Украли криптовалюту: пошаговый план действий

Ключевые выводы

• Если ваша криптовалюта пропала, ближайшие несколько часов важнее всего остального, что вы можете сделать. Средства движутся быстро, и окно для вмешательства измеряется часами, а не днями.
• Прежде всего зафиксируйте хеш транзакции кражи и адрес злоумышленника. Без них невозможно начать ни одно расследование.
• Не отправляйте деньги никому, кто обещает вернуть ваши средства. Мошенники с «возвратом» нацелены именно на свежих жертв, потому что те в отчаянии.
• Стейблкоины вроде USDT и USDC могут быть заморожены по запросу правоохранительных органов, и это делает их одним из немногих активов, где быстрые действия действительно меняют исход.
• Во многих случаях возврат возможен, особенно когда о краже сообщают быстро, а средства удаётся отследить до того, как они попадут на не готовую к сотрудничеству биржу или будут полностью конвертированы.
• Match Systems отслеживает украденные активы по разным сетям и работает с биржами и правоохранительными органами, чтобы поддержать возврат, но процесс должен начаться, пока след ещё свежий.

В этой статье

• Почему первые часы решают всё
• Первый час: остановить утечку и зафиксировать доказательства
• Первые 24–48 часов: перекрыть доступ и сохранить возможности
• Чего делать не нужно
• Получите помощь, пока след не остыл
• Как за дело берутся расследователи
• Реально ли вернуть свою криптовалюту?
• FAQ

Почему первые часы решают всё

Есть момент сразу после того, как человек осознаёт, что его криптовалюта пропала, когда возникает порыв сделать что-то немедленное и эмоциональное: обновить кошелёк, попробовать другой пароль, написать в Telegram-группу с просьбой о помощи. Почти ни один из этих порывов не ведёт в нужную сторону, а некоторые лишь усугубляют ситуацию.

Дальше изложена последовательность, которую мы хотели бы донести до каждой жертвы ещё до того, как она к нам обратится. Она построена на закономерности, которую мы наблюдаем раз за разом: те, кто возвращает средства, почти всегда действовали методично в первые часы, а те, кто не возвращает, как правило, медлили, паниковали или доверились не тому человеку.

Первый час: остановить утечку и зафиксировать доказательства

Первый час определяет бо́льшую часть того, что окажется возможным позже. К моменту, когда жертва обращается к нам, средства нередко уже прошли через несколько кошельков. Чем раньше начинается реагирование, тем бо́льшая часть следа ещё пригодна для работы.

• Прекратите взаимодействовать со скомпрометированным кошельком. Если ваша сид-фраза или приватный ключ были раскрыты, этот кошелёк больше не ваш, независимо от того, что в нём ещё осталось. Попытка спасти оставшиеся средства спасательной транзакцией обычно проваливается, потому что злоумышленники запускают автоматические скрипты, которые сметают любой поступающий газ в момент его прихода. Если в том же кошельке есть другие активы, переводите их только с чистого устройства на свежесозданный кошелёк, ключи которого никогда не соприкасались со скомпрометированной средой.
• Зафиксируйте доказательства. Откройте блокчейн-обозреватель и найдите несанкционированную транзакцию. Сохраните хеш транзакции, принимающий адрес злоумышленника, сумму, токен и временну́ю метку. Это отправная точка любого расследования, и чем быстрее это зафиксировано, тем быстрее можно начать отслеживание.
• По возможности определите, как произошла кража. Фишинговая подпись, утёкшая сид-фраза, подмена SIM-карты и вредоносное разрешение (approval) требуют немного разных дальнейших шагов. Если вы что-то подписывали на сайте, запишите этот сайт. Если перед кражей телефон потерял сигнал, рассматривайте это как возможную подмену SIM-карты и немедленно свяжитесь с оператором, чтобы заблокировать аккаунт.

Первые 24–48 часов: перекрыть доступ и сохранить возможности

После того как первичные доказательства закреплены, следующий приоритет — перекрыть оставшийся доступ злоумышленника и сохранить любой шанс на заморозку.

