Гарячий гаманець спустошує не злам, а ваш власний підпис

Коротко

Гарячий гаманець — це гаманець, приватний ключ якого лежить на пристрої з інтернетом, і підпис під транзакцією ставиться просто там, онлайн. Застосунок на телефоні, розширення в браузері, програма на комп’ютері — усе це гарячі гаманці. Саме зв’язок із мережею, а не сума й не назва застосунку, робить гаманець гарячим.

Головне, що варто зрозуміти до того, як ви щось на нього покладете:

• Гроші з гарячих гаманців найчастіше зникають не через «злам». Власник сам підписує дозвіл на фішинговому сайті, приватний ключ при цьому лишається в нього, а активи забирає чужий контракт — законно, за виданим правом.
• Гарячий гаманець і рахунок на біржі — не те саме, хоча обидва «онлайн». Це дві різні осі: де лежить ключ і в кого він узагалі є.
• Сума на гаманці — і є налаштування ризику. Ціна помилки обмежена залишком, тому питання «скільки тримати» важливіше за питання «який застосунок поставити».
• Перехід у холодне зберігання знижує ризик, але не обнуляє його. У січні 2026 року у власника апаратного гаманця забрали близько $282 млн, просто вмовивши продиктувати seed-фразу.

Нижче — що технічно робить гаманець гарячим, які вони бувають, шість механік, за якими з них справді виймають гроші, свіжі цифри втрат, орієнтир щодо сум і гігієна, яка працює. Цифри у статті — станом на 1 серпня 2026 року.

Що робить гаманець гарячим

Почнемо з того, чого в гаманці немає: самих монет. Біткоїни, ефір і токени існують лише записами в блокчейні. Гаманець зберігає приватний ключ — таємне значення, яким підписується переказ. Хто може поставити підпис, той і розпоряджається активами.

BINANCE COPY TRADINGКопітрейдинг на BinanceВідкрита статистика трейдерів, старт з $10, вимкнення одним кліком.Обрати трейдера

Далі все зводиться до одного питання: де цей ключ лежить і в якому середовищі ставиться підпис.

Криптогаманець не зберігає ваші монети — він зберігає ключ від них

AWS Continuum прийде в Claude Code і Codex: пошук дірок просто в редакторі

OpenClaw на Claude скасував чуже бронювання, щоб підняти власника з 4-го на 3-тє

GPT-5.6-Cyber від OpenAI: 95% відповідей із безпеки замість 1,5%

Skills для Claude: де брати і як не встановити шкідливу навичку

• Гарячий гаманець — ключ зберігається на пристрої, під’єднаному до інтернету, і підпис формується там само: у застосунку на смартфоні, у розширенні браузера, у програмі на комп’ютері, на сервері сервісу.
• Холодний гаманець — ключ живе в середовищі без постійного під’єднання, підпис ставиться всередині окремого пристрою, а назовні виходить лише готовий підпис.

Звідси випливає неочевидне. «Гарячий» — це не про суму й не про конкретний бренд. Це про середовище, у якому існує ключ у момент підпису. Фахівці Kaspersky у розборі типів зберігання формулюють це через простий критерій: якщо для відправлення коштів не потрібно жодних додаткових дій з окремим пристроєм чи папірцем — гаманець гарячий.

Зворотне теж правильне. Роздрукований на папері приватний ключ вважається холодним зберіганням рівно до моменту, коли ви вирішите витратити гроші: щоб це зробити, ключ доведеться ввести в під’єднаний до мережі застосунок — і цієї секунди зберігання перестає бути холодним. Те саме відбувається, коли власник апаратного гаманця вводить свою seed-фразу в програму на комп’ютері, щоб «відновити доступ».

Практичний висновок: безпеку дає не купівля пристрою, а дисципліна «ключ ніколи не з’являється в онлайн-середовищі». Пристрій лише допомагає цю дисципліну тримати.

