Самое слабое место в вашей криптозащите — не кошелёк, а обычный номер телефона. За минуту мошенник может «переселить» ваш номер на свою SIM/eSIM и перехватить SMS-коды для сброса паролей, входа на биржи и вывода активов. Только в США за 2021 год в FBI поступило 1 611 жалоб на SIM-свап с потерями свыше $68 млн — и это верхушка айсберга. В Великобритании число случаев SIM-свапа выросло более чем в 10 раз: с 289 в 2023 году до почти 3 000 в 2024-м. Регуляторы прямо признают уязвимость: SMS-коды — слабый канал, а социальная инженерия остается топ-инструментом атак по данным DBIR 2025 и рекомендаций NIST. Вывод простой: если номер «упал» — ваши монеты под угрозой уже через пару минут.
В этой статье:
- Что такое SIM-своп и почему он работает
- Как преступники крадут криптовалюту через номер
- Чем криптовалюта привлекательна для атак
- Главные ошибки жертв
- Как защититься от SIM-свапа
Что такое SIM-своп и почему он работает
SIM-своп — это перенос вашего номера на SIM/eSIM злоумышленника через оператора связи. Дальше он получает ваши звонки и SMS (включая одноразовые коды), сбрасывает доступ к почте и биржам и уводит деньги и токены.
Как это делают:
- Злоумышленники сначала собирают о вас данные из утечек и открытых профилей.
- Потом они через социальную инженерию и уязвимости в процедурах операторов добиваются контроля над номером — в результате ваши SMS и звонки оказываются не у вас.
- После этого мошенники получают коды и доступ к почте и биржам, сбрасывают пароли и выводят средства.
Мы не учим, как это сделать, а предупреждаем: такая цепочка атак превращает ваш телефон в слабое звено безопасности.
Почему это работает до сих пор:
- Слабая проверка личности. При замене SIM или переносе номера личность клиента подтверждают по «анкетным» данным — девичьей фамилии, суммам последних платежей, дате рождения. После утечек такие данные легко подделать или купить. Регуляторы уже вводят новые правила для безопасности, но в целом отрасль лишь постепенно подтягивает защиту к уровню современных угроз.
- SMS — уязвимый второй фактор. Американский институт стандартов (NIST) годами предупреждает: SMS-коды небезопасны, потому что идут по отдельному каналу связи, который легко перехватить. На практике же именно SMS чаще всего используют для восстановления доступа.
- Социальная инженерия растёт. По отчёту DBIR — одному из главных исследований кибератак в мире — такие приёмы, как pretexting (притворяется сотрудником банка или клиентом) и фишинг, остаются среди главных причин успешных атак.
- eSIM ускоряет процесс. Подмена может проходить полностью удаленно, без физической карты; это отмечают и отраслевые обзоры, и СМИ.
Как преступники крадут криптовалюту через номер
SIM-своп сам по себе — только первый шаг. Главное начинается после того, как ваш номер «перекочевал» на чужую SIM или eSIM. Вот как выглядит схема в реальности:
- Отключение сети у жертвы. Ваш телефон внезапно перестал ловить сигнал. В этот момент злоумышленник уже держит в руках активный номер.
- Перехват SMS и звонков. Все коды подтверждения, сообщения от бирж, банков и почты приходят ему. Для многих сервисов этого достаточно, чтобы сбросить пароль.
- Сброс доступа к почте и биржам. Первым делом атакуют e-mail: через него открываются двери к криптобиржам и кошелькам. По статистике Chainalysis, в 2023 году SIM-своп использовался в ряде крупных взломов именно как «точка входа» к аккаунтам пользователей.
- Вход в аккаунты и вывод средств. У злоумышленника есть код для входа — и никакой блокчейн его не остановит: транзакции нельзя отменить или «заморозить», а служба поддержки биржи в таких случаях бессильна. Потерянные средства не возвращаются — в отличие от банковских переводов, здесь нет механизма чарджбэка или страховки.
- Ускоренный вывод через разные сервисы. Движение средств рассеивается по десяткам адресов, и вернуть их уже невозможно.
Пару кейсов ↓
- В 2023 году сооснователь венчурного фонда Blockchain Capital Барт Стивенс стал жертвой SIM-свапа и лишился монет на сумму около $6,3 млн. Мошенники получили контроль над его номером и через SMS-коды вошли в кошельки и биржевые аккаунты.
- В России тоже регулярно всплывают истории пользователей: «Отключилась сеть, через час ушли USDT с Binance». Официальной статистики по таким случаям нет, что скорее говорит о нежелании операторов и площадок раскрывать масштабы проблемы, чем об её отсутствии.
Главный вывод: как только номер оказывается под контролем злоумышленника, криптовалюта уходит очень быстро. SMS-2FA, которое многие считают достаточной защитой, в такой ситуации становится прямым «ключом от квартиры».
