Как отследить украденную криптовалюту и оформить доказательства

Пять уровней результата, которые нельзя называть одним словом «нашли»

В рекламных обещаниях фраза «мы нашли ваши деньги» часто означает только то, что консультант открыл публичный обозреватель и увидел баланс адреса. Это полезная отправная точка, но не контроль над активом. До начала работы зафиксируйте, какой из пяти результатов реально подтверждён: маршрут, принадлежность, ограничение, процессуальное решение или фактическое получение. Каждый следующий уровень требует новых данных и полномочий.

Верховный Суд России в июне 2026 года разъяснил, что цифровая валюта может быть предметом хищения, а списание связано с моментом окончания такого хищения в рассмотренном разъяснении. Это важная правовая опора, но не сокращённый путь от TxID к возмещению; смотрите сообщение на официальном сайте Верховного Суда РФ.

Начать полезно с хаба по криптовалютным инцидентам. Если операция вызвана ошибочным выбором сети или адреса, не называйте её кражей: используйте отдельную инструкцию, когда USDT отправлены не в ту сеть или на неверный адрес. Если актив остаётся на аккаунте, но вывод ограничен, применим маршрут, когда криптобиржа проводит KYC/AML‑проверку.

Сначала остановите продолжающуюся атаку и сохраните исходные данные

Трассировка не защищает оставшиеся активы. Если раскрыта seed‑фраза, подписан опасный approval, установлен стилер или захвачен аккаунт биржи, сначала прекратите доступ. С чистого устройства создайте новый кошелёк с новой seed‑фразой, завершите подозрительные сессии и смените пароли к почте и биржам. При опасных разрешениях проверьте approvals и отзовите их; отзыв предотвращает следующие списания, но не возвращает уже перемещённые токены. Не пополняйте скомпрометированный адрес gas без понимания, не работает ли автоматический sweeper.

До сброса устройства сохраните доступные следы: уведомления, историю входов, список расширений и приложений, адрес сайта, скачанный файл, время запуска, журналы антивируса и письма. Не продолжайте использовать заражённый компьютер для входа в финансы. При сложном инциденте образ носителя и технический осмотр лучше планировать со специалистом, чтобы самостоятельная «чистка» не уничтожила данные. При этом безопасность оставшихся средств имеет приоритет; каждый шаг записывайте по времени.

Сохраните TxID текстом и ссылкой, а не только скриншотом. Запишите название обозревателя, дату просмотра и номер блока. Публичные интерфейсы меняют подписи и визуализацию, поэтому важные сведения можно дополнительно выгрузить через API или сохранить в PDF, но исходная запись блокчейна остаётся первичной технической точкой. Не редактируйте оригиналы; для пояснений создайте отдельные копии.

Как строится on-chain маршрут без фантазий о владельцах

Начальная точка — не предполагаемый «кошелёк хакера», а конкретный несанкционированный перевод. Проверьте статус, токен и события контракта. Для ERC‑20 списание через transferFrom может указывать на использованный approval; обычный transfer — на подпись владельца ключа или приложения. Для биржевого аккаунта on-chain вывод может быть сформирован общим горячим кошельком, поэтому адрес отправителя не обязан совпадать с персональным депозитным адресом пользователя.

Далее выписываются исходящие операции адреса, не смешивая все движения в одну линию. Злоумышленник может разделить сумму, объединить с другими поступлениями, обменять токен через DEX, применить bridge или отправить на сервис. Аналитик отмечает время, долю, актив и допущение метода. Модель «следовать ровно тем же монетам» усложняется при пулах и смешении; отчёт должен объяснять правило распределения, а не рисовать уверенную стрелку без методики.

Не включайте в отчёт все тысячи транзакций. Сформируйте воспроизводимую карту: исходная операция, ключевые развилки, текущие адреса, известные сервисы и ссылки на каждый хэш. Для каждой метки укажите источник и дату. Если один сервис называет адрес Binance, а другой — неизвестным, зафиксируйте расхождение. Логотип биржи на диаграмме не является ответом биржи.

Общий материал после перевода USDT мошенникам помогает связать on-chain часть с рублёвыми платежами и перепиской. Цепочка должна начинаться раньше блокчейна, если злоумышленник убедил купить и отправить токен: механизм обмана объясняет, почему операция совершена.

Почему адрес не равен человеку и как появляется атрибуция

Блокчейн‑адрес — технический идентификатор. Он не содержит паспорт, телефон или гарантированное местонахождение. Один человек может контролировать много адресов, а один сервис — объединять активы тысяч пользователей. Подпись транзакции доказывает использование ключа в определённый момент, но без дополнительных данных не сообщает, кто физически нажал кнопку и на каком основании.

