Безопасен ли Trust Wallet? Как отозвать разрешения в TRON

Безопасен ли Trust Wallet сейчас?

На 15 ноября 2026 года уязвимость в приложении Trust Wallet не подтверждена: Bitquery, отследившая недавнюю волну краж USDT в TRON, говорит, что не нашла её признаков, хотя и не может её исключить ^[1]. Её отчёт с цифрами, проверенными 12 ноября, насчитывает не менее 5,42 млн долларов в USDT, выведенных из 454 кошельков TRON с 5 октября по 11 ноября ^[1].

Имя Trust Wallet связано с этой историей, потому что жертвы говорят, что пользовались им, и потому что набор для взлома iPhone, связанный с частью краж, ищет именно его, поясняет Bitquery ^[1]. Блокчейн показывает движение денег между адресами, а не телефон или приложение за ними, поэтому Bitquery смогла сопоставить с опубликованным рассказом владельца iPhone лишь одну кражу ^[1].

Собственные советы Trust Wallet указывают на телефон, а не на приложение. В публикации от 6 ноября компания сообщила, что два эксплойт-кита, Coruna и DarkSword, атакуют iPhone со старыми версиями iOS: Coruna — iOS 13.0–17.2.1, DarkSword — iOS 18.4–18.7, и что «устройства с последней версией iOS им не подвержены» ^[2]. 11 ноября она добавила, что её пользователей iOS не затрагивает отдельный эксплойт worse_query и что она никогда не хранит сид-фразы и закрытые ключи в открытом виде ^[8].

Честный ответ таков: взлом самого приложения не доказан, но кошелёк защищён ровно настолько, насколько защищены устройство и сид-фраза за ним. Полную хронологию краж смотрите в руководстве Pouyam Trust Wallet Hacked? How to Protect Your USDT on TRON. Это руководство отвечает на следующий вопрос многих читателей: защищает ли отзыв разрешений на токены и как его выполнить.

Что такое разрешение на токен в TRON?

Разрешение на токен — это подписанное вами право, позволяющее смарт-контракту выводить из вашего кошелька токен TRC-20, например USDT, в пределах заданного лимита, не спрашивая вас снова ^[4][6]. Технически кошелёк вызывает approve(spender, amount) в контракте токена, после чего одобренный контракт может вызвать transferFrom и забрать токены в пределах этого лимита ^[4].

Разрешения — обычное дело. Биржи, приложения для обмена и кредитования в TRON запрашивают их, чтобы перемещать ваши токены при сделках ^[5]. Риск в том, что разрешения остаются активными и после ухода из приложения. Trust Wallet отмечает, что большинство пользователей не знают о бессрочном действии разрешений и что контракт, который «позже станет вредоносным», может вывести токены «без дополнительного подтверждения» ^[3].

Многие приложения запрашивают неограниченную сумму, чтобы вам не пришлось одобрять снова. Центр поддержки TronLink предупреждает, что такие разрешения позволяют другим адресам и контрактам переводить активы «без предварительного уведомления», и советует перед одобрением проверить, открыт ли код продукта и проходил ли он аудит ^[5]. TRON Guide описывает неограниченное разрешение как такое, при котором лимит установлен на максимально возможное значение, и называет такие разрешения самой большой поверхностью атаки в TRON ^[6].

Кроме того, каждое разрешение относится к одному токену. Отзыв разрешения на USDT для приложения не отменяет разрешение, выданное тому же приложению на другой токен, поэтому каждое проверяется и отзывается отдельно ^[10].

Стали ли разрешения на токены причиной краж USDT в TRON?

Ничто на это не указывает: по словам Bitquery, воры недавней волны в TRON уже имели ключи от кошельков, а это не то же самое, что сайт-дрейнер, обманом заставляющий отдать токены подписью ^[1]. Именно это различие определяет, что вас защищает.

Bitquery описывает схему, по которой находила жертв. Кошелёк для комиссий или финансируемый им сборщик отправлял на адрес жертвы немного TRX для оплаты сетевой комиссии; через несколько секунд весь остаток USDT уходил одним платежом, затем уходил и оставшийся TRX ^[1]. В одном случае 25 октября пришло 18 TRX, а через 18 секунд ушло 519093 USDT ^[1]. Bitquery считает такую последовательность делом рук того, у кого уже были закрытый ключ или сид-фраза ^[1]. Coindaro, рассказывая о первых выводах Bitquery, отмечает, что Bitquery считала кошелёк жертвой, только если один платёж выводил весь его USDT, — «схема вывода тем, кто владеет закрытым ключом» ^[7].

