Сервис Inferno Drainer за несколько лет похитил у владельцев криптокошельков сотни миллионов долларов. Первая версия появилась в ноябре 2022 года и проработала ровно год: основатели объявили о закрытии, успев украсть около 80 миллионов долларов. Дрейнер, то есть инструмент, который обманом вынуждает владельца кошелька подписать перевод средств, при этом не исчез. Ранее его считали самым изощрённым предложением на рынке подобных схем. Бренд продавали, переименовывали и достраивали новыми возможностями, а команда, управляющая им сейчас, заметно уступает прежней в квалификации.
Описание
Смена вывесок шла почти непрерывно. В декабре 2024 года на одном из русскоязычных форумов появился объединённый бренд AngelFerno - результат слияния с Angel Drainer. В марте 2025 года сервис научился работать с блокчейном Solana, в октябре - с сетью TRON. Через два месяца администраторы ввели разовый взнос в тысячу долларов для новых партнёров и представили отдельный продукт для начинающих. В марте 2026 года операторы поглотили ещё один дрейнер, а в мае добавили поддержку сети SUI. Часть этих названий - не самостоятельные инструменты, а обычные переключатели в панели управления, которые ничего не стоят создателям.
Схема обмана устроена просто. Человека заманивают на поддельный сайт, копирующий интерфейс известного криптопроекта. Там предлагают подключить кошелёк: получить обещанную раздачу токенов, забрать награду, выпустить цифровой предмет коллекционирования. Внешне всё выглядит как рядовое подтверждение операции. Дальше жертва подписывает разрешение на списание средств, и деньги уходят без её ведома. Отменить перевод невозможно: в блокчейне подпись считается окончательным согласием. Возврата платежа не существует, службы борьбы с мошенничеством тоже нет. Часть сценариев рассчитана на владельцев аппаратных кошельков - их убеждают ввести фразу восстановления доступа.
Исследование World Ethical Data Foundation показало, насколько широко раскинулась эта сеть. Дрейнер работает примерно в 28 блокчейн-сетях, а список целей включает 165 видов токенов на 11 из них. Операторы чаще всего охотятся за стейблкоинами (криптовалютами, привязанными к обычным деньгам вроде доллара) и токенами, которые выдаются за монеты, заблокированные в сети. Каждое развёртывание создаёт отдельный одноразовый смарт-контракт, то есть программу, размещённую прямо в блокчейне. Всего операторы выпустили более 17 тысяч таких программ, поэтому единого объекта, отключение которого остановило бы всю схему, не существует. Внутренняя статистика панели администраторов показывает: один партнёр среднего ранга записал на свой счёт 1451 успешную операцию на сумму около миллиона долларов. Свежий аккаунт получил номер 3074 - численность партнёрской базы измеряется тысячами.
Самый известный эпизод относится к маю 2025 года. Тогда злоумышленники перехватили управление доменом децентрализованной биржи Curve на уровне регистратора. Пользователи, набиравшие правильный адрес, попадали на вредоносную страницу. В апреле 2026 года похожая история произошла с протоколом CoW: мошенники подали в реестр доменной зоны поддельную заявку на владение, подкрепив её фальшивыми документами. Атака длилась около четырёх с половиной часов и принесла убытки примерно в 1,2 миллиона долларов. Работающую сборку удалось снять и разобрать ещё до того, как атаку остановили.
Система делит добычу автоматически. Администратор забирает около 20 процентов с краж в сети Ethereum, если сумма не превышает пяти тысяч долларов. Всё, что крупнее, уходит оператору целиком, минуя исполнителя. В сети Solana пропорция обратная: три четверти достаётся партнёру. Доступ к текущей сборке стоит разовый взнос от 300 до 1000 долларов. Ежемесячную подписку администраторы удерживают до тех пор, пока партнёр не наберёт десять тысяч долларов суммарных краж. Взносы чаще всего переводили в Litecoin и стейблкоине на базе сети TRON, реже - в биткоинах и эфире. Успешным исполнителям процент отчислений снижают, и схема напоминает программу лояльности.
Признаки упадка видны в технике. В мае 2026 года операторы решили сменить ключ подписи и упёрлись в собственную защиту: контракт не предусматривал смену администратора. Каждая транзакция стала отклоняться, и на 23 дня, со 2 по 24 мая, сервис потерял управление своей инфраструктурой. Следы неудачных попыток до сих пор открыто лежат в блокчейне. Свежая сборка 2026 года устроена скромнее предыдущей. Механику кражи и логику поиска командного сервера в ней сохранили без изменений, переписав только способ связи с центром управления. Объём кода при этом упал с десяти мегабайт до ста двадцати килобайт.
Тенденция затрагивает рынок целиком. Ещё недавно администраторы подобных сервисов оставляли себе около 30 процентов дохода, теперь всё чаще 20. Порог входа падает, а разработчики всё чаще продают готовый продукт тем, кто не способен его поддерживать. Inferno остаётся действующим сервисом летом 2026 года, но держится скорее на прежней репутации. Тем, кто подключал кошелёк к подозрительным сайтам, стоит проверить и отозвать выданные разрешения на списание токенов. Просмотреть историю одобрений имеет смысл во всех сетях, где использовался кошелёк. Сведения о поддельных страницах полезно передавать поставщикам кошельков и в службы блокировки вредоносных сайтов.
Индикаторы компрометации
