Что делать в первую очередь, если у вас украли криптовалюту

Ключевые выводы

• В самых быстрых задокументированных взломах 2025 года украденная криптовалюта приходила в движение через считанные секунды после кражи и полностью отмывалась в течение нескольких минут. Первые 60 минут после того, как вы заметили пропажу, — то, что определяет большинство исходов.

• Первый приоритет — локализация ущерба: отозвать любые вредоносные разрешения (approval), отключить скомпрометированные сессии и спасти оставшиеся средства там, где это реально возможно. Фиксация доказательств следует сразу за этим.

• Относитесь к скомпрометированному кошельку как к чужому. Прекратите им пользоваться и не отправляйте «спасательную» транзакцию, если у вас не готово чистое устройство и новый кошелёк.

• Если телефон потерял сигнал или вы что-то подписывали на сайте — эти детали имеют значение. Они подсказывают расследователям вектор атаки и определяют последующие шаги.

• Если среди украденных средств есть стейблкоины, именно в первые 60 минут реалистичнее всего добиться заморозки через правоохранительные органы. Как только средства будут конвертированы из стейблкоина, эта возможность пропадает.

• Свяжитесь с Match Systems раньше всего остального, что отнимает время. Чем раньше мы увидим хеш транзакции, тем большая часть следа ещё пригодна для работы.

В этой статье

• Почему первые 60 минут так важны

• Минуты 0–15: остановить утечку

• Минуты 15–30: зафиксировать и подтвердить

• Минуты 30–45: перекрыть всё, что связано

• Минуты 45–60: подключить специалистов

• Чек-лист на 60 минут

• После первого часа

• FAQ

Почему первые 60 минут так важны

По нашему опыту, между делами, которые заканчиваются возвратом, и теми, что нет, есть одна-единственная определяющая переменная. Это не размер кражи и не уровень изощрённости злоумышленника. Это то, как быстро жертва начала действовать.

Причина сводится к скорости, с которой движется украденная криптовалюта. Аналитическая компания в области блокчейна Global Ledger в исследовании за 2025 год проанализировала 119 взломов первого полугодия и обнаружила, что в самом быстром задокументированном случае средства пришли в движение через четыре секунды после взлома — более чем в 75 раз быстрее, чем срабатывает средняя система оповещений у бирж и DeFi-протоколов. В другом инциденте на весь процесс отмывания ушло две минуты 57 секунд — быстрее, чем гаснет экран ноутбука. К моменту, когда большинство жертв только подтверждает сам факт кражи, активы уже в движении.

То же исследование показало, что в 68% случаев хакеры перемещали средства ещё до того, как атака становилась публично известной, а в каждом четвёртом случае отмывание полностью завершалось до того, как было выпущено хоть какое-то оповещение. Ко второму полугодию 2025 года эта доля выросла до 84,6%.

Именно поэтому первые 60 минут настолько важны. Каждая минута, которую жертва тратит на панику, посты в Telegram или случайные сайты «по возврату», — это минута, которую злоумышленник использует на дробление средств по кошелькам, обмен через DEX или перевод в сеть с менее пристальным мониторингом. Окно не закрывается ровно на отметке в один час, но с каждой проходящей минутой оно резко сужается. То, что вы делаете в первые 60 минут, — это то, на что вы влияете больше всего.

Минуты 0–15: остановить утечку

Первые 15 минут должны дать одно — локализацию ущерба. Если что-то ещё можно спасти, спасают это именно сейчас.

Если у вас в том же скомпрометированном кошельке остались ценные активы, самый срочный вопрос — можно ли их вывести в безопасное место. Честный ответ: это полностью зависит от того, как произошла кража. Если ваша сид-фраза или приватный ключ были раскрыты, кошелёк больше не ваш, что бы в нём ещё ни оставалось. Злоумышленники регулярно запускают автоматические скрипты, которые сметают любой поступающий газ в момент его прихода, поэтому спасательная транзакция чаще всего проваливается и просто отдаёт им комиссию. Настоящая попытка спасения требует чистого устройства и свежесозданного кошелька, ключи которого никогда не соприкасались со скомпрометированной средой. Но даже в этом случае относитесь к этому как к ставке с невысокими шансами. Действуйте быстро, будьте готовы к провалу и не усугубляйте потерю, отправляя ещё больше средств вдогонку.