• Отзовите активные разрешения на токены. Если кража произошла через вредоносное разрешение (approval) или подпись Permit, у злоумышленника может оставаться действующее право выводить токены, которые поступят позже. Воспользуйтесь встроенными функциями управления разрешениями в вашем кошельке, чтобы просмотреть и отменить любые разрешения адресам, которые вы не узнаёте.
• Защитите связанные аккаунты. Смените пароли на почте и на всех биржевых аккаунтах и отключите двухфакторную аутентификацию по SMS в пользу приложения-аутентификатора. Многие криптокражи начинаются со взломанной почты или угнанного номера телефона, и оставлять их открытыми — значит приглашать второй заход.
• Сообщите о краже на любую причастную биржу. Если средства поступили с централизованной биржи или прошли через неё, уведомите её каналы поддержки и комплаенса. Если отслеживаемые средства позже придут на биржу, поданное заранее сообщение может ускорить заморозку.
• Отметьте, замешаны ли стейблкоины. Если среди украденных активов есть USDT или USDC, у ситуации появляется реальное преимущество для быстрых действий. Tether и Circle могут ограничить конкретные адреса по запросу правоохранительных органов. В июне 2025 года Минюст США отметил содействие Tether в изъятии примерно 225 миллионов долларов в USDT, связанных с операцией формата pig butchering. Как выразился сержант Райан Берри из Королевской канадской конной полиции (RCMP) в отдельном деле 2025 года, время решает всё: чем раньше расследователи начнут следовать за транзакциями, тем выше вероятность перехвата. Это окно закрывается, как только средства выводят из формы стейблкоина, поэтому именно в подобных случаях нужно действовать немедленно.

Чего делать не нужно

Некоторые из самых вредоносных ошибок случаются после кражи, а не во время неё.

• Не платите сервису по «возврату», который связался с вами сам. В течение часов или дней после кражи к жертвам нередко обращаются аккаунты, обещающие гарантированный возврат за предоплату. Почти всегда это повторное мошенничество. Изначальный злоумышленник часто продаёт списки жертв, и вторая команда обрабатывает того же человека снова. Ни одна добросовестная компания не гарантирует возврат и не просит отправить криптовалюту на кошелёк, чтобы разблокировать ваши украденные средства.
• Не считайте любительское отслеживание заменой обращению. Наблюдать, как средства движутся в блокчейн-обозревателе, кажется продуктивным, но это не запускает ни заморозку, ни юридическую процедуру. Ценность быстрого отслеживания в том, что с ним делают дальше: юридическое уведомление в отдел комплаенса, скоординированный запрос на заморозку через правоохранительные органы.
• Не ждите, пока соберёте идеальную информацию, прежде чем сообщить. Частичная информация, поданная быстро, лучше полной информации, поданной поздно. Хеша транзакции и адреса злоумышленника достаточно, чтобы начать.

План действий: кратко

Получите помощь, пока след не остыл

После того как доказательства зафиксированы, самое полезное, что может сделать жертва, — передать дело тем, кто способен действовать быстро. Сообщить о краже криптовалюты редко так же просто, как зайти в отделение полиции, и куда именно подавать заявление, целиком зависит от обстоятельств: какие активы похищены, через какие сети и сервисы прошли средства, где находится жертва и куда ведёт след.

Это тот момент, когда стоит обратиться в профильную компанию по расследованиям. Чем раньше Match Systems увидит хеш транзакции, адрес злоумышленника и сопутствующие детали, тем раньше мы сможем проанализировать дело и определить наиболее эффективные действия: куда подавать заявление, какие органы и отделы комплаенса бирж задействовать и как рассчитать время запроса на заморозку, пока средства ещё досягаемы. Прямые связи между расследователями и отделами комплаенса бирж нередко работают быстрее, чем самостоятельное прохождение официальных каналов, и именно правильно выстроенная с самого начала последовательность сохраняет те возможности, которые действительно важны.

Задача жертвы — действовать быстро и сохранить доказательства. Выстроить стратегию подачи заявления и возврата под специфику конкретного дела — наша.

Как за дело берутся расследователи

Как только расследование начато, работа переходит от жертвы к расследователям, но понимать, что происходит, всё же полезно.

След начинается с транзакции кражи. Расследователи выстраивают картину движения средств наружу через каждый промежуточный кошелёк, отслеживая обмены, дробления и переводы через мосты между сетями. Украденные активы обычно дробятся немедленно и могут быть обменены на другой токен в течение минут, но каждый шаг навсегда записан в блокчейне.

