Ilia Zavialov

Инцидент

Илья Завьялов разбирает, что реально помогает в первые часы после кражи криптовалюты

Версия на русском языке для России.

Центр приёма жалоб ФБР зафиксировал за 2025 год свыше миллиона обращений и почти двадцать один миллиард долларов заявленных потерь, и примерно половина этой суммы связана с криптовалютой. За каждой такой цифрой стоит один и тот же момент: человек понимает, что перевод ушёл не туда или что ключ от кошелька больше не принадлежит только ему. В этот момент полезная работа узкая и ограничена по времени. Часть потерь ещё можно остановить, часть уже нет, и от того, как быстро проведена эта граница, зависит судьба оставшихся средств. Эта статья разбирает, что в первые часы после кражи криптовалюты действительно меняет исход и почему часть привычных действий лишь создаёт ощущение контроля.

·13 мин чтения·Илья Завьялов

Илья Завьялов о порядке действий в первые часы после кражи криптовалюты

01Масштаб, который объясняет спешку

Отчёт ФБР основан только на добровольных обращениях, и сам центр приёма жалоб признаёт, что реальное число случаев выше того, что попадает в статистику. Даже с этой оговоркой годовой итог заметно вырос: почти двадцать один миллиард долларов заявленных потерь против уровня годом раньше, рост на двадцать шесть процентов при неизменной методике подсчёта. Такой темп подтверждает, что случай кражи криптовалюты, каким бы личным он ни казался пострадавшему, статистически типичен и год от года встречается чаще.

Доля криптовалюты в этой сумме не случайна. Перевод в блокчейне становится окончательным довольно быстро, и после этой точки ни биржа, ни банк, ни платёжная система не может вернуть средства по собственному решению. Именно эта особенность делает криптовалюту привлекательной целью и одновременно объясняет, почему в первые часы возможностей больше, чем в первые дни: часть средств может ещё не дойти до точки, после которой возврат перестаёт зависеть от воли сторон.

Из этого следует практический вывод, вокруг которого выстроена вся дальнейшая работа с инцидентом. Каждое действие в первые часы стоит оценивать по одному критерию: меняет ли оно, где окажутся оставшиеся средства и какие доказательства сохранятся, или лишь снимает тревогу, ничего не меняя по существу. Дальше в статье разобраны оба типа действий: те, что двигают исход, и те, что только выглядят полезными.

02Как чаще всего начинается инцидент: имперсонация

В данных FTC за 2025 год категория имперсонации, то есть выдачи себя за другого человека, компанию или ведомство, дала свыше миллиона обращений и три с половиной миллиарда долларов потерь. Это почти каждое третье обращение из всех, что получила служба, и для одной-единственной категории мошенничества такая доля исключительно велика. Прежде чем дойти до кошелька, значительная часть краж криптовалюты начинается именно с разговора, в котором жертву убеждают, что на другом конце провода банк, биржа или государственная служба.

Механика почти всегда одна и та же. Собеседник называет реальную проблему, начисление, штраф, подозрительную операцию или утечку данных, и предлагает решение, которое требует немедленного действия: перевести средства на «резервный» или «защищённый» адрес, установить приложение для удалённого доступа, назвать код подтверждения. Ни один настоящий банк и ни одна настоящая биржа не просит перевести деньги на другой кошелёк, чтобы их обезопасить, потому что у них уже есть штатные способы заморозить операцию на своей стороне.

Это создаёт окно, которое существует только до момента перевода. Если разговор ещё идёт и перевод не отправлен, самое эффективное действие это прервать звонок и перезвонить по номеру, который был известен заранее. После того как перевод в блокчейне отправлен и подтверждён, это окно закрывается, и дальше статья разбирает уже свершившуюся ситуацию.

Порядок действий после кражи криптовалюты и что каждый шаг ещё может изменить
МоментДействиеЧто оно ещё может изменить
Разговор ещё идёт, перевод не отправленПрервать звонок, перезвонить по номеру из официального источникаОстанавливает перевод до того, как он стал окончательным
Перевод отправлен, ждёт подтверждения в сетиПроверить, можно ли заменить транзакцию с большей комиссиейИногда позволяет отменить или перенаправить перевод
Доступ к ключу или паролю ещё открытПеревести остаток в новый кошелёк, отозвать разрешенияОстанавливает дальнейшие потери с того же адреса
Первые минуты после обнаруженияЗафиксировать идентификаторы, адреса, переписку, времяСохраняет доказательства, которые быстро исчезают
В течение часаОбратиться в площадку через её официальный каналЗамораживает связанные счета там, где это возможно
В срок оспаривания операцииУведомить банк, если участвовали карта или счётДаёт шанс на возврат по банковским правилам
После любого из предыдущих шаговОтклонить платные предложения о возврате средствПредотвращает вторую потерю поверх первой

