Для рабочего аккаунта отравление истории адресов распознаётся по тому же пылевому поступлению с адреса-двойника, но защита строится не на внимательности оператора. Она строится на маршруте документа: адрес получателя приходит из договора или счёта, попадает в справочник контрагентов, оттуда — в заявку на выплату и только затем в поле кошелька. Журнал операций в этом маршруте не участвует. Смена реквизитов — отдельная процедура с подтверждением.

Платёжный маршрут — это закреплённая последовательность, по которой адрес получателя переходит от первичного документа к подписи в кошельке, с ответственным и контролем на каждом этапе. Он нужен для того, чтобы адрес нельзя было внести в оплату из источника, который компания не контролирует.

Как выглядит схема со стороны жертвы

Рабочий контур ошибается иначе, чем личный. Оператор платежей редко решает сам: он берёт адрес из заявки, а заявку готовит менеджер проекта. Слабое место сдвигается на стык: адрес попадает в заявку копированием из переписки или из истории прошлой оплаты, и дальше по маршруту его уже никто не оспаривает, потому что документ выглядит оформленным.

Второй сюжет — письмо о смене реквизитов. Сообщение приходит с адреса, похожего на домен подрядчика, с правильным номером договора и вежливой формулировкой о новом кошельке. В личном контуре такое письмо вызывает подозрение, в рабочем оно попадает в рутину согласования. Chainalysis в разборе от 23 октября 2024 года зафиксировала 82 031 подсеянный адрес и 2 774 кошелька, с которых средства ушли на подделки, при суммарных потерях 69,7 млн долларов.

Третья особенность — объём. В компании переводов больше, и внимание к каждой строке ниже, зато есть то, чего нет у частного владельца: первичные документы, справочник контрагентов и возможность развести подготовку платежа и его подписание между разными людьми. Этим и пользуются. Контроль переносят с человека на маршрут.

Признаки, по которым распознаётся подмена

Контроль расставляют по этапам, а не в конце. Таблица показывает, где адрес уязвим и чем это закрывается.

Этап платёжного маршрута Откуда берётся адрес на этом этапе Контроль на этапе
Договор или выставленный счёт подрядчика. Адрес указан в самом документе вместе с сетью и наименованием актива. Сверка домена отправителя документа и подтверждение адреса по телефону из договора.
Справочник контрагентов в учётной системе. Адрес внесён однократно с указанием документа-основания и даты внесения. Запрет на правку адреса без нового документа и второй подписи ответственного.
Заявка на выплату, подготовленная исполнителем. Адрес подставляется из справочника автоматически, вручную не вводится. Отказ заявки, если адрес отличается от значения в справочнике.
Подписание транзакции в кошельке. Адрес вставляется из заявки, журнал операций источником не считается. Сверка полной строки и суммы на экране подписи другим сотрудником.
Сверка после оплаты и закрытие периода. Адрес и хеш операции фиксируются в акте или во внутреннем отчёте. Сопоставление фактических получателей со справочником за период.

Проверка за 60 секунд: как распознать отравление истории адресов для рабочего аккаунта

Схема из шести шагов: адрес из первичного документа, внесение в справочник контрагентов, подстановка в заявку, разделение подготовки и подписания, сверка строки на экране подписи, фиксация хеша в отчёте
Схема из шести шагов: адрес из первичного документа, внесение в справочник контрагентов, подстановка в заявку, разделение подготовки и подписания, сверка строки на экране подписи, фиксация хеша в отчёте

Минутная проверка идёт по маршруту, а не по журналу. Вопрос один: откуда в заявке этот адрес.

  1. Откройте заявку и найдите документ-основание. Заявка без ссылки на документ к оплате не принимается.
  2. Сверьте адрес в заявке со значением в справочнике контрагентов, целиком, включая середину строки.
  3. Проверьте дату последнего изменения записи в справочнике и основание этого изменения.
  4. Если реквизиты менялись, подтвердите адрес по телефону из договора, а не по контактам из письма о смене.
  5. Перед подписью сверьте строку на экране кошелька с заявкой — это делает второй сотрудник.
  6. После оплаты внесите хеш операции в отчёт и сопоставьте получателя со справочником.
Рекомендация 16 ФАТФ задаёт для переводов виртуальных активов порог де-минимис в 1 000 долларов или евро: выше него поставщик услуг обязан передавать полный набор сведений об отправителе и получателе, ниже — сокращённый. Для компании это означает, что адрес получателя становится учётным реквизитом наравне с банковским счётом и должен подтверждаться документом, а не перепиской.

