Чтобы проследить путь украденных средств по публичным данным, фиксируют исходную точку — адрес, хэш транзакции, время и сумму, — а затем идут по выходам в обозревателе сети, отмечая каждое ветвление. В сетях с моделью непотраченных выходов помогают эвристики общего входа и сдачи, в сетях с балансами — история адреса и внутренние вызовы. След обрывается там, где средства попадают к обслуживающему сервису: дальше работают правоохранительные органы.

Прослеживание — это восстановление последовательности переводов по открытым записям сети от известной точки компрометации до момента, когда средства переходят под контроль сервиса либо перестают различаться в публичном учёте.

Какую задачу решает подход

Самостоятельное прослеживание не возвращает деньги. Оно даёт другое: документированную цепочку, пригодную для заявления в правоохранительные органы и для обращения в службу безопасности сервиса, на адрес которого пришли средства. Решение о блокировке принимает сервис или суд, а не потерпевший, и чем точнее подготовлены данные, тем быстрее обращение попадает в работу.

Масштаб проблемы измерен. Годовой отчёт IC3 за 2024 год фиксирует 149 686 обращений с упоминанием криптовалюты и 9,32 млрд долларов заявленных потерь: рост убытков на 66% за год, крупнейшая группа заявителей — старше 60 лет, на неё приходится 33 369 обращений и 2,84 млрд долларов. Это заявленные потери по жалобам, а не оценка рынка.

Рекомендации ФАТФ в редакции июня 2026 года помещают отслеживание в более широкую рамку: возврат активов определён там как процесс выявления, отслеживания, оценки, замораживания, ареста и конфискации преступного имущества. Отслеживание — только первая ступень, и выполняется она не ради вывода о виновности, а ради обеспечительных мер.

Как проследить путь украденных средств по публичным данным

  1. Зафиксируйте исходные данные. Адрес, хэш, номер блока, время, сумма, сеть. Снимки экрана с видимым временем сохраняют сразу.
  2. Определите модель сети. Непотраченные выходы или балансы счетов — от этого зависит, что вообще видно в истории.
  3. Идите по выходам по одному. Каждый шаг записывают в таблицу: хэш, время, сумма, адрес-получатель.
  4. Ограничьте глубину и порог. Ветвление растёт лавинообразно, поэтому задают минимальную сумму и число шагов, ниже которых ветку не разбирают.
  5. Остановитесь на сервисе. Приход на адрес обслуживающей площадки — конец публичной части; дальше идёт обращение и заявление.
Схема из пяти шагов: фиксация исходных данных, определение модели сети, проход по выходам с записью в таблицу, ограничение глубины и порога суммы, остановка на адресе обслуживающего сервиса
Схема из пяти шагов: фиксация исходных данных, определение модели сети, проход по выходам с записью в таблицу, ограничение глубины и порога суммы, остановка на адресе обслуживающего сервиса

Как это работает на цифрах

Условный пример ветвления. Один перевод разделён на три выхода, каждый из них — ещё на три. Через шесть шагов получается 729 конечных адресов, через восемь — 6 561. Без порога отсечения разбор такой структуры вручную невозможен. Поэтому задают два ограничения: минимальная сумма ветки, например 1% от украденного, и максимальная глубина, например шесть шагов. Числа условные, они показывают порядок роста.

Второе, что считают, — время. Чем раньше зафиксирована цепочка, тем выше шанс, что средства ещё не прошли через сервис. Рекомендации ФАТФ в пункте 12 пояснительной записки к Рекомендации 16 задают здесь ориентир: отправляющее учреждение предоставляет сведения по запросу в течение трёх рабочих дней, а правоохранительные органы вправе требовать немедленного предоставления. Сутки, потраченные на раздумья, работают против потерпевшего.

Что разбираем Что видно в публичных данных Ограничение
Сеть с непотраченными выходами Входы и выходы транзакции, суммы, порядок трат Эвристики общего входа и сдачи дают вероятностный, а не точный результат
Сеть с балансами счетов История адреса, вызовы контрактов, внутренние переводы Операции внутри контракта требуют чтения событий, обычная история их не показывает
Переводы токенов События перевода в контракте токена, отдельно от нативного актива Токен и газ живут в разных учётах; начинающие теряют ветку на этом месте
Мосты и обслуживающие сервисы Приход на адрес, дальше — внутренний учёт, недоступный публично Публичная часть заканчивается; продолжение возможно лишь по запросу уполномоченных органов

Сценарий применения на конкретной сумме

Условный случай: с кошелька ушло 450 000 ₽ в двух транзакциях. Порядок действий известен заранее и не требует экспертизы. Зафиксировать хэши и время. Сменить ключи и устройство, с которого шла работа. Проследить цепочку до первого сервиса. Направить обращение в его службу поддержки с описанием и хэшами. Подать заявление в правоохранительные органы, приложив таблицу переводов.