Гарячий гаманець це біржа чи ні

Ні. Біржовий рахунок — теж гаряче зберігання, але ще й кастодіальне: ключем розпоряджається компанія. Гарячий гаманець на кшталт MetaMask теж онлайн, проте ключ у ньому ваш, і підписати переказ не може ніхто, крім вас. «Гарячий» відповідає на питання, чи під’єднаний ключ до інтернету, а «кастодіальний» — у кого він узагалі є.

Тут плутаються майже всі, і не тільки новачки. Один із матеріалів топу видачі за цим запитом прямо називає MetaMask «гарячим кастодіальним гаманцем» — а це фактична помилка, яка коштує читачеві хибної моделі світу.

Річ у тім, що осей дві, і вони незалежні:

BINANCEДосі дивишся збоку?Ринок працює без вихідних. Рахунок на Binance відкривається за 2 хвилини.Почати зараз

Рахунок на біржі — гарячий і кастодіальний: ключ під’єднаний до мережі, і він не ваш. MetaMask — гарячий, але некастодіальний: ключ зашифрований і лежить на вашому пристрої, компанія його не бачить. Різниця практична, а не термінологічна:

• Забули пароль від біржі — відновите через підтримку. Втратили seed-фразу від MetaMask — не відновить ніхто.
• Біржу можуть зламати, заблокувати виведення або збанкрутувати — і гроші зникнуть разом із нею. Ваш некастодіальний гаманець від цього не залежить.
• Зате на біржі ви не підпишете шкідливий дозвіл на фішинговому сайті: там просто немає такої операції. Основна механіка втрат гарячого некастодіального гаманця в кастодіальному світі відсутня як клас.

Докладніше ці дві моделі володіння ми розбирали в матеріалі про кастодіальні та некастодіальні гаманці — там про те, кому яка підходить.

Важливо не перетворювати це на мораль «біржа погана». Біржовий рахунок — інший обмін: ви віддаєте контроль над ключем і отримуєте натомість відновлення доступу, підтримку та миттєву ліквідність. Для оборотної частини, якою ви активно торгуєте, рахунок на біржі — робочий інструмент, і тримати її там розумніше, ніж ганяти через мережу з комісіями. Помилка починається там, де на біржі залишаються довгострокові накопичення «просто тому, що так зручніше».

Види гарячих гаманців і слабке місце кожного

Приклади гарячих гаманців поділяються на чотири формати, і вразливості в них різні — це важливіше за перелік функцій.

Формат розширення заслуговує окремого слова. Воно зручніше за всі інші для DeFi та NFT саме тому, що стоїть впритул до сайтів — і з тієї ж причини вразливіше за всі. Гаманець на телефоні зазвичай відокремлений від браузера, десктопний — від вебу, а розширення живе рівно там, де працюють фішингові сторінки.

Гаманець усередині сервісу — окрема історія, бо ризик тут не ваш і не видимий. До нього повернемось нижче.

Ризики гарячого гаманця: як гроші зникають насправді

Порада «гарячі гаманці менш безпечні, будьте обережні» марна, бо не каже, чого саме боятися. Нижче — шість робочих механік, від найбільш масової до найнесподіванішої.

Підпис дозволу: головний спосіб 2025–2026

Токени стандарту ERC-20 влаштовані так, що для роботи із застосунком ви видаєте контракту дозвіл витрачати ваші токени — операція approve. Це штатна частина DeFi: без неї не працює жоден обмін. Фішинговий сайт підсовує ту саму операцію, але одержувачем ставить свою адресу, а сумою — максимально можливе число.

Далі відбувається ось що: приватний ключ у вас, шкідливого ПЗ на комп’ютері немає, гаманець і далі «ваш». Просто чужий контракт тепер має право забрати токени будь-якої миті — і забирає.

