Ілля Зав'ялов пояснює, чому прохання назвати сід-фразу і є вся схема

01Що насправді означає набір із дванадцяти слів

Сід-фраза це людиночитаний запис кореневого ключа гаманця. З нього детерміновано виводяться всі приватні ключі й усі адреси, які гаманець колись покаже власнику. Пароль від застосунку захищає окремий пристрій, і його заміна ніяк не впливає на кошти. Фраза працює на будь-якому іншому телефоні чи комп'ютері в світі, без згоди власника і без повідомлення йому. Через це її неможливо відкликати після витоку, можна лише перенести кошти на новий гаманець.

Банківська логіка тут не діє жодною своєю частиною. Картку блокують, номер перевипускають, спірну операцію оскаржують через банк. У блокчейні немає сторони з повноваженням скасувати переказ, який уже підписаний коректним ключем. Мережа перевіряє математику підпису й виконує вказівку, і питання про те, хто тримав ключ у ту секунду, для протоколу не існує.

Звідси вибудовується вся конструкція шахрайства. Зловмиснику не треба ламати шифрування, обходити двофакторну автентифікацію чи підбирати пароль перебором. Достатньо, щоб власник сам вимовив або надрукував слова у відповідь на переконливе прохання. Атака переїжджає з площини техніки в площину розмови, а розмова масштабується дешево й майже нескінченно.

02Чому справжня служба підтримки не питає фразу ніколи

Розробник некастодіального гаманця за архітектурою не має доступу до ключів користувачів. Співробітник підтримки бачить версію застосунку, журнал помилок, іноді публічну адресу і хеш операції. Приватного ключа в цих даних немає, тому фраза не допомогла б йому навіть за щирого бажання розібратися. Прохання надіслати слова позбавлене технічного сенсу в будь-якому сценарії відновлення доступу.

Це дає єдиний фільтр, який працює без знання деталей конкретної схеми. Співрозмовник, який просить фразу, приватний ключ, файл сховища ключів або пропонує відсканувати код гаманцем, уже назвав себе повністю. Далі можна не розбирати ані його аргументи, ані бейдж на аватарі, ані домен, з якого прийшов лист. Розмова закінчується на цьому реченні, і жодне пояснення нічого в ній не змінює.

Пряме питання про фразу давно стало впізнаваним, тому формулювання весь час переписують. Просять «синхронізувати гаманець з вузлом», «пройти верифікацію активів», «підтвердити власність», «відновити доступ через офіційний портал». Іноді слова взагалі не звучать уголос: людині показують поле з двадцятьма чотирма клітинками і підписом про імпорт. Технічно всі ці дії зводяться до однієї операції, і ця операція є передачею ключа.

Окремий різновид прохання виглядає ще безпечніше, бо начебто взагалі не стосується слів. Людину просять підключити гаманець до сайту й підписати повідомлення для входу, а підпис при цьому видає дозвіл на витрату токенів. Такий дозвіл не показує суму й діє, доки його не відкликано вручну. Наслідки для балансу бувають такими самими, як від витоку фрази, хоча виглядає все це як звичайна кнопка входу.

03Звідки береться співробітник, якого ніхто не викликав

Перший канал це пошукова реклама за запитами про помилку гаманця. Людина шукає, чому зависла операція або чому баланс показує нуль, і вгорі бачить оголошення з майже правильною назвою. Домен відрізняється однією літерою, дефісом або зоною, а сторінка копіює офіційний вигляд до дрібниць. Далі відкривається чат, у якому вже чекає ввічливий оператор.

Другий канал це соцмережі та месенджери, де боти стежать за словами про проблему. Публічне повідомлення в спільноті проєкту через хвилину породжує кілька приватних відповідей від акаунтів з логотипом гаманця. Пишуть одночасно, щоб людина обрала будь-кого з них і відчула, що допомога прийшла швидко. Модератори реальних спільнот попереджають про це в закріплених повідомленнях, і саме тому розмову намагаються перевести в приватний діалог за перші ж репліки.

Третій канал це вхідний дзвінок або лист, який починається з чужої тривоги. Повідомляють про підозрілу спробу входу, про блокування активів, про необхідність термінового підтвердження. Сценарій майже не залежить від криптовалюти й повторює класичну підробку під банк чи державну службу. За даними Federal Trade Commission за 2025 рік, на видавання себе за когось іншого припало понад мільйон звернень і 3,5 мільярда доларів заявлених втрат, тобто майже кожне третє звернення.

Четвертий канал вбудований у сам гаманець і виглядає найбезневиннішим. Це вхідний переказ на кілька центів з назвою токена, у якій записано адресу нібито служби підтримки, або токен-картинка з інструкцією всередині. Історія операцій сприймається як довірена зона інтерфейсу, і напис у ній читається інакше, ніж лист від незнайомця.

