Як спустошують криптогаманці на Mac і як цьому запобігти.

1Де стилери шукають вашу фразу відновлення

Стилери для Mac ідуть просто по гаманці. Atomic (AMOS) націлений приблизно на 50 браузерних розширень-гаманців і настільні гаманці на кшталт Electrum та Exodus, а також на зв’язку ключів і файли на Робочому столі й у Документах (BleepingComputer, 2023). MacSync, що у 2025 і 2026 роках поширювався через вставлені в Термінал команди, забирає фрази відновлення криптогаманців разом зі зв’язкою ключів (The Hacker News, 16 березня 2026).

Тож фраза відновлення, набрана в Нотатках, збережена як файл .txt, залишена на знімку екрана чи надіслана собі поштою, лежить за один пошук від будь-якого стилера, що запуститься на Mac хоча б на хвилину.

2Знайдіть фрази, залишені на Mac

Ці команди виводять список файлів на Mac, у тексті яких є слова, що їх люди пишуть поруч із фразою. Вони лише шукають; нічого не відкривають і не надсилають:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Перегляньте також Знімки екрана: у Фотографіях пошукайте «фраза відновлення», «seed» або «гаманець» — Фотографії знаходять текст на зображеннях. Знайдене видаліть, переписавши фразу на папір, потім очистьте Смітник і альбом Нещодавно видалені.

3Підміна в буфері обміну

Кліпер стежить за буфером обміну. Коли ви копіюєте щось схоже на криптоадресу, він підставляє адресу зловмисника того самого типу, і вставляється не те, що ви скопіювали.

Звичка, яка це зупиняє: після вставлення звірте всю адресу, а не лише кілька перших і останніх символів, із тією, яку хотіли використати. На апаратному гаманці звірте її на екрані пристрою, перш ніж підтвердити.

4Отруєння адрес: двійник у вашій історії

Зловмисники надсилають крихітні суми з адрес, що починаються й закінчуються так само, як ті, якими ви користувалися, і двійник опиняється у вашій власній історії. Один раз скопіюєте з історії — і гроші підуть їм.

Це працює: у грудні 2025 і січні 2026 року двоє людей утратили так понад 62 млн доларів — один близько 50 млн, інший 12,2 млн, причому другий після того, як скопіював адресу з історії транзакцій (Cointelegraph про дані Scam Sniffer, 9 лютого 2026).

Це сталося й з MLX: одразу після того, як 2 листопада 2026 року MLX перевела кошти на нові холодні гаманці, схожі адреси почали надсилати на них пил у Solana та BNB Chain.

• Ніколи не копіюйте адресу з історії транзакцій.
• Збережіть адреси, на які часто надсилаєте, як контакти й вибирайте їх звідти.
• Не зважайте на крихітні надходження з незнайомих адрес. Не надсилайте їх назад.
• На будь-яку нову адресу спершу надішліть невеликий тест і перевірте, що він дійшов.

5Перевірка гаманця за п’ять хвилин

1. Пошукайте на Mac записані фрази (командами вище) і перегляньте знімки екрана.
2. Відкрийте сторінку розширень браузера. Залиште лише гаманці, які ви встановили самі за посиланням від розробника гаманця; видаліть усе, чого не впізнаєте.
3. Перевірте, що macOS оновлено: Системні параметри → Загальні → Оновлення ПЗ.
4. У мережах EVM перегляньте старі дозволи на токени, які більше не потрібні, і відкличте їх, наприклад через Revoke.cash.
5. Якщо ви колись вставляли в Термінал команду з вебсторінки, виконайте також перевірку Mac.

6Якщо ваш гаманець спустошили

1. Перенесіть усе, що лишилося, на новий гаманець, створений на чистому пристрої, з новою фразою відновлення. Ніколи не використовуйте стару фразу повторно.
2. З цього чистого пристрою змініть паролі від пошти й акаунтів на біржах і ввімкніть двофакторну автентифікацію.
3. Якщо кошти пішли на депозитну адресу біржі, одразу повідомте цю біржу, вказавши ID транзакції.
4. Переказ у блокчейні не можна скасувати. Будь-хто, хто пропонує повернути криптовалюту за плату, проводить друге шахрайство.

7Запитання

Мій гаманець спустошили. Що робити?

Перенесіть залишок на новий гаманець, створений на чистому пристрої, з новою фразою відновлення, і з цього пристрою змініть паролі від пошти й бірж. Якщо кошти пішли на біржу, повідомте їй ID транзакції. Потім з’ясуйте, як витекла фраза, перш ніж знову користуватися Mac для криптовалюти.

Що таке отруєння адрес?

Зловмисники надсилають крихітні суми з адрес, схожих на ті, якими ви користувалися, і двійник з’являється у вашій історії. Якщо скопіювати адресу з історії, ви надішлете гроші їм. Це трапляється в будь-якій мережі, зокрема Ethereum, BNB Chain, Tron і Solana. Вибирайте адреси зі збережених контактів.

Де зберігати сид-фразу?

На папері чи металі, офлайн, у двох різних місцях. Ніколи в Нотатках, текстовому файлі, на знімку екрана, фото, в листі чи хмарному диску. Для великих сум використовуйте апаратний гаманець, щоб ключі ніколи не потрапляли на комп’ютер.

Чи безпечно зберігати фразу відновлення в менеджері паролів?

Це набагато краще за нотатку чи знімок екрана, але фраза однаково на комп’ютері: стилер, що працює від вашого імені, іноді може до неї дістатися. Для всього, що ви не можете дозволити собі втратити, зберігайте фразу офлайн.

Чи можна повернути вкрадену криптовалюту?

Зазвичай ні: переказ у блокчейні остаточний. Якщо кошти пішли на біржу, вона може їх заморозити, якщо швидко повідомити. Не вірте нікому, хто пропонує повернення за плату.