Проверить кошелек TRC20 на мультиподпись: как работает скам с permissions и как не попасть на второй

Коротко: проверить кошелек TRC20 на мультиподпись можно за минуту — откройте адрес в Tronscan и посмотрите вкладку Permissions. Если в разделе Owner стоит не ваш адрес, кошелек вам не принадлежит, даже если сид-фраза у вас на руках и приложение показывает баланс USDT. На этом построены две схемы: «подброшенная» сид-фраза от кошелька с USDT и тихий захват вашего собственного кошелька. Деньги, отправленные на такой адрес, забирает тот, чей ключ стоит в owner, а вернуть права без его подписи технически нельзя.

Что такое мультиподпись в TRON и где она хранится

У каждого аккаунта TRON есть набор прав — permissions. Право owner — главное: оно разрешает любые операции, включая смену самих прав. Права active выдаются на отдельные действия, например только на переводы. У каждого права есть список адресов-ключей с весами и порог: транзакция проходит, когда сумма весов подписавших ключей достигает порога.

У нового кошелька всё просто: в owner один ключ — ваш, его вес равен порогу. Мультиподпись — это любая конфигурация, где в праве стоит больше одного ключа или стоит чужой ключ. Для компаний это нормальный инструмент: казначейство может требовать две подписи из трёх, чтобы один сотрудник не вывел деньги в одиночку. Проблема начинается, когда права настраивает не владелец, а мошенник.

Схема 1: «подброшенная» сид-фраза от кошелька с USDT

В чате, комментариях или личных сообщениях кто-то «по ошибке» публикует сид-фразу или просит помочь: «у меня на кошельке USDT, не понимаю, как вывести, вот фраза». Вы импортируете кошелек, видите на балансе тысячи USDT и ноль TRX. Чтобы отправить USDT, нужна энергия или TRX на комиссию, и вы переводите туда немного TRX.

Дальше перевод USDT не проходит: кошелек выдаёт ошибку подписи или прав. Причина в том, что owner этого адреса давно переписан на ключ мошенника, а ваша сид-фраза управляет только старым ключом, у которого больше нет веса. Отправленный вами TRX мошенник забирает сам — его ключ в owner работает. USDT на кошельке — витрина, которую вы никогда не сможете вывести.

• Кошелек с крупной суммой и без TRX, чья фраза оказалась у вас «случайно», — приманка почти всегда.
• Никто не раздаёт доступ к реальным деньгам незнакомцам ради помощи с комиссией.
• Аренда энергии на такой адрес тоже бесполезна: энергия придёт, а подписать перевод вы всё равно не сможете.

Схема 2: тихий захват вашего кошелька TRC20

Если ваша сид-фраза утекла — через фишинговый сайт, поддельное приложение кошелька или «поддержку» в Telegram, — злоумышленник не обязательно сразу выводит деньги. Иногда он меняет owner на свой ключ и ждёт. Приложение по-прежнему показывает ваш адрес и баланс, входящие переводы приходят, а вывести вы уже ничего не можете.

Хуже всего, что на адрес продолжают поступать деньги: биржа, клиент или партнёр отправляют USDT по сохранённым реквизитам, и всё это теперь контролирует чужой ключ. Иногда мошенник добавляет свой ключ не в owner, а в active с правом на переводы — тогда средства могут уйти в любой момент без вашего участия.

Как проверить кошелек TRC20 на мультиподпись в Tronscan

• Скопируйте адрес кошелька из приложения, не набирайте его вручную.
• Откройте tronscan.org, вставьте адрес в поиск и перейдите на страницу аккаунта.
• Найдите вкладку Permissions (в русском интерфейсе — «Разрешения»).
• Посмотрите раздел Owner Permission: в нормальном кошельке там один ключ — ваш адрес — и его вес не меньше порога.
• Посмотрите Active Permissions: все ключи должны быть вашими, а набор разрешённых операций — понятным вам.
• Сверьте адреса посимвольно: мошенники подбирают ключи, похожие на ваш по первым и последним символам.

Тревожные признаки: в owner стоит адрес, которого вы не знаете; порог больше веса вашего ключа; в active появился незнакомый адрес с правом на переводы. Любой из них означает, что распоряжаться кошельком в одиночку вы не можете.

Для проверки большого количества адресов удобнее API: метод getaccount в узле TRON возвращает поля owner_permission и active_permission с ключами и порогами. Сервисы, которые принимают USDT на сотни адресов, могут проверять это автоматически перед зачислением или выплатой.

«Снимем мультиподпись»: второй скам

После потери люди ищут, как снять мультиподпись TRON, и попадают на «специалистов по восстановлению». Схемы разные: просят предоплату, просят сид-фразу, предлагают «разблокирующую» программу или обещают договориться с поддержкой сети. Технически это невозможно: изменить права можно только транзакцией, которую подпишет ключ из текущего owner с весом не ниже порога. Этот ключ у мошенника, а у TRON нет поддержки, способной откатить транзакцию.

• Никому не отправляйте сид-фразу и приватный ключ — ни «поддержке», ни «эксперту», ни боту.
• Не платите за «снятие мультиподписи»: без ключа из owner это невозможно.
• Не переводите TRX на захваченный адрес в надежде успеть вывести USDT первым.

Что делать, если кошелек TRC20 уже захвачен

• Создайте новый кошелек с новой сид-фразой на чистом устройстве и не импортируйте туда старую фразу.
• Поменяйте адрес для пополнений везде, где он сохранён: биржи, клиенты, сервисы выплат, белые списки вывода.
• Если ваш ключ всё ещё в owner с весом не ниже порога, удалите чужие ключи транзакцией смены прав — но исходите из того, что фраза скомпрометирована, и переносите средства.
• Сохраните хэши транзакций и адрес мошенника: они пригодятся для заявления и для запроса на биржу, куда ушли средства.

Аренда энергии и мультиподпись: где проходит граница

Честная аренда энергии не трогает права вашего кошелька. Поставщик делегирует энергию на ваш адрес своей транзакцией: ему нужен только адрес, а подпись, сид-фраза и смена permissions не нужны. Если сервис просит добавить его адрес в owner или active, остановитесь и разберитесь, какие именно операции вы разрешаете и можно ли без этого обойтись.

Сид-фраза даёт доступ к ключу, а не к кошельку. Распоряжается кошельком тот, чей ключ стоит в owner, — поэтому перед тем как доверять балансу или отправлять TRX, проверьте Permissions.