Для рабочего аккаунта трассировка начинается с имущественной атрибуции: кому принадлежал ушедший актив — компании или сотруднику. Ответ определяет заявителя, набор документов и язык переписки с площадкой. Если адрес смешанный, сначала разделяют суммы по источнику поступления, и лишь затем собирают выгрузку операций. Реестр корпоративных адресов делает эту работу заранее, за минуту вместо недели. Без него спор о принадлежности средств обгоняет само расследование.

Реестр корпоративных адресов — это учётный документ организации, который связывает каждый используемый адрес с ответственным сотрудником, назначением, источником поступления средств и признаком принадлежности: имущество компании или личные средства работника.

Как выглядит схема со стороны жертвы

Начинается с удобства. Сотрудник принимает платёж контрагента на свой кошелёк, потому что корпоративный ещё не настроен. Через месяц на том же адресе лежат и его деньги, и деньги компании. Ещё через месяц адрес пустеет. Дальше тупик.

Компания не может заявить о хищении своего имущества, потому что по документам средства на этот адрес не поступали. Сотрудник заявляет от себя, но не готов объяснять происхождение части суммы. Площадка отвечает обоим, что работает по запросам уполномоченных органов. Время уходит, позиция тает.

Второй сюжет — корпоративный аккаунт на площадке, оформленный на физическое лицо. В обращениях читателей он встречается у небольших команд постоянно: аккаунт на директоре, доступ у трёх человек, двухфакторная аутентификация привязана к личному телефону одного из них. При увольнении или при угоне телефона компания теряет и доступ, и правовую позицию одновременно.

Признаки, по которым распознаётся подмена

Корпоративный инцидент отличается от личного маршрутом входа. Личный кошелёк чаще теряют через подпись на фишинговой странице, рабочий — через компрометацию рабочего контура: поддельное письмо о счёте, вложение в переписке по проекту, обращение «из службы безопасности партнёра».

Отраслевая статистика эту разницу подтверждает. По отчёту Chainalysis Crypto Crime Report 2026 на долю группировок, связанных с КНДР, пришлось рекордные 76% всех компрометаций сервисов в 2025 году, а похищенная ими сумма оценена в 2,02 млрд долларов — рост на 51% к 2024 году. Сведения проверены на 14 октября 2026 года по публикации компании о похищенных средствах.

Признак адреса Кто считается потерпевшим Какие документы нужны Что ломается при смешении
Адрес заведён организацией, поступления только от контрагентов Организация, заявление подаёт руководитель или представитель по доверенности Приказ о назначении ответственного, выписка из реестра адресов, договоры с контрагентами Ничего: принадлежность подтверждается первичными документами
Адрес личный, поступления только от работодателя Вопрос спорный: зависит от того, перешло ли право на средства к работнику Трудовой договор, платёжные поручения, переписка о назначении платежей Квалификация суммы: часть признают доходом работника, часть — имуществом компании
Адрес смешанный, поступления из двух источников Двое, каждый в части своей суммы по хронологии поступлений Полная выписка операций с разметкой каждого поступления по источнику Срок: разметка задним числом занимает дни и оспаривается
Аккаунт площадки на физлице, средства компании Формально — владелец аккаунта, фактический собственник доказывается отдельно Договоры, акты, подтверждение источника внесения средств на аккаунт Доступ и позиция сразу: при утрате контакта с владельцем компания теряет обе

Налоговая сторона усиливает требование к разметке. Федеральный закон от 29 ноября 2024 года № 418-ФЗ признал цифровую валюту имуществом для целей налогообложения, и положения закона действуют с 1 января 2025 года. Из этого следует вещь, о которой вспоминают поздно: операции по корпоративному адресу попадают в учёт, а необъяснённое поступление на личный адрес сотрудника — в его налоговую базу.

Приём платежей контрагентов на личный кошелёк сотрудника создаёт два риска сразу, и оба всплывают в день инцидента. Компания не может подтвердить, что похищенное принадлежало ей. Сотрудник не может объяснить происхождение средств, которые через него прошли. Разделение адресов стоит часа настройки.

Проверка за 60 секунд: что открыть и на что смотреть

  1. Откройте реестр адресов организации. Если его нет, выпишите все адреса, через которые проходили деньги компании за год.
  2. По каждому адресу укажите владельца ключа, ответственного сотрудника и источник поступлений. Три графы. Не больше.
  3. Отметьте смешанные адреса отдельно. Это ваша зона риска, и работать с ней нужно до инцидента.
  4. Проверьте, на кого оформлены аккаунты площадок и куда привязана двухфакторная аутентификация. Личный телефон одного сотрудника — точка отказа.
  5. Соберите последние операции по корпоративным адресам: идентификаторы, время в UTC, суммы, получателей. Выгрузка пригодится и для учёта.
Схема из пяти шагов: реестр адресов организации, графы владельца ключа и источника поступлений, выделение смешанных адресов, проверка оформления аккаунтов площадок, выгрузка операций для заявления и учёта
Схема из пяти шагов: реестр адресов организации, графы владельца ключа и источника поступлений, выделение смешанных адресов, проверка оформления аккаунтов площадок, выгрузка операций для заявления и учёта

Публичные аккаунты проекта проверяют в том же проходе. Угон корпоративной страницы часто становится первым звеном, и разбор о том, как защитить аккаунт проекта в социальной сети от угона, описывает связку между захватом канала и последующими переводами «по указанию руководства».