Если кража произошла через вредоносное разрешение (approval) или подпись Permit, а не через утечку сид-фразы, ситуация иная. У злоумышленника есть действующее право выводить токены по мере их поступления, но сам кошелёк по-прежнему под вашим контролем. Откройте в кошельке панель подключённых сайтов и разрешений на токены и отзовите всё, что выдано незнакомым адресам. Это единственное действие, которое действительно имеет смысл делать немедленно, и оно способно остановить продолжающийся ущерб даже тогда, когда сама кража уже состоялась.

Отключите кошельки-расширения браузера от подозрительного сайта, с которым вы взаимодействовали, если это применимо. Закройте вкладку браузера, не обновляйте страницу и не возвращайтесь на сайт. Как только ущерб локализован, вы сделали всё возможное, чтобы не нести дополнительных потерь. Следующий приоритет — задокументировать то, что уже забрали.

Минуты 15–30: зафиксировать и подтвердить

Теперь приоритет — собрать полную картину того, что украли. Без неё расследователям не от чего отталкиваться позже.

Откройте блокчейн-обозреватель (Etherscan для Ethereum, Tronscan для Tron, BscScan для BNB Chain и так далее) и найдите несанкционированную транзакцию. Не полагайтесь на интерфейс собственного кошелька — опытный злоумышленник может его подменить. Источник истины — сам блокчейн.

Зафиксируйте следующее:

• Хеш транзакции кражи (длинная буквенно-цифровая строка, в большинстве сетей начинающаяся с 0x)

• Принимающий адрес злоумышленника

• Сумму и тип токена

• Точную временну́ю метку

• Скриншоты страницы обозревателя, на которых видно всё перечисленное

Если транзакций несколько, фиксируйте все. Некоторые дрейнеры разносят кражу по нескольким исходящим переводам на разные свежие адреса; расследователям нужна полная картина, а не только её первый фрагмент.

Если у вас есть какие-то детали о том, как произошла кража (ссылка, по которой вы перешли; транзакция, которую вы подписали; телефон, потерявший сигнал), запишите их сейчас, пока они свежи в памяти. Даже неточные детали имеют значение.

Минуты 30–45: перекрыть всё, что связано

Кража криптовалюты редко ограничивается одним лишь кошельком. Злоумышленник, получивший одну точку входа, нередко переходит к следующим, и связанные с этим кошельком аккаунты обычно идут под удар следом.

В первую очередь смените пароль на почте. Почти любой аккаунт, связанный с криптой, завязан на email через сброс пароля, поэтому злоумышленник с доступом к почте легко переходит на биржевые аккаунты, кастодиальные кошельки и процедуры восстановления. Установите новый пароль с чистого устройства.

Поменяйте пароли на всех централизованных биржах, которыми вы пользуетесь, и сразу же пересмотрите настройки безопасности. Замените двухфакторную аутентификацию по SMS на приложение-аутентификатор или аппаратный ключ. SMS-2FA обходится подменой SIM-карты, и во многих расследуемых нами делах именно этот шаг и присутствует.

Если в минуты или часы перед кражей телефон внезапно потерял сигнал, относитесь к этому как к возможной подмене SIM-карты, происходящей прямо сейчас. Позвоните оператору с другого телефона, заблокируйте аккаунт и попросите подтвердить, что никаких недавних переносов SIM-карты не санкционировалось. Сам факт того, что вы обратились к оператору, тоже становится частью доказательной базы.

Минуты 45–60: подключить специалистов

К 45-й минуте доказательства зафиксированы, непосредственная уязвимость закрыта, связанные аккаунты защищены. Оставшийся приоритет первого часа — передать след тем, кто способен по нему двигаться.

Это ровно тот момент, когда стоит связаться с Match Systems. Первое, что мы запрашиваем, — хеш транзакции и адрес злоумышленника, те самые данные, что зафиксированы в первые полчаса. Дальше начинается расследование: построение графа адресов, выявление бирж и сервисов, к которым направляются средства, и определение наиболее эффективного пути реагирования по этому конкретному делу. Прямые связи между расследователями и отделами комплаенса бирж работают быстрее, чем самостоятельное прохождение официальных каналов, и чем раньше мы видим дело, тем больше пользы способны принести эти отношения.

Если среди украденных активов есть стейблкоины вроде USDT или USDC, этот час имеет ещё большее значение. Tether и Circle могут ограничить конкретные адреса по запросу правоохранительных органов, и этот путь вмешательства реалистичнее всего, пока средства ещё в форме стейблкоина. Мы координируемся с властями, чтобы запустить эту процедуру. Как только средства будут обменены на что-то другое, такая возможность пропадает.