Уровни атрибуции различаются. Самый слабый — автоматическая метка аналитического сервиса. Сильнее — официально опубликованный адрес проекта, депозитная инструкция, признание владельца, договор и переписка, связывающая реквизит со стороной. Для кастодиальной площадки конкретного пользователя помогают установить внутренний ID депозита, KYC, журналы входов и выводов; эти данные непубличны и предоставляются по правилам сервиса и законным запросам.

В заявлении пишите: «по данным обозревателя средства поступили на адрес…», «сервис X помечает адрес как предположительно связанный с…», а не «деньги принадлежат Иванову», если такого доказательства нет. Просить можно об установлении владельца и истребовании сведений. Ложная уверенность позволяет защите легко показать, что аналитический вывод подменил доказательство.

Даже точная атрибуция сервиса не означает, что он контролирует последующий внешний кошелёк. Биржа может подтвердить поступление и последующий вывод, но актив уже уйдёт из её контроля. Поэтому скорость уведомления полезна, однако обещание «биржа точно заморозит, если написать за час» недостоверно.

Что означает заморозка и как обращаться в службу безопасности площадки

Централизованная биржа способна ограничить внутренний аккаунт или вывод с адресов, которые она контролирует. Она не может переписать подтверждённую транзакцию во внешней сети и не управляет чужим некастодиальным кошельком. Эмитент некоторых централизованно управляемых токенов может иметь технические функции ограничения адреса, но применяет их по собственной политике и законным основаниям. Частный аналитик не обладает этими полномочиями.

В обращении на биржу укажите тему stolen funds / security report, сеть, актив, исходный TxID, адрес потерпевшего, предполагаемый депозитный адрес и путь между ними. Приложите доказательство контроля исходного кошелька и регистрацию обращения в правоохранительные органы, если она уже есть. Отдельно обозначьте, где заканчивается факт и начинается аналитическое предположение. Не рассылайте seed‑фразу и не публикуйте KYC‑документы в социальных сетях.

Просите сохранить данные, проверить поступление, связать обращение с внутренним аккаунтом и сообщить официальный канал для запроса органа. Не требуйте раскрыть персональные данные предполагаемого получателя вам напрямую: сервис обязан учитывать право, конфиденциальность и безопасность. Если площадка просит номер дела или запрос органа, передайте эту инструкцию сотруднику, ведущему материал, и сохраните контакт службы.

Если вместо кражи биржа проверяет ваш собственный аккаунт, не маскируйте compliance‑спор под обращение о stolen funds. Разные ложные версии ухудшают положение. Объясните источник актива и используйте официальный процесс проверки.

Заявление в России: связать механизм хищения, владение и маршрут

С 3 марта 2026 года цифровая валюта прямо признаётся имуществом для целей уголовного законодательства; изменения внесены Федеральным законом № 38‑ФЗ. Уголовно‑процессуальные изменения установили особенности ареста и изъятия цифровой валюты. Это усиливает нормативную определённость, но не превращает каждую спорную транзакцию в автоматически раскрытое преступление. Нужно показать событие, способ доступа или обмана, ущерб, принадлежность актива и известные следы.

Фактическую часть начинайте с того, как актив приобретён и где хранился. Укажите сеть и адрес, почему вы считаете его своим, как управляли ключом или аккаунтом, когда и каким способом обнаружили списание. Затем опишите компрометацию: фишинговый домен, вредоносное приложение, неизвестный вход, подписанный approve, звонок или добровольный перевод под обманом. После этого перечислите TxID и дальнейшие адреса, разделяя собственное наблюдение и метки сервисов.

Приложите таблицу операций, выписки покупки, экспорт кошелька или биржи, переписку, домены, журналы входов и обращения в сервисы. Для каждого файла сделайте краткое описание. В просительной части безопаснее просить принять и проверить сообщение, установить лиц, истребовать данные у известных сервисов и принять предусмотренные законом меры, чем самостоятельно назначать конкретного гражданина виновным.

Используйте структуру заявления в полицию, добавив криптовалютное приложение с сетью, TxID, адресами и контрактом токена. Получите подтверждение регистрации и сохраняйте номер при каждом дополнении. Базовая регистрация не гарантирует квалификацию, арест или возврат; она создаёт процессуальную точку для проверки.

Арест, изъятие, конфискация и возврат — отдельные процессуальные этапы

Арест ограничивает распоряжение имуществом для целей производства. Изъятие означает получение носителя, ключевой информации или перевод актива в предусмотренном порядке. Конфискация применяется на основании закона и итогового решения к имуществу соответствующей категории. Возврат потерпевшему, возмещение ущерба или исполнение гражданского требования — другой результат. Нельзя писать клиенту «средства арестованы, значит завтра вернут».