У механіки є три різновиди:

• approve на максимум — безстрокове право витрачати конкретний токен. Діє, доки ви його явно не відкличете.
• setApprovalForAll — один підпис віддає всю колекцію NFT цілком.
• Офчейн-підпис Permit / Permit2 — найнебезпечніший. Це не транзакція: газ не витрачається, в історії гаманця нічого не з’являється, інтерфейс показує нейтральне «підпишіть повідомлення». За даними річного звіту Scam Sniffer, 2025 року на підписи Permit і Permit2 припало $8,72 млн у трьох епізодах — 38% усіх втрат, дорожчих за мільйон доларів, а найбільша крадіжка року ($6,5 млн у stETH та aEthWBTC) пройшла саме через Permit-підпис у вересні.

Наскільки швидко все закінчується, показує епізод 9 липня 2026 року. Користувач підписав шкідливий дозвіл щодо USDT. Скрипт атакувальника спробував забрати рівно $1 000 000, транзакція не пройшла — на гаманці виявилося приблизно на $631 менше. Через 36 секунд скрипт перерахував залишок і вивів його до нуля: підсумкова втрата $999 999. Це не людина за екраном, а автоматика, яка моніторить, повторює й оптимізує.

Механіку дрейнерів і сервіси перевірки гаманця ми докладно розбирали в гайді про безпеку криптогаманця.

Дрейнер: що відбувається після «Connect Wallet»

Дрейнер — це готовий набір для крадіжки через підпис, а не окремий вірус. Ланцюжок однаковий майже в усіх кампаніях: принада (фейковий ейрдроп, рекламний допис, повідомлення в особисті) → під’єднання гаманця → фонова розвідка, скільки й чого у вас лежить → підпис «для верифікації» → виведення.

Розвідка пояснює, чому суми такі точні: скрипт заздалегідь оцінює вміст гаманця в різних мережах і добирає, що саме просити підписати. Окрема неприємність — ринок став сервісним: за депозит у $5000–10 000 виконавець отримує готовий набір, лишає собі 75–95% украденого, а решту віддає оператору. Тому фішингові домени не закінчуються: їх не пишуть заново, їх орендують.

Підміна адреси в буфері обміну

Ви копіюєте адресу одержувача, вставляєте — і гроші йдуть не туди. Клас шкідливого ПЗ, який цим займається, називається кліпером.

У червні 2026 року Microsoft Threat Intelligence опублікувала розбір кампанії, що триває з лютого 2026-го: шкідливе ПЗ перевіряє буфер обміну приблизно кожні 500 мілісекунд, виловлює за шаблонами seed-фрази й приватні ключі, а скопійовані адреси гаманців підміняє на адреси атакувальника. Зараження йшло через ярлики .lnk на USB-накопичувачах, Microsoft Defender розпізнає це як Trojan:Win32/CryptoBandits.A.

Захист тут неінтуїтивний: дивитися треба не на всю адресу цілком, а на перші й останні символи — і обов’язково після вставляння, а не до копіювання.

Seed-фраза поїхала в хмару

Seed-фраза — це 12 або 24 англійських слова за стандартом BIP-39, з яких відновлюються всі ключі гаманця. Причому відновлюються на гаманці будь-якого виробника: фраза від Ledger спокійно підніметься в MetaMask і навпаки. Тобто це не «пароль від застосунку», а сам доступ до грошей у переносному вигляді.

Класична помилка — зберегти її як знімок екрана, нотатку чи файл. Далі вона потрапляє в хмарну резервну копію або її знаходить стилер, який цілеспрямовано шукає комп’ютером файли й нотатки з характерним набором слів. Оцінки галузі кажуть, що близько 35% власників гаманців не роблять коректної резервної копії фрази — хай би що за цим стояло, від цілковитої відсутності копії до файла в хмарі.

Другий канал — прямий обман. У розборі Securelist схема має такий вигляд: лист «від біржі» з проханням підтвердити транзакцію або пройти повторну верифікацію, перехід за посиланням, сторінка з єдиним полем — «введіть seed-фразу». Жодної техніки, лише розрахунок на неуважність.

