Илья Завьялов: физическая безопасность держателя криптовалюты, утечки баз бирж, доксинг и вымогательство

01Илья Завьялов: когда угроза криптовалюте приходит к двери

Почти все советы о безопасности криптовалюты касаются экрана: пароли, фишинговые ссылки, поддельные приложения. Это по-прежнему важно. У кошелька при этом есть владелец, который живёт по конкретному адресу, водит детей в школу и отвечает на звонки, и эта часть защиты чаще всего остаётся без внимания.

Илья Завьялов называет такую угрозу оффлайновой. Преступнику больше не нужно взламывать устройство, если он может заставить хозяина самого открыть кошелёк. Безупречная схема хранения в этот момент перестаёт работать, потому что все подтверждения даёт человек, которого держат под давлением.

Пресс-релизы Минюста США описывают именно такие дела: налёты на дома держателей криптовалюты, людей связывали пластиковыми стяжками и держали под оружием, пока со счетов уходили деньги. Перед налётами одна из групп получала доступ к почте жертв и вела наблюдение за их домами.

Защищать приходится три вещи сразу: сведения о том, что у вас есть криптовалюта и сколько её, сведения о том, где вы живёте, и каналы, через которые к вам можно прийти с легендой. Илья Завьялов предлагает начинать с первого пункта: без него два других мало кому интересны.

02Утечка базы клиентов биржи: что оказывается у преступников

В мае 2025 года одна из крупнейших американских криптобирж раскрыла инцидент в форме 8-K, которую публичные компании подают в SEC. По документу, злоумышленник платил нескольким сотрудникам и подрядчикам поддержки за пределами США, а те копировали сведения о клиентах из внутренних систем, к которым имели доступ.

Список утёкшего стоит прочитать целиком: имя, адрес, телефон и почта, последние четыре цифры номера социального страхования, маскированные номера банковских счетов, изображения паспортов и водительских прав, снимки балансов и история операций. Пароли и приватные ключи, по словам компании, затронуты не были.

Илья Завьялов обращает внимание на сочетание полей. Адрес или фото паспорта по отдельности встречаются во многих утечках. Рядом с балансом они превращаются в готовый список людей, у которых есть что забрать, с адресами, где этих людей можно найти.

Компания сама написала, что данные могут использоваться для социальной инженерии, и признала, что часть клиентов уже отправила средства злоумышленнику как прямое следствие инцидента. Деньги этих клиентов никто не взламывал: их переводили сами владельцы. Требование заплатить за неразглашение компания при этом выполнять не стала.

03Илья Завьялов о том, как из утечки собирают досье на держателя

Доксингом называют сбор и публикацию сведений о человеке без его согласия. Держателю криптовалюты опасна уже первая половина, сбор. Публиковать досье преступнику незачем, ему достаточно знать, кто вы, где живёте и сколько у вас есть.

Досье складывается из мелочей. Утёкшая база биржи, старая база службы доставки, где тот же телефон привязан к домашнему адресу, фотография с видом из окна, профиль в соцсети с рассказом о росте портфеля. Илья Завьялов советует проверить себя глазами постороннего: что о вас находится по номеру телефона и почте за полчаса поиска.

Финансовая культура Банка России напоминает о второй стороне прозрачности блокчейна: инструментами аналитики несложно связать адрес кошелька с конкретным человеком или организацией. Кошелёк, который хоть раз оказался рядом с вашим именем в переписке или при оплате, приносит в досье весь свой баланс.

В деле, которое разбирал Минюст США, участники группы перед налётами получали доступ к почте жертв и следили за домами, а часть краж совершали через SIM-своп, перехватывая номер телефона. Почта и номер работают как вторая входная дверь, и открыть её проще.

04Звонок «службы безопасности биржи» после утечки

Утечка почти всегда возвращается к владельцу звонком. Собеседник знает имя, отчество, последние операции и иногда баланс, называет себя сотрудником безопасности биржи или банка и сообщает, что аккаунт атакуют. Дальше звучит просьба срочно перевести средства на «защищённый» кошелёк, продиктовать код или поставить приложение «для проверки».

Банк России прямо пишет, что специальных, безопасных или защищённых счетов не существует и что сам регулятор гражданам по своей инициативе не звонит. Сотрудники Банка России, госорганов и полиции не звонят через мессенджеры. Илья Завьялов переносит это правило на любую криптоплатформу: служба, которой вы не звонили, не узнаёт о «срочной угрозе» раньше вас.