В 2026 году российское регулирование дополнилось правилами обращения с цифровой валютой в уголовном процессе. Государственная Дума, рассказывая о вступающих в силу изменениях, указывала на признание цифровой валюты имуществом для уголовного законодательства и порядок ареста и изъятия; официальный обзор доступен на сайте Государственной Думы. Конкретное применение зависит от производства, доступа к активу, сети и процессуальных документов.

Даже когда токен виден на адресе, органу или сервису нужна техническая возможность прекратить распоряжение. Некастодиальная сеть не имеет центральной кнопки ареста. На практике значимыми точками становятся устройство и ключ, кастодиальный сервис, эмитент с соответствующей функцией либо лицо, контролирующее адрес. Слова «кошелёк под арестом» должны подтверждаться документом и фактическим ограничением, а не только красной меткой на сайте.

Обращение на биржу может сохранить актив до запроса, но не подменяет процессуальное решение. Процессуальное решение не подменяет спор о принадлежности. Итоговое решение не гарантирует мгновенное исполнение. Такое разделение выглядит менее эффектно, зато защищает клиента от ложного ожидания и помогает правильно ставить задачу на каждом этапе.

Как оформить отчёт о трассировке, чтобы другой специалист мог его проверить

Хороший отчёт начинается с задания: какой исходный актив, какая сеть, какой период и какой вопрос. Затем описывается источник данных, версия инструмента и дата анализа. После краткой хронологии приводится карта с пронумерованными узлами. Каждый узел имеет полный адрес, хэши входа и выхода, актив, сумму и ссылку на обозреватель. Цвет и стрелки должны быть расшифрованы, а не служить декорацией.

Отдельный раздел посвящается методике. Если сумма разделилась, объясните правило следования; если произошёл своп, покажите входной и выходной актив; если использован bridge, свяжите событие блокировки в одной сети и выпуска в другой. Если адрес помечен биржей, назовите источник метки и степень уверенности. Не скрывайте альтернативные объяснения и разрывы.

Приложите машиночитаемую таблицу и контрольные хэши файлов, если это оправдано. Скриншоты полезны для восприятия, но не заменяют полный идентификатор. Сохраните копию отчёта, исходные выгрузки и дату передачи. Персональные данные из ответа биржи не публикуйте и не пересылайте посторонним.

Отчёт не должен называться «судебной экспертизой», если он не подготовлен и не назначен в соответствующем процессуальном качестве. Можно честно использовать названия «аналитическая справка», «карта публичных транзакций» или «заключение специалиста» при наличии реального статуса и описанной методики. Название не повышает доказательственную силу автоматически.

Составной учебный пример: дрейнер, DEX и депозит на биржу

Ирина подключила кошелёк к сайту поддельного airdrop и подписала транзакцию, содержание которой не поняла. Через две минуты 42 000 USDT были списаны по transferFrom на адрес A. Ещё 8 000 USDT оставались в кошельке. Незнакомец в Telegram сообщил, что «нашёл деньги на Binance», и потребовал 10 процентов за мгновенную заморозку.

Первая задача — не карта, а остановка. С чистого устройства Ирина переводит незатронутые активы на новый кошелёк и отзывает опасные approvals. Оригинальный кошелёк больше не используется. Сохраняются фишинговый домен, подпись, TxID списания, экран разрешений и время. Отзыв доступа предотвращает дальнейшее использование allowance, но 42 000 USDT не возвращает.

Трассировка показывает: адрес A разделил сумму; часть обменял через DEX на другой актив, часть отправил на адрес B. Через несколько переходов 15 000 USDT поступили на адрес, который два источника помечают как депозитный кластер биржи. Это ещё не означает, что весь ущерб находится у биржи или что известен клиент. В отчёте фиксируются хэши, доля суммы, методика и уровень уверенности метки.

Ирина направляет security report через официальный сайт биржи и регистрирует заявление, связывая подпись на фишинговом сайте с on-chain маршрутом. Она не платит Telegram‑посреднику. Возможные исходы различны: сервис может не подтвердить связь, актив мог уже уйти, аккаунт может быть ограничен до официального запроса, либо данные сохранятся для проверки. Учебный пример заканчивается не вымышленным возвратом, а корректно созданными точками реагирования.

Recovery scam: как не потерять деньги второй раз

Жертва криптокражи особенно уязвима для второго обмана. Публичный пост с TxID позволяет мошеннику заранее узнать сумму, токен и маршрут. Затем он присылает эффектную диаграмму, использует логотипы полиции, биржи или аналитической компании и заявляет, что средства «уже на защищённом счёте». Для получения якобы нужны налог, депозит, газ, страховка, лицензия или платный сертификат AML.