Цель — точка пересечения. Самый действенный момент наступает, когда украденные средства касаются централизованной биржи с требованиями KYC. Именно там юридическое уведомление в отдел комплаенса может пометить аккаунт и заблокировать вывод, и именно там псевдонимный след связывается с реальной личностью. Сильная база разметки адресов, накопленная за годы расследований, — это то, что позволяет расследователям быстро распознавать такие точки пересечения и предугадывать, куда средства направятся дальше.

Match Systems сочетает ончейн-отслеживание с налаженными отношениями с биржами и прямой координацией с правоохранительными органами. Мы вернули десятки миллионов в украденных активах по делам, среди которых Atomic Wallet, CoinsPaid и другие, и ведём собственную базу разметки, используемую как в активных расследованиях, так и в комплаенс-проверках в реальном времени.

Реально ли вернуть свою криптовалюту?

Реалии таковы, что не каждое дело заканчивается возвратом, и ни одна добросовестная компания не станет обещать. Но переменная, которая значит больше всего, почти всегда одна и та же — насколько быстро началось реагирование. Средства, о которых сообщили в течение часов, пока они ещё в отслеживаемой или замораживаемой форме, дают расследователям многое, с чем можно работать. Средства, о которых сообщили спустя недели, после конвертации и отмывания через несколько сетей, дают куда меньше.

Самое полезное, что может сделать жертва, — отнестись к первым суткам с максимальным приоритетом, так как они действительно важны.

FAQ

Что нужно сделать в самую первую очередь, когда у меня украли криптовалюту?

Зафиксируйте хеш транзакции кражи и принимающий адрес злоумышленника из блокчейн-обозревателя, а затем прекратите взаимодействовать со скомпрометированным кошельком. Именно с этих двух фрагментов информации начинается любое расследование, и быстрая их фиксация позволяет начать отслеживание до того, как средства разойдутся.

Стоит ли переводить оставшиеся средства из взломанного кошелька?

Только с чистого устройства и только на совершенно новый кошелёк, ключи которого никогда не раскрывались. Если ваша сид-фраза скомпрометирована, злоумышленники часто запускают автоматические скрипты, мгновенно сметающие любой поступающий газ, поэтому спасательная транзакция может провалиться и просто отдать им этот газ. Если сомневаетесь, сначала зафиксируйте доказательства и проконсультируйтесь со специалистом.

Мне написали с предложением вернуть мои средства. Это законно, и можно ли этому доверять?

Почти наверняка нет. Мошенники с «возвратом» целенаправленно выходят на недавних жертв кражи, нередко используя списки, проданные изначальным злоумышленником, и просят предоплату или депозит на кошелёк. Ни одна добросовестная компания не гарантирует возврат и не просит отправить криптовалюту, чтобы разблокировать ваши украденные средства.

Имеет ли значение, были ли украденные средства стейблкоинами?

Имеет, и очень большое. Tether и Circle могут ограничить конкретные адреса с USDT и USDC по запросу правоохранительных органов, а значит, у кражи стейблкоинов есть реальный путь для вмешательства, которого нет у других активов. Загвоздка во времени: как только средства выводят из формы стейблкоина, эта возможность пропадает. Если замешаны стейблкоины, действовать в первые часы особенно важно.

Сколько у меня времени, прежде чем возврат станет маловероятным?

Жёсткого срока нет, но шансы падают с каждым часом. Средства могут быть переведены через мост, обменяны или направлены на OTC-площадку в течение нескольких часов после кражи. Дела, о которых сообщают в тот же день, пока активы ещё отслеживаемы или замораживаемы, имеют наибольшие шансы. Чем дольше задержка, тем сильнее дробится след.

В расследованиях криптокраж время значит больше, чем осознаёт большинство жертв.

После того как средства переведены через мост, смешаны в миксере или выведены через OTC-каналы, возврат становится значительно сложнее. Match Systems работает с биржами, эмитентами стейблкоинов и правоохранительными органами, чтобы отслеживать украденные активы и поддерживать их юридический возврат, — опираясь на собственную базу разметки адресов и прямые комплаенс-отношения, выстроенные за годы активных расследований.