Как проследить движение украденных средств на новом устройстве

Трассировка на новом аппарате начинается не с обозревателя, а с перечня собственных адресов. Кошелёк, восстановленный по seed-фразе, показывает лишь те ветви дерева ключей, которые умеет обходить сам. Поэтому сначала фиксируют стандарт — BIP-44, BIP-49, BIP-84 или BIP-86, — выгружают публичный ключ уровня аккаунта и перебирают адреса с запасом. Затем сверяют остатки, находят исходящие операции и выстраивают их в цепочку. Только после этого идентификаторы транзакций попадают в заявление.

Как выглядит схема со стороны жертвы

Человек меняет телефон. Кошелёк ставится заново, двенадцать слов вводятся без ошибок, приложение рапортует об успехе — и показывает нули. Дальше развилка, и она определяет весь разбор: либо средств нет на тех адресах, которые приложение вообще умеет считать, либо средств нет вовсе. Первое лечится настройкой. Второе — заявлением.

В обращениях читателей чаще встречается смешанный случай. Часть монет видна, часть нет, а в истории висит исходящая операция, которой владелец не припоминает. Такая операция появляется двумя путями. Либо seed-фраза утекла — через снимок экрана, облачную заметку, поддельную поддержку, — и подпись поставил чужой человек. Либо владелец сам подписал обращение к контракту-дрейнеру, приняв его за форму получения вознаграждения.

Отдельная категория — отравление истории адресов. Злоумышленник отправляет пыль с адреса, визуально похожего на ваш обычный получатель, и терпеливо ждёт, пока жертва скопирует подменённую строку прямо из журнала операций, не заметив расхождения в середине длинной последовательности знаков. На новом устройстве эта ловушка опаснее: привычной локальной адресной книги больше нет, и копировать приходится именно из журнала операций.

Признаки, по которым распознаётся подмена

Разделить «не вижу» и «украли» помогает несколько маркеров. Пустой адрес с нулевым счётчиком транзакций говорит, что вы смотрите не туда. Адрес с историей, где последняя запись — исходящий перевод на весь остаток, говорит об обратном.

Смотрите на формат адреса. Строка, начинающаяся с 1, относится к наследуемому стандарту BIP-44. Строка с 3 — к совместимому с SegWit BIP-49. Префикс bc1q — это BIP-84, а bc1p — BIP-86 с подписями Taproot. Кошелёк, восстановленный по умолчанию в формате bc1q, не покажет средства, лежащие на адресах вида 1…, хотя seed-фраза одна и та же.

Второй маркер — глубина перебора. BIP-44 вводит правило разрыва: кошелёк перестаёт сканировать ветвь после двадцати подряд неиспользованных адресов. Если вы когда-то создали в кошельке сотню адресов, а пользовались сто первым, восстановленное приложение остановится задолго до него и честно покажет нуль.

Проверка за 60 секунд: что открыть и на что смотреть

1. Откройте настройки кошелька и найдите экспорт публичного ключа уровня аккаунта. Сам ключ не секрет: он позволяет видеть адреса и историю, но не позволяет подписывать переводы.
2. Загрузите этот ключ в наблюдающий кошелёк, где глубину перебора можно задать вручную. Поставьте запас в двести адресов вместо двадцати.
3. Переключите стандарт. Один и тот же набор слов проверьте по четырём путям деривации из таблицы выше — на это уходит меньше минуты.
4. Если история нашлась, скопируйте идентификаторы исходящих операций и номера блоков. Это ваш первичный материал, дальше он не изменится.
5. Для адресов в сетях с умными контрактами отдельно откройте список выданных разрешений и зафиксируйте, какому контракту был разрешён расход токенов.

Разрешения заслуживают внимания даже тогда, когда потерь нет. Выданное однажды право на расход токенов живёт до отзыва, а не до конца сессии; материал о том, как распознать вредоносную подпись транзакции, разбирает формулировки, по которым опасное обращение отличается от безобидного.

Пошаговые действия, если деньги уже ушли

Порядок действий выстраивается по срокам, а не по важности. Сначала — то, что исчезает: активные сессии, журналы устройств, переписка с поддельной поддержкой.

1. Соберите выгрузку. Идентификаторы операций, адреса отправителя и получателя, время в UTC, суммы в единицах токена. Скриншот обозревателя дополняет выгрузку, но не заменяет её.
2. Подайте заявление в территориальный орган внутренних дел. По статье 144 Уголовно-процессуального кодекса решение принимается в течение трёх суток; срок продлевается до десяти, а при необходимости документальных проверок — до тридцати суток.
3. Если цепочка упирается в адрес, принадлежащий сервису с идентификацией клиентов, направьте площадке обращение с номером зарегистрированного заявления. Площадка не вернёт средства по письму пользователя, но вправе ограничить операции по запросу правоохранительных органов.
4. Уведомьте банк, если перед хищением был перевод с карты. Аналитические обзоры Банка России описывают, по каким признакам кредитная организация квалифицирует операцию как совершённую без добровольного согласия клиента.
5. Сохраните новое устройство в прежнем состоянии до конца проверки. Переустановка системы уничтожает следы, которые понадобятся эксперту.

Российский контур расследования опирается на собственный инструментарий. Служба Росфинмониторинга и её аналитический модуль «Прозрачный блокчейн» к сентябрю 2026 года подключили более восьмидесяти банков, а сам сервис поддерживает анализ операций более чем в тридцати криптовалютах. Для заявителя это означает простую вещь: аккуратная выгрузка идентификаторов попадает в работающую систему, а пересказ событий своими словами — нет.

Как закрыть дыру, чтобы не повторилось

Первое решение — развести роли между аппаратами. Подпись живёт на одном устройстве, наблюдение за адресами на другом; подход описан в разборе о том, как выделить отдельное устройство под криптооперации и настроить уведомления.

Второе — письменный паспорт кошелька. Стандарт, путь деривации, публичный ключ аккаунта, дата создания, перечень сетей. Этот листок не содержит секретов и хранится отдельно от seed-фразы, потому что опасна именно их связка: перечень адресов рядом с набором слов превращает находку в готовый доступ, а по отдельности каждая половина бесполезна для постороннего. Он экономит часы на любом новом аппарате и снимает половину вопросов в заявлении.

Третье — ревизия разрешений по расписанию. Раз в квартал достаточно. Четвёртое — отказ от копирования адресов из истории операций: именно на этой привычке держится отравление адресов, и о том, как распознать отравление истории адресов, стоит прочитать до следующего перевода.

Чек-лист

• Стандарт кошелька определён, все четыре пути деривации проверены
• Публичный ключ уровня аккаунта выгружен и сохранён отдельно от seed-фразы
• Глубина перебора адресов увеличена до двухсот, правило разрыва учтено
• Идентификаторы исходящих операций и номера блоков выписаны в файл
• Список выданных разрешений на расход токенов зафиксирован
• Заявление подано, номер регистрации получен на руки
• Новое устройство не переустанавливалось после обнаружения потери
• Паспорт кошелька составлен и лежит в двух местах

Частые вопросы