Проследить движение украденных средств означает дойти по цепочке адресов до первой точки, где у перевода появляется оператор с обязанностями по идентификации клиента. Дальше трассировка становится работой правоохранительных органов, а не пострадавшего. Всё, что нужно собрать самому, — это хеши, адреса и даты. Параллельно включается другая схема: в личных сообщениях появляются «юристы» и «сервисы возврата», обещающие результат за предоплату.

Трассировка украденных средств — это восстановление последовательности переводов от адреса пострадавшего до адреса, принадлежащего сервису с процедурами идентификации клиентов, после чего дальнейшая работа ведётся по процессуальным каналам.

Как выглядит схема со стороны жертвы

Первый час после потери уходит на оцепенение, и это самое уязвимое время. Человек открывает обозреватель, видит, что средства ушли дальше по цепочке, и пытается двигаться по ней самостоятельно, щёлкая мышью по каждому следующему адресу. Через десяток переходов адресов становится несколько десятков, и картина теряет смысл без инструментов кластеризации.

Второй акт начинается с публикации. Пострадавший описывает ситуацию в открытом обсуждении или в комментариях, и в течение часа в личных сообщениях появляются собеседники с готовым предложением помощи, причём некоторые представляются юридическими фирмами и сотрудниками следственных органов. ФБР выпускало отдельное предупреждение об этом сценарии 24 июня 2024 года, посвящённое вымышленным юридическим фирмам, которые обращаются к жертвам криптовалютных схем с предложением вернуть средства.

Третий акт — предоплата. Схема просит оплатить пошлину, депозит, перевод на счёт «обеспечения» или услуги аналитика, после чего контакт прекращается. Операция ФБР Level Up, начатая в январе 2024 года, уведомила 4 323 пострадавших от криптовалютного инвестиционного мошенничества, и 76% из них не знали, что стали жертвой схемы.

Признаки, по которым распознаётся подмена

Признаки удобно разделить по объекту: одни относятся к собеседнику, другие — к самой цепочке переводов, которую он предлагает «расшить».

Что заявляет собеседник Как это выглядит в действительности Проверяемый признак подмены Что делать
Представляется поддержкой площадки. Поддержка отвечает в обращении, созданном в кабинете. Инициатива контакта исходит от него. Закрыть переписку, открыть обращение в кабинете.
Называет себя юридической фирмой. Фирма работает по договору и не ищет клиентов в личных сообщениях. Нет реквизитов, договора и адреса. Проверить организацию в официальных реестрах.
Обещает вернуть средства. Возврат зависит от владельца адреса и решения суда. Гарантия результата до изучения дела. Прекратить контакт, не вносить платежей.
Просит предоплату за трассировку. Трассировка по открытым данным доступна и без оплаты. Оплата вперёд как условие начала работы. Сохранить переписку и приложить к заявлению.
Запрашивает seed-фразу «для проверки». Для трассировки нужны только адреса и хеши. Запрос секретных данных вместо публичных. Немедленно прервать разговор.

Последняя строка таблицы перекрывает все остальные. Трассировка строится на публичных данных: адрес, хеш, сумма, время. Ни один законный специалист не попросит seed-фразу, приватный ключ или подпись транзакции, и этот признак работает без оценки убедительности собеседника.

Проверка за 60 секунд: что открыть и на что смотреть

  1. Откройте обозреватель блоков по адресу своего кошелька и найдите исходящую транзакцию потери.
  2. Выпишите её хеш, адрес получателя, сумму, точное время и сеть.
  3. Перейдите на адрес получателя и посмотрите, куда средства ушли следующим шагом.
  4. Остановитесь на первом адресе, помеченном как адрес сервиса, либо на переводе в мост между сетями.
  5. Зафиксируйте цепочку в текстовом файле: по строке на каждый переход, с хешем и временем.
Схема из пяти шагов: найти исходящую транзакцию потери, выписать её реквизиты, пройти по цепочке переходов, остановиться на адресе сервиса или на мосту, зафиксировать цепочку построчно с хешами
Схема из пяти шагов: найти исходящую транзакцию потери, выписать её реквизиты, пройти по цепочке переходов, остановиться на адресе сервиса или на мосту, зафиксировать цепочку построчно с хешами
Дальше первого адреса сервиса самостоятельная трассировка не нужна. Сведения о клиенте выдаются оператором только по процессуальному запросу, а не по письму частного лица, поэтому следующие двадцать переходов по цепочке к результату не приблизят. Полезнее зафиксировать первый такой адрес и указать его в заявлении.