Российский контур объясняет, почему запросы работают. Статья 39 закона от 04.08.2026 № 282-ФЗ, действующего с 1 сентября 2026 года, обязывает брокеров, цифровые депозитарии, доверительных управляющих и организации, осуществляющие обмен цифровых валют, хранить сведения о клиентах, сделках, цифровых счетах и адресах-идентификаторах не менее десяти лет и вести соответствующие реестры. Статья 35 того же закона вводит цифровой анализ: адресам присваивают характеристики и уровень риска, а привлекать к этому можно только поставщиков услуг цифрового анализа, включённых в реестр уполномоченного органа.

Профилактическая часть важнее следственной. Инцидент входит в просадку портфеля наравне с рыночным убытком, и учитывать его следует так же, как описано в материале о том, как оценить стратегию по просадке, а не по доходности.

Где метод ломается

Адрес не равен лицу. Кластеризация адресов строится на вероятностных эвристиках, метки сервисов аналитики — рабочие гипотезы, а не установленные факты. Публично называть кого-то причастным на основании такой цепочки нельзя: вывод о причастности делает суд. Публикация обвинений вредит и расследованию, и самому автору.

Второе ограничение — техническое. Часть операций проходит внутри контрактов и видна лишь при чтении событий; часть активов меняет форму при переходе между сетями, и соответствие «туда-обратно» устанавливается не всегда. Отрицательный результат здесь — нормальный исход: честная формулировка «след потерян на шаге N» лучше достроенной догадки.

Третье — мошенничество вокруг возврата. Предложения «вернём средства за процент» встречаются сразу после инцидента и приводят к повторной потере. Никакой частный сервис не возвращает средства из блокчейна: он может лишь готовить данные. Защита от повторного инцидента начинается с ключей, и здесь полезны разборы про passkeys и кошельки без сид-фразы и про чек-лист безопасности на год.

Как встроить в собственный процесс

  • Шаблон фиксации готов заранее: поля для хэша, времени, суммы, адреса, сети
  • Ключи и доступы меняются до начала разбора, а не после
  • Цепочка ведётся в таблице, а не в памяти и не в скриншотах без подписей
  • Порог суммы и глубина разбора записаны до начала работы
  • Обращение в сервис и заявление в органы подаются в первые сутки
  • Никакие имена и обвинения публично не называются

Итог

Прослеживание — ремесло, а не магия. Оно даёт документ, а не деньги, и его ценность определяется скоростью и аккуратностью записи. Размер возможной потери ограничивают заранее: сколько держать на горячем кошельке, решают вместе с тем, как определить долю рискованных активов в портфеле. Это единственная часть, которая находится под вашим контролем целиком.

Материалы по теме

Первоисточники: ФЗ от 04.08.2026 № 282-ФЗ и годовой отчёт IC3 за 2024 год.

Частые вопросы

Можно ли вернуть средства, если цепочка построена?

Самостоятельно — нет. Транзакция в сети необратима, и отменить её не может ни сервис, ни разработчик. Реальные механизмы два: блокировка средств сервисом по его внутренним процедурам и обеспечительные меры по решению уполномоченных органов. Построенная цепочка ускоряет оба, но ничего не гарантирует.

Стоит ли платить за коммерческую аналитику?

Для частного случая обычно нет: обозреватель сети и аккуратная таблица дают тот же результат на первых шагах. Коммерческие инструменты полезны объёмом размеченных адресов, но их метки остаются гипотезами. Деньги разумнее направить на юридическое сопровождение обращения, чем на подписку.

Что писать в обращении к площадке?

Сухие факты: хэши транзакций, время, суммы, адрес, на который пришли средства, и номер своего заявления в органы, если он уже есть. Оценочных суждений и имён в обращении быть не должно. Служба безопасности работает с данными, а не с версиями, и лишние формулировки замедляют рассмотрение.

Почему след иногда теряется сразу?

Потому что средства могли попасть на адрес обслуживающего сервиса первой же транзакцией. Внутренний учёт таких сервисов публично недоступен, и дальше публичные данные не продолжаются. Это не тупик расследования, а момент, когда работа переходит к органам, обладающим правом запроса.

Вердикт

В прослеживании выигрывают первые сутки, а не глубокие знания. Зафиксировали, сменили ключи, построили цепочку до первого сервиса, подали обращение и заявление — дальше ваша часть работы закончена. Из редакционной практики: чаще всего дело разваливается не из-за сложности схемы вывода, а из-за того, что данные собраны с опозданием и без времени на снимках. И ещё одно: никаких имён в публичном поле. Вывод о причастности делает суд, а не таблица переводов. Разборы инцидентов и методик выходят в Telegram-канале Cryptium.