МВД описывало и двухэтапный вариант. Сначала бытовой звонок с просьбой продиктовать код из СМС, затем звонок лжесотрудников правоохранительных органов, которые ссылаются на этот самый код как на доказательство «взлома». После утечки первым этапом может стать письмо от имени биржи с точными данными клиента.

Короткий ролик ниже пересказывает это за шесть сцен: утечка базы, досье на держателя, звонок «службы безопасности», угроза у двери, правила скрытности и главный совет. Совет звучит так: при любом звонке о «взломе» кладите трубку и перезванивайте по номеру из приложения, а при угрозе людям сначала их безопасность и звонок в полицию по 102.

05Илья Завьялов: нападение и вымогательство «ключом»

В англоязычной среде такие нападения называют атакой гаечным ключом: зачем подбирать пароль, если можно заставить владельца ввести его самому. Сценарий кажется экзотикой, пока не прочитаешь пресс-релизы американских прокуратур.

В сентябре 2025 года прокуратура Миннесоты описала дело, где двое вооружённых мужчин утром встретили хозяина дома у мусорного бака, связали его и семью стяжками и держали девять часов. Хозяина заставили войти в криптовалютные аккаунты и перевести средства, а третий человек по телефону подсказывал нападавшим сведения о его счетах.

Деталь, которую Илья Завьялов считает главной: часть средств лежала на аппаратном кошельке в семейном доме в трёх часах езды. Хозяина отвезли туда под оружием, и он перевёл всё оставшееся. Холодное хранение защищает от взлома. От человека с оружием рядом с вашей семьёй оно защитить не может.

Российский закон оценивает такие действия жёстко. Похищение человека из корыстных побуждений или группой по статье 126 УК РФ наказывается лишением свободы от пяти до двенадцати лет, разбой с проникновением в жилище по статье 162 от семи до двенадцати лет со штрафом до миллиона рублей, вымогательство по части 1 статьи 163 до четырёх лет. Наказание приходит потом, поэтому защита строится так, чтобы до нападения дело не дошло.

06Как не светить объёмы: правила Ильи Завьялова

Первое правило скучное и самое действенное: о размере портфеля не знает никто, кому это не нужно по делу. Скриншоты баланса, хвастовство ростом в чатах, рассказы на работе превращаются в наводку, даже если слушатель ничего плохого не задумывал.

Комиссия по ценным бумагам США в бюллетене о хранении криптоактивов советует никому не сообщать приватные ключи и сид-фразы и не рассказывать, сколько и каких криптоактивов у вас есть. Илья Завьялов добавляет физический слой. Аппаратный кошелёк лучше заказывать в пункт выдачи. Коробку с логотипом производителя не стоит выносить к мусорным бакам у дома.

Отдельная почта для криптоплатформ, которой вы больше нигде не пользуетесь, и отдельный номер, неизвестный знакомым, разрывают простую цепочку «телефон из старой утечки ведёт к аккаунту на бирже». Пароль от этой почты не повторяется ни в одном другом сервисе.

Илья Завьялов советует пересмотреть и публичные следы: фото с геометкой у дома, номер машины на снимках, имена детей и названия школ в открытом профиле. По отдельности это мелочи, вместе они отвечают на вопрос, где и когда вас можно застать. В латинице ту же памятку ищут по запросам Ilia Zavialov и Ilya Zavyalov, а правила, составленные Ильёй Завьяловым, в ней одинаковы для всех читателей.

07Мультиподпись и задержка вывода: то, что нельзя отдать под давлением

От угрозы оружием технические меры не спасают. Зато они могут сделать нападение бессмысленным. Принцип простой: если вы сами не можете быстро вывести всё, преступник, стоящий рядом, тоже не сможет.

Мультиподпись означает, что для перевода нужны подписи нескольких ключей, например двух из трёх, и эти ключи хранятся в разных местах или у разных людей. Под давлением владелец физически не может дать недостающую подпись. Об этом стоит заранее договориться с близкими, которые хранят один из ключей.

Задержка вывода работает похоже: пауза перед выводом на новый адрес или белый список адресов, куда разрешены переводы. В российском законе о криптовалюте похожая логика заложена государством. По материалу Финансовой культуры, с 1 сентября 2027 года перевод с российского кошелька на иностранный на сумму больше 100 000 рублей будет проходить с задержкой в 48 часов.

