Я прошёл крипто-развод до конца и реверснул дрейнер: 12 доменов и не меньше $784k у ~70 жертв

Наверное, всем, кто хоть раз касался крипты, писали в личку в телеге ребята с предложением о каком-то совместном заработке. Мне — регулярно. И всегда это выглядело настолько глупым разводом, что-то между «я король Зимбабве и хочу отправить вам мои деньги» и «нажми и посмотри, ты ли на этом фото», что я даже не дочитывал.

В этот раз дочитал. Решил пройти игру до конца и понять, в чём, собственно, развод. Был уверен, что упрусь в банальный фишинг — форма ввода сид-фразы, и привет. Ошибался. Под глупой обёрткой оказался рабочий дрейнер — программа, которая вычищает кошелёк подчистую, — кластер из 12 доменов и шестизначный ущерб, который читается прямо в блокчейне. Дальше по порядку, как оно разворачивалось.

Заход

Начали по учебнику. Формальные вопросы: работал ли с криптой, знаю ли, что такое стейкинг и пулы ликвидности. Я отвечал коротко. Дальше пошло пространное объяснение партнёрской программы, которая позволит заработать нам с ним )))

Я попросил подробности. Мне прислали короткое видео — поддельный кабинет Binance.US:

Надо отдать должное — сделано неплохо. Поддельный кабинет Binance.US, раздел «On-Chain Yields», доходность, всплывающее окно активации, баланс на 5.9 BTC. Комментатор за кадром даёт фору Губерниеву.

Но как же наш «крипто-Кустурица» снял этот шедевр кинематографа? В адресной строке честно горит binance.us — и это не монтаж: бар настоящий, его рисует сам браузер, я проверил по кадрам. А вот как мошенник это провернул — дальше уже моё предположение. Скорее всего, binance.us он завернул на свой клон прямо у себя на машине: подменил, на какой адрес резолвится домен, и подставил самодельный сертификат, которому его же машина доверяет (поэтому браузер и не ругается на замок). Разные пути в строке — это переключение разделов внутри страницы, без перезагрузки, домен при этом не меняется. Сам «кабинет» — рабочее приложение-дрейнер, не картинка. Если кто-то спец в этом — напишите в комментах, интересно. Фильм, кстати, реально крутой, рекомендую.

Вернёмся к переписке. Досмотреть до конца я тогда не успел, был занят. А «амбассадор Binance» уже форсировал и проявлял чудеса эмпатии в продажах: мне бы таких продавцов на мою работу. Уловив мои сомнения, он готов был снизить порог входа до приемлемых мне 100 долларов. Вообще-то все его клиенты заходят на всю котлету )))

Наживка: письмо

После моего согласия он оформил так называемый договор и прислал ссылку «от Binance». Письмо пришло на gmail и выглядело прилично.

Тема — «Binance US DeFi Staking Contract Confirmation», отправитель — do-not-reply@post.binance.com. Спуфинг, и заголовки показывают как именно. Письмо ушло с сервера самого мошенника — bsc-mail.com (155.117.117.49, хостинг FreakHosting; тот же bsc- почерк, что у его сайтов), а в поле From просто вписан Binance. SPF — softfail, DKIM — pass, но подписано доменом bsc-mail.com, не Binance: косметическая «галочка», обманывающая беглый взгляд. Итог по вердикту Google — dmarc=fail. И всё равно письмо прошло: у субдомена post.binance.com политика DMARC p=none, так что почта, распознав подделку, по инструкции домена ничего с ней не делает — подделка спокойно ложится в инбокс… и Voilà (пока писал это, вспомнил песню Barbara Pravi «Voilà»). Ну правда, хорош чертяка.

Самое аккуратное в письме — ссылки. Почти все вели на настоящий binance.us: помощь, тарифы, юридическая страница. Все, кроме одной — той самой, кнопки стейкинга. Она уходила на ссылку-переходник:

https://binanc.email/click?em=<почта-жертвы>&do=binance-group.com&hs=<хэш-клика>&re=<id-получателя>&ts=<таймстамп>&action=direct

binanc.email — ссылка-счётчик из готового набора для рассылок. По отпечатку браузера она решает, куда вести: живого человека — на дрейнер binance-group.com, сканеру или боту — на настоящий binance.us. Та самая маскировка, ботам одно, людям другое, из-за которой письмо и домен выглядят чистыми. В письме — и весь рецепт по шагам: закинь BNB «на комиссию», заведи в кошелёк минимум 100 USDT и «подпиши смарт-контракт». Сотня тут не то, что украдут, — это просто низкий порог входа, чтобы не пугал (те самые «всего 100 долларов», которыми и заманивали). «Контракт» — это approve, и после подписи оператор выносит весь баланс, а не сотню. Письмо даже обещает «не больше 3000 USDT на пользователя» — тоже ложь: у approve лимита нет, крупные жертвы теряли по $100-164k.