03Голос, который убеждает

Отдельного разбора заслуживает канал, который ещё несколько лет назад не рассматривался как серьёзная угроза: телефонный звонок голосом, похожим на голос реального человека. Для убедительного клона сегодня достаточно записи длиной около трёх секунд, а точность такого клона достигает примерно восьмидесяти пяти процентов. Этого хватает, чтобы голос племянника, коллеги или сотрудника банка звучал узнаваемо для человека, который слышал его много раз.

Способность различать настоящий голос и подделку на слух оказалась низкой даже в контролируемых условиях эксперимента. Участники правильно отличали настоящий голос от синтезированного лишь в 37,5 процента случаев, то есть хуже, чем при простом случайном угадывании. Это означает, что уверенность «я бы узнал родной голос по телефону» статистически не подтверждается, и полагаться только на слух рискованно именно тогда, когда решение принимается за секунды.

Число случаев вишинга с клонированным голосом выросло на 1633 процента всего за один квартал, и это делает голосовой канал одним из самых быстрорастущих способов вывести жертву на перевод. Практический вывод простой и не требует специальных знаний о технологии: любая просьба перевести криптовалюту, полученная по телефону, проверяется обратным звонком по номеру, который был известен заранее. Это касается голосовых сообщений и видеозвонков в мессенджерах точно так же, как обычных телефонных звонков.

04Что означает «четыре из пяти без потерь» для первого часа

В данных FTC по имперсонации у четырёх обращений из пяти денежной потери не было вовсе. Это отражает соотношение попыток и результата: связаться и попытаться убедить мошенники пытаются очень часто, до денежного результата доходит лишь меньшинство таких попыток. Для человека, который оказался в разгаре подозрительной ситуации, эта пропорция важна практически: статистически более вероятно, что перевод ещё можно остановить, чем что он уже окончателен.

Граница между двумя группами почти всегда проходит по одному и тому же месту: успела ли жертва завершить перевод до того, как усомнилась, или сомнение возникло раньше действия. Мошенническая схема рассчитана на скорость и на то, что решение примут внутри разговора, под давлением срочности. Пауза, проверка по независимому каналу или простой отказ действовать немедленно статистически перемещает ситуацию в ту большую группу, где потери не случилось.

Дальнейшая часть статьи написана для той меньшей группы, где перевод уже состоялся или доступ к кошельку уже скомпрометирован. Здесь полезная работа сужается до двух направлений: ограничить дальнейший ущерб и сохранить картину произошедшего для тех, кому предстоит её рассматривать. Три следующих раздела разбирают эти направления по порядку, а отдельный раздел дальше посвящён услугам, обещающим вернуть похищенное, потому что именно они стоят пострадавшим второй потери.

05Сначала прекратить продолжающуюся потерю

Первый практический вопрос касается того, остаётся ли скомпрометированный ключ или пароль рабочим прямо сейчас. Если фраза восстановления, приватный ключ или пароль от аккаунта биржи стали известны постороннему, они действуют до тех пор, пока их не заменят. Атакующий, уже забравший один актив, обычно возвращается за следующим поступлением на тот же адрес или счёт.

Оставшиеся средства переводятся в кошелёк, созданный на чистом устройстве с новой фразой восстановления, которую скомпрометированное устройство никогда не видело. Активные сессии на бирже завершаются принудительно, выданные сайтам разрешения на управление токенами отзываются через соответствующий раздел кошелька. Пароли, использовавшиеся где-либо ещё в том же виде, меняются в первую очередь.

Скомпрометированная фраза восстановления с этого момента считается публичной навсегда, даже если атакующий использовал её лишь частично. Возврат к ней после того, как инцидент как будто закончился, распространённая ошибка: она даёт ложное чувство, что раз повторной кражи не произошло сразу, устройство или фраза снова безопасны. Новый кошелёк заводится один раз и остаётся основным. Старый сохраняется отдельно только как источник доказательств для следующего раздела.