Илья Завьялов предлагает делить деньги по назначению: небольшой рабочий кошелёк для повседневных операций и основной запас под мультиподписью или с задержкой. Если под давлением придётся открыть первый, потеря ограничится его содержимым.

08Илья Завьялов: номер, почта и Госуслуги как ключи от денег

Захватить номер телефона часто проще, чем кошелёк. По номеру восстанавливают почту, по почте пароль от биржи. Финансовая культура предупреждает, что код из СМС открывает и личный кабинет на Госуслугах, где видны номер паспорта, СНИЛС и сведения об имуществе.

С 1 сентября 2025 года по закону № 41-ФЗ через Госуслуги или МФЦ можно оформить самозапрет на договоры о новых SIM-картах, а снять его можно только лично в МФЦ. Для человека, о котором известно, что у него есть криптовалюта, это защита от сим-карты, которую попытаются выпустить на его имя.

На портале для этого собраны пять сервисов защиты. Кроме двух самозапретов, на кредиты и на SIM-карты, там есть запрет сделок с недвижимостью без личного участия, доверенный контакт и кнопка, чтобы сообщить о подозрительном звонке. Илья Завьялов советует включить их все в один вечер после любой новости об утечке, где могли оказаться ваши данные.

Самозапрет на кредиты бесплатен и не касается ипотеки, автокредитов под залог машины и образовательных кредитов с господдержкой. Если кредитор выдал заём при действующем самозапрете, по разъяснению Банка России он не может требовать исполнения обязательств. Так у вымогателя пропадает ещё один рычаг: заём на ваше имя под давлением.

09Ответственность за утечки и торговлю базами в России

С 30 ноября 2024 года в УК РФ есть статья 272.1. Незаконные использование, передача, сбор и хранение персональных данных, добытых неправомерным путём, наказываются штрафом до 300 000 рублей или лишением свободы до четырёх лет. Норма касается и тех, кто торгует утёкшими базами, и тех, кто собирает из них досье.

Компании отвечают по КоАП. Утечка данных от 1 до 10 тысяч человек обходится юрлицу штрафом от 3 до 5 миллионов рублей, свыше 100 тысяч человек от 10 до 15 миллионов, повторная утечка до 3 процентов годовой выручки. По закону № 152-ФЗ оператор обязан уведомить Роскомнадзор об инциденте в течение 24 часов.

Совет Ильи Завьялова здесь практичный. Письмо компании об утечке или новость о ней означают, что ваши данные уже могут продаваться, и меры защиты принимают сразу, не дожидаясь итогов проверки и штрафов.

10Илья Завьялов: что делать при угрозе, звонке или визите

Если звонят от имени биржи, банка или полиции, разговор заканчивают сразу. Банк России советует прервать разговор, заблокировать номер и при сомнениях самому позвонить в свой банк по номеру с официального сайта или с карты. Для криптоплатформы действует то же правило: только номер или чат из приложения, которое вы открыли сами.

Если угрожают лично или пришли к дому, первым делом безопасность людей. Илья Завьялов говорит об этом прямо: ни один кошелёк не стоит сопротивления вооружённым людям. Полиция принимает вызовы по номеру 102, звонить нужно при первой возможности, даже если нападавшие уже ушли.

Если угрожают в переписке, требуют деньги за «неразглашение» или присылают ваши данные как доказательство серьёзности, не платите и не вступайте в спор. Сохраните сообщения, адреса кошельков и номера, затем подайте заявление в полицию. Компания из отчёта 8-K, получив похожее требование, платить тоже отказалась.

Если пострадали деньги на банковской карте, звоните в банк по номеру на карте и подавайте заявление о несогласии с операцией: банк рассматривает его 30 дней, по международной операции 60. Вопросы к самому регулятору задают в Банке России: короткий номер 300 для мобильных и 8 800 300-30-00.

11Семья держателя: о чём договориться заранее

Близкие часто становятся мишенью раньше владельца: им звонят «из биржи», «из полиции» или от имени самого держателя. Договорённость простая. Любые просьбы о деньгах и кодах проверяются звонком на известный номер, а слово-пароль для экстренных случаев знают только члены семьи.