Чем криптовалюта привлекательна для атак
✓ Мгновенные и необратимые переводы.
В отличие от банковских операций, которые можно заморозить или оспорить, криптовалютные транзакции в блокчейне окончательны. Для мошенника это идеальный сценарий: как только средства отправлены, вернуть их уже невозможно. Поэтому SIM-свап чаще используют именно для взлома криптосервисов, а не только для «банальных» краж через онлайн-банк.
✓ Высокая концентрация активов.
Криптотрейдеры и инвесторы часто держат десятки тысяч долларов на централизованных биржах. Для атакующего это «джекпот» в одной точке входа.
✓ Уязвимость SMS-аутентификации.
Хотя почти все крупные биржи предлагают более надёжные методы защиты — приложения-аутентификаторы или аппаратные ключи — многие продолжают полагаться на SMS. Для злоумышленника это идеальный вариант: стоит перехватить номер, и доступ к аккаунту открыт.
✓ Анонимность и скорость обналичивания.
После кражи монеты моментально уходят через P2P-платформы, миксеры или децентрализованные обменники. Даже если биржа попытается «заморозить» часть активов, следы обрываются буквально за часы. В случае с банком вывести деньги гораздо сложнее: подозрительные переводы отслеживаются автоматически, и их нередко блокируют ещё до зачисления.
✓ Отсутствие правовой практики в России.
В РФ криптовалюта не признана законным платёжным средством, поэтому расследовать такие кражи непросто: заявление подать можно, но доказать ущерб и довести дело до суда крайне сложно.
Главные ошибки жертв
Большинство SIM-свап атак срабатывают не из-за гениальности хакеров, а из-за банальных просчетов самих пользователей. Преступники знают: чем проще защита, тем легче её обойти. Одного звонка в кол-центр хватает, чтобы превратить «удобные настройки» в открытую дверь к вашим деньгам. Ниже — самые частые ошибки, которые используют злоумышленники.
- Доверие к SMS-кодам. Биржи и банки уже давно поддерживают более надёжные методы защиты — приложения-аутентификаторы и аппаратные ключи. Но на практике большинство пользователей продолжают полагаться на SMS.
- Один номер на все. Почта, соцсети, биржи, банки — все завязано на один телефон. Достаточно украсть его, и атакующий получает полный доступ ко всей цифровой жизни. Многие не задумываются, что лучше завести отдельный номер (или eSIM) только для биржи, без публичных привязок.
- Использование одного e-mail для бирж и бытовых сервисов. Когда адрес, привязанный к бирже, совпадает с почтой для доставки еды и скидочных подписок, риск утечек резко возрастает. Именно с почты часто начинается взлом: сброс пароля, восстановление, новые коды.
- Хранение средств на бирже. Сотни миллионов долларов каждый год уходят именно с централизованных площадок. Основная ошибка: держать там активы как «долгосрочный сейф».
Как защититься от SIM-свапа
SIM-свап невозможно «запретить» полностью: уязвимость заложена в самой системе работы операторов. Но минимизировать риск можно. Причем меры довольно простые — вопрос не технологий, а дисциплины.
- Уберите SMS из второй аутентификации. На биржах и в кошельках выберите приложение-аутентификатор или аппаратный ключ.
- Запретите перенос номера без личного визита. У российских операторов можно включить услугу «запрет переноса» или поставить отметку «только с паспортом». Это не абсолютная защита, но для 90% злоумышленников станет серьезным барьером.
- Заведите отдельный номер для биржи. Лучше всего — eSIM без публичного использования. Не публикуйте его нигде, не привязывайте к мессенджерам, не используйте для заказов и доставки.
- Делите почты и аккаунты. Для работы с криптовалютой используйте отдельный почтовый ящик. Обязательно включите для него собственный 2FA через приложение или ключ.
- Настройте алерты и резервный канал связи. Биржи позволяют включить уведомления на почту при входе с нового устройства. А резервная почта или номер — ваш шанс успеть заблокировать аккаунт, пока средства не ушли.
- Мониторьте утечки. Раз в месяц проверяйте свои почты и телефоны в базах утечек. Достаточно глянуть в поиске «слить базу» — и шанс найти свои данные высок. Лучше знать заранее, чем ждать, пока их применят против вас.
- Держите план реагирования. Пропала сеть? Первым делом звоните оператору с альтернативного номера и блокируйте SIM. Параллельно через резервную почту сбрасывайте доступ к бирже и замораживайте аккаунт. Времени у вас будет мало — счет пойдет на минуты.
SIM-своп — это не экзотическая хакерская техника, а массовая схема, которая бьёт по самым уязвимым пользователям. Пока операторы связи подтягивают защиту, ответственность остаётся на нас самих. Пара простых шагов может решить, останется ли ваш депозит в безопасности или уйдёт в чужие руки.
⚠️ Материал носит ознакомительный характер. Все рекомендации направлены на повышение безопасности пользователей.