06Сохранить доказательства, пока они не исчезли

Идентификаторы транзакций, адреса отправителя и получателя, точное время, полные тексты сообщений и профиль собеседника фиксируются в первые часы, потому что именно они исчезают быстрее всего. Мошеннические аккаунты удаляют, переписку в мессенджерах чистят, страницы поддельных площадок снимают с хостинга в течение часов после того, как схема перестаёт приносить новые депозиты. Ни один из этих элементов не восстанавливается впоследствии по памяти с той же точностью, с какой его можно записать в момент обнаружения.

Скриншот делается с видимой адресной строкой и полной датой на экране, потому что именно эти детали подтверждают подлинность позже. Транзакция в блокчейне дополнительно сохраняется по идентификатору, который остаётся проверяемым в любом публичном обозревателе сколь угодно долго. Оба вида доказательств хранятся вместе, потому что проверяющая сторона обычно запрашивает и то, и другое.

Разрозненные снимки экрана в галерее телефона мало помогают, если их нельзя быстро выстроить в хронологию: что произошло первым, что было дальше, в какой момент отправлен перевод. Единый файл или папка с последовательно пронумерованными доказательствами экономит время на каждом следующем шаге, потому что биржа, банк и любая инстанция, куда придётся обращаться, попросят именно такую последовательность. Порядок наведения такой хронологии стоит нескольких минут сразу и экономит часы позже, когда детали уже подзабылись.

Прямая конфронтация с собеседником в этот момент скорее вредит, чем помогает: обвинение в мошенничестве обычно ускоряет удаление аккаунта и переписки. Пока сбор доказательств не завершён, эпизод логичнее закрыть молча и продолжить его уже через официальные каналы, разобранные в следующем разделе. Эмоциональная реакция в моменте понятна, но она осложняет то, что нужнее всего для дальнейших шагов: полный и нетронутый набор доказательств.

07Сообщать в порядке, который даёт эффект

Площадка, через которую прошёл перевод, будь то биржа, платёжный сервис или банк, уведомляется через официальный канал обращений внутри самого приложения или личного кабинета. Поддельные «горячие линии поддержки» самих площадок распространены достаточно широко, чтобы обычный поиск по названию компании и слову «поддержка» с равной вероятностью привёл на настоящую страницу или на её точную копию. Официальный канал внутри самого приложения устроен так, что до него не добирается тот, кто получил доступ только к почте или к результатам поиска.

Если в цепочке участвовал банковский счёт или карта, например для покупки криптовалюты, которую затем перевели мошенникам, банк уведомляется в срок, отведённый на оспаривание операции. Этот срок короткий и начинает течь с момента самой операции. Банк стоит поставить в известность даже до завершения сбора всех доказательств.

Заявление в полицию или в профильный орган подаётся там, где это предусмотрено юрисдикцией пострадавшего, даже когда ожидания от него скромные. Само по себе заявление редко возвращает средства. Оно часто оказывается документом, который банк, биржа или страховая компания требуют увидеть, прежде чем рассматривать собственную процедуру.

Отдельного порядка требует ситуация, когда деньги ушли через площадку, которая выглядела как инвестиционная и показывала растущий баланс. В данных ФБР за 2025 год именно на инвестиционное мошенничество пришлось 8,648 миллиарда долларов, больше сорока процентов всех заявленных потерь, и это единственная категория такого масштаба. Здесь дополнительно фиксируются адрес самой площадки, история переписки с «менеджером аккаунта» и все запрошенные ею комиссии за вывод: требование оплатить комиссию, штраф или налог перед выводом это отдельный и самостоятельный повторный обман, который стоит распознать до того, как переведён ещё один платёж.

08Возврат последним и без иллюзий

Предложения вернуть похищенное за вознаграждение появляются на удивление быстро после того, как о потере стало известно публично. Перемещение средств в блокчейне видно любому, кто умеет читать обозреватель, а список вероятных жертв составляется по этим же данным. Компания или частный «специалист», написавшие первыми, в подавляющем большинстве случаев сами становятся источником следующей потери.

Отслеживание перемещений в блокчейне это настоящая, измеримая работа, и она действительно даёт точный отчёт о том, куда ушли средства. Этот отчёт ничего не меняет в том, кто именно распоряжается приватным ключом на другом конце цепочки, и сам по себе не возвращает ни доллара, ни токена. Ни одна крупная биржа не продаёт восстановление доступа к чужому аккаунту как отдельную платную услугу, потому что технически это означало бы обход собственной защиты пользователей.

