Холодный кошелёк: как разложить крипту после взлома Frogman на $4 млн

Первое, о чём вспоминают после очередной громкой кражи, — холодный кошелёк, и на этой неделе повод очень наглядный. Пока трейдер Frogman спал в Сингапуре перед открытием TOKEN2049, с двух его кошельков вывели больше $4 млн. Разбираем, что известно о взломе, и пошагово — как разложить свою крипту так, чтобы одна ошибка не стоила всего.

Что случилось с Frogman

По данным The Crypto Times, Frogman (@frogmanhaha) написал в X в 05:21 UTC 7 октября, что у него вывели больше $4 млн, пока он спал. Он добавил, что находится в Сингапуре, познакомился там со многими новыми людьми и расскажет подробности, когда позволит расследование.

Первым переводы заметил ончейн-аналитик EmberCN (Юй Цзинь): в 01:59 UTC он написал, что кошельки, похоже, опустошили примерно пятью часами ранее. Lookonchain перечислил самые крупные потери:

1. 1,43 млн BP — около $1,77 млн.
2. 13,96 млн MarsCoin — около $1,55 млн.
3. 3,7 млн Cash Cat — около $510 тысяч.

Украденное продали за ETH, BNB и SOL, а затем раскидали через Privacy Cash, протокол для скрытия следов, и Chainflip, сервис обмена между блокчейнами. По данным Lookonchain, адрес, связанный со взломом, уже помечен.

Как именно получили доступ, сам Frogman не знает. Аналитики, на которых ссылается издание, предполагают утечку сид-фразы или заражение устройства: потери пришлись на несколько блокчейнов сразу, а не на одно опасное разрешение для токена. Это версия, а не подтверждённая причина. Доказательств, что взлом связан с самой конференцией, тоже нет. Хронику самой кражи мы разобрали в новости про взлом Frogman на TOKEN2049.

Если одна сид-фраза открывает все твои сети, то одна утечка тоже открывает всё.

Холодный кошелёк: три уровня хранения

Самое полезное, что можно вынести из этой истории, — не держать всё в одном месте. Удобная схема:

• Горячий кошелёк для работы. Браузерное расширение или мобильное приложение. Тут живут суммы, которыми ты торгуешь, минтишь и подключаешься к новым сайтам. Считай, что эти деньги могут пропасть.
• Промежуточный кошелёк. Отдельная сид-фраза, с которой ты почти не подписываешь транзакции на незнакомых сайтах. Сюда переводишь прибыль из горячего.
• Холодный кошелёк. Аппаратное устройство, сид-фраза которого никогда не вводилась на компьютере или телефоне. Здесь лежит основная часть, и к dApp он подключается редко и только для понятных действий.

Главное правило: у каждого уровня своя сид-фраза. Если на всех кошельках одна и та же фраза из 12 или 24 слов, то у тебя по сути один кошелёк, просто с тремя иконками.

Как настроить по шагам

1. Купи аппаратный кошелёк только у производителя или официального продавца. Устройство «из рук», с уже записанной фразой в коробке, сразу в мусор.
2. Сгенерируй новую сид-фразу на самом устройстве. Запиши её на бумагу или металлическую пластину. Не фотографируй, не храни в заметках, облаке и мессенджерах.
3. Храни запись отдельно от устройства. Если боишься пожара или кражи — сделай две копии в разных местах.
4. Сделай тестовый перевод небольшой суммы и проверь, что умеешь её вернуть. Потом переведи основную часть.
5. Проверяй адрес получателя на экране самого устройства, а не только в браузере.
6. Раз в месяц отзывай старые разрешения для токенов в горячем кошельке.

Если ты на конференции или в поездке, добавь пару правил: не бери туда устройство с сид-фразой основного хранения, не подключайся к чужим зарядкам и общественному Wi-Fi для подписи транзакций, не ставь новые приложения «по совету» людей, с которыми только что познакомился.

Ошибки, которые обнуляют защиту

• Ввести сид-фразу холодного кошелька в браузер «для проверки» или на сайт поддержки. Ни одна настоящая поддержка её не спрашивает.
• Подписать непонятную транзакцию на аппаратном кошельке. Устройство защищает ключ, но не спасёт, если ты сам подтвердишь перевод мошеннику. Как отличить поддельный сайт, мы разбирали в гайде как проверить фейковый аирдроп-сайт.
• Купить «токен» по ссылке из комментариев. Сначала сверь адрес по инструкции как проверить адрес контракта токена.
• Паниковать при инциденте и переводить средства по первому совету в чате. Что делать, если сервис кошелька сообщил о проблеме, — в материале про инцидент MetaMask и валидаторов.

FAQ

Нужен ли холодный кошелёк, если сумма небольшая? Если потеря этой суммы для тебя болезненна — да. Устройство стоит дешевле, чем одна такая ошибка.

Можно ли хранить сид-фразу в менеджере паролей? Для основного хранения лучше нет: если взломают компьютер или аккаунт, фраза окажется у атакующего вместе со всем остальным.

Что делать, если кошелёк уже опустошили? Сразу переведи остатки на новый адрес с новой сид-фразой, отзови разрешения, сохрани хэши транзакций и обратись к ончейн-аналитикам и в полицию.

Был ли у Frogman холодный кошелёк? Неизвестно. Публично он сказал только, что у него опустошили два кошелька и он пока не знает, как это произошло.

Итог: холодный кошелёк не делает тебя неуязвимым, но превращает одну ошибку из катастрофы в неприятность. Раздели хранение на уровни, держи разные сид-фразы и никогда не вводи фразу основного хранения на подключённом к интернету устройстве.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.