Пошаговые действия, если деньги уже ушли

Российский контур расследования опирается на аналитику Росфинмониторинга: государственный модуль сервиса «Прозрачный блокчейн» к сентябрю 2026 года подключили более восьмидесяти банков, а анализ охватывает более тридцати криптовалют. Сведения проверены на 14 октября 2026 года.

Корпоративный порядок жёстче личного по документам и мягче по срокам принятия решений: решает не один человек, а регламент.

  1. Зафиксируйте принадлежность похищенного по реестру и первичным документам. Это первый лист дела.
  2. Оформите полномочия заявителя. Для организации это руководитель либо представитель с доверенностью на подачу заявления и получение процессуальных документов.
  3. Соберите выгрузку: идентификаторы операций, номера блоков, адреса, время в UTC, суммы в единицах токена, адреса контрактов.
  4. Подайте заявление в орган внутренних дел по месту нахождения организации. По статье 144 Уголовно-процессуального кодекса решение принимается в срок до трёх суток, с продлением до десяти, а при документальных проверках — до тридцати суток.
  5. Отзовите доступы по всем сотрудникам, имевшим отношение к скомпрометированному контуру. Отзыв делают до перевода остатков, иначе новая схема наследует старые риски.

Решение по остатку принимают расчётом, а не голосованием. Материал о том, как проследить движение украденных средств и оценить остаточный риск, даёт схему этого расчёта, применимую и к корпоративным адресам.

Как закрыть дыру, чтобы не повторилось

Первое правило одно. Ни одного рубля компании на личных адресах. Корпоративный адрес заводится до первого платежа, а не после десятого.

Второе правило — аккаунты площадок на организацию, с корпоративной почтой и аппаратными ключами доступа, а не с привязкой к личному номеру сотрудника. Увольнение не должно влиять на доступ к средствам компании.

Третье — разделение подписи и повседневной работы. Отдельный аппарат для операций описан в разборе о том, как выделить отдельное устройство под криптооперации и настроить уведомления, и в корпоративном контуре он окупается быстрее: рабочая почта получает вложения ежедневно. Четвёртое — короткое обучение всех, кто подписывает: как распознать вредоносную подпись транзакции должен знать не только финансовый директор.

Чек-лист

  • Реестр адресов организации заведён: адрес, владелец ключа, ответственный, источник
  • Смешанные адреса выявлены и расчищены до инцидента
  • Платежи контрагентов не принимаются на личные кошельки сотрудников
  • Аккаунты площадок оформлены на организацию, доступ не зависит от личного телефона
  • Полномочия заявителя оформлены заранее: приказ или доверенность готовы
  • Выгрузка операций по корпоративным адресам делается регулярно и попадает в учёт
  • Порядок отзыва доступов при увольнении описан и проверен на практике
  • Все подписанты прошли разбор окон подтверждения и разрешений

Материалы по теме:

Частые вопросы

Кто подаёт заявление, если деньги ушли с личного кошелька сотрудника?

Заявление подаёт тот, чьё имущество пострадало. При смешанном адресе чаще оформляют два заявления с общей выгрузкой: от сотрудника в части его средств и от организации в части корпоративных. Перекрёстная ссылка на номера регистрации избавляет от повторных объяснений в обоих производствах.

Можно ли разметить смешанный адрес задним числом?

Технически да, по хронологии поступлений и платёжным документам. Практически такая разметка оспаривается, потому что составлена после инцидента и в интересах составителя. Рабочий вариант — вести учёт поступлений по мере их появления, тогда выписка подтверждает принадлежность без дополнительных доказательств.

Нужна ли доверенность для обращения к площадке?

Для обращения от имени организации — да, если пишет не руководитель. Но ключевой документ другой: площадки ограничивают операции по запросам уполномоченных органов, а не по письмам клиентов. Поэтому первым оформляют заявление в полицию и получают номер регистрации, и только затем пишут площадке.

Что делать с аккаунтом, оформленным на уволившегося сотрудника?

Переоформить до того, как доступ понадобится. Пока аккаунт на физическом лице, компания зависит от его доброй воли и сохранности его телефона. Перенос на корпоративную почту с аппаратными ключами занимает день и снимает зависимость, которую иначе обнаруживают в худший момент.

Вердикт

Рабочий аккаунт проигрывает инцидент не в цепочке блоков, а в бумагах. Пока принадлежность средств не подтверждена первичными документами, выгрузка операций остаётся набором цифр без заявителя — и площадка с органами ведут переписку ни с кем. Реестр адресов с четырьмя графами снимает этот вопрос заранее и попутно закрывает учётную сторону. Заводят его в день первого платежа, а не в день потери.

Корпоративные разборы и свежие схемы против команд публикуем в нашем Telegram-канале.