Инцидент
Первые часы после кражи криптовалюты: что реально помогает
Версия на русском языке для Украины.
После кражи полезная работа узкая и ограничена по времени. Прекратить дальнейшие потери достижимо. Вернуть ушедшее обычно нет, и эта разница решает, на что потратить первый час.
01Сначала прекратить продолжающуюся потерю
Первый вопрос в том, открыт ли ещё доступ. Скомпрометированный ключ продолжает работать, и атакующий, выведший один актив, возвращается за следующим, который придёт.
Оставшиеся средства переводятся в кошелёк, созданный на чистом устройстве с фразой, которую атакующий никогда не видел. Активные сессии завершаются, выданные сайтам разрешения отзываются, а скомпрометированная фраза с этого момента считается публичной.
02Сохранить доказательства, пока они не исчезли
Идентификаторы транзакций, адреса, время, точные формулировки сообщений и профиль отправителя записываются сразу. Чаты