Компания SlowMist выявила новый вид вредоносного ПО для macOS, способный перехватывать активные сессии Telegram Desktop и получать доступ к криптовалютным кошелькам пользователей. Об этом блокчейн-аналитики сообщили 17 июля 2026 года.

Malware собирает данные из связки ключей macOS Keychain, куки браузера Safari, заметок Apple Notes, клиента Telegram Desktop и баз данных более десятка популярных криптокошельков. После сбора паролей и аутентифицированных сессий программа копирует данные активной сессии Telegram, файлы кошельков и расширения браузерных wallet-плагинов.

Как работает атака на кошельки

По данным SlowMist, злоумышленники используют украденные пароли для расшифровки баз данных кошельков в офлайн-режиме. Альтернативный вектор атаки — подмена легитимных приложений Ledger и Trezor фальшивыми версиями, которые обманом заставляют пользователей вводить seed-фразы восстановления.

Специалисты SlowMist воспроизвели полную цепочку атаки в изолированной среде и подтвердили работоспособность всех этапов компрометации.

Вредонос нацелен на программные кошельки Exodus, Atomic, Electrum, Wasabi и Monero, а также на десктопные приложения аппаратных кошельков Ledger Live и Trezor Suite. Malware также ищет данные полноузловых клиентов Bitcoin Core, Litecoin Core, Dash Core и Dogecoin Core.

Двухфакторная защита Telegram не помогает

Двухэтапная верификация Telegram не защищает от этой атаки, поскольку вредонос повторно использует уже авторизованную локальную сессию вместо создания нового входа. В ходе тестов исследователи восстановили украденные данные сессии Telegram Desktop на другом Mac без ввода номера телефона, кода подтверждения или пароля двухэтапной проверки.

SlowMist призвала пользователей, подозревающих компрометацию устройства, немедленно завершить все существующие сессии Telegram, установить новый доверенный вход и изменить как пароль двухэтапной верификации Telegram, так и код доступа Telegram Desktop. Компания также рекомендует сгенерировать новую seed-фразу на чистом устройстве и перевести все активы на новые адреса.

Что это значит для российских инвесторов

Пользователям macOS в России следует с особой осторожностью относиться к установке ПО из неофициальных источников. Если вы храните криптовалюту в программных кошельках на Mac и активно используете Telegram Desktop — проверьте систему антивирусом, обновите пароли и рассмотрите переход на аппаратные кошельки Ledger или Trezor с покупкой устройств только через официальные каналы.

Для хранения крупных сумм лучше использовать аппаратные решения и держать seed-фразы исключительно в физическом виде — никогда не вводите их в приложения на компьютере без крайней необходимости. Если вы торгуете на биржах вроде Bybit, MEXC или OKX, включайте обязательную двухфакторную аутентификацию через отдельное устройство, а не через SMS.