Кража через разрешение выглядит иначе: контракт злоумышленника забирает токены через transferFrom и сам платит комиссию, поэтому кошельку жертвы TRX не нужен ^[4]. В отчёте Bitquery сказано прямо: «Здесь у вора уже есть ключи» ^[1].

Bitquery показывает и то, почему это важно. Один кошелёк опустошили дважды: 26 октября он потерял 19069 USDT, а после поступления новых денег 10 ноября — ещё 4140 USDT ^[1]. «Опустошённый кошелёк остаётся открытым для воров, пока его сид-фраза» используется, говорится в отчёте ^[1]. Отзыв разрешений эту дверь не закрыл бы. Он всё равно полезен как гигиена, и чек-лист безопасности Trust Wallet включает отзыв незнакомых разрешений ^[9], но это второй шаг, а не лекарство от украденного ключа.

Как отозвать разрешения на токены в Trust Wallet?

Откройте последнюю версию Trust Wallet, выберите вкладку Approvals в разделе активов, просмотрите список и нажмите Revoke рядом с любым приложением, которому больше не доверяете ^[3]. По словам Trust Wallet, функция фиксирует разрешения при выдаче, показывает, к каким токенам и в каком объёме имеет доступ каждое приложение, помечает контракты, связанные с известными мошенничествами, и при отзыве удаляет разрешение в блокчейне ^[3].

1. Сначала обновите Trust Wallet из App Store или Google Play: в шагах Trust Wallet указана последняя версия ^[3].
2. На главном экране откройте вкладку Approvals в разделе активов ^[3].
3. Проверьте каждую запись: токен, приложение или контракт и лимит. Особое внимание уделите USDT и неограниченным разрешениям.
4. Нажмите Revoke для всего, что вы не узнаёте, больше не используете или что кошелёк помечает как рискованное, и подтвердите транзакцию ^[3].
5. Держите в кошельке немного TRX: в TRON отзыв — это транзакция, расходующая bandwidth и Energy ^[4].

Одно ограничение: в анонсе Trust Wallet не сказано, какие блокчейны охватывает вкладка Approvals ^[3][10]. Если ваши разрешения в TRON там не отображаются или нужен второй взгляд, используйте TronScan, который показывает все разрешения, выданные адресом; об этом — в следующем разделе ^[4][6].

Отзыв действует только на разрешения. Он не может отменить уже совершённый перевод и не защитит кошелёк, сид-фразу которого знает кто-то другой ^[10].

Как отозвать разрешения TRC-20 на TronScan?

Найдите свой адрес TRON на TronScan, откройте список разрешений на странице аккаунта, затем отмените каждое ненужное разрешение и подпишите транзакцию в кошельке; лимит станет нулевым ^[4][6]. TronScan добавил эту функцию отмены 14 мая 2021 года и также показывает историю изменений разрешений ^[4].

1. Введите tronscan.org в браузере сами; не переходите по ссылке из чата или рекламы ^[10].
2. Вставьте свой адрес, начинающийся с T, в строку поиска ^[6].
3. На странице аккаунта откройте вкладку разрешений — в зависимости от оформления она называется Approval или List of Approval ^[4][6].
4. В каждой записи посмотрите токен, контракт, получивший разрешение, и сумму. В первую очередь займитесь неизвестными или неверифицированными контрактами и неограниченными разрешениями; TRON Guide советует отозвать контракт, который вы не можете уверенно опознать ^[6].
5. Нажмите Cancel или Revoke в строке и подключите совместимый кошелёк, например TronLink, для этого адреса ^[6].
6. Прочитайте экран подписи: он должен вызывать approve в контракте токена с суммой 0. Если запрошено что-то другое, остановитесь ^[10].
7. После подтверждения обновите список; в TRON это обычно занимает несколько секунд ^[6].

Пользователи TronLink могут сделать то же самое в кошельке: центр поддержки TronLink указывает путь Wallet Management, затем Approval Management, чтобы просмотреть или отменить разрешения ^[5]. Каждая отмена и любое последующее повторное разрешение расходуют bandwidth и Energy; без собственной Energy сеть сжигает TRX для оплаты ^[4].

Какие разрешения на токены стоит отозвать?