Як зберігати фразу правильно — окрема тема, у нас є докладний гайд про seed-фразу. Тут важливе одне правило: seed-фраза потрібна рівно для одного — відновити гаманець на новому пристрої. Будь-який інший сценарій, де її просять ввести, — обман.

Підроблений застосунок з офіційного магазину

Найнесподіваніший вектор: ви все зробили правильно, завантажили застосунок з офіційного магазину — і втратили гроші.

З 7 до 13 квітня 2026 року в Apple App Store перебував підроблений застосунок Ledger Live, опублікований розробником «Leva Heal Limited», який не має стосунку до Ledger. Він виманював seed-фразу. За тиждень через нього вивели близько $9,5 млн у понад 50 людей, причому в трьох постраждалих окремо забрали $3,23 млн, $2,08 млн і $1,95 млн. Apple видалила застосунок 13 квітня, розслідування оприлюднив ончейн-аналітик ZachXBT.

Висновок простий: вітрина магазину застосунків — не гарантія. Посилання на застосунок варто брати з офіційного сайту проєкту, а не з пошуку в магазині, і перевіряти ім’я розробника.

Гарячий гаманець чужого сервісу

Про цей ризик новачки не думають, бо він не їхній. Будь-який сервіс, який приймає й надсилає криптовалюту, тримає оборотні кошти на своїх гарячих гаманцях — і вони так само вразливі.

25 липня 2026 року з гарячих гаманців сингапурської платіжної компанії Triple-A почали зникати гроші одразу в п’яти мережах — TRON, Ethereum, TON, Solana і Bitcoin. Ончейн-аналітики оцінили виведення приблизно в $11,8 млн, компанія підтвердила несанкціонований доступ. Дрейн тривав понад добу, і найнеприємніше тут не сума: платежі, які надходили на адреси сервісу під час атаки, зникали до атакувальника практично в момент зарахування.

Звідси правило для будь-якого сервісу-посередника: тримати там варто оборотну суму, а не залишок.

Скільки на цьому втрачають

Загальна картина корисна тим, що показує не «страшно чи ні», а куди змістився ризик.

Суми впали, але тішитися рано, і ось чому. Кількість інцидентів у Chainalysis, навпаки, зросла: 158 000 випадків проти 54 000 у 2022 році, щонайменше 80 000 унікальних постраждалих. Тобто атакують більше людей, але забирають у кожного менше. Середня втрата постраждалого від підписного фішингу в третьому кварталі 2025 року — $778.

Водночас хвіст розподілу тягнеться вгору. У січні 2026 року втрати від підписного фішингу зросли на 207% до грудня, хоча кількість жертв знизилася приблизно на 11%. Це розворот на полювання за великими гаманцями: один вдалий підпис у заможного власника дає більше, ніж тисяча дрібних.

Ще одна деталь для тих, хто обирає мережу: за даними Chainalysis, найбільше постраждалих 2025 року було в Solana (близько 26 500 осіб), а за частотою крадіжок на 100 тисяч активних гаманців попереду Ethereum і Tron.

Важливе застереження щодо методики: дані Scam Sniffer охоплюють лише дрейнери через фішингові сайти в EVM-сумісних мережах — прямі зломи, компрометації бірж та експлойти контрактів туди не входять. Це нижня межа, а не «всі втрати».

Скільки тримати на гарячому гаманці

Порада «тримайте небагато» трапляється у всіх і не означає нічого. Дамо конкретний орієнтир — він будується не від суми портфеля, а від того, що ви робите.

Логіка проста: залишок гарячого гаманця — це максимум, який ви втратите за однієї помилки. Отже, обирати треба не «скільки не шкода», а «скільки потрібно для роботи на найближчі два тижні».

Перевірочне питання перед поповненням гарячого гаманця: якщо завтра ця адреса обнулиться, чи змінить це ваші плани? Якщо так — сума завелика.

