Проследить движение украденных средств может любой: блокчейн открыт, и путь перевода виден в обычном обозревателе без специальных инструментов. Смысл этой работы не в том, чтобы вернуть деньги самому — своими силами это невозможно, — а в том, чтобы за первые часы найти точку, где средства зашли на сервис с проверкой личности, и оформить документ, с которым обращение к площадке и в полицию будет иметь вес.

Дальше разберу по шагам: что видно в обозревателе, где след обрывается и почему это не тупик, а также как выглядит письменная инструкция, которую стоит составить один раз и держать наготове.

Что видно в обозревателе, а что нет

Обозреватель показывает факты сети. Ваша транзакция по хешу, адрес получателя, время, сумма, комиссия, все последующие переводы с этого адреса, текущий остаток. Крупные обозреватели вдобавок помечают известные адреса: биржевые депозитные кошельки, контракты мостов, пулы обменников. Метки и есть цель.

Чего в обозревателе нет — имени, адреса и телефона: связь адреса с человеком существует только у сервиса, который в своё время проводил проверку личности клиента. Отсюда вся логика поиска: вы ведёте цепочку не до злоумышленника, а до ближайшего сервиса, который его знает.

Почему счёт идёт на часы

Схема вывода отработана и повторяется. Исследователи описывают цикл примерно в сорок пять дней и в три волны: первые пять суток похищенное быстро прогоняют через обмены в децентрализованных сервисах и смешивающие пулы, с шестого по десятый день переводят между сетями через мосты и площадки со слабой проверкой, а с двадцатого по сорок пятый дробят на мелкие части и обналичивают через обменники без проверки личности и внебиржевые сети.

Отсюда практический вывод. Заявление, поданное на второй день, попадает в момент, когда средства ещё лежат на депозитном адресе биржи. Заявление на сороковой день приходит к пустым адресам. Площадки обычно сохраняют возможность заморозить недавно поступившие средства по проверенному сообщению о мошенничестве, но по мере удаления от даты хищения вероятность падает резко — примерно после двух месяцев она близка к нулю.

Как проследить шаг за шагом

Шестой пункт — цель всей работы. Дальше этого адреса вы не пройдёте и не должны: за меткой начинается зона, где отвечает сервис, а не вы. Ваше дело — принести хеш.

Дополнительно проверьте адрес получателя через сервисы оценки риска: если он уже помечен как связанный с мошенничеством, это довод в обращении. Проверку эту я разбирал в материале о проверке адреса на риски.

Типичные маршруты

Маршрут подсказывает многое: и есть ли смысл торопиться, и куда обращаться, и стоит ли вообще платить за профессиональное расследование, потому что ответ зависит от того, куда именно ушли средства.

Где след обрывается

Об этом надо говорить прямо. Смешивающие сервисы, монеты с закрытыми транзакциями, мосты между сетями и агрегаторы обменов создают разрыв: адрес в принимающей сети не связан с отправляющей ничем, что видно снаружи. Ручная трассировка в этом месте останавливается.

Профессиональные платформы разрыв частично закрывают: они ведут след через мосты и обмены, сопоставляя суммы и время. Но такая работа стоит денег, и здесь возникает неприятная арифметика: при небольшой похищенной сумме стоимость расследования вместе с юридическим сопровождением превышает возможный возврат, и считать это нужно до оплаты отчёта.

Оборвавшийся след не означает, что делать нечего. Заявление в полицию подаётся в любом случае: похожие эпизоды объединяют в одно производство, и ваш хеш может лечь в дело, где уже есть другие пострадавшие. Именно так раскрывались крупные истории — я собирал их в разборе крупнейших схем обмана.

Заморозка стейблкоина

Отдельный случай — похищенные USDT или USDC. У централизованного стейблкоина есть эмитент, и он технически способен внести адрес в чёрный список смарт-контракта, чего в сетях без эмитента, вроде биткоина, сделать не может никто. Токены видны, но не двигаются.

Работает это по обоснованному запросу правоохранительных органов или по подтверждённым данным самого эмитента, а не по письму частного лица. По данным отраслевых публикаций, счёт заморозок идёт на сотни миллионов долларов, а созданное эмитентом совместно с сетью и аналитической компанией подразделение исполняет проверенные запросы в срок порядка суток — при этом от вынесения решения до исполнения в сети проходит в среднем около двух дней.

Письменная инструкция

Здесь речь о двух документах, и путать их не стоит. Первый описывает случившееся, второй описывает, что делать при повторении.

Задач у него две. Он избавляет вас от пересказа истории заново в каждом обращении и даёт сотруднику площадки готовые данные, по которым можно действовать без уточняющих вопросов. Скорость здесь дороже красоты формулировок.

Второй документ пишут заранее и в спокойном состоянии. Держат там же, где резервные копии, и раз в год пересматривают вместе с остальными настройками — общий порядок такой ревизии собран в чек-листе безопасности криптокошелька.

Куда обращаться и в каком порядке

1. Площадка, на адрес которой пришли средства. Служба безопасности, форма обращения о мошенничестве. Приложить хеш, время, адрес.
2. Своя площадка или сервис, откуда ушли средства. Зафиксировать факт, получить выписку по операции.
3. Полиция. Заявление с приложением первого документа. Требовать талон-уведомление.
4. Эмитент стейблкоина. Обращение результативно, когда оно идёт от органов, поэтому пункт третий предшествует, а не следует.

Порядок обращения к площадке и в правоохранительные органы, включая формулировки и перечень приложений, я разбирал в материале о том, как подготовить обращение о мошенничестве.

И последнее, о чём стоит сказать. Пострадавшие часто молчат из-за стыда, а молчание работает на схему: чем меньше заявлений по одному адресу, тем меньше шансов, что эпизоды объединят. Обращение имеет смысл всегда.