Проследить движение украденных средств и проверить каждый шаг — значит вести журнал: от своей операции к следующему адресу, от него к следующему, и так до точки, где деньги попадают к оператору с обязанностями по закону. Каждый шаг фиксируется четырьмя значениями: хеш, время в UTC, сумма, сеть. Скриншот журнала не заменяет. Трассировка не возвращает деньги сама, но без неё обращение в полицию и на площадку остаётся пересказом.

Трассировка украденных средств — это последовательная проверка переводов по публичному блокчейну, при которой каждый адрес на маршруте описывается хешем операции, временем, суммой и сетью, а цепочка ведётся до первой точки с известным оператором.

Как проследить движение украденных средств и проверить каждый шаг: с чего начинается журнал

Первая запись — ваша собственная операция, из которой берут адрес получателя: это нулевой хоп, точка входа в маршрут и единственное место, где вам известны все обстоятельства перевода. Дальше работа идёт в обозревателе сети, где у каждого адреса видны входящие и исходящие переводы с метками времени, суммами и ссылками на операции, которыми этот адрес связан с соседними.

Правило одного шага спасает от путаницы. За раз проверяется один адрес и один перевод, и только после записи в журнал вы переходите к следующему. Иначе через полчаса маршрут превращается в десяток вкладок без привязки ко времени, и восстановить логику уже нельзя.

Скорость имеет цену. По отчёту Chainalysis о похищенных средствах за 2025 год, у хакеров, связанных с КНДР, виден устойчивый сорокапятидневный цикл отмывания: в первые пять суток после кражи активность в протоколах децентрализованного финансирования растёт на 370%, обращения к миксерам — на 135–150%, а на шестые-десятые сутки подключаются площадки с ослабленной проверкой клиентов.

Отсюда вывод для частного владельца: первые часы маршрут читается, дальше он распадается на фрагменты. Из обращений читателей видно, что люди приходят с вопросом через неделю, когда след уже прошёл через обмен между сетями.

Как выглядит схема со стороны жертвы

Деньги уходят одной операцией. На экране — подтверждение сети, в журнале кошелька — исходящий перевод, отменить который невозможно. Через минуты средства дробятся: с адреса получателя уходят несколько переводов разного размера, часть в стейблкоинах, часть в основном токене сети на оплату комиссий.

Затем появляются «помощники». В чатах и комментариях предлагают вернуть средства за процент, присылают ссылки на «панель возврата» и просят фразу восстановления, обещая разблокировать деньги в тот же день. Это вторая волна той же атаки, и она уносит у пострадавших больше, чем первая.

Фразу восстановления и приватный ключ не передают никому — ни специалисту по трассировке, ни сотруднику площадки, ни следователю. Для расследования достаточно публичных данных: адресов, хешей, времени и сумм.

Признаки, по которым распознаётся транзитный адрес

Маршрут состоит из точек разного типа, и каждая читается по своим признакам: по числу входящих переводов, по характеру исходящих и по тому, появляется ли на выходе адрес контракта.

Тип точки Что видно в обозревателе Что это значит Действие
Адрес-сборщик. Много входящих от разных жертв, редкие крупные исходящие. Промежуточный кошелёк злоумышленника. Записать в журнал и идти по крупному исходящему переводу.
Депозитный адрес сервиса. Входящие от множества адресов, исходящие на один внутренний адрес. Средства перешли под контроль оператора. Остановиться и обратиться к сервису и в полицию.
Мост между сетями. Перевод в адрес контракта, дальше в сети пусто. Маршрут продолжается в другой сети. Зафиксировать время и искать парный перевод там.
Миксер или пул анонимизации. Типовые равные суммы, отсутствие прямой связи выхода со входом. Прямое продолжение маршрута недоступно. Закрыть ветку журнала, указать точку обрыва.
Обмен внутри сети. Операция с контрактом обменника, смена токена. Та же сумма продолжает путь в другом токене. Продолжать по новому токену от того же адреса.
Схема из шести шагов: зафиксировать свою операцию, открыть адрес получателя, записать хоп в журнал, определить тип точки, дойти до адреса оператора, передать выгрузку
Схема из шести шагов: зафиксировать свою операцию, открыть адрес получателя, записать хоп в журнал, определить тип точки, дойти до адреса оператора, передать выгрузку

Проверка за 60 секунд: что открыть и на что смотреть

  1. Откройте свою операцию по хешу в обозревателе выбранной сети и скопируйте адрес получателя целиком.
  2. Перейдите на страницу этого адреса и отсортируйте переводы по времени, начиная с момента вашей потери.
  3. Найдите исходящий перевод, который ближе всех по сумме и времени к вашему, и запишите его хеш в журнал.
  4. Определите тип следующей точки: обычный кошелёк, контракт обменника, мост, депозитный адрес сервиса.
  5. Сохраните выгрузку по каждому адресу файлом, а не скриншотом: обозреватели отдают историю операций в CSV.

