Проследить движение украденных средств и не повторять чужих ошибок помогает один документ — реестр необратимых действий. В нём записано, что именно пострадавший уничтожает своими руками в первые часы: журналы устройства, переписку, чистоту цепочки, возможность запроса к оператору. Деньги уже ушли. Доказательства ещё нет. Большинство чужих историй заканчивается плохо не из-за кражи, а из-за того, что было сделано после неё.

Реестр необратимых действий — это таблица, где против каждого распространённого поступка пострадавшего указано, какой именно материал при этом утрачивается, восстановим ли он и чем этот поступок заменяют.

Почему первые часы решают больше, чем сама кража

Кража заканчивается за минуту. Дальше начинается то, что зависит от владельца, и здесь чужой опыт полезнее любых советов по профилактике. Человек в состоянии шока действует быстро и однотипно: переустанавливает приложение, выводит остаток, пишет в поддержку, удаляет «подозрительные» переписки, меняет телефон. Каждое движение выглядит защитным. Половина из них уничтожает материал, который потом будет нужен.

Масштаб явления позволяет говорить о статистике, а не о единичных случаях. По отчёту Chainalysis от 15 января 2025 года, на незаконные адреса за 2024 год поступило 40,9 млрд долларов, а похищенное в результате взломов и мошенничества выросло примерно на 21% год к году и достигло 2,2 млрд долларов — обзор доступен на сайте аналитической компании. Пострадавших много. Разборов мало.

Из обращений читателей редакции складывается узнаваемая последовательность. Сначала человек сутки пытается разобраться сам, потом советуется в чате, потом подаёт заявление — и к этому моменту половина следов на его собственном устройстве уже затёрта обновлением приложения или сбросом настроек.

Реестр необратимых действий

Действие пострадавшего Что утрачивается Восстановимо ли Что делают вместо
Перевод остатка «в безопасное место» через обменник или мост Чистота собственной цепочки: ваши средства смешиваются с маршрутом, который вы же и отслеживаете Нет, запись в сети неизменна, а объяснять происхождение переводов придётся Оставить остаток на месте до фиксации картины, при угрозе — перевести на новый адрес напрямую
Переустановка приложения кошелька или сброс устройства Локальные журналы, кеш подписей, история уведомлений и метки адресов Нет, если резервной копии не было, а системный бэкап приложение исключало Снять видеозапись экрана и выгрузить журнал операций до любых действий с приложением
Удаление переписки с «поддержкой» и ботами Главное доказательство социальной инженерии: тексты, ссылки, время сообщений Частично, через выгрузку у сервиса в пределах срока хранения Выгрузить переписку целиком, не удаляя оригинал, и сохранить вместе с датами
Смена номера телефона или SIM-карты Привязка к учётным записям и возможность сопоставить журналы оператора с событиями Частично, по документам оператора, но с задержкой и через запрос Сохранить номер, усилив защиту, и зафиксировать дату подозрительной активности
Публикация адреса получателя и скриншотов Элемент внезапности и правовая безопасность самого автора публикации Нет: сведения расходятся по кешам и репостам в течение часов Описывать схему без указания конкретных лиц, детали передавать в материалы проверки
Передача секретной фразы «специалисту по возврату» Остаток средств и любые активы, доступные по тому же набору ключей Нет, повторная потеря происходит в течение минут после передачи Не передавать секрет никому, включая сотрудников площадок и правоохранительных органов
Шестая строка стоит отдельно от прочих. Предложение «вернуть средства за процент» приходит обычно через сутки-двое после происшествия, когда пострадавший уже написал о случившемся публично, и адресовано оно тем, кто готов на любое действие. Ни один законный путь возврата не требует секретной фразы.

Сроки, которые нельзя восстановить

Процессуальные часы заданы жёстко. Статья 144 УПК РФ отводит на принятие решения по сообщению о преступлении трое суток со дня поступления, допускает продление до десяти суток по мотивированному ходатайству и до тридцати суток при необходимости документальных проверок, ревизий, судебных экспертиз и оперативно-розыскных мероприятий. Чем раньше подано заявление, тем больше шансов, что запросы уйдут в пределах сроков хранения данных у операторов и сервисов. Нормы сверены по тексту на 15 октября 2026 года.

