Как проследить движение украденных средств и протестировать восстановление

Трассировку репетируют до инцидента, а не во время него. Репетиция состоит из двух прогонов. Первый проверяет резерв: кошелёк восстанавливают на отдельном устройстве и сверяют контрольную карточку — отпечаток публичного ключа аккаунта, первый адрес приёма и первый адрес сдачи. Второй проверяет навык: по учебной публичной транзакции владелец за отведённое время собирает выгрузку и доводит её до формы заявления. Расхождение на любом шаге находится в спокойной обстановке.

Как выглядит схема со стороны жертвы

Человек уверен в резерве. Напрасно. Слова записаны, металлическая пластина заказана, копия лежит у родителей. Проверку он не делал ни разу — проверять нечего, слова же записаны. В день потери выясняется, что при создании кошелька была задана дополнительная парольная фраза, предусмотренная BIP-39, а её нигде не зафиксировали. Набор слов открывает другой кошелёк: пустой, рабочий и совершенно чужой по истории.

Второй сюжет мягче по последствиям, но чаще. Резерв рабочий, адреса находятся, а владелец не умеет собрать выгрузку. Он шлёт в заявление пять скриншотов галереи и формулировку «украли деньги с кошелька». Проверка по такому материалу упирается в уточняющие вопросы, и первые сутки, когда след свежий, уходят на переписку.

Третий сюжет — ложная тревога. В обращениях читателей он занимает заметную долю: средства на месте, а кошелёк восстановился по другому стандарту или без парольной фразы. Человек тем временем успел подать заявление, написать на площадку и выложить историю публично, после чего получает вторую волну — предложения «помочь с восстановлением» от людей, пришедших в личные сообщения.

Признаки, по которым распознаётся подмена

Сверка идёт по трём полям, и порядок имеет значение. Отпечаток публичного ключа аккаунта, первый адрес приёма, первый адрес сдачи. Совпали все три — восстановлен тот же кошелёк. Не совпал отпечаток — другой стандарт или другая парольная фраза. Совпал отпечаток, но разошлись адреса — перебор идёт по другой ветви.

Адрес сдачи сверяют отдельно и не зря. Именно на нём оседают остатки после переводов, именно он чаще всего выпадает из перечня при ручной выписке адресов. Пропущенная ветвь сдачи даёт картину, где средства «исчезли», хотя они лежат на своём месте.

Четвёртая строка таблицы — та, которую пропускают почти все. Между «умею» и «делал» разница в часах, а часы в этом деле стоят дорого.

Проверка за 60 секунд: что открыть и на что смотреть

1. Достаньте контрольную карточку. Если её нет, сделайте сейчас: отпечаток публичного ключа аккаунта и два первых адреса занимают три строки.
2. Восстановите кошелёк на отдельном устройстве и откройте тот же экран. Сравните три поля посимвольно, а не на глаз.
3. Включите отображение ветви сдачи. Многие приложения прячут её по умолчанию, и адреса этой ветви не попадают в выписку.
4. Возьмите любую публичную транзакцию из обозревателя и пройдите по ней три перехода. Отметьте время начала и конца.
5. Запишите результат прогона в журнал проверок: дата, что сверяли, что сошлось. Журнал и есть доказательство того, что резерв рабочий.

Учебный прогон полезен и тем, что показывает границу самостоятельной работы. Три перехода читаются. Дальше начинается атрибуция адресов сервисам — и материал о том, как проследить движение украденных средств и подготовиться к худшему сценарию, объясняет, где эта граница проходит.

Пошаговые действия, если деньги уже ушли

Репетиция меняет порядок действий в день инцидента. Паники меньше, шагов меньше. Порядок известен.

1. Откройте журнал проверок и возьмите из него перечень своих адресов. Выписывать заново ничего не нужно.
2. Соберите выгрузку по отработанной схеме: идентификаторы, номера блоков, адреса, время в UTC, суммы. Тренированный прогон занимает полчаса.
3. Подайте заявление в орган внутренних дел. По статье 144 Уголовно-процессуального кодекса решение принимается в срок до трёх суток, с продлением до десяти, а при документальных проверках — до тридцати суток.
4. Если инциденту предшествовал перевод с карты, обратитесь в банк в тот же день. Процедура возврата работает по заявлениям клиентов и опирается на признаки операции без добровольного согласия.
5. Не публикуйте историю в открытых каналах до подачи заявления. Вторая волна приходит к тем, кто рассказал о потере публично.

Про эту вторую волну стоит знать заранее. Схемы «восстановления доступа» идут следом за любым инцидентом, и разбор того, как защитить аккаунт от схем с восстановлением доступа, перечисляет их признаки. По обзору мошенничества Chainalysis за 2026 год схемы с выдачей себя за другое лицо выросли за год более чем в четырнадцать раз, а общий объём мошенничества оценён в 17 млрд долларов за 2025 год.

Как закрыть дыру, чтобы не повторилось

Журнал проверок — главный артефакт этой темы. Четыре строки в год. Каждая с датой и результатом. Он отвечает на вопрос «работает ли резерв» фактом, а не уверенностью.

Второе решение — хранить сведения о парольной фразе отдельно от набора слов, но не терять сам факт её существования. Запись «фраза используется, подсказка такая-то» лежит там, где её найдут наследники. Сама фраза — в другом месте. Всегда.

Третье — не совмещать прогон и работу. Устройство для тестового восстановления живёт отдельно, и подход к такому разделению описан в разборе о том, как выделить отдельное устройство под криптооперации и настроить уведомления. Четвёртое — повторять учебную трассировку на свежих примерах: приёмы подмены получателя меняются, и как распознать отравление истории адресов полезно перечитывать раз в полгода.

Чек-лист

• Контрольная карточка составлена: отпечаток ключа аккаунта и два первых адреса
• Тестовое восстановление выполнено на отдельном устройстве с нулевым остатком
• Три поля карточки сверены посимвольно, результат записан
• Наличие или отсутствие парольной фразы BIP-39 зафиксировано документально
• Ветвь адресов сдачи включена в отображение и попала в перечень
• Доли по SLIP-39 собраны из минимального порога хотя бы однажды
• Учебная трассировка публичной транзакции пройдена с замером времени
• Журнал проверок заведён, в нём не меньше одной записи за полугодие

Частые вопросы