Проверка каждого шага держится на дисциплине записи. Полезно сразу помечать, какие операции вы подписывали сами: умение читать запрос на подпись разобрано в материале о том, как распознать вредоносную подпись транзакции.

Пошаговые действия, если деньги уже ушли

  1. Остановите утечку: отзовите разрешения контрактам и переведите остатки на адрес, созданный на другом устройстве.
  2. Соберите журнал хопов до первой точки с оператором — это ядро обращения и к сервису, и к следствию.
  3. Напишите в поддержку площадки из её кабинета, приложив хеши и адреса; блокировку оператор ставит по запросу правоохранительных органов, а не по письму пострадавшего.
  4. Подайте заявление в полицию лично. По статье 474.2 Уголовно-процессуального кодекса заявление о преступлении из перечня электронных документов исключено: через интернет-форму подают обращение, но не само заявление.
  5. Сообщения о происшествиях принимают круглосуточно в дежурных частях и по телефону 102 с мобильного; обращение на сайте органа внутренних дел рассматривают 30 дней со дня регистрации.

Дальше оценивают, что ещё затронуто: адреса, аккаунты, устройства. Порядок такой оценки описан в разборе про то, как проследить движение украденных средств и оценить остаточный риск.

Как закрыть дыру, чтобы не повторилось

Трассировку готовят заранее, как план эвакуации. Шаблон журнала, список обозревателей по нужным сетям, адреса своих кошельков с подписями — всё это собирается в спокойный день и лежит в одном файле, который открывается без интернета.

Рабочий минимум журнала: шесть колонок — номер хопа, адрес, хеш, время в UTC, сумма, тип точки. На 13 октября 2026 года обозреватели крупных сетей отдают историю операций по адресу в виде файла CSV, что избавляет от ручного переписывания.

Второй контур — наблюдение. Оповещения по своим адресам показывают движение в момент, когда оно началось, а не через неделю; их настройка описана в гайде о том, как проследить движение украденных средств и подготовиться к худшему сценарию.

Третий контур — гигиена самих переводов. Большая часть потерь начинается с ошибочной отправки по подставным реквизитам, и этот риск снимается отдельно; разбор собран в материале о том, как распознать отравление истории адресов и подготовиться к худшему сценарию.

Чек-лист

  • Своя операция зафиксирована хешем, временем, суммой и сетью.
  • Журнал хопов ведётся по одному шагу за раз.
  • Тип каждой точки маршрута определён и записан.
  • Выгрузки по адресам сохранены файлами, а не скриншотами.
  • Точки обрыва маршрута отмечены отдельно.
  • Обращение к сервису отправлено из его кабинета.
  • Заявление в полицию подано лично, с выгрузкой на бумаге.

Частые вопросы

Можно ли заблокировать украденные средства самому?

Нет. В публичной сети нет кнопки отмены, а остановить движение способен только оператор, у которого средства оказались на счёте, и делает он это по запросу правоохранительных органов. Задача пострадавшего другая: быстро собрать маршрут и передать его тем, кто вправе принимать решение о блокировке.

Что делать, если маршрут упёрся в миксер?

Закройте эту ветку журнала и зафиксируйте точку обрыва с хешем и временем. Дальше работают методы, доступные следствию: запросы к операторам, сопоставление сумм и времени на выходе. Самостоятельно продолжать догадками не стоит — в деле они веса не имеют и сбивают с фактической картины.

Нужен ли платный сервис трассировки частному владельцу?

Для маршрута из нескольких шагов хватает публичного обозревателя сети и аккуратного журнала. Коммерческие инструменты полезны, когда счёт идёт на десятки адресов и несколько сетей. Предложения «вернуть деньги за процент» к трассировке отношения не имеют: это отдельная схема, рассчитанная на отчаяние пострадавшего.

Сколько времени есть на сбор маршрута?

Считайте, что первые сутки решают. Пока средства не прошли через обмен между сетями, связь между переводами видна по суммам и времени. Позже картина дробится, и восстановление требует запросов к операторам. Поэтому журнал начинают в день потери, а не после переписки с «помощниками».

Материалы по теме:

Первоисточники: отчёт Chainalysis о похищенных средствах за 2025 год и страница приёма обращений МВД России.

Вердикт

Трассировка — не способ вернуть деньги, а способ превратить потерю в документ, с которым работают площадка и следствие. Качество этого документа решают скучные вещи: один шаг за раз, четыре значения на каждый хоп, выгрузки файлами, честно отмеченные точки обрыва. Редакция считает такой журнал обязательной частью обращения, потому что без него разговор сводится к эмоциям. И ещё одно: никто из участников расследования не нуждается в вашей фразе восстановления. Разборы схем публикуем в Telegram-канале Cryptium.