04Сторінка синхронізації і фальшива діагностика

Коли співрозмовника вислухали, з'являється посилання на інструмент відновлення. Сторінка виглядає технічно: індикатор з'єднання з вузлом, лічильник блоків, журнал, у якому щось перевіряється в реальному часі. Уся ця анімація не робить нічого корисного і потрібна лише для того, щоб поле введення слів виглядало частиною процедури. Дизайн переводить питання з площини «навіщо це взагалі» у площину «як правильно заповнити».

Друга роль сторінки полягає в тому, щоб зняти з людини відчуття особистої відповідальності. Форма підписана словами про автоматичну перевірку, поруч стоїть галочка про згоду з політикою конфіденційності. Виникає відчуття взаємодії з системою, а системі диктувати слова психологічно легше, ніж живій людині в чаті. Той самий текст, вимовлений уголос незнайомцю, викликав би опір значно раніше.

Технічно введення слів у поле і диктування їх голосом рівнозначні. Сторінка передає введене на сервер миттєво, часто ще до натискання кнопки, посимвольно. Тому зупинка на середині фрази вже майже нічого не рятує, і закриття вкладки надісланого теж не повертає. Єдина точка, у якій рішення ще залежить від власника, це момент до першого набраного символу.

05Як влаштована розмова, у якій погоджуються

Схема майже ніколи не починається з прохання про фразу. Спершу оператор ставить нейтральні питання про версію застосунку, про мережу, про дату останньої операції. Кілька хвилин він справді допомагає: підказує, де подивитися хеш, пояснює комісію, вживає правильні терміни. Це створює робочі стосунки, і наступне прохання читається як черговий крок тієї самої процедури.

Другий елемент це штучний дефіцит часу. Говорять про вікно синхронізації, яке закривається, про блокування, яке набуде чинності за годину, про чергу на відновлення. Поспіх вимикає звичку перевіряти, бо перевірка вимагає паузи, а паузу подають як пряму втрату коштів. Людина починає боятися повільності сильніше, ніж власної помилки.

Третій елемент це підміна ролі, коли постраждалий стає учасником розслідування. Йому повідомляють, що зафіксовано спробу зламу, і пропонують допомогти зібрати докази. У цій рамці прохання виглядає службовим, а відмова здається перешкодою розслідуванню. Той самий прийом давно працює в схемах з підробкою під державні служби, і криптовалюта лише додала до нього швидкий канал виведення.

Четвертий елемент це супровід у момент самої дії. Просять увімкнути демонстрацію екрана або встановити програму віддаленого доступу, щоб допомогти заповнити форму правильно. Демонстрація екрана показує все, що людина набирає, включно з фразою, навіть якщо вона нікому її не диктує вголос. Присутність спостерігача заважає зупинитися й подумати, і саме в цьому її роль.

06Голос, який звучить знайомо

Дзвінок додає схемі те, чого не дає переписка: інтонацію й тиск реального часу. Синтез голосу зробив цей крок дешевим. Переконливий клон будують із запису тривалістю близько трьох секунд, і точність відтворення оцінюють приблизно у 85 відсотків. Трисекундного фрагмента вистачає з будь-якого голосового повідомлення або короткого відео.

Розрахунок на власний слух тут не спрацьовує. В експерименті люди відрізняли справжній голос від підробленого лише у 37,5 відсотка випадків, тобто гірше за випадкове вгадування. Погана якість телефонного зв'язку прибирає рештки артефактів, а знайоме ім'я в підписі контакту доробляє решту. Голос перестав бути доказом особи, і це стосується як нібито співробітника підтримки, так і нібито родича.

Практичний висновок стосується маршруту перевірки. Перевірка має йти окремим каналом, який обрав сам власник: офіційний застосунок з домашнього екрана, збережений раніше номер, звернення через сайт, набраний руками. Будь-який номер чи посилання, надані співрозмовником, ведуть до тієї самої сторони. Це правило працює однаково для голосу, відео й переписки.

07Що показують цифри

Масштаб підробленої підтримки видно у звітності. За річним звітом FBI Internet Crime Complaint Center за 2025 рік, колл-центрове шахрайство, тобто підроблена техпідтримка разом із підробкою під державні служби, дало понад 80 тисяч звернень і більше ніж 2,9 мільярда доларів втрат. Це один сценарій розмови, повторений десятками тисяч разів.

Криптовалюта в цій картині займає окреме місце як спосіб виведення. За тим самим звітом, приблизно половина всіх заявлених у США втрат пов'язана з криптовалютою. Переказ підтверджується мережею за хвилини й не має процедури повернення, тому будь-яка схема, що дійшла до гаманця, завершується швидше за реакцію потерпілого.

Вікова структура пояснює, чому саме підтримку обирають так часто. Серед постраждалих від 60 років і старших за кількістю звернень попереду йдуть фішинг, підроблена підтримка та інвестиційні схеми. При цьому за даними Federal Trade Commission типова заявлена втрата у зверненні про видавання себе за іншого становить близько 700 доларів, і цей помірний показник спокійно співіснує з випадками, де людина втрачає весь баланс.