Что за ссылкой: как устроена кража

За этой ссылкой-переходником — обычное окно подключения кошелька, то самое «Connect Wallet» / WalletConnect, что показывает любой DeFi-сайт. Под капотом — набор Reown AppKit (бывший Web3Modal); сам WalletConnect никуда не делся, это протокол подключения, который и видит пользователь. Я подключил пустой одноразовый кошелёк и снял трафик.

Механика простая. Никакого взлома кошелька или дыры в библиотеке: жертва сама подписывает операцию, не понимая, что подписывает. По шагам:

оператор = 0x93773F84c4378f6f32c7928cde1c1cb98239FbDaжертва подключает кошелёк        │        ▼подписывает approve(оператор, гигантская сумма)   ← под видом «подтвердить стейкинг»        │   сумма астрономическая - фактически лимит без ограничения        ▼тот же оператор вызывает transferFrom(жертва → сборщик)        │   жертва эту транзакцию не подписывает и не платит за неё газ        ▼баланс уходит на адрес-сборщик; газ платит оператор

Если открыть саму транзакцию слива, в ней вызван transferFrom — «списать с чужого адреса по заранее выданному разрешению», а не transfer. Отправитель — адрес оператора 0x93773F84c4378f6f32c7928cde1c1cb98239FbDa, и именно ему жертва ранее выдала approve: он и есть тот spender, которому разрешили списывать. Адрес жертвы стоит лишь параметром «откуда списать». То есть списал оператор по заранее выданному разрешению — жертва транзакцию не подписывала и за газ не платила. И разрешение до сих пор активно: остаток allowance на адресе жертвы — порядка 10⁶⁰ в сырых единицах токена. Это гигантское число, фактически без предела (больше, чем вообще существует USDT), и не ровно uint256.max, а конкретная огромная сумма. Оператор может вычистить любой USDT, который жертве ещё придёт.

Адрес получателя сайт не держит открыто — он приходит с сервера отдельным запросом (data.walletAddress), зашифрованным AES-256-CBC. Только это не защита, а декоративная обфускация: ключ и вектор инициализации лежат рядом, в открытых переменных NEXT_PUBLIC — ключ от замка висит на самом замке. Шифруют не от жертвы (в транзакции адрес всё равно виден), а чтобы получатель не светился в исходниках страницы и его не выдернули автоматические сканеры и блок-листы, которые шерстят статику. Я ключ забрал, расшифровал, получил адрес — 0x28d8660E65282F7C86c9CA13C24A77b7F7046979. Он регулярно меняется на стороне сервера: на момент разбора держал ~0.019 BNB и ноль USDT, деньги уходят дальше сразу.

Если хочется общего контекста по дрейнерам, у Xakep есть хороший разбор механики (crypto-drainers). Здесь — конкретный свежий кейс с цифрами.

Кластер: домены и хостинг

Дрейнер живёт не на одном домене. Всё семейство связано одним отпечатком — служебным запросом data.walletAddress, который грузится только на странице этого дрейнера. По нему собирается 11 доменов-дрейнеров и один домен-переходник.

Хостинг. Большинство доменов спрятано за Cloudflare. Реальный сервер засвечен у трёх, и на каждом таком сервере ровно один боевой домен. Названия хостеров здесь — только место, где физически стояли серверы, не указание на их участие.

Регистратор. Видно по столбцу «Зарегистрирован»: 11 из 12 доменов оформлены через GoDaddy, единственное исключение — staking-binance-us.com (Registrar.eu). И это именно регистратор, не хостинг: реальные серверы стоят у VDSINA/AlexHost/MVPS. Даты складываются в таймлайн — от прототипа binance-stakingv199.com (лето 2025) через основную волну (конец 2025) до редиректора binanc.email (май 2026). Сюда же — почтовый сервер bsc-mail.com (155.117.117.49, FreakHosting), с которого шла рассылка: та же GoDaddy-регистрация и тот же bsc- почерк, то есть письма и сайты-дрейнеры держит один оператор.

Структура. Под каждый боевой домен поднято тестовое зеркало (пара bsc-contract.com / bsc-demo-contract.com). Имена дрейфуют от binance-* к bsc-* и bnb-*.

