Вы открываете кошелёк и видите: кто-то прислал вам токен. На балансе красуется, скажем, 5 000 USDT-похожих монет или загадочный «AirdropXYZ» на пару тысяч долларов. Первая реакция — «повезло!». Вторая, если повезёт, — «а почему это мне?». Именно на этом стыке жадности и любопытства работает один из самых массовых видов крипто-мошенничества.

Схема проста и цинична: сам токен почти ничего не стоит. Опасность возникает в момент, когда вы пытаетесь его продать, обменять или «забрать награду» на фишинговом сайте. Транзакция требует подписи, а подпись — это ключ не к мусорному токену, а ко всему вашему кошельку. По данным Chainalysis, в 2023 году через крипто-скамы ушло более 5,9 млрд долларов, и дроп-ловушки — один из самых дешёвых для мошенников способов охоты.

В этой статье разберём, как устроены дроп-токены, какие подписи нельзя ставить никогда, как распознать ловушку за две минуты и как правильно убрать мусор с баланса, не потеряв основные активы.

Как устроена дроп-ловушка

Мошенники рассылают токены тысячами адресов сразу — стоимость одной рассылки на тысячу кошельков в сетях вроде Polygon или BNB Chain копеечная, доли цента на адрес. Дальше работает воронка:

1. Вы видите «ценный» токен на балансе (тикер может имитировать USDT, USDC или известный проект).
2. Кошелёк или трекер портфеля показывает цену — часто фейковую, заданную самими скамерами в пуле ликвидности на 10–20 долларов.
3. Вы пытаетесь продать — контракт требует «верификацию» или «разблокировку» через сторонний сайт.
4. Вы подключаете кошелёк к сайту и подписываете транзакцию. Не продажу токена, а одобрение (approve) доступа к вашему кошельку.
5. Дракер-контракт получает право распоряжаться вашими реальными активами — USDT, ETH, стейблами — и списывает их в течение минут или часов.

Ключевой момент: токен — наживка, подпись — крючок.

Правило: токен, который вы не покупали сами, — это не подарок, а реклама ловушки. Любая транзакция с его участием, которую вы инициируете, — потенциально операция по разграблению вашего кошелька.

Какие подписи воруют деньги

Не всякая подпись опасна, но три типа — почти всегда:

Approve с неограниченным лимитом

Вы даёте контракту право тратить конкретный токен. Scam-версия — approve на max (unlimited) для USDT или другого ликвидного актива под предлогом «верификации кошелька». После этого дракер может списать весь баланс этого токена.

Permit (EIP-2612) и increaseAllowance

Подпись офлайн, без транзакции в блокчейне и без оплаты газа. Выглядит безобидно («просто подпись»), но юридически в мире смарт-контрактов это то же approve. Подписали — отдали доступ.

SetApprovalForAll

Токен страховки для NFT: одна подпись передаёт контроль над ВСЕЙ вашей NFT-коллекцией. Если у вас есть дорогие NFT — это самая дорогая ошибка из возможных.

Практический пример: как выглядят потери в рублях

Допустим, у вас на кошельке 1 200 USDT (≈110 000 ₽ по курсу 92 ₽/доллар) и 0,4 ETH (≈75 000 ₽). Прилетает токен «SHIBA-AIRDROP» на «$3 500». Вы идёте на сайт из описания токена, подключаете кошелёк, сайт просит «подтвердить получение» — вы подписываете approve на USDT с лимитом unlimited.

Итог через 40 минут: дракер списывает 1 200 USDT (110 400 ₽). ETH он тронуть не может — approve был только по USDT. Но если бы сайт попросил «подписать два раза для верификации», потеря составила бы 185 400 ₽ — весь кошелёк (110 400 ₽ за USDT + 75 000 ₽ за ETH). А «подарок» на 3 500 долларов после этого всё равно нельзя продать: у него нулевая ликвидность. То есть вы рисковали почти двумя сотнями тысяч ради нуля.

Чек-лист: как распознать дроп-ловушку

• [ ] Токен пришёл сам, вы его не покупали — уже 90% вероятности скама.
• [ ] Название имитирует известный проект (USDT, PEPE, арбитражные «преминты»).
• [ ] В описании токена или на сайте-эмитенте есть ссылка «claim your reward».
• [ ] Цена токена в трекере красивая и круглая, но на DEX его никто не покупает.
• [ ] Для продажи сайт требует подписать что-то, кроме простой транзакции swap.
• [ ] Контракт токена не верифицирован на Etherscan/BscScan.

Один пункт — повод насторожиться, два и больше — точно мусор.

Как правильно избавиться от скам-токена

Самый честный ответ: никак, и это нормально. Токен, лежащий на балансе без движения, не опасен. Он не «звонит домой» и не может сам списать ваши средства. Опасны только ваши действия с ним.

Если мусор раздражает:

1. Скрыть токен в настройках кошелька (MetaMask: длинный тап/клик → «Скрыть токен»). Это скрывает его только у вас, блокчейн не меняет.
2. Не отправлять на другой адрес — перевод скам-токена может триггернуть логику контракта, а газ вы заплатите своими деньгами.
3. Игнорировать сайт-эмитент. Никогда не подключать кошелёк по ссылке из описания токена.
4. Проверить существующие approve через revoke.cash или Etherscan → Token Approvals. Если найдёте подписи, которые не ставили осознанно, — отзовите (revoke) их немедленно, комиссия в сети ~0,5–3 $.
5. Новичкам и крупным суммам — холодное хранение: Ledger или Trezor для основного капитала, отдельный «горячий» кошелёк для экспериментов с децентрализованными приложениями.

Распределение капитала 90/10 — 90% на холодном кошельке, 10% на горячем — превращает потенциальную ошибку из катастрофы в неприятность.

FAQ

Может ли скам-токен сам списать мои деньги, если я ничего не делаю? Нет. Сам по себе токен пассивен — контракт не может инициировать действия с вашего адреса. Опасность возникает только когда вы подписываете транзакцию или офлайн-подпись, связанную с ним (или с сайтом, куда он вас ведёт).

Что делать, если я уже подписал подозрительную транзакцию? Сразу откройте revoke.cash или Etherscan → Token Approvals, найдите свежие approve на ваши ликвидные токены и отзовите их. Если у вас NFT — проверьте setApprovalForAll. Действуйте быстро: дракеры иногда активируют доступ через часы или дни. Если доступ уже использован — переведите оставшиеся активы на новый кошелёк с новым seed-фразом.

Можно ли продать скам-токен, если по нему есть цена на DEX? Практически всегда цена фиктивная: пара ликвидности создана скамерами на 10–20 долларов, а контракт содержит функцию, блокирующую продажу чужими адресами (sell-lock) или списывающую непомерный налог — 50–99% «в пользу» мошенников. Вы заплатите газ 1–5 $ за транзакцию, которая либо не пройдёт, либо ничего вам не принесёт. Вывод: не тратьте даже газ.