І ще одне спостереження, яке рідко проговорюють. Поріг «час у холодне» залежить не від абсолютної суми, а від того, скільки сайтів бачив цей гаманець. Адреса, яка два роки під’єднувалася до десятків застосунків, небезпечніша за свіжу з тією самою сумою — просто тому, що в неї накопичився шлейф чинних дозволів.

Гігієна: що працює, а що лише здається захистом

Тут корисно розвести реальні заходи й заходи-плацебо.

Чотири звички, які закривають більшу частину ризику:

1. Розділити гаманці за призначенням. Один — зберігання, до сайтів не під’єднується взагалі. Другий — робочий, з оборотом на пару тижнів. Третій — витратний, для всього нового й незнайомого. Якщо витратний підпише щось не те, решта не постраждає.
2. Окремий профіль браузера під гаманець. Без зайвих розширень, без звичайного серфінгу, без залогінених соцмереж. Розширення — задокументований канал атаки, і що менше їх поруч із гаманцем, то краще.
3. Регулярно відкликати дозволи. Виданий approve живе вічно, доки ви його не знімете, і «спляче» торішнє право спрацює так само, як свіже. Як їх знайти та відкликати — в окремому розборі про сплячі approvals.
4. Читати не назву операції, а її зміст. Червоні прапорці: «безплатний» підпис без газу, необмежена сума, setApprovalForAll на незнайому колекцію, прохання змінити мережу одразу після під’єднання, таймер «залишилося 4 хвилини», і особливо — підтримка, яка написала першою. Жоден гаманець і жодна біржа не пишуть клієнту в особисті.

Апаратний гаманець як підписант для гарячого інтерфейсу

Окрема схема, яку чомусь рідко пояснюють: апаратний гаманець і гарячий інтерфейс не альтернативи, вони працюють разом.

Має це такий вигляд. Застосунок створює транзакцію, MetaMask передає її на пристрій, підпис ставиться всередині пристрою, підписана транзакція повертається в MetaMask і йде в мережу. Ключ на комп’ютері не з’являється, а будь-яка дія потребує фізичного підтвердження кнопкою. Екран пристрою при цьому показує, що ви насправді підписуєте, — і це рівно та точка, де руйнується схема зі шкідливим підписом, якщо читати вміст.

У схеми є жорстка умова, яку MetaMask прописує в документації прямим текстом: seed-фразу треба створити наново на самому пристрої, а не імпортувати в нього готову фразу з MetaMask. Інакше фраза вже побувала в онлайн-середовищі, і весь сенс пристрою обнуляється.

Який пристрій обрати — питання окреме; для розуміння механіки досить подивитися, як це влаштовано на прикладі Ledger Nano X.

Якщо ви вже підписали

Порядок дій важливіший за швидкість — точніше, важливе і те, і те, але в правильній послідовності.

1. Нічого більше не підписуйте. Особливо пропозиції «відновити» чи «скасувати» — на паніці жертву добивають другою схемою.
2. Рятуйте те, що ще не вивели. Створіть новий гаманець і переказуйте залишки туди, починаючи з найдорожчого. Скомпрометовану адресу вважайте втраченою назавжди — разом з усіма адресами, виведеними з тієї самої seed-фрази.
3. Відкличте дозволи на старому гаманці — в усіх мережах, а не тільки в Ethereum. Це перегони з чужою автоматикою, але частина активів так рятується.
4. Зафіксуйте все. Хеші транзакцій, адреси, час, точний URL фішингового сайту. Знімок екрана до того, як закриєте вкладку.
5. Повідомте. Фішинговий домен — до списків блокування, інцидент — до кіберполіції. Повернути гроші це, найімовірніше, не допоможе, але наступному може.
6. Якщо ви називали комусь seed-фразу — гаманець втрачено цілком, «дочищати» його немає сенсу. Заводьте новий і змінюйте звички.