Публичный граф можно построить без специальных полномочий. Он не подтверждает контроль над адресом. Государственный орган не просит перевести Bitcoin на личный кошелёк сотрудника для выдачи возврата. Биржа не требует сообщать seed‑фразу службе поддержки. Легитимная платная работа может иметь договор и аванс за конкретные услуги, но оплата юридического анализа не является «ключом», который технически разблокирует чужой кошелёк.

Официальный американский регулятор CFTC описывает recovery fraud как повторное мошенничество с авансовым платежом, при котором пострадавшему обещают гораздо большую сумму после комиссии; рекомендации опубликованы на сайте CFTC. FTC также предупреждает о лицах, выдающих себя за агентства, юристов и компании и требующих processing fee или налог; смотрите официальный материал FTC. Эти источники не определяют российское право, но точно показывают трансграничную механику повторного обмана.

Если человек показывает «ордер Интерпола», «сертификат ООН» или письмо Tether, проверьте документ у названной организации по контакту, найденному самостоятельно. Не звоните по номеру из файла. Не публикуйте обвинения без доказательств, но сохраните предложение как возможное продолжение мошеннической схемы.

Региональный и международный формат без фиктивных офисов

On-chain анализ можно выполнять дистанционно независимо от города: публичная сеть одинакова для Москвы, Иркутска или Калининграда. Но процессуальная работа имеет территорию. Личная подача, ознакомление с материалом, участие в следственном действии или суде могут потребовать специалиста по месту. Подключение такого специалиста должно обсуждаться с клиентом, а его личность, роль, договор и объём передаваемых данных — раскрываться заранее.

Наличие потерпевшего в регионе не доказывает российскую юрисдикцию над иностранной биржей. Учитываются место события, договорное юридическое лицо, серверные и платёжные связи, местонахождение участников и активов, правила международного взаимодействия. Обещание «наш партнёр в любой стране заберёт USDT» недостоверно. Иногда наиболее полезен центральный аналитический пакет и официальный запрос, иногда — действия российского представителя, иногда требуется иностранный консультант, экономику которого нужно оценить до расходов.

Мы описываем этот подход на странице о дистанционной и региональной модели работы и в разделе для обращений из регионов. Эти страницы не заявляют о филиале в каждом городе. Местный специалист подключается, когда физическое присутствие действительно усиливает процесс, а не ради SEO‑страницы с названием города.

Итоговый маршрут: от одного TxID до проверяемого следующего шага

1. Остановить компрометацию. Новый кошелёк, безопасное устройство, сессии и approvals.
2. Зафиксировать исходную операцию. Сеть, токен, контракт, адреса, TxID, время и статус.
3. Подтвердить владение. История покупки, контроль адреса или аккаунта, документы происхождения.
4. Построить воспроизводимый маршрут. Хэши, развилки, свопы, мосты, доли и источники меток.
5. Отделить атрибуцию от гипотезы. Адрес сервиса не равен имени его клиента.
6. Уведомить доступную точку. Официальный security‑канал биржи или эмитента без передачи секретов.
7. Оформить заявление. Механизм хищения, ущерб, доказательства и запрос проверочных действий.
8. Проверять каждый статус. Метка, hold, арест и фактический возврат подтверждаются разными документами.
9. Не платить recovery‑мошеннику. Налог, депозит и seed‑фраза не открывают чужой кошелёк.
10. Оценить экономику. Сумма, юрисдикция, стоимость, сроки и перспектива исполнения.

Срок зависит от стадии. Техническая фиксация исходной операции возможна сразу. Сложная цепочка со свопами и мостами требует больше времени и проверки. Ответ биржи зависит от её процесса и внешних запросов. Проверка заявления, процессуальные меры, суд и исполнение имеют собственные сроки. Никто не может честно назвать дату возврата, увидев только TxID.

Для первичного разбора подготовьте одну страницу хронологии, таблицу TxID, исходные файлы и уже полученные ответы. Через форму консультации Право.Контур можно передать краткое описание без seed‑фразы и приватного ключа. Мы определяем, какая стадия подтверждена, чего не хватает и какой адресат компетентен; наличие публичного маршрута не выдаётся за гарантию заморозки или возврата.

После завершения каждого этапа сохраняйте подтверждение: номер обращения, ответ биржи, документ регистрации, процессуальный акт, TxID передачи либо банковский платёж. Только так формулировка «актив возвращён» получает проверяемое содержание. До фактического поступления корректнее говорить «маршрут установлен», «сервис уведомлён», «операции ограничены» или «принята процессуальная мера».

Частые вопросы