Вредоносный approve: первые 60 минут после списаний
Если идёт активное списание через approve, приоритет — остановить дальнейший вывод и увести остаток на новый чистый кошелёк с безопасного устройства, затем отозвать опасные разрешения и зафиксировать TXID. Отзыв approve не возвращает уже украденное и не помогает, если украдена seed-фраза. Срочный маршрут — в экстренном реагировании.
Сначала определите механизм
Approve (разрешение на трату токенов): вы подписали контракту право тратить токены. Пока разрешение живо, злоумышленник может забирать баланс без новой подписи на каждый перевод. Здесь помогает отзыв разрешений на каждой сети, где вы пользовались кошельком.
Украденная seed или вредоносный бот, который мгновенно забирает поступающий газ: отзыв approve не спасает — ключи уже у атакующего. Единственный устойчивый шаг — считать адрес скомпрометированным и больше на него ничего не заводить. Если сомневаетесь, действуйте как при худшем сценарии и параллельно сохраняйте доказательства для блокчейн-аналитики.
Отдельно бывают подписи permit / Permit2: разрешение живёт вне цепочки, пока его не используют. В таком случае отзыва старого approve недостаточно — нужно убрать остаток токенов с адреса, на который ещё действует подпись.
Первый час: чеклист
- Откройте explorer и зафиксируйте исходящие TXID, адреса получателей и сети.
- С чистого устройства создайте новый кошелёк; seed никуда не вводите и не фотографируйте.
- Переведите оставшиеся активы на новый адрес, начиная с самых ликвидных.
- Отзовите опасные approve: наберите адрес revoke.cash вручную в браузере — не из рекламы и не из первых ссылок поиска.
- Повторите отзыв на каждой сети, где был баланс.
- Смените почту и 2FA бирж, если они были связаны с тем же устройством или фишингом.
Легитимные сервисы отзыва разрешений не просят seed. Если сайт или «помощник» просит фразу восстановления — это атака. Связанная тема безопасного старта без полной фразы — в частичной seed-фразе.
Что сохранить для расследования и заморозки
TXID, адреса, время, скрин фишинговой страницы, список сетей и контрактов, которым вы дали право тратить токены. Это ускоряет аналитику и запросы на заморозку на биржах назначения, если средства ещё не размешаны. Возврат части активов не гарантирован — особенно после миксеров и быстрых OTC-сбросов.
| Цель | Реалистично в первый час |
|---|---|
| Стоп дальнейших списаний | Новый кошелёк + отзыв approve |
| Пакет следов | TXID, адреса, сети, скрин фишинга |
| Заморозка на бирже | Только пока средства ещё на счёте биржи |
| Вернуть уже ушедшее | Не гарантирован |
Если часть средств ушла на централизованную биржу, параллельно имеет смысл смотреть разблокировку и взаимодействие с биржами уже с пакетом TXID — но сначала закройте дыру на своём кошельке.
Чего не делать
- Не досылайте ETH «на газ» на уже опустошаемый адрес, если видите мгновенный угон газа.
- Не ставьте расширения и «боты восстановления» из поиска.
- Не переиспользуйте скомпрометированный адрес для новых депозитов.
- Не отправляйте seed в форму сайта или чат.
Не тратьте первый час на споры в комментариях и поиск «кто виноват». Окно, пока остаток ещё на адресе, короче, чем кажется — особенно на дешёвых сетях.
Риски и границы
- Часть средств может быть уже выведена — возврат не гарантирован.
- Работа с seed на заражённом устройстве усугубляет потерю.
- Отзыв approve не отменяет подписи permit вне цепочки и не лечит кражу seed.
- Поддельные сайты отзыва разрешений могут добрать остаток баланса.
На что опираемся
- Revoke.cash — inspect and revoke token approvals
- Ethereum.org — ERC-20 token standard (allowance / approve mechanics)
- Практики emergency response DefCrypt (активная компрометация кошелька, анонимизировано)