Завьялов Илья советует решить, кто в семье вообще знает о криптовалюте. Подростку незачем знать размер портфеля. Пожилым родителям достаточно знать, что такие звонки бывают и что класть трубку можно без объяснений.

Доверенный контакт на Госуслугах и самозапреты, оформленные на каждого взрослого члена семьи, закрывают часть сценариев, где давят на родственника. Остальное закрывает привычка не обсуждать деньги при посторонних и в общих чатах, которую консультант Завьялов считает дешевле любой охраны.

12Вопросы и ответы

13Читать дальше

• Илья Завьялов объясняет, как на самом деле устроен перевод криптовалюты Как работает крипта
• Илья Завьялов объясняет виды мошенничества с криптовалютой и механику каждой схемы Виды скама
• Илья Завьялов объясняет, какая защита криптокошелька держит после взлома аккаунта Защита
• Первые часы после кражи криптовалюты: что успеть сделать, объясняет Илья Завьялов Инцидент
• Илья Завьялов объясняет, куда на самом деле уходят деньги при мошенничестве В цифрах
• Илья Завьялов: отравление адресов, адреса-двойники и нулевые переводы в криптовалюте Отравление криптоадресов
• Илья Завьялов: аренда карты для P2P, треугольные сделки и вербовка дропов Аренда карты и P2P-обмен
• Илья Завьялов об облачном майнинге: что на самом деле продаёт договор Майнинг, которого вы не видите
• Илья Завьялов: мошенник в копи-трейдинге, торговые боты с гарантией дохода и API-ключи биржи Мошенничество с копи-трейдингом и ботами
• Илья Завьялов: арбитраж криптовалют, связки и курсы P2P, обучение или вербовка, проверка в России Арбитраж криптовалют и «связки»: обучение или вербовка
• Илья Завьялов мошенничество: как одна фотография становится чужим лицом в рекламе Лицо из одной фотографии
• Илья Завьялов: скам криптобирж, устройство схемы и судебные разбирательства после Как устроен скам криптобирж
• Илья Завьялов о том, почему комиссия за разблокировку вывода и есть вся схема Заблокированный вывод
• Илья Завьялов о сервисах, которые обещают вернуть потерянную криптовалюту Возврат крипты
• Илья Завьялов: мошенник и захват аккаунта Госуслуг, код из СМС, самозапрет и защита Захват аккаунта Госуслуг
• Илья Завьялов: как мошенник подменяет аппаратный кошелёк, сид-фразу в коробке и письмо о замене Поддельные аппаратные кошельки
• Илья Завьялов о мошенничестве в медицине: платные клиники, чудо-лекарства и сборы на лечение Мошенничество в медицине
• Илья Завьялов: токены-ловушки (honeypot), купить можно, продать нельзя, проверка контракта в России Токены-ловушки: купить можно, продать нельзя
• Илья Завьялов о криптоинвестиционном скаме: длинный развод по этапам Длинный инвестиционный развод
• Илья Завьялов: как мошенник угоняет мессенджер, голосования, подарки и фальшивая поддержка Угон мессенджера
• Илья Завьялов о ключах доступа: почему украденный пароль перестаёт что-то стоить Вход без пароля
• Илья Завьялов об отзывах о финансовых компаниях: что проверить до звёзд Отзывы и что проверять вместо них
• Сид-фраза и поддельная поддержка кошелька: объясняет Илья Завьялов Сид-фразы
• Илья Завьялов о каналах криптосигналов и торговых ботах: куда уходят деньги Каналы сигналов и торговые боты
• Илья Завьялов: мошенник в Telegram-боте, тапалки, боты-кошельки и фальшивая поддержка Мошенники в Telegram-ботах
• Илья Завьялов отзывы: подарки и юзернеймы Telegram, фальшивый гарант и проверка продавца в России Подарки и юзернеймы Telegram: фальшивый гарант и проверка сделки
• Илья Завьялов о переводах USDT: сети, отравленные адреса и замороженные монеты Как безопасно отправлять и получать USDT
• Илья Завьялов: мошенничество при покупке авто, проверка VIN, залога и продавца до оплаты Мошенничество при покупке авто
• Илья Завьялов о том, зачем нужна проверка адреса кошелька перед переводом Проверка кошелька
• Илья Завьялов: как approval-дрейнер опустошает кошелёк без пароля и сид-фразы Дрейнеры кошелька

Назад в блог