильно — отдельная тема, у нас есть подробный гайд про seed-фразу. Здесь важно одно правило: seed-фраза нужна ровно для одного — восстановить кошелёк на новом устройстве. Любой другой сценарий, где её просят ввести, — обман.

Поддельное приложение из официального магазина

Самый неожиданный вектор: вы всё сделали правильно, скачали приложение из официального магазина — и потеряли деньги.

С 7 по 13 апреля 2026 года в Apple App Store находилось поддельное приложение Ledger Live, опубликованное разработчиком «Leva Heal Limited», не имеющим отношения к Ledger. Оно выманивало seed-фразу. За неделю через него увели около $9,5 млн у более чем 50 человек, причём у трёх пострадавших по отдельности забрали $3,23 млн, $2,08 млн и $1,95 млн. Apple удалила приложение 13 апреля, расследование опубликовал ончейн-аналитик ZachXBT.

Вывод простой: витрина магазина приложений — не гарантия. Ссылку на приложение стоит брать с официального сайта проекта, а не из поиска по магазину, и проверять имя разработчика.

Горячий кошелёк чужого сервиса

Про этот риск новички не думают, потому что он не их. Любой сервис, который принимает и отправляет криптовалюту, держит оборотные средства на своих горячих кошельках — и они точно так же уязвимы.

25 июля 2026 года с горячих кошельков сингапурской платёжной компании Triple-A начали уходить деньги сразу в пяти сетях — TRON, Ethereum, TON, Solana и Bitcoin. Ончейн-аналитики оценили вывод примерно в $11,8 млн, компания подтвердила несанкционированный доступ. Дрейн продолжался больше суток, и самое неприятное здесь не сумма: платежи, которые приходили на адреса сервиса во время атаки, уходили атакующему практически в момент зачисления.

Отсюда правило для любого сервиса-посредника: держать там стоит оборотную сумму, а не остаток.

Сколько на этом теряют

Общая картина полезна тем, что показывает не «страшно или нет», а куда сместился риск.

Суммы упали, но радоваться рано, и вот почему. Число инцидентов у Chainalysis, наоборот, выросло: 158 000 случаев против 54 000 в 2022 году, не менее 80 000 уникальных пострадавших. То есть атакуют больше людей, но забирают у каждого меньше. Средняя потеря пострадавшего от подписного фишинга в третьем квартале 2025 года — $778.

При этом хвост распределения тянется вверх. В январе 2026 года потери от подписного фишинга выросли на 207% к декабрю, хотя число жертв снизилось примерно на 11%. Это разворот на охоту за крупными кошельками: одна удачная подпись у состоятельного владельца даёт больше, чем тысяча мелких.

Ещё одна деталь для тех, кто выбирает сеть: по данным Chainalysis, больше всего пострадавших в 2025 году было в Solana (около 26 500 человек), а по частоте краж на 100 тысяч активных кошельков впереди Ethereum и Tron.

Важная оговорка про методику: данные Scam Sniffer охватывают только дрейнеры через фишинговые сайты на EVM-совместимых сетях — прямые взломы, компрометации бирж и эксплойты контрактов туда не входят. Это нижняя граница, а не «все потери».

Сколько держать на горячем кошельке

Совет «держите немного» встречается у всех и не значит ничего. Дадим конкретный ориентир — он строится не от суммы портфеля, а от того, что вы делаете.

Логика простая: остаток горячего кошелька — это максимум, который вы потеряете при одной ошибке. Значит, выбирать нужно не «сколько не жалко», а «сколько нужно для работы на ближайшие пару недель».

Проверочный вопрос перед пополнением горячего кошелька: если завтра этот адрес обнулится, изменит ли это ваши планы? Если да — сумма великовата.

И ещё одно наблюдение, которое редко проговаривают. Порог «пора в холодное» зависит не от абсолютной суммы, а от того, сколько сайтов видел этот кошелёк. Адрес, который два года подключался к десяткам приложений, опаснее свежего с той же суммой — просто потому, что у него накопился шлейф действующих разрешений.

Гигиена: что работает, а что только кажется защитой

Здесь полезно развести реальные меры и меры-плацебо.

Четыре привычки, которые закрывают большую часть риска:

1. Разделить кошельки по назначению. Один — хранение, к сайтам не подключается вообще. Второй — рабочий, с оборотом на пару недель. Третий — расходный, для всего нового и незнакомого. Если расходный подпишет что-то не то, остальные не пострадают.
2. Отдельный профиль браузера под кошелёк. Без лишних расширений, без обычного сёрфинга, без залогиненных соцсетей. Расширения — документированный канал атаки, и чем их меньше рядом с кошельком, тем лучше.
3. Регулярно отзывать разрешения. Выданный approve живёт вечно, пока вы его не снимете, и «спящее» разрешение годичной давности сработает так же, как свежее. Как их найти и отозвать — в отдельном разборе про спящие approvals.
4. Читать не название операции, а её содержание. Красные флаги: «бесплатная» подпись без газа, неограниченная сумма, setApprovalForAll на незнакомую коллекцию, просьба сменить сеть сразу после подключения, таймер «осталось 4 минуты», и особенно — поддержка, которая написала первой. Ни один кошелёк и ни одна биржа не пишут клиенту в личку.

Аппаратный кошелёк как подписант для горячего интерфейса

Отдельная схема, которую почему-то редко объясняют: аппаратный кошелёк и горячий интерфейс не альтернативы, они работают вместе.

