QR-код — это просто текст в картинке, поэтому мошеннический QR — любой код, в котором не то, что вы ожидаете: другой адрес, фишинговая ссылка или запрос на подключение кошелька к вредоносному приложению. Прежде чем что-то подтверждать после сканирования, прочитайте, что показывает кошелёк — адрес, сумму, сеть или сайт, — и сверьте с доверенным источником. Сканировать безопасно; подтверждать не читая — нет.
Что может быть в крипто-QR
| Содержимое | Как выглядит | Что происходит |
|---|---|---|
| Обычный адрес | bc1q…, 0x…, T… | Заполняет поле получателя |
| Платёжный URI | bitcoin:bc1q…?amount=0.01 | Заполняет адрес и сумму |
| Ссылка на оплату токеном | ethereum:0x…@1/transfer?address=… | Заполняет перевод токена — некоторые кошельки понимают её неверно |
| Ссылка на сайт | https://… | Открывает страницу — возможно, фишинговую |
| Сопряжение WalletConnect | wc:…@2?relay-protocol=… | Подключает кошелёк к dApp, которое может запрашивать подписи |
Две последние строки — там, где сидит большинство QR-афер. Код сопряжения от фальшивого dApp позволяет ему запрашивать у кошелька разрешения и подписи дрейнера; ссылка ведёт на страницу «входа» или «получения». Неверный адрес в первых двух строках отправляет платёж другому.
Типичные QR-аферы
- Подменённые наклейки. Наклейка с QR мошенника поверх кода для пожертвований, платёжного кода магазина или чека криптомата.
- QR в письмах («квишинг»). Сообщение от «биржи» просит отсканировать код для проверки аккаунта или возврата средств; QR открывает фишинговый сайт. Американская FTC предупреждала о QR-кодах со скрытыми вредными ссылками в 2023 году.
- «Отсканируй, чтобы получить». В P2P-сделках или в чатах «поддержки» присылают QR, «чтобы вы получили деньги». Это запрос платежа или сопряжение WalletConnect, и сканирование подводит к отправке или подписи — см. P2P-мошенничество.
- Отредактированные скриншоты. Картинка счёта с заменённым QR в взломанном чате.
Проверка до подтверждения
- После сканирования не жмите «Отправить» сразу. Посмотрите, что заполнил кошелёк.
- Сверьте адрес с исходным источником — страницей заказа, экраном продавца, сообщением человека — хотя бы первые шесть, последние шесть и несколько символов в середине. Сравнение адресов сверит два адреса посимвольно.
- Проверьте сеть и монету: QR для USDT в TRON не должен открывать перевод в Ethereum.
- Если QR открыл сайт, проверьте домен проверкой фишинговых ссылок, прежде чем что-то вводить.
- Если кошелёк просит подключиться к dApp, которым вы не собирались пользоваться, отклоните.
Как прочитать QR, не открывая его
Если не уверены, что внутри кода, отсканируйте его камерой телефона, а не кошельком: камера показывает расшифрованный текст или ссылку как предпросмотр и ничего не делает, пока вы не нажмёте. По предпросмотру ссылки сначала можно прочитать домен; длинная строка, начинающаяся с wc:, — сопряжение WalletConnect; строка с bitcoin:, litecoin: или ethereum: — запрос платежа, и адрес с суммой видны прямо в тексте. Текст можно вставить в заметки и спокойно прочитать — сам по себе он безвреден.
Магазины и страницы пожертвований, которые показывают код на экране, обычно показывают и адрес текстом. Если они различаются хоть одним символом, не доверяйте ни тому ни другому и уточните у получателя по другому каналу.
Как устроены QR-коды оплаты в KOT.CASH
На странице заказа KOT.CASH QR-код содержит адрес депозита именно этого заказа. Для BTC, LTC, DOGE, BCH и XMR QR можно переключить на вариант с суммой — стандартный платёжный URI. Для токенов, таких как USDT в TRON, Ethereum или BNB Smart Chain, QR всегда содержит только адрес: некоторые кошельки неверно читают ссылки на оплату токенами и могут попытаться отправить на контракт токена. Для любой монеты эталон — адрес под QR: после сканирования сверьте с ним получателя в кошельке.
Если нужен QR для своих счетов или страницы пожертвований, сделайте его с экрана «Получить» своего кошелька или генератором крипто-QR, который работает офлайн в браузере, и распечатайте сами, а не пользуйтесь кодами, сделанными другими.
Как защитить напечатанный QR
- Печатайте рядом с QR сам адрес текстом, чтобы плательщик мог сверить.
- Регулярно проверяйте физические коды на наклейки поверх.
- Где кошелёк позволяет, используйте новый адрес для каждого счёта — так и платежи проще сопоставлять.
- Никогда не превращайте сид-фразу или приватный ключ в QR «для удобства».
Частые вопросы
Само сканирование QR опасно?
Нет. Опасно подтвердить то, что он заполнил или открыл, не проверив.
Почему QR KOT.CASH для USDT без суммы?
Некоторые кошельки неверно читают ссылки на оплату токенами и могут отправить на контракт токена. Поэтому в QR только адрес депозита, сумму введите сами.
Что такое QR WalletConnect?
Код сопряжения, который подключает кошелёк к сайту. Сканируйте его только на dApp, которое вы сознательно открыли.
Может ли QR-код украсть кошелёк?
Сам по себе нет. Он может привести на фишинговый сайт или к вредоносному подключению, где вы подпишете что-то опасное.
Мне прислали QR, чтобы получить платёж. Что делать?
Не сканируйте. Отправьте свой адрес.