Подмена адреса в буфере обмена: вирус-клиппер

Вирус-клиппер следит за буфером обмена и подменяет скопированный криптоадрес на адрес мошенника. Вы вставляете, не проверяя, и отправляете монеты чужому. Чаще всего он приходит вместе со взломанными программами, читами и «бесплатными» трейдинг-ботами.

Чаще всего клиппер ловят те, кто ищет бесплатные версии платного софта: трейдинг-ботов, индикаторов, игр. Ссылки на такие «кряки» оставляют под роликами на YouTube, в Telegram-каналах и на форумах, часто с отзывами «работает, спасибо».

Как работает схема «подмена адреса»?

1. Вы скачиваете «бесплатную» версию платной программы: трейдинг-бота, индикатора, игры, чита. Часто в архиве с паролем и с просьбой отключить антивирус.
2. Программа «не работает» или работает, но вместе с ней тихо запускается вирус.
3. Вирус следит за буфером обмена. Как только вы копируете криптоадрес, он подменяет его на адрес мошенника — нередко похожий по первым символам.
4. Вы вставляете адрес в поле перевода, смотрите на начало и конец — и подтверждаете.
5. Монеты уходят мошеннику. Перевод в блокчейне не отменить.

Такие программы часто воруют и другое: пароли из браузера, расширения кошельков, сессию Telegram.

Вирус ничем себя не выдаёт: программа может даже нормально работать. А длинные адреса почти никто не читает целиком — проверяют первые и последние символы, на это и рассчитана подмена.

Как распознать?

• Вставленный адрес отличается от скопированного хотя бы в одном символе.
• Недавно ставили «кряк», чит, «бесплатного» бота или APK из чата.
• Программа просила отключить антивирус перед запуском.
• Из Telegram вас «выкинуло» или появились чужие сеансы.
• В браузере сохранённые пароли вдруг перестали работать — их сменили.

Пример

Человек вывел USDT с биржи на свой кошелёк — дошло. Через неделю он поставил «взломанный» трейдинг-бот с YouTube. Ещё через день он копирует адрес своего кошелька, вставляет на бирже и замечает: середина адреса другая. Он не отправляет, переустанавливает систему и с телефона меняет все пароли.

Если бы он не проверил середину адреса, перевод ушёл бы мошеннику. А сам вирус продолжал бы подменять адреса и воровать пароли, пока его не нашли бы.

Что делать, если вы уже попались?

1. Перестаньте пользоваться заражённым устройством для денег. Отключите его от интернета.
2. С чистого устройства смените пароли: биржи, почта, Telegram, банк. Включите облачный пароль в Telegram и завершите чужие сеансы.
3. Если на заражённом компьютере были кошельки-расширения или сид-фраза — создайте новый кошелёк на чистом устройстве и переведите остаток.
4. Проверьте устройство антивирусом, а лучше переустановите систему.
5. Сохраните адрес, на который ушли монеты, и хеш транзакции. Подайте заявление в милицию: ОВД или 102.
6. Сообщите адрес мошенника в скам-базу: кнопка «Сообщить о мошеннике» в @swapkgbot.

Помните: «бесплатная» версия платной программы почти всегда за что-то платит — вашими паролями, кошельком или доступом к Telegram.

В заявлении опишите всё по порядку: когда и где начался контакт, что вам говорили, какие суммы и куда вы переводили. Приложите распечатки или скриншоты и запишите номер, под которым зарегистрировали ваше обращение.

Как защититься?

• Сверяйте вставленный адрес с оригиналом полностью, а не на глаз.
• Перед крупной суммой отправьте тестовый перевод и дождитесь его.
• Не ставьте взломанные программы, читы и APK не из официальных магазинов.
• Программа просит отключить антивирус — удаляйте сразу.
• Сохраняйте частые адреса в адресной книге кошелька, а не копируйте каждый раз. В Swap KG есть адресная книга.