«Застейкайте, не выводя из кошелька»: как под кнопкой Stake подсовывают дрейнер

Как выглядит приманка

Сообщение в чате сети, реклама в поиске или пост «официального» канала: «Новый нативный стейкинг — монеты не покидают ваш кошелёк, до 25 % APY». Ссылка ведёт на аккуратный сайт с логотипом сети или известного кошелька — условно example-stake.app или stake-bonus.example. Кнопка Connect Wallet, затем Stake. Для убедительности — счётчик «застейкано всего», таблица «валидаторов» и таймер повышенной ставки.

Сама фраза «монеты не покидают кошелёк» взята у настоящего делегирования: в Solana или Cosmos Hub так и есть. Этим и пользуются: читатель знает, что стейкинг бывает без перевода, и не ждёт подвоха.

Общая механика дрейнеров — какие подписи бывают и на что ещё ловят — разобрана на сайте реестра подделок: дрейнер и «подключить кошелёк». Здесь — только то, как отличить подпись дрейнера от стейкинга.

Как выглядит настоящее делегирование

В каждой сети оно своё, но всегда есть адрес валидатора или пула, который можно открыть в эксплорере.

• Solana. Кошелёк создаёт стейк-аккаунт и делегирует его выбранному валидатору (vote-аккаунту). Управлять стейк-аккаунтом можете только вы. На solana.com прямо сказано: делегирование не даёт валидатору ни права собственности, ни контроля над вашими токенами.
• Cosmos Hub. Транзакция Delegate с адресом валидатора вида cosmosvaloper1…. ATOM остаются на вашем адресе в статусе «застейкано»; вернуть их можно через разморозку — 21 день.
• TON. Стейкинг через пул номинаторов — это перевод монет в смарт-контракт пула с комментарием d; вывод — сообщение с комментарием w. Так описано в документации TON. Значит, решающее здесь — чей адрес получает монеты: контракт известного пула из раздела стейкинга кошелька или случайный кошелёк.
• Tron. TRX замораживаются на вашем же аккаунте (Stake 2.0), затем вы голосуете за Super Representative. Никакой передачи TRX другому лицу при этом нет.
• Ethereum. Своей «делегации» нет: либо свой валидатор с депозитом в официальный контракт сети, либо пул или ликвидный стейкинг, где вы отправляете ETH в контракт и получаете токен взамен. Адрес контракта сверяется с официальным сайтом протокола.

Общее у всех: в окне подписи — монета самой сети, понятная сумма и адрес валидатора или пула.

Настоящее делегирование и подпись дрейнера

Какие подписи выдают дрейнер

• Approve и Increase allowance (EVM-сети: Ethereum, BNB Chain, Arbitrum и другие). Даёт контракту право списывать конкретный токен с вашего адреса. Работает до отзыва — хоть через месяц.
• Permit (стандарт EIP-2612). То же разрешение, но оформлено подписью сообщения, а не транзакцией: комиссии нет, в истории адреса ничего не появляется, пока им не воспользуются.
• setApprovalForAll. Право распоряжаться всеми NFT коллекции. Стейкингу NFT-разрешения не нужны вообще.
• Перевод, названный стейкингом. В TON разрешений на токены нет, поэтому дрейнер просто собирает в одну подпись несколько переводов: монеты сети и жетоны уходят на его адрес. Похожим образом в Solana подпись может сменить владельца токен-аккаунта или стейк-аккаунта.

Признаки до подписи

1. Ссылка пришла из рекламы, личного сообщения или комментария, а не с официального сайта сети или кошелька.
2. Домен не совпадает с официальным — проверьте адрес.
3. Процент заметно выше ставки сети из сводки сетей, да ещё и «в день».
4. «Стейкинг» доступен только через подключение кошелька к сайту, хотя в самом кошельке есть свой раздел стейкинга.
5. В окне подписи — разрешение на токены, неограниченная сумма или получатель, которого нет в эксплорере как валидатора или пула.
6. Таймер, «последние места», «бонус для первых 500».

Что делать сразу

Время важно: разрешение может сработать в любой момент, а украденное быстро дробят по адресам.

1. Отключите сайт в кошельке — в списке подключённых приложений (в TON — подключения TON Connect).
2. Отзовите разрешения в EVM-сетях. Откройте раздел проверки разрешений в эксплорере сети или сервис revoke.cash, найдите незнакомые контракты и отзовите. Отзыв — это транзакция: на комиссию нужна монета сети. В TON отзывать нечего — там опасна была сама подпись перевода.
3. Перенесите остаток на новый кошелёк с новой seed-фразой, если подписывали Permit, setApprovalForAll, непонятное сообщение или вводили seed-фразу. Старый адрес считайте скомпрометированным.
4. Застейканное через настоящий пул выводите по обычным правилам сети — на новый адрес, как только позволит разморозка.
5. Сохраните доказательства: адрес сайта, хеши транзакций, адрес получателя, скриншоты.

Чек-лист перед делегированием12 пунктов: адрес пула, комиссия, аптайм, кто держит ключи