Пошаговый протокол действий в первые часы после кражи — от фиксации данных до заморозки средств на бирже. Проверено на 600+ успешных кейсах.
Если украли криптовалюту, счёт идёт буквально на минуты. Первые 24 часа определяют, удастся ли заморозить активы до того, как злоумышленник выведет их через миксеры или OTC-площадки. Паниковать — последнее, что стоит делать. Вместо этого действуйте по проверенному протоколу, который мы отработали на сотнях кейсов совместно с Match Systems.
Ключевая задача на этом этапе — остановить движение средств и зафиксировать следы. Каждое действие злоумышленника оставляет цифровой след в блокчейне, но чем дальше уходят деньги от точки кражи, тем сложнее их вернуть. Поэтому первый шаг — не поиск виновных, а немедленная блокировка каналов вывода.
Прежде чем предпринимать активные действия, соберите полный пакет информации:
Эти данные понадобятся для подачи заявки на расследование, запроса заморозки средств на биржах и составления заявления в полицию. Чем полнее досье, тем быстрее запускается механизм возврата.
Сразу после сбора информации обратитесь к специалистам по восстановлению украденной криптовалюты. Мы в Crypto Reclaim проводим первичную оценку бесплатно: анализируем вероятность возврата, определяем окно для заморозки и выстраиваем оптимальный маршрут действий.
Что происходит на этапе триажа:
Заявку можно подать через форму на сайте или напрямую через Telegram-бот. Ответ приходит в течение нескольких часов, а не дней — время здесь критично.
Как только мы получаем данные о краже, запускается процедура флагирования. Адреса атакующего попадают в базы Chainalysis, TRM Labs, Crystal Blockchain и наши собственные фиды, которые используют крупнейшие биржи и платёжные сервисы.
Почему это важно? Когда злоумышленник попытается внести украденные средства на централизованную биржу, система риск-контроля автоматически заблокирует операцию. Деньги зависают на депозите, биржа фиксирует транзакцию, а мы получаем уведомление и сразу подаём запрос на заморозку.
Процесс маркировки занимает от нескольких минут до пары часов. Чем быстрее адрес попадёт в чёрные списки, тем выше шанс перехватить средства до вывода. Подробнее о механизме работы флагирования читайте в отдельной статье.
Сценарий развивается по-разному в зависимости от того, где сейчас находятся украденные активы. Каждая ситуация требует своей тактики.
Это лучший из возможных вариантов. Если деньги попали на Binance, Coinbase, Kraken, OKX или любую другую регулируемую площадку, у нас есть прямые каналы связи с их комплаенс-отделами.
Мы отправляем официальный запрос на заморозку средств, прикладывая:
Tier-1 биржи реагируют в течение нескольких часов. Средства блокируются до выяснения обстоятельств, а мы получаем время на подготовку полного пакета документов для возврата. Эта услуга предоставляется бесплатно — главное успеть до того, как злоумышленник выведет деньги.
Детальная инструкция по работе с биржами — в материале «Как запросить заморозку активов на бирже».
Если украденная криптовалюта лежит на некастодиальном адресе без признаков активности, прямого способа её заморозить не существует. Но это не значит, что нужно опустить руки.
Мы настраиваем мониторинг кошелька в реальном времени. Любое движение средств — даже перевод на промежуточный адрес — мгновенно фиксируется, и мы получаем push-уведомление. Как только деньги начинают путь к бирже, свопу или мосту, включается протокол заморозки.
Технически это работает так:
Подробности настройки отслеживания — в разделе «Трекинг кошельков: зачем это нужно и как работает».
Самый сложный, но не безнадёжный случай. Когда злоумышленник использует децентрализованные биржи, кросс-чейн мосты или сервисы обмена, путь средств усложняется, но не исчезает.
Наши аналитики:
Даже если деньги раздробились на десятки мелких переводов, мы продолжаем вести каждую нить. Рано или поздно большинство мошенников пытаются вывести средства в фиат — и это наша точка входа.
Когда вы обращаетесь в полицию или на биржу с просьбой заморозить украденные средства, одних слов недостаточно. Нужен документ, который подтверждает факт кражи и показывает путь движения активов. Это и есть аналитический отчёт о расследовании инцидента.
Что входит в отчёт:
Такой отчёт принимают биржи, правоохранительные органы и суды. Он даёт им готовую доказательную базу, благодаря которой решения принимаются в разы быстрее.
На практике: без отчёта 9 из 10 запросов на заморозку средств игнорируются. С отчётом — большинство обрабатывается в течение 24-48 часов. Узнать больше о структуре и стоимости документа можно в статье «Что такое отчёт об инциденте и как он повышает шансы на возврат».
Многие пострадавшие откладывают поход в полицию, считая это бесполезной формальностью. На деле — без номера дела большинство бирж откажут в заморозке средств. Правоохранительные органы нужны не столько для поимки преступника (хотя и это возможно), сколько для легитимации запросов к биржам и платёжным сервисам.
Чтобы заявление приняли и открыли дело, подготовьте три документа:
Проблема в том, что у большинства полицейских нет инструментов для расследования крипто-краж. Поэтому чем полнее и понятнее вы подадите информацию, тем выше вероятность, что дело не «ляжет на полку».
Мы помогаем составить все три документа, адаптируем их под требования конкретного региона и, при необходимости, консультируем следователя по техническим вопросам. Пошаговая инструкция — в материале «Как подать заявление в полицию: шаблоны и алгоритм».
Критичны первые 24 часа. После этого вероятность вывода через миксеры или OTC резко возрастает. Но даже если прошло несколько дней, шансы остаются — мы вели кейсы с успешной заморозкой спустя неделю и более.
Технически — да, через блокчейн-эксплореры. Практически — сложно. Мошенники используют миксеры, мосты, множественные переводы между адресами. Без специализированных инструментов (Chainalysis, TRM, Crystal) и опыта легко потерять след.
Напрямую — редко. Но номер дела нужен для запросов к биржам. Без него большинство платформ не замораживают средства. Плюс, в некоторых случаях полиция действительно выходит на мошенников — особенно если это повторяющаяся схема.
Если средства ушли через P2P или OTC-деск, след не теряется. Мы запрашиваем у биржи данные о получателе (KYC, банковские реквизиты), передаём их в полицию. Дальше — работа правоохранительных органов и банков.
Первичная оценка и триаж — бесплатно. Стоимость полного расследования зависит от сложности кейса: количества транзакций, использованных техник обфускации, юрисдикции. Цену озвучиваем после анализа ситуации.
Зависит от скорости реакции и того, куда ушли деньги. Если средства на регулируемой бирже и вы обратились в первые часы — шансы высокие (60-80%). Если прошло время и деньги раздроблены через миксеры — сложнее, но не невозможно (20-40%).
Некастодиальный кошелёк заблокировать нельзя — это особенность блокчейна. Но можно пометить его как криминальный в аналитических системах, и тогда биржи автоматически заблокируют попытки вывода. Фактически кошелёк становится «токсичным» и бесполезным для мошенника.