Пошаговые действия, если деньги уже ушли

  1. Соберите данные: хеши, адреса, суммы, даты, сеть, скриншоты переписки по сделке.
  2. Составьте цепочку переходов до первого адреса с оператором или до перехода в мост.
  3. Подайте заявление в полицию: в структуре МВД действует управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий.
  4. Направьте обращение в сервис, которому принадлежит конечный адрес, через его официальный кабинет, приложив номер заявления.
  5. Уведомите банк, если потере предшествовал перевод с карты или счёта.
  6. Не вступайте в переписку с теми, кто написал первым, и не оплачивайте ничьи услуги по возврату.

Если цепочка уходит в мост между сетями, трассировка не обрывается, а переходит в другую сеть: у перехода две транзакции, и вторую ищут по адресу получателя в обозревателе сети назначения. Эта деталь часто решает дело, потому что без неё цепочка выглядит оборванной. Оценку остаточного риска после потери разбирает материал о том, как проследить движение украденных средств и оценить остаточный риск.

Масштаб явления задаёт фон для оценки предложений помощи. По годовому отчёту IC3 за 2024 год всего поступило 859 532 жалобы, заявленные потери составили 16,6 миллиарда долларов — на 33% больше, чем годом ранее. Фактический убыток указан в 256 256 жалобах, а средний заявленный убыток по обращению — 19 372 доллара. Операция Level Up за тот же год сберегла пострадавшим около 285 639 989 долларов.

Как закрыть дыру, чтобы не повторилось

Первая мера относится к причине потери, а не к трассировке. Средства уходят либо по подписанной транзакции, либо по ранее выданному разрешению, либо через доступ к аккаунту, и каждый из этих трёх путей закрывается своими средствами. Чтение запроса на подпись до подтверждения разобрано в материале о том, как распознать вредоносную подпись транзакции.

Вторая мера — молчание в публичном поле. Подробный рассказ о потере с суммами и адресами служит объявлением для тех, кто ищет пострадавших, и именно поэтому второй акт схемы начинается через час после публикации. Обсуждать детали стоит в обращении к сервису и в заявлении, а не в открытых комментариях.

Третья мера — заранее заготовленный порядок действий. Человек, у которого записан список из шести шагов, не ищет помощь в личных сообщениях, потому что знает следующий шаг. Что держать наготове, описано в разборе о том, как проследить движение украденных средств и подготовиться к худшему сценарию.

Чек-лист

  • Хеши, адреса, суммы и время зафиксированы в файле, а не в памяти.
  • Цепочка доведена до первого адреса с оператором или до моста.
  • Заявление в полицию подано, номер сохранён.
  • Обращение в сервис отправлено через официальный кабинет.
  • Детали потери не опубликованы в открытых обсуждениях.
  • Предложения помощи из личных сообщений не рассматриваются.

Частые вопросы

Как проследить движение украденных средств без платных сервисов?

Обозревателя блоков достаточно для первых переходов: он показывает адреса, суммы, хеши и время. Платные инструменты нужны для кластеризации множества адресов, но пострадавшему это требуется редко: цель самостоятельной работы не в полном графе, а в первом адресе, за которым стоит оператор с процедурами идентификации клиентов.

Может ли юридическая фирма сама написать в личные сообщения?

Организация, работающая по договору, не ищет клиентов в переписке под публичной жалобой и не требует предоплату ещё до изучения материалов дела. ФБР выпускало предупреждение именно об этом сценарии в июне 2024 года. Проверять контрагента нужно по официальным реестрам, а не по содержимому его сообщений.

Что делать, если цепочка ушла в мост между сетями?

Искать вторую транзакцию перехода в обозревателе сети назначения по адресу получателя. У перехода через мост две ноги в двух разных блокчейнах, и отсутствие продолжения в исходной сети ещё не означает конца цепочки. Этот факт стоит прямо указать в заявлении, приложив оба хеша.

Имеет ли смысл обращаться в сервис, если средства уже выведены дальше?

Да, обращение фиксирует факт и дату, и это пригодится при процессуальном запросе. Обещаний блокировки или возврата от сервиса ждать не стоит: решения такого рода принимаются по основаниям, предусмотренным регламентом и законом. Приложите номер заявления в полицию к обращению.

Вердикт

Самостоятельная трассировка полезна ровно до того адреса, за которым стоит организация с обязанностями по идентификации клиента, и дальше её ценность падает до нуля. Силы, которые уходят на двадцатый переход в обозревателе блоков, стоит направить на заявление и на обращение в сервис, где у собранных данных есть реальный адресат. А собеседник, предложивший вернуть средства за предоплату, относится к той же категории событий, что и первоначальная потеря. Контакты ведомств и порядок обращений сверяйте на их официальных страницах.

Разборы инцидентов и порядок действий выходят в Telegram-канале Cryptium.

Источники: годовой отчёт IC3 ФБР за 2024 год с перечнем предупреждений и структура центрального аппарата МВД России. Данные проверены на 15 октября 2026 года.