Выглядит это так. Приложение создаёт транзакцию, MetaMask передаёт её на устройство, подпись ставится внутри устройства, подписанная транзакция возвращается в MetaMask и уходит в сеть. Ключ на компьютере не появляется, а любое действие требует физического подтверждения кнопкой. Экран устройства при этом показывает, что вы на самом деле подписываете, — и это ровно та точка, где рушится схема с вредоносной подписью, если читать содержимое.

У схемы есть жёсткое условие, которое MetaMask прописывает в документации прямым текстом: seed-фразу нужно создать заново на самом устройстве, а не импортировать в него готовую фразу из MetaMask. Иначе фраза уже побывала в онлайн-среде, и весь смысл устройства обнуляется.

Какое устройство выбрать — вопрос отдельный; для понимания механики достаточно посмотреть, как это устроено на примере Ledger Nano X.

Если вы уже подписали

Порядок действий важнее скорости — точнее, важно и то, и другое, но в правильной последовательности.

1. Ничего больше не подписывайте. Особенно предложения «восстановить» или «отменить» — на панике жертву добивают второй схемой.
2. Спасайте то, что ещё не увели. Создайте новый кошелёк и переводите остатки туда, начиная с самого дорогого. Скомпрометированный адрес считайте потерянным навсегда — вместе со всеми адресами, выведенными из той же seed-фразы.
3. Отзовите разрешения на старом кошельке — во всех сетях, а не только в Ethereum. Это гонка с чужой автоматикой, но часть активов так спасается.
4. Зафиксируйте всё. Хеши транзакций, адреса, время, точный URL фишингового сайта. Скриншот до того, как закроете вкладку.
5. Сообщите. Фишинговый домен — в списки блокировок, инцидент — в киберполицию. Вернуть деньги это, скорее всего, не поможет, но следующему может.
6. Если вы называли кому-то seed-фразу — кошелёк потерян целиком, «дочищать» его бессмысленно. Заводите новый и меняйте привычки.

Отдельно: любые сервисы «возврата украденной криптовалюты» с предоплатой — это вторая кража, поставленная на поток.

Когда горячий кошелёк оправдан, а когда пора в холодный

Горячий кошелёк оправдан, когда вы им пользуетесь. Он нужен для DeFi, обменов, NFT, повседневных переводов и оплаты — холодное хранение всё это делает неудобным до бессмысленности. Держать три сотни долларов на аппаратном устройстве — примерно как носить мелочь в банковской ячейке.

Пора уходить, когда совпадают два условия: сумма стала заметной и операций почти нет. Как только деньги лежат, а не работают, единственное, что даёт горячий кошелёк, — это риск. Что такое холодное хранение, какие бывают форматы и как его настроить — в отдельном разборе про холодный кошелёк.

Но у перехода есть честная граница, и о ней стоит знать заранее.

Холодное хранение не защищает от разговора. В январе 2026 года владелец аппаратного кошелька потерял около $282 млн в BTC и LTC: злоумышленник представился поддержкой Trezor и убедил продиктовать seed-фразу. Тип кошелька в этой краже не сыграл вообще никакой роли — вся защита была обойдена человеческим диалогом.

Холодное хранение не защищает и от ошибки производителя. 31 июля 2026 года из-за дефекта прошивки Coldcard, из-за которого генератор случайных чисел молча работал в предсказуемом режиме с марта 2021 года, с примерно 500 аппаратных кошельков за 25 минут вывели 594 BTC — около $38 млн. Инженеры Block, опубликовавшие технический разбор, оценивают потенциальный масштаб выше, если подтвердятся дополнительные транзакции.

Практический вывод из обоих случаев один: устройство — это не финиш, а один слой. Работают только слои вместе: разделение сумм, дисциплина с seed-фразой и привычка не подписывать то, чего не понимаешь.

FAQ

Горячий кошелёк — это кастодиальный кошелёк?

Нет, это разные характеристики. «Горячий» отвечает на вопрос, подключён ли ключ к интернету; «кастодиальный» — у кого этот ключ есть. Счёт на бирже горячий и кастодиальный одновременно, а MetaMask горячий, но некастодиальный: ключ хранится у вас на устройстве.

Trust Wallet — это горячий кошелёк?

Да. Trust Wallet — мобильное приложение, приватный ключ хранится в памяти телефона, подпись ставится там же, устройство подключено к сети. По той же логике горячими являются Phantom, Rabby, MetaMask и встроенные кошельки бирж.

Можно ли держать USDT на горячем кошельке?

Можно, и на практике это самый частый сценарий. Но именно у стейблкоинов чаще всего срабатывает подписной фишинг: у них большие остатки и стандартный механизм разрешений. Для USDT ориентир такой же, как для остальных активов — оборотная сумма на ближайшие недели, остальное на холодное хранение.

Если у меня украли деньги из горячего кошелька, их можно вернуть?

Транзакция в блокчейне необратима, отменить её нельзя. Иногда часть средств замораживают эмитенты стейблкоинов или биржи, куда украденное пришло на вывод, но рассчитывать на это не стоит. Реально помогает только скорость: спасти остатки и отозвать разрешения до того, как их используют.

Антивирус защитит горячий кошелёк?

От части угроз — да: он мешает клиперам и стилерам попасть на компьютер. Но от самой массовой механики он не защищает вообще: подпись разрешения на фишинговом сайте — это ваше добровольное действие, а не вредоносный код на машине.

Сколько кошельков нужно завести?

Практический минимум — два: один для хранения, который никогда не подключается к сайтам, и один рабочий. Тем, кто регулярно пробует новые протоколы, стоит завести и третий, расходный, с суммой только под конкретную операцию.