Окремо: будь-які сервіси «повернення вкраденої криптовалюти» з передоплатою — це друга крадіжка, поставлена на потік.

Коли гарячий гаманець виправданий, а коли час у холодний

Гарячий гаманець виправданий, коли ви ним користуєтесь. Він потрібен для DeFi, обмінів, NFT, щоденних переказів і оплати — холодне зберігання все це робить незручним до безглуздя. Тримати три сотні доларів на апаратному пристрої — приблизно як носити дрібняк у банківському сейфі.

Час іти, коли збігаються дві умови: сума стала помітною і операцій майже немає. Щойно гроші лежать, а не працюють, єдине, що дає гарячий гаманець, — це ризик. Що таке холодне зберігання, які бувають формати і як його налаштувати — в окремому розборі про холодний гаманець.

Але в переходу є чесна межа, і про неї варто знати заздалегідь.

Холодне зберігання не захищає від розмови. У січні 2026 року власник апаратного гаманця втратив близько $282 млн у BTC і LTC: зловмисник представився підтримкою Trezor і переконав продиктувати seed-фразу. Тип гаманця в цій крадіжці не зіграв узагалі жодної ролі — весь захист обійшли людським діалогом.

Холодне зберігання не захищає й від помилки виробника. 31 липня 2026 року через дефект прошивки Coldcard, через який генератор випадкових чисел мовчки працював у передбачуваному режимі з березня 2021 року, з приблизно 500 апаратних гаманців за 25 хвилин вивели 594 BTC — близько $38 млн. Інженери Block, які оприлюднили технічний розбір, оцінюють потенційний масштаб вище, якщо підтвердяться додаткові транзакції.

Практичний висновок з обох випадків один: пристрій — це не фініш, а один шар. Працюють лише шари разом: розділення сум, дисципліна із seed-фразою і звичка не підписувати те, чого не розумієш.

FAQ

Гарячий гаманець — це кастодіальний гаманець?

Ні, це різні характеристики. «Гарячий» відповідає на питання, чи під’єднаний ключ до інтернету; «кастодіальний» — у кого цей ключ є. Рахунок на біржі гарячий і кастодіальний водночас, а MetaMask гарячий, але некастодіальний: ключ зберігається у вас на пристрої.

Trust Wallet — це гарячий гаманець?

Так. Trust Wallet — мобільний застосунок, приватний ключ зберігається в пам’яті телефона, підпис ставиться там само, пристрій під’єднаний до мережі. За тією ж логікою гарячими є Phantom, Rabby, MetaMask і вбудовані гаманці бірж. В англомовних матеріалах цей клас так і називають — hot wallet crypto.

Чи можна тримати USDT на гарячому гаманці?

Можна, і на практиці це найчастіший сценарій. Але саме у стейблкоїнів найчастіше спрацьовує підписний фішинг: у них великі залишки й стандартний механізм дозволів. Для USDT орієнтир такий самий, як для решти активів — оборотна сума на найближчі тижні, решта на холодне зберігання.

Якщо в мене вкрали гроші з гарячого гаманця, чи можна їх повернути?

Транзакція в блокчейні незворотна, скасувати її не можна. Іноді частину коштів заморожують емітенти стейблкоїнів або біржі, куди вкрадене прийшло на виведення, але розраховувати на це не варто. Реально допомагає лише швидкість: врятувати залишки й відкликати дозволи до того, як їх використають.

Чи захистить антивірус гарячий гаманець?

Від частини загроз — так: він заважає кліперам і стилерам потрапити на комп’ютер. Але від найбільш масової механіки він не захищає взагалі: підпис дозволу на фішинговому сайті — це ваша добровільна дія, а не шкідливий код на машині.

Скільки гаманців потрібно завести?

Практичний мінімум — два: один для зберігання, який ніколи не під’єднується до сайтів, і один робочий. Тим, хто регулярно пробує нові протоколи, варто завести й третій, витратний, із сумою лише під конкретну операцію.