Порядок, который сохраняет материал

  1. Зафиксируйте экран видеозаписью до того, как закроете приложение.
  2. Выпишите хеши, адреса и точное время. Текстом, а не снимком.
  3. Выгрузите переписки целиком. Ничего не удаляйте.
  4. Подайте заявление в территориальный орган МВД и запишите номер КУСП.
  5. Уведомите площадку, если конечный адрес относится к лицензированному сервису.
  6. Только после этого занимайтесь гигиеной доступов и переносом остатков.
Схема из пяти шагов сохранения материала: видеофиксация экрана, текстовая выписка хешей и времени, выгрузка переписок без удаления, подача заявления с номером КУСП, перенос остатков последним шагом
Схема из пяти шагов сохранения материала: видеофиксация экрана, текстовая выписка хешей и времени, выгрузка переписок без удаления, подача заявления с номером КУСП, перенос остатков последним шагом

Три чужие ошибки, которые повторяют чаще всего

Первая — спешка с переводом остатка. Логика понятна: средства в опасности, надо спасать. На деле при отравлении адреса или вредоносной подписи ключ часто остаётся целым, и опасности для остатка нет вовсе, а поспешный перевод через обменник превращает чистую картину в спорную и добавляет пострадавшему вопросов при разбирательстве. Как отличить вредоносную подпись от обычной, разобрано в материале о том, как распознать вредоносную подпись транзакции.

Вторая — уборка. Пострадавший удаляет подозрительные приложения, чистит историю браузера, стирает письма. Мотив гигиеничный, результат обратный: исчезает именно то, по чему устанавливают способ проникновения. Чистить можно после фиксации, не раньше.

Третья — молчание о затронутых учётных записях. Если кража началась с перехвата доступа к почте, то без восстановления контроля над ней любые дальнейшие шаги бессмысленны, потому что противник продолжает читать переписку с юристом и площадкой. Процедуры, через которые такой доступ перехватывают, разобраны в тексте о том, как защитить аккаунт от схем с восстановлением доступа.

Как не превратить реестр в список запретов

Реестр полезен тем, что заменяет запреты заменами. Против каждого опасного действия стоит допустимое, и это важно: человеку в стрессе нужно что-то делать, а не воздерживаться. Дайте себе разрешённый список — фиксация, выгрузка, заявление — и он займёт те самые часы, когда рука тянется к кнопке «перевести всё».

Порядок работы с цепочкой и подготовка материалов описаны в разборе о том, как проследить движение украденных средств и подготовиться к худшему сценарию. Оценка того, сколько риска остаётся после завершения проверки, — в материале о том, как проследить движение украденных средств и оценить остаточный риск.

Чек-лист

  • Экран зафиксирован видеозаписью до любых действий с приложением.
  • Приложение кошелька не переустанавливалось, устройство не сбрасывалось.
  • Переписки выгружены целиком, оригиналы на месте.
  • Остаток средств не переводился через обменники и мосты.
  • Номер телефона сохранён, защита усилена.
  • Адрес получателя не опубликован с обвинением конкретного лица.
  • Секретная фраза не передавалась никому ни при каких обстоятельствах.
  • Заявление подано, номер КУСП записан в тот же день.

Частые вопросы

Если я уже перевёл остаток через обменник, всё потеряно?

Нет, но картину придётся объяснять. Зафиксируйте, что перевод сделали вы, приложите выписку и укажите цель. Главное — не повторять: каждый следующий транзит добавляет узел, который следствию нужно отделять от маршрута противника. Дальше действуйте по порядку, начиная с фиксации текущего состояния.

Нужно ли сохранять устройство в неизменном виде?

Желательно, особенно в первые дни. Если есть запасной аппарат, переходите на него, а затронутое устройство отложите, не стирая. Это не превращает его в вещественное доказательство автоматически, но сохраняет журналы и установленные приложения на случай, когда следствию понадобится установить способ проникновения.

Стоит ли рассказывать о случившемся в тематических чатах?

Польза от совета сообщества обычно меньше вреда от огласки. Публикация сообщает противнику, что перевод замечен, и притягивает предложения «помочь с возвратом». Если делиться опытом хочется, делайте это после подачи заявления, без адресов, сумм и скриншотов с идентификаторами.

Можно ли одновременно вести своё расследование и официальное?

Да, и это разумно. Собственная работа даёт следователю готовую цепочку хешей и список сервисов для запросов, что сокращает сроки. Ограничение одно: никаких контактов с получателем средств и никаких публикаций о ходе дела. Ваш материал — вклад в проверку, а не параллельный процесс.

Материалы по теме:

Процессуальные сроки читают по первоисточнику — тексту статьи 144 УПК РФ, где перечислены основания продления проверки.

Вердикт

Чужие истории ценны не тем, как у людей украли, а тем, что они сделали в следующие два часа. Реестр необратимых действий сворачивает этот опыт в шесть строк, и ни одна из них не требует ни знаний, ни денег — только выдержки не трогать то, что кажется срочным. Сначала фиксация. Потом заявление. Остальное подождёт.

Разборы инцидентов и практика обращений — в Telegram-канале Cryptium.