Некоторые жертвы хотят в этом же окне подать заявление в полицию или обратиться в национальное подразделение по киберпреступлениям. Это уместно, но не должно подменять собой обращение к расследователям. На реакцию по официальным каналам нередко уходят недели, тогда как вмешательство со стороны бирж через профильные компании может произойти в течение нескольких часов.

Чек-лист на 60 минут

После первого часа

Первый час — это сортировка. Часы и дни, что идут следом, — это сохранение возможностей и поддержка уже начатого расследования.

Не платите никому, кто связывается с вами и предлагает возврат. В первые часы после кражи к жертвам нередко обращаются аккаунты, обещающие вернуть украденные средства за предоплату. Почти всегда это повторное мошенничество, иногда от тех же людей, что и украли в первый раз, работающих по списку свежих жертв. Ни одна добросовестная компания не просит отправить криптовалюту на кошелёк, чтобы «разблокировать» ваши украденные средства, и ни одна добросовестная компания не гарантирует возврат.

Сохраняйте всё. Скриншоты, логи переписок, письма — всё, что фиксирует, что произошло или что к этому привело. Часть этого пригодится для юридической процедуры, часть — для самого расследования.

Поддерживайте связь с расследователями, которых вы привлекли. Работа продолжается, нередко тихо, в течение дней и недель. Чем плотнее коммуникация, тем выше шанс воспользоваться возможностями, когда они появятся.

FAQ

Насколько быстро хакеры на самом деле перемещают украденную криптовалюту?

Быстрее, чем большинство людей себе представляет. В задокументированных случаях, проанализированных Global Ledger в 2025 году, первое движение средств после взлома произошло уже через четыре секунды, а самое быстрое полное отмывание заняло меньше трёх минут. В 68% случаев средства приходили в движение ещё до того, как взлом становился публично известен. Именно поэтому первый час так важен. Окно для вмешательства измеряется минутами, а не днями.

Смогу ли я вернуть криптовалюту, если заметил кражу позже, чем через час?

Часто — да, но шансы зависят от того, что произошло за это время. Средства, попавшие на централизованную биржу и ещё не выведенные, всё ещё можно пометить через юридическое уведомление в отдел комплаенса. Стейблкоины, которые ещё не конвертированы, всё ещё могут попасть под заморозку эмитента по запросу правоохранительных органов. Дела, о которых сообщают в первый день, как правило, имеют самые сильные перспективы. Чем длиннее задержка, тем сильнее дробится след.

Стоит ли мне переводить оставшиеся средства из взломанного кошелька?

Только при условии, что у вас есть чистое устройство, новый кошелёк, ключи которого никогда не раскрывались, и реалистичное понимание, что попытка может провалиться. Если сид-фраза скомпрометирована, злоумышленники часто запускают скрипты, мгновенно сметающие поступающий газ, и спасательная транзакция может просто отдать им комиссию, ничего не вернув. Сначала зафиксируйте доказательства, а затем уже решайте, имеет ли смысл попытка спасения — исходя из того, что осталось и как произошла кража.

Нужно ли мне немедленно подавать заявление в полицию?

Подать заявление — уместный шаг, но он не должен быть единственным и не должен откладывать обращение к расследователям. На реакцию по официальным каналам нередко уходят недели. Профильные компании по расследованиям, у которых есть прямые отношения с отделами комплаенса бирж, могут начать действовать в течение нескольких часов. Стандартная практика — делать и то и другое параллельно, а в каком порядке именно — подскажут расследователи, которых вы привлекли.

Что именно делает Match Systems после обращения?

Получив хеш транзакции и адрес злоумышленника, мы выстраиваем картину движения средств по кошелькам и сетям, выявляем наиболее вероятные точки пересечения, где украденные активы могут коснуться регулируемой биржи, и координируемся с отделами комплаенса этих бирж, чтобы пометить или заморозить аккаунт. Если в деле есть стейблкоины, мы координируемся с правоохранительными органами, чтобы инициировать заморозку на стороне эмитента. Работа процессуальная и чувствительная ко времени, и чем раньше она начинается, тем большая часть следа ещё пригодна для действий.

В расследованиях криптокраж время значит больше, чем осознаёт большинство жертв.

После того как средства переведены через мост, смешаны в миксере или выведены через OTC-каналы, возврат становится значительно сложнее.

Match Systems работает с биржами, эмитентами стейблкоинов и правоохранительными органами, чтобы отслеживать украденные активы и поддерживать их юридический возврат, — опираясь на собственную базу маркировки адресов и прямые комплаенс-отношения, выстроенные за годы активных расследований.

Начните оценку вашего дела: https://matchsystems.com