Пошаговые действия, если деньги уже ушли

В рабочем контуре у инцидента есть внутренняя часть и внешняя. Внутреннюю закрывают первой.

  1. Остановите остальные выплаты по тому же контрагенту до окончания разбора.
  2. Зафиксируйте хеш операции, адрес получателя, адрес из справочника и время по обозревателю.
  3. Сохраните переписку и письмо о смене реквизитов с полными заголовками сообщения.
  4. Проверьте, не менялись ли записи других контрагентов в справочнике за тот же период.
  5. Подайте заявление в полицию от имени организации: обращение в электронной форме принимают на официальном сайте МВД, срок рассмотрения — 30 дней по Федеральному закону от 02.05.2006 № 59-ФЗ.
Правка адреса в справочнике контрагентов без документа-основания — наиболее дорогая по последствиям операция во всём маршруте, и журналировать её нужно отдельно от остальных изменений. Если учётная система не ведёт историю правок реквизитов, адреса держат в отдельном реестре с датами. Возврата средств не гарантирует ни один инструмент и ни один платный сервис.

Как закрыть дыру, чтобы не повторилось

Рабочий контур чинится регламентом, и регламент пишется один раз. Четыре правила закрывают основную часть риска.

Чек-лист

  • У каждой заявки есть документ-основание.
  • Адрес подставляется из справочника.
  • Ручной ввод адреса в заявку запрещён.
  • Правки реквизитов журналируются отдельно.
  • Подготовка и подписание разделены.
  • Строка сверяется на экране подписи.
  • Смена реквизитов подтверждается по телефону из договора.
  • Хеш операции попадает в отчёт.

Частые вопросы

Можно ли принимать адрес из письма подрядчика?

Как сигнал — да, как основание для оплаты — нет. Письмо инициирует процедуру: адрес вносят в справочник только после подтверждения по контакту из договора и с приложением документа. Подделка домена отправителя и копирование подписи в письме давно перестали быть сложной задачей, поэтому канал, принёсший адрес, сам себя не подтверждает.

Нужен ли отдельный кошелёк под рабочие выплаты?

Разделение по назначению снижает цену ошибки. Рабочий кошелёк держат с остатком под текущий платёжный период, основной объём хранят отдельно. Тогда ошибочная или подменённая отправка ограничена остатком расчётного контура, а доступ к хранению остаётся у другого круга лиц и под другой процедурой подтверждения.

Как часто сверять справочник контрагентов?

Разумный ритм — при закрытии каждого платёжного периода. Сверяют два списка: фактических получателей за период и действующие записи справочника. Расхождение означает либо ручной ввод в обход процедуры, либо правку реквизитов без основания. Оба случая разбирают до следующей выплаты тому же контрагенту.

Кто отвечает за адрес, если оплата ушла на подделку?

Распределение ответственности задаёт внутренний регламент, и закрепить его стоит до инцидента, а не после. Практика редакции: ответственность делится по этапам маршрута — за внесение адреса, за подготовку заявки и за подписание. Без письменного регламента разбор превращается в спор, а выводы для процедуры не делаются.

Внешнюю фактуру держат регулятор и профильные аналитики: сообщение Банка России об операциях без добровольного согласия клиентов за I квартал 2026 года и отчёт Elliptic о типологиях риска в криптоактивах для финансовых организаций от 14 июля 2026 года. По обзору Банка России от 14 мая 2026 года, за I квартал 2026 года зафиксировано 495 761 операция без добровольного согласия клиентов на 7,4 млрд рублей при доле возмещённых средств 5,7%. Данные в материале проверены на 14 октября 2026 года.

Вердикт

Рабочий аккаунт защищается не бдительностью, а маршрутом документа. Адрес, у которого есть основание, дата внесения и запрет на правку без второй подписи, подменить изнутри переписки не получается. Из редакционной практики: в компаниях, где подготовка заявки и подписание транзакции разведены между людьми, инциденты со сменой реквизитов заканчиваются звонком, а не переводом. Регламент на две страницы здесь стоит дороже любого контроля постфактум.

Разборы схем и свежие инциденты — в Telegram-канале Cryptium.