Отзовите любое разрешение, которое не можете объяснить, любое неограниченное разрешение приложению, которым больше не пользуетесь, и всё, что выдано сайтам аирдропов, «верификации» или аренды Energy ^[6][10]. Оставляйте только разрешения сервисам, которыми пользуетесь и которым доверяете, и выдавайте их заново, если вернётесь.

Таблица ниже сводит типичные случаи. Помогает простой тест: если вы не можете сказать, что это за адрес-получатель разрешения, он не должен иметь права тратить ваш USDT ^[10].

Остерегайтесь поддельных токенов. Разрешения на фальшивый «USDT», который не является настоящим контрактом Tether, не затрагивают ваш настоящий USDT ^[10]. Настоящий контракт USDT в TRON — TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t; прежде чем действовать, проверьте этот адрес на странице токена в TronScan.

Bitquery нашла в данных о кражах связанный трюк: больше половины адресов, плативших одному сборщику, были ботами, рассылавшими микросуммы и поддельные токены с похожих адресов, — это называется отравлением адреса и рассчитано на то, что кто-то позже скопирует не тот адрес ^[1]. Всегда копируйте адрес получателя из надёжного источника, а не из истории транзакций.

Что делать, если сид-фраза могла быть раскрыта?

Считайте кошелёк скомпрометированным: создайте новый кошелёк с новой сид-фразой на обновлённом чистом устройстве, переведите остаток и прекратите пользоваться старым ^[1][10]. По словам Bitquery, у того, у кого есть сид-фраза, есть и деньги, и ему не нужны ни пароль, ни доступ к телефону ^[1].

1. Сначала обновите телефон. Trust Wallet советует владельцам iPhone установить последнюю доступную для устройства версию iOS, а если обновиться сразу нельзя, включить Lockdown Mode ^[2].
2. Создайте новый кошелёк и запишите новую сид-фразу на бумаге. Не храните её в фото, скриншотах или заметках: по словам Trust Wallet, киты Coruna и DarkSword ищут именно там ^[2].
3. Отправьте небольшую тестовую сумму на новый адрес, затем переведите остальное. Оставьте достаточно TRX на комиссии.
4. Оставьте старый кошелёк пустым. Если на него придут новые деньги, воры смогут снова их забрать — так случилось с одним из кошельков, которые отслеживала Bitquery ^[1].
5. Если что-то выглядит подозрительно, обратитесь в поддержку Trust Wallet, указав адрес кошелька и хеш транзакции; Trust Wallet заявляет, что никогда не просит сид-фразу и никогда не пишет первым ^[2].

Для крупных сумм подумайте об аппаратном кошельке, купленном напрямую у производителя. Если средства уже украдены, быстро сообщите Tether и бирже, куда поступили деньги: Bitquery отмечает, что USDT можно заморозить только до того, как он уйдёт дальше ^[1]. Игнорируйте всех, кто предлагает платное «возвращение» средств. Это общие рекомендации по безопасности, а не финансовый совет.

Как распознать поддельный сервис проверки разрешений?

Пользуйтесь только TronScan, TronLink или вкладкой Approvals собственного кошелька и вводите адрес сами: поддельные сайты «проверки разрешений» — известный фишинговый трюк, где кнопка Revoke подписывает новое разрешение ^[10]. Настоящий отзыв всегда обнуляет сумму.

• Ни один настоящий инструмент отзыва не просит сид-фразу или закрытый ключ. Никогда не вставляйте их на сайты «отозвать всё».
• Перед подписью прочитайте функцию и сумму: approve с 0 — это отзыв; approve с большим числом, перевод или изменение прав — нет ^[10].
• Будьте осторожны с сайтами аренды «дешёвой Energy» и аирдропов: по данным TronTransfer, некоторые просят авторизовать аренду, подпись которой на деле является неограниченным разрешением на USDT ^[10].
• Проверьте на TronScan и права аккаунта: некоторые мошеннические схемы в TRON меняют того, кто управляет адресом, и отзыв разрешений этого не отменяет ^[10].
• Игнорируйте личные сообщения от тех, кто называет себя поддержкой Trust Wallet; Trust Wallet заявляет, что никогда не пишет первым ^[2].

Если вы потеряли деньги из-за фальшивой поддержки или сервиса «возврата», сообщите в полицию или подразделение по киберпреступлениям вашей страны и сохраните копию заявления. Более широкий контекст безопасности iPhone — в руководстве What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer, где объясняется, почему безопасность телефона теперь защищает не один аккаунт.