Ilia Zavialov

Майданчики NFT: картка одного токена, поле за полем

Ілля Зав'ялов: скам на майданчиках NFT, шість полів картки токена і що перевірити до оплати

Версія українською мовою для України.

Ілля Зав'ялов: скам на майданчиках NFT має впізнавану форму, і розібрати її найлегше на одній картці токена. Консультант із цифрової безпеки Ілля Зав'ялов проходить картку поле за полем: контракт, ідентифікатор токена, метадані, історія угод, роялті та власник. Навпроти кожного поля записано, що воно показує, чим його підроблюють і як перевірити за хвилину. Далі розібрано фальшиві колекції, накрутку обороту, рагпул, фішингові посилання на мінт, підроблені лістинги та підміну метаданих. Окремо сказано, що радить кіберполіція України і в якому стані закон про віртуальні активи. Токен у прикладі збірний, а цифри й дати взято з першоджерел.

·10 хв читання·Ілля Зав'ялов

Ілля Зав'ялов: контракт, номер, власник та історія в ланцюжку, картинка й опис поза ним.
Ілля Зав'ялов: токен читають за шістьма полями, картинка йде останньою.
Ілля Зав'ялов: рішення ухвалюють після шести полів, гарна картинка в розрахунок не йде.

01Ілля Зав'ялов: скам на майданчиках NFT і картка, з якої починати

Слово «скам» у запитах про NFT означає зазвичай одне з чотирьох: фальшива колекція, накручений оборот, зникнення проєкту або фішингове посилання на мінт. У кожного з них є слід у картці токена. Ілля Зав'ялов: скам на майданчику NFT він розбирає саме за карткою, бо відгуки про сервіс про токен мовчать, а запис у блокчейні можна перевірити самому.

Запит «Ілля Зав'ялов скам» вводять, коли хочуть перевірити консультанта або знайти пояснення схем. Поруч стоять «Зав'ялов Ілля: скам», «що пишуть про Іллю Зав'ялова» і латиниця Ilia Zavialov скам, а ще «шахрайські схеми» та «відгуки про Іллю Зав'ялова». Для всіх цих запитів правило однакове: у статті записано лише те, що відкривається на сторінці першоджерела. Відгуки про майданчик читають так само прискіпливо: шукають дату, назву токена й подробиці, які можна звірити.

НКЦПФР у липні 2026 року закликала перевіряти компанію в офіційних реєстрах і не покладатися на відгуки та рекламу в соцмережах, а відсутність компанії в переліку сумнівних не означає, що вона надійна. Для майданчика NFT це діє так само: відгук підказує, куди дивитися, а контракт та історія токена дають відповідь.

02Ілля Зав'ялов: скам у фальшивих колекціях і поле перше, контракт

Контракт є програмою в блокчейні зі списком усіх токенів колекції. Його адреса, довгий рядок із 0x на початку, править за справжню назву колекції. Назва й малюнки такою назвою не служать: колекцію з тими самими картинками випустять під іншою адресою за годину. У збірній картці контракт починається на 0x1a2b і закінчується на c3d4. Порівнювати треба весь рядок.

Кіберполіція України в порадах від 8 січня 2026 року радить перед купівлею токена перевірити, що контракт верифіковано на Etherscan або BscScan, і з'ясувати, чи є аудит коду. Верифікація означає, що початковий код опубліковано й його можна звірити з тим, що працює в блокчейні. Аудит нічого не гарантує, але проєкт без аудиту, який просить велику суму, дає привід зупинитися.

Ілля Зав'ялов скам у колекціях без перевіреної адреси вважає найпростішим для виявлення: правильну адресу беруть лише з офіційного джерела проєкту. Посилання з реклами або з особистого повідомлення таким джерелом не є. Розбіжність в одному знаку адреси вже означає іншу колекцію.

Ілля Зав'ялов: п'ять перевірок безпеки та шосте поле про гроші творця.
Ілля Зав'ялов: сайт перевіряють до підключення гаманця.
Ілля Зав'ялов скам на майданчиках NFT: шість полів картки токена і перевірка
Поле карткиЩо показує і як підробляютьЩо перевірити
КонтрактАдреса колекції, копія з тими самими картинками за іншою адресоюУвесь рядок звірити з сайтом проєкту, верифікація на Etherscan
Ідентифікатор токенаНомер усередині контракту, пара з адресою нерозривнаЗнайти пару контракт-номер, переконатися, що токен існує
МетаданіПосилання tokenURI і файл JSON, посилання зміннеЗ'ясувати, куди веде посилання, зберегти копію опису
Історія угодПодії Transfer, кола між власними гаманцямиПростежити ланцюжок, дивитися вік гаманців
РоялтіЧастка творця, платить майданчик чи ніПрочитати правила майданчика про роялті
ВласникАдреса гаманця без іменіЗвірити продавця з ownerOf, вік гаманця
Ілля Зав'ялов: від розпродажу до втечі минули години.