Похожие по названию домены (binance-presale.com, binancegroup.com и другие) я проверил и в кластер не включил: на них либо пусто, либо парковка или продажа. Доказанных — ровно 12.

Деньги: сколько и куда

Точную сумму и число жертв вывести сложно: украденное перемешано с отмывом, прогнано через цепочку адресов, и чистую кражу от прокрутки по открытым данным не отделить. Поэтому — диапазон, посчитанный по блокчейну через Bitquery, со сверкой транзакций напрямую.

• Не меньше ~$784k украдено у ~70 кошельков-жертв — нижняя граница: прямая сумма адресов, которые только отдавали и ничего не получали назад. Оговорка про счёт: в on-chain-выгрузке «отдающих» адресов формально 429, но 355 из них — адрес-пойзонинг: копеечные переводы с поддельных vanity-адресов, в сумме 11 центов на всех. Это не жертвы. Реальных кошельков около 70, на них и держится весь $784k. Сумма устойчива: хоть считать только крупные, от $1000 (39 кошельков, $778k), хоть все от доллара (70 кошельков, $784k) — порядок тот же.

• Валом через сеть адресов-сборщиков прошло ~$2.5M, но это с отмывом. Часть денег оператор возвращает самим жертвам как «прибыль», чтобы те занесли ещё — это pig-butchering, «откорм свиньи»: жертве показывают растущий доход и подкидывают мелкие выплаты, пока она не вложит всё, а потом забирают разом. Похожую сеть фейкового DeFi-майнинга с тем же бесконечным allowance разбирал Sophos.

• Крупнейшие индивидуальные кражи — $100-164k, доказаны поимённо, с хэшами транзакций. Вот один, ровно на $100k:

В нижней строке BEP-20 Tokens Transferred видно главное: 100 001 USDT уходят с адреса жертвы на адрес-сборщик, а отправитель транзакции — оператор 0x93773F84c4378f6f32c7928cde1c1cb98239FbDa, не жертва. Хэш транзакции — 0xb13f30baf88f0dc0926cbce35cc4a620fc93a759948784f2d985957ff100ad73, любой может открыть и проверить. Жертва дала approve, списал по нему оператор.

Чтобы не на одном примере — ещё два слива тем же оператором и тем же методом: 0xd130c6cbf208a1ff925edb758ef4ca46ca162873dfcaf5f7ad5fad88418d02ac (102 617 USDT) и 0x43c74d624e54bbdbf0bb73ccd924a55bbe88392b5821b38309b6647c5149abca (79 050 USDT). Все три открываются в BscScan и сверяются.

Дальше деньги стекаются на сборщики, оттуда на узел-накопитель и растворяются в кошельке-обменнике:

0x0defbb1b77a65e3bdf2b6e3b0ca644183e48f9b8 — здесь след обрывается. Важно: это не кошелёк дрейнера и не его добыча. Похоже на транзитный адрес инстант-свопа или биржи — большой баланс и поток, что видны на скрине, это его собственный оборот чужих средств, среди которых дрейнерские деньги растворяются. Сколько именно осело тут с этой схемы, по открытым данным не вычленить.

И это, скорее всего, только видимая часть. Дальше по открытым данным след холодеет, а глубже я не копал.

Почему антивирусы молчат

Я прогнал домен через всё, что под рукой. VirusTotal — 0 из 91, ни один из движков не помечает домен опасным. Google Safe Browsing — чисто. ANY.RUN в песочнице выдал вердикт «No threats detected».

Объяснение простое. Сканер получает на домене не дрейнер, а заглушку: редирект на настоящий binance.us или стену «Reload to proceed». Реальный код оживает только при живом человеке с кошельком, бот его не видит. Песочница, которая ловит большинство угроз за минуту, на дрейнере с шестизначным ущербом не нашла ничего.

Отсюда практичный вывод: чистый VirusTotal ничего не гарантирует. Свежий фишинг за Cloudflare, который умеет отличать живого человека от автоматической проверки, проходит сканеры насквозь — он на это и рассчитан.

Зачем это всё

Жалобы на блокировку я не отправлял — чтобы показать всю архитектуру и домены дрейнера целиком. Заявка всё равно ничего бы не изменила: оператор за день поднимет новый домен из той же bsc-*-серии, а разбор останется без живой натуры.

Так что если вам в личку напишет вежливый амбассадор с видео и порогом входа в 100 долларов — вы хотя бы знаете, что у него под капотом.