Показательно, что предложения по возврату используют тот же сценарий, что и мошенничество, из-за которого средства пропали в первый раз: срочность, авторитетный на вид собеседник и требование заплатить или передать доступ раньше, чем будет предъявлен результат. Оплата за такую «услугу», в какой бы форме её ни попросили, меняет лишь то, кому теперь принадлежат ещё и эти новые средства. Внешние приметы тоже повторяются: обещание конфиденциальности, давление по времени и просьба не обсуждать ситуацию с площадкой или банком, которые могли бы её проверить.

Уязвимость к предложениям о возврате связана с состоянием человека после самого инцидента. Он уже пережил ситуацию, где вероятность потери статистически была меньшинством, и оказался именно в ней, поэтому эмоционально готов поверить, что редкое исключение сработает в обратную сторону так же легко. Ни один публичный отчёт крупных площадок такое ожидание не подтверждает.

09Что переносится в привычки на будущее

Если из всей статьи оставить одну привычку, полезнее всего оставить проверку по независимому каналу: любое сообщение, звонок или письмо, требующее перевести криптовалюту, подтверждается через контакт, который был известен заранее. Эта единственная привычка закрывает сразу оба входа, разобранных выше: текстовую имперсонацию и звонок клонированным голосом. Оба они рассчитаны на то, что проверка займёт больше времени, чем есть у жертвы.

Часть работы первого часа можно проделать заранее, до всякого инцидента, и тогда в момент кражи её просто не придётся выполнять. Отдельный чистый кошелёк, о котором знает только владелец, заводится заранее, формат для записи идентификаторов транзакций продумывается заранее, а контакты поддержки биржи и банка сохраняются в отдельной заметке, до которой не доберётся никто, кто получил доступ только к почте или мессенджерам. Такая подготовка не отличается по сложности от любой другой резервной копии, но именно она определяет, сколько времени уйдёт на первый шаг, когда счёт действительно пойдёт на минуты.

Ничего из разобранного выше не возвращает уже подтверждённый в блокчейне перевод, и в этом смысле у первых часов после кражи криптовалюты нет счастливого исхода в буквальном значении слова. У них есть более скромный, но реальный результат: доступ закрыт до того, как уйдёт следующий платёж, доказательства сохранены в виде, который выдержит проверку, а обращения поданы туда, где их вообще рассматривают. Это тот объём контроля, который в первые часы действительно достижим, и он того стоит.

10Вопросы и ответы

Что делать в первую очередь, если украли криптовалюту?

Сначала выяснить, остаётся ли доступ к ключу, паролю или фразе восстановления ещё открытым, и если да, немедленно перевести оставшиеся средства в новый кошелёк на чистом устройстве. Это единственное действие первого часа, которое напрямую останавливает продолжающуюся потерю.

Можно ли отменить перевод криптовалюты после кражи?

Это возможно только пока перевод ждёт подтверждения в сети и кошелёк поддерживает замену транзакции с большей комиссией. После включения перевода в блок и достаточного числа подтверждений отменить его не может уже никто.

Как понять, что звонок от банка или биржи поддельный?

Ни одна настоящая организация не просит перевести средства на другой адрес, чтобы их защитить, и не торопит с решением внутри одного разговора. Проверка обратным звонком по номеру, который был известен заранее, снимает большинство таких случаев.

Можно ли на слух отличить клонированный голос от настоящего?

Эксперименты показывают, что люди справляются с этим хуже случайного угадывания, различая настоящий голос лишь в 37,5 процента случаев. Решения, связанные с переводом средств, не стоит принимать на основании одной лишь узнаваемости голоса в трубке.

Стоит ли обращаться в компанию, которая обещает вернуть украденную криптовалюту?

Нет. Отслеживание перемещений в блокчейне не меняет того, кто распоряжается приватным ключом на другом конце, а крупные площадки не продают восстановление доступа как отдельную услугу. Оплата за такое обещание почти всегда становится второй потерей поверх первой.

Нужно ли подавать заявление в полицию из-за кражи криптовалюты?

Да, там, где это предусмотрено юрисдикцией пострадавшего, даже если ожидания от самого заявления скромные. Оно редко возвращает средства напрямую, но часто оказывается документом, который требуют банк, биржа или страховая компания перед тем как рассматривать собственную процедуру.

Автор: Илья Завьялов, консультант по цифровой безопасности. Профиль Ильи Завьялова

11Читать дальше

Назад в блог