03Поле друге: ідентифікатор токена, який без контракту нічого не важить

У кожного NFT є номер, скажімо 4312. Той самий номер зустрінеться в сотнях колекцій. За стандартом ERC-721 глобально унікальна лише пара з адреси контракту й номера токена, а сам номер не змінюється впродовж усього життя контракту. Тому картку читають парою: контракт, потім номер.

Стандарт додає дві застереження, корисні покупцеві. Токен можуть знищити, і тоді запит до нього повертає помилку, а токени, записані на нульову адресу, вважаються недійсними. Якщо на вітрині токен показано, а в оглядачі блокчейну його не знайти, перед вами картинка. Речі в гаманці немає.

Рідкісність токена в списках розраховує сам майданчик за властивостями з опису, у блокчейні такого запису немає. Ілля Зав'ялов скам навколо «рідкісних номерів» радить зводити до перевірки пари контракт-номер і поточного власника.

04Поле третє: метадані й картинка, яку можна підмінити після продажу

Картинка NFT, як правило, лежить поза блокчейном. У контракті записано посилання tokenURI, а за посиланням розташований файл JSON з полями name, description та image. В обґрунтуванні стандарту ERC-721 прямо сказано, що така адреса може бути змінною, тобто змінюватися з часом.

Тут народжується підміна метаданих. Покупець платить за гарну картинку, після продажу файл за посиланням міняють або видаляють, і в гаманці лишається порожній токен. Перша перевірка стосується посилання. Адреса на ipfs будується за хешем файлу: за документацією IPFS ідентифікатор CID спирається на криптографічний хеш, будь-яка відмінність у вмісті дає інший CID. Посилання на звичайний сервер змінює той, хто керує сервером.

Друга перевірка: відкрити опис токена в день купівлі й за тиждень та порівняти копії. Збіг каже, що файл стабільний. Розбіжність дає привід для суперечки з майданчиком, поки листування й скриншоти ще на місці.

Опис токена складається з назви, тексту й адреси картинки. Якщо ці три поля порожні або картинка не відкривається, токен існує лише формально, і перед платежем це видно за хвилину.

05Ілля Зав'ялов: скам і накрутка обороту, поле четверте, історія угод

Історія токена складається з подій Transfer. За стандартом ERC-721 подія спрацьовує при кожній зміні власника, при створенні токена та при його знищенні. Є виняток: при створенні самого контракту токени можуть випускатися без події. В історії дивляться три речі: хто отримав токен при випуску, як часто він мінявся рук і з якими гаманцями йшли угоди. Рядок історії з нульової адреси означає випуск токена. Якщо випуск був давно, а продажі почалися вчора, покупцеві є над чим замислитися.

Мінфін США в дослідженні від лютого 2022 року описує механіку накрутки: злочинець купує токен за злочинні гроші, здійснює угоди сам із собою, створює в блокчейні записи про продажі, а потім продає токен нічого не підозрюючому покупцеві за чисті гроші. Той самий звіт зазначає, що майданчики NFT влаштовані по-різному і єдиних стандартів перевірки клієнтів у них немає.

Ілля Зав'ялов скам з гарним графіком обороту радить перевіряти історією одного токена: рядок «оборот за добу» можна намалювати колами між власними гаманцями. Ознаки зібрано в таблиці нижче, а рішення ухвалюють за сумою ознак.

Ілля Зав'ялов скам на майданчиках NFT: ознаки накрученого обороту
ОзнакаЯк виглядає в історії токенаЩо робити
КолаТокен повертається до тих самих гаманцівНе сприймати оборот як попит
Нові адресиПокупці виникли в день угоди й зниклиДивитися вік та історію адрес
Стрибок ціниТокен проданий у рази дорожче за попередню цінуПорівняти із сусідніми токенами колекції
Серія продажівКілька продажів поспіль за короткий часЗупинитися й перевірити весь ланцюжок
Хвиля відгуківОднотипні захвати в день зростання ціниШукати відгуки з датами й подробицями

06Поле п'яте: роялті і хто насправді їх отримує

Роялті є часткою від кожного перепродажу, яку отримує творець. Стандарт ERC-2981 дає контракту спосіб повідомити розмір частки через функцію royaltyInfo. Маркетплейс, який стандарт підтримує, зобов'язаний платити роялті. Якщо майданчик стандарт не реалізує, із вторинних продажів нічого не виплачується. Механізму примусу в тексті стандарту немає.