У тій самій статистиці є обнадійлива частина. У чотирьох зверненнях про імперсонацію з п'яти грошової втрати не було зовсім, тобто спроб набагато більше, ніж успішних. Люди зупиняються, і зупиняє їх зазвичай проста дія: пауза й дзвінок на самостійно знайдений номер. Схема розрахована на потік, і будь-яка затримка руйнує її економіку.

08Перші секунди після введення слів

Введена фраза потрапляє до автоматики. На сервері працює скрипт, який імпортує гаманець, обходить стандартні шляхи виведення адрес і перевіряє баланси в кількох мережах одночасно. Перекази йдуть без участі людини, тому питання про те, чи встигне власник відреагувати, зазвичай вирішується за секунди.

Якщо кошти в стейкінгу або заблоковані до певної дати, зловмисник просто чекає. На адресу ставлять спостерігача, який відправить операцію в момент розблокування. Через це хибне відчуття безпеки триває тижнями: гаманець виглядає цілим, поки не мине період блокування.

Найгірший варіант це продовження контакту після події. Через якийсь час приходить пропозиція допомоги з поверненням коштів, від імені юриста, аналітика блокчейну або спеціальної служби. Просять передоплату за розслідування чи доступ до нового гаманця, куди нібито повернуть активи. Списки постраждалих продаються всередині того самого середовища, і повторне звернення до тієї ж людини коштує дешевше за пошук нової.

09Перевірка, яка вміщується в один рядок

Складні правила безпеки погано працюють у момент стресу, тому має сенс одне коротке. Будь-яке прохання, що веде до введення сід-фрази, приватного ключа або підпису невідомого повідомлення, означає завершення розмови. Джерело прохання значення не має: чат у застосунку, дзвінок, лист, рекомендація в спільноті, напис усередині історії операцій.

Друге правило стосується маршруту звернення. Ініціативу перевірки тримає власник: застосунок відкривається з домашнього екрана, сайт набирається руками або береться із закладок, номер береться з договору чи офіційної сторінки. Посилання й номери, отримані від співрозмовника, за визначенням ведуть у той самий сценарій.

Третє правило зменшує ціну помилки заздалегідь. Основна сума лежить на апаратному гаманці, фраза від якого ніколи не потрапляла в жоден екран. Щоденні операції йдуть з окремого гаманця з невеликим залишком. Апаратний пристрій вимагає фізичного підтвердження кожної операції й не дає підписати переказ дистанційно. Така конструкція перетворює катастрофу на неприємність.

Четверте правило про людей поруч. Фразу найчастіше вводять ті, кому не було з ким порадитися в потрібні п'ять хвилин, і саме на цю самотність розрахований поспіх. Домовленість у сім'ї про дзвінок перед будь-якою операцією з гаманцем працює краще, ніж пам'ять про десять ознак шахрайства.

10Якщо слова вже введені

Перша дія полягає в перенесенні всього, що ще залишилося, на новий гаманець, створений на іншому пристрої. Скомпрометовану фразу слід вважати мертвою назавжди, бо доступ до неї не відкликається зміною пароля. Новий гаманець створюється офлайн, і фраза записується на папері, без фотографій і хмарних нотаток.

Друга дія це фіксація подій, поки вони свіжі. Зберігаються адреси, хеші операцій, посилання на сторінку, знімки екрана з чатом, номер, з якого дзвонили, точний час. Такий пакет потрібен і для звернення в поліцію, і для сервісів, які позначають адреси, і просто для того, щоб через тиждень пам'ятати послідовність.

Третя дія стосується подальших пропозицій. Будь-хто, хто сам виходить на контакт і обіцяє повернути кошти, продовжує ту саму схему в її другому колі. Повернення переказу залежить від бірж і правоохоронців, тому осмислені кроки виглядають як заява й звернення до майданчика, куди прийшли кошти. Передоплата за приватне розслідування не наближає до результату.

11Питання і відповіді

12Читати далі

• Ілля Зав'ялов пояснює, як насправді працює переказ криптовалюти Як працює крипта
• Ілля Зав'ялов розбирає види крипто-шахрайства і механізм, на якому тримається кожен Види скаму
• Ілля Зав'ялов пояснює, як захистити криптогаманець від крадіжки Захист
• Ілля Зав'ялов пояснює, що реально допомагає в перші години після крадіжки криптовалюти Інцидент
• Ілля Зав'ялов: куди насправді йдуть гроші шахраїв за цифрами 2025 року У цифрах
• Ілля Зав'ялов про сервіси, що обіцяють повернути втрачену криптовалюту Повернення крипти
• Ілля Зав'ялов: як робиться перевірка адреси гаманця перед переказом Перевірка гаманця
• Ілля Зав'ялов пояснює, як approval-дренер спустошує гаманець без пароля і сід-фрази Дренери гаманця

Назад до блогу