Фейковая вакансия и вредоносный файл: как крадут кошельки через «тестовое задание»

Представьте: под видом вакансии или тестового задания на устройство попадает стилер, который крадёт данные браузера, расширений и кошельков. На экране всё может выглядеть привычно, поэтому опасный момент легко пропустить.

Главное, что нужно знать сразу: Главное — не паниковать и не пытаться «исправить» ситуацию случайными переводами. Сначала остановите повторный риск, сохраните исходные данные и только потом разбирайте, что произошло.

Как устроена схема

Под видом вакансии присылают архив, репозиторий, тестовое задание или «обновление» программы для созвона. Внутри может быть стилер, который ищет данные браузера, расширения кошельков, файлы ключей и содержимое буфера обмена.

В этой ситуации важно разделить две вещи: сам механизм атаки и то, что уже произошло с активами. Под видом вакансии или тестового задания на устройство попадает стилер, который крадёт данные браузера, расширений и кошельков. После инцидента технический разбор начинается не с догадок, а с конкретной операции и её продолжения в блокчейне.

Что делать, если это уже произошло

После подозрения на заражение не создавайте новый кошелёк на том же устройстве. Сначала изолируйте машину от сети, используйте чистое устройство для смены критичных паролей и переноса активов, а затем проводите полноценную очистку или переустановку.

1. Прекратите повторять действие, после которого возник инцидент: не подписывайте новые запросы и не отправляйте дополнительные платежи.
2. Сохраните tx hash, полные адреса, сеть, актив, сумму и время операции.
3. Зафиксируйте переписку, домен, профиль, приложение или экран подписи — всё, что объясняет контекст операции.
4. Если есть риск компрометации кошелька, переведите оставшиеся активы на новый безопасный кошелёк, не используя раскрытую seed-фразу.
5. Если сумма существенная, имеет смысл построить дальнейший маршрут средств и определить сервисные точки на пути.

Что сохранить для разбора

Для этой конкретной темы особенно полезно сохранить: файл/архив/репозиторий, ссылка на вакансию, время запуска и список кошельков/аккаунтов, доступных на устройстве.

Для первичного разбора подготовьте данные в одном сообщении или файле — так меньше риск потерять важную деталь:

• tx hash / txid
• полные адреса отправителя и получателя
• сеть, актив, сумма и время
• скриншоты и переписка
• домен, профиль или приложение, если они связаны с инцидентом

Чего лучше не делать

• Не передавайте seed-фразу и приватные ключи «помощникам» или «службе возврата».
• Не платите неизвестному посреднику «налог», «страховку» или «комиссию за разблокировку».
• Не удаляйте переписку и историю операций до того, как всё сохранено.

Важно: транзакция и адрес — проверяемые on-chain факты. Личность владельца, мотив и правовой статус не должны автоматически выводиться из одного графа.

Когда имеет смысл подключать специалиста

Если сумма существенная, маршрут уже разветвился или на нём появились биржи, обменники, bridge и другие сервисы, ручной разбор помогает отделить доступные действия от бесполезных. Для старта обычно достаточно публичных данных — приватные ключи не нужны.

Частые вопросы

Достаточно удалить подозрительную программу?

Не всегда. Если стилер уже запустился, секреты могли быть отправлены злоумышленнику. Нужно исходить из того, какие данные могли быть доступны во время заражения.

Можно ли отменить подтверждённую транзакцию?

Как правило, нет. Дальнейшие действия зависят от маршрута средств и от того, появились ли на нём сервисы, способные ограничить движение активов.

Можно ли по адресу сразу установить мошенника?

Нет. Блокчейн показывает адреса и операции. Личность требует дополнительных данных: KYC сервиса, публичных источников, материалов дела или иных подтверждений.

Коротко

Под видом вакансии или тестового задания на устройство попадает стилер, который крадёт данные браузера, расширений и кошельков. Если это уже произошло, сначала остановите повторный риск и сохраните исходные данные. Затем можно разбирать маршрут и реальные точки для дальнейших действий.