«Невидимый паразит»: как бизнес теряет миллионы на криптоджекинге

В этой публикации мы расскажем, как массовые кражи через подмену адресов стали одной из самых незаметных, но системных угроз 2025 года.

Сегодня кражи криптовалюты редко происходят в результате громких взломов или эксплойтов крупных протоколов. Большую часть инцидентов составляют небольшие, но системные атаки, которые остаются незамеченными для пользователей и наносят ущерб в миллионы долларов.

Речь идёт о подмене адресов (клиппинге) и вредоносных сборках, работающих на стороне клиента.

В 2024–2025 годах количество подобных инцидентов значительно возросло. Согласно аналитическим сервисам и группам мониторинга, клиппинг стал самой распространённой причиной финансовых потерь среди частных пользователей. Атаки происходят непосредственно в момент проведения транзакции, не требуя посещения фишинговых сайтов, и не оставляют видимых признаков взлома устройства.

Как работает атака

Современные вредоносные программы состоят из нескольких модулей. Один из них обеспечивает скрытое присутствие в системе, часто маскируясь под легитимные процессы. Другой модуль осуществляет мониторинг буфера обмена. Когда пользователь копирует адрес для перевода, программа распознаёт его по формату сети и заменяет на адрес злоумышленника.

Эта операция занимает всего доли секунды. Пользователь видит корректный формат строки, проверяет первые и последние символы, подтверждает транзакцию и теряет свои средства без возможности восстановления.

Расследования подобных инцидентов показывают, что распространение клипперов происходит через поддельные установщики Tor, клоны криптокошельков, расширения браузеров и программы удаленного доступа. Вредоносная инфраструктура стала широко распространённой, а сами клипперы стали частью более крупных криминальных групп.

Поведение украденных средств: что можно увидеть на блокчейне

Несмотря на разнообразие способов распространения, поведение украденных средств на блокчейне в большинстве случаев остается одинаковым. Именно эта повторяемость делает такие инциденты значимыми для анализа.

1. «Эфемерный» адрес первого хопа

Этот адрес создаётся незадолго до атаки и используется однократно.

Типичная структура выглядит следующим образом:

• отсутствие истории;
• одна входящая транзакция (кража);
• мгновенный вывод всего баланса;
• отсутствие дальнейшей активности.

Этот паттерн встречается в большинстве краж до $10 000.

2. Переход в инфраструктуру с пониженной наблюдаемостью
Следующий этап — вывод средств через механизмы с высоким оборотом и низким удержанием:
Наиболее распространённые маршруты вывода средств проходят через крупные DEX-маршруты, мультичейн-бриджи и адреса, имитирующие поведение миксерных операций. Основная цель — разорвать логическую связь между жертвой и конечным получателем.
3. Сборка суммы и дальнейшая консолидация
На этом этапе создаются группы одноразовых адресов, которые дробят или консолидируют средства перед их отправкой:

• на депозиты офшорных бирж;
• в OTC-инфраструктуру;
• в сети с низким уровнем ончейн-мониторинга.

Эти операции проводятся быстро: по данным Chainabuse и ScamSniffer, около 80% средств выводятся в новый маршрут менее чем за минуту.

Как изменилась инфраструктура клиппинга

Ключевое отличие 2025 года — это индустриализация вредоносных инструментов. То, что раньше распространялось как одиночные сборки, теперь предлагается по подписочной модели:

• обновляемые пакеты;
• готовые пулы адресов;
• инфраструктура для автоматического вывода;
• панели с ончейн-статистикой для злоумышленников.

Динамика роста атак: криптоджекинг и программы-вымогатели (Индекс роста)

Аналитические группы обращают внимание на то, что клипперы превратились в составные части сложных криминальных пакетов, включающих майнеры, бэкдоры и инструменты для кражи приватных ключей. Подмена адреса — лишь одна из их функций, но именно она приносит злоумышленникам основной доход.

Динамика роста атак: криптоджекинг и программы-вымогатели

Почему риски стали массовыми

Ключевая особенность клиппинга в том, что для атаки не требуется сложных сценариев, взаимодействия с сайтами или подключения кошелька. Достаточно одной простой операции копирования.

Из-за этого большинство жертв — обычные пользователи, которые осуществляют повседневные транзакции. Они редко проверяют контрольные суммы, не анализируют историю адресов и не воспринимают небольшие переводы как потенциальную угрозу.

Из-за большого количества таких эпизодов риск становится системным. Ончейн-платформы фиксируют рост паттернов:

•  «одноразовый адрес → DEX → бридж», 
• а количество заявлений о кражах, связанных с клиппингом, является одним из самых высоких в сегменте частных инцидентов.

Роль ончейн-аналитики

Поведенческие модели, скорость вывода, типы маршрутов, особенности первого адреса и признаки операций с использованием миксеров позволяют идентифицировать цепочки клиппинга, даже если речь идёт о небольших суммах. 

Аналитические инструменты фиксируют:

• время появления адреса;
• структуру первых транзакций;
• маршруты перехода;
• признаки автоматизации.

Эти данные помогают установить связь между инцидентами, оценить масштаб распространения вредоносных пакетов и сформировать предупреждения для сервисов, которые могут столкнуться с такими потоками.

Вывод

Криптоджекинг и подмена адресов перестали быть единичными случаями и в 2025 году стали одним из наиболее распространённых источников прямых потерь. Масштаб угрозы определяется не столько суммами, сколько скоростью и незаметностью атаки, а также характерной динамикой в блокчейне, которая указывает на высокий уровень автоматизации.

Риск, связанный с уязвимостями в инфраструктуре, сместился в сторону бытовых сценариев. Это делает проблему системной и объясняет, почему анализ поведения адресов, маршрутов и временных паттернов стал основным инструментом для обнаружения подобных инцидентов.

FAQ: криптоджекинг и подмена адресов в криптовалюте