Покупцеві звідси випливає простий висновок: цифра в полі показує намір творця, а виплата залежить від майданчика. Ілля Зав'ялов скам навколо роялті бачить там, де обіцянка високої частки йде разом з обіцянкою зростання ціни.

Мінфін США додає, що роялті створює стимул торгувати токеном багато разів за короткий час, а стимул укладати угоди може переважити стимул перевіряти покупця. SEC у справі Stoner Cats 2 зазначила, що компанія налаштувала токени на 2,5 відсотка роялті з кожної угоди на вторинному ринку.

07Поле шосте: власник токена і гаманець, якому не можна вірити наосліп

Власника записано в контракті адресою гаманця, і дізнатися його дозволяє функція ownerOf. Імені в адреси немає, тому поле відповідає на одне запитання: чи володіє токеном той гаманець, що його продає. Збіг адреси продавця й адреси власника в оглядачі блокчейну і є перевіркою. Ілля Зав'ялов скам навколо продавців NFT без цієї звірки вважає порожнім звуком, бо інтерфейс показує продавця й власника справжнього токена однаково.

Підроблені лістинги влаштовано просто: токен показують на вітрині, яка майданчику не належить, або видають копію за оригінал. Власник справжнього токена з довгою історією та продавець свіжого гаманця з одним токеном виглядають в інтерфейсі однаково. Різницю показують адреса та вік гаманця.

ФБР описує схему: підроблений сайт пропонує підключити гаманець, а шкідливий смарт-контракт переказує криптовалюту й токени злочинцям. Кіберполіція радить ніколи не передавати seed-фразу стороннім і не вводити її на неперевірених ресурсах. Для покупок заводять окремий гаманець з невеликою сумою.

08Ілля Зав'ялов: скам і фішинговий мінт, GameFi та фальшиві колекції

ФБР у попередженні від 4 серпня 2023 року описує типову схему: злочинці захоплюють акаунти розробників NFT або створюють майже однакові, оголошують раптовий випуск з обмеженим тиражем і ведуть на підроблений сайт, де підключений гаманець спустошує шкідливий смарт-контракт. Поради ФБР: перевірити, чи проводив проєкт раптові випуски раніше, звірити акаунт за написанням, історією та датою створення, переконатися, що сайт справжній.

Кіберполіція України 15 вересня 2026 року описала схему піраміди GameFi у чотири кроки: вхід через купівлю NFT-персонажа, стартового пакета або токена платформи, обіцянка гарантованого доходу, вимога купити дорожчий пакет, виплати перших із внесків нових. Коли приплив слабшає, токен падає, і організатори зникають.

Ознаками піраміди кіберполіція називає гарантований дохід, залежність прибутку від нових гравців і потребу докуповувати пакети. У легальній моделі GameFi гравець купує ігрові предмети, виконує завдання й може продати внутрішню валюту іншим гравцям. Заяву можна подати через ticket.cyberpolice.gov.ua.

Ілля Зав'ялов скам із оплатою на особисту картку фізособи в гривнях відносить до окремої групи: це розмова з людиною, і захисту майданчика в такому разі немає.

09Рагпул: що обіцяли і що сталося у справі Frosties

Рагпул, за визначенням зі скарги прокуратури південного округу Нью-Йорка, це випадок, коли творець NFT або ігрового проєкту збирає інвестиції, потім раптово кидає проєкт і обманом утримує гроші вкладників. Справа Frosties відкрита в публічному документі й підходить як навчальний приклад. Усе в скарзі лишається твердженнями обвинувачення.

Реклама йшла в Twitter і Discord з грудня 2021 року. Сайт обіцяв власникам розіграші, ранній доступ до гри в метавсесвіті, пропуски на наступні випуски, стейкінг і розведення. 9 січня 2022 року за кілька годин після розпродажу проєкт покинули, сайт вимкнули, а близько 1,1 мільйона доларів переказали на гаманці обвинувачених кількома операціями.

Ілля Зав'ялов скам у проєктах з обіцянками на майбутнє перевіряє двома стовпцями: ліворуч обіцянки, праворуч те, що існує сьогодні. Порожній правий стовпець вирішує питання. Інші ознаки видно заздалегідь: команда з прізвиськами й цінність, що тримається на доступі до гри без запуску.

10Ілля Зав'ялов: скам і закон про віртуальні активи в Україні

Закон України Про віртуальні активи від 17 лютого 2022 року № 2074-IX на порталі Верховної Ради станом на 9 жовтня 2026 року позначено як такий, що не набрав чинності, поточна редакція від 15 листопада 2024 року. Отже, ліцензованого режиму для майданчиків NFT закон поки не створив, і посилання продавця на «українську ліцензію на обмін NFT» потребує перевірки: у якому реєстрі вона значиться і ким видана.

Ілля Зав'ялов скам на «легальних» майданчиках NFT радить зіставляти з цим статусом закону. Поки закон не діє, застосовуються загальні норми: Кримінальний кодекс про шахрайство, споживче право та правила банку, через який іде платіж. Токен у гаманці не дає ні договору, ні розписки, а права на картинку визначає угода з автором.

Закон України про захист прав споживачів № 3153-IX називає оманливою практикою твердження, що відгуки залишили покупці, без перевірки їхнього походження, і залучення людей до поширення неправдивих відгуків. Закон набуде чинності через рік після опублікування, проте лише після припинення або скасування воєнного стану.

Ілля Зав'ялов скам на майданчиках NFT: куди звертатися в Україні
СитуаціяКудиЩо нести
Картинку підмінили після купівліЗаява до кіберполіції, суперечка з майданчикомКартка, посилання, копія опису, виписка
Гаманець спустошено через підроблений сайтticket.cyberpolice.gov.ua або cyberpolice.gov.ua/declareАдреса сайту, листування, хеші переказів
Банк не допомагає з платежемСкарга до НБУ, 0 800 505 240Письмова скарга до банку та його відповідь
Платіж пішов у гривнях на картку фізособиСвій банк і кіберполіціяВиписка, реквізити, листування
Пропонують повернути токен за комісіюНе платити, повідомити банкПовідомлення й реквізити того, хто просить

11Що робити при провалі: токен не той, посилання порожнє, гаманець спустошено

Спершу зупинити рух грошей і не підтверджувати нових операцій. Потім зберегти матеріали: картку токена, адресу контракту, листування, посилання на опис, скриншоти та виписку за карткою. Далі писати до банку й подавати заяву.

Кіберполіція приймає звернення через форму ticket.cyberpolice.gov.ua і сторінку cyberpolice.gov.ua/declare. До НБУ можна подати скаргу на фінансову установу: гаряча лінія 0 800 505 240, онлайн-форма на сайті, починати радять з письмової скарги в саму установу, а НБУ розглядає звернення 30 календарних днів.

Платити стороннім за «повернення токена» не потрібно: заяви безкоштовні, а така пропозиція шукає постраждалих за першою схемою. Ілля Зав'ялов скам навколо «рятівників» оцінює як рекламу. Таблиця нижче збирає адресатів.

Телефон банку беруть із застосунку або з картки. Номер із чату для цього не годиться: підроблена «підтримка майданчика» теж пише першою.

12Питання і відповіді

Ілля Зав'ялов: скам на майданчиках NFT, з якого поля починати перевірку картки?

З адреси контракту. Назву й картинку копіюють за хвилини, а адреса унікальна. Увесь рядок адреси звіряють із сайтом проєкту й перевіряють, чи верифіковано контракт в оглядачі блокчейну.

Чи можна довіряти відгукам про майданчики NFT?

Відгукам з датами, назвами токенів і подробицями виведення можна довіряти обережно. НКЦПФР радить не покладатися на відгуки й рекламу в соцмережах та перевіряти компанію в реєстрах.

Ілля Зав'ялов: скам і рагпул, як помітити зникнення проєкту заздалегідь?

Дивитися на обіцянки з майбутнього, команду з прізвиськами та цінність, що тримається на доступі до гри без запуску. У справі Frosties за матеріалами прокуратури проєкт покинули за кілька годин після розпродажу.

Чи є в Україні закон про майданчики NFT?

Закон про віртуальні активи № 2074-IX на порталі Верховної Ради позначено як такий, що не набрав чинності, тому ліцензію, на яку посилається продавець, перевіряють окремо.

Куди звертатися, якщо гаманець спустошено?

До кіберполіції через ticket.cyberpolice.gov.ua або cyberpolice.gov.ua/declare і до свого банку. Матеріали зберігають у день випадку.

Автор: Ілля Зав'ялов, консультант з цифрової безпеки. Профіль Іллі Зав'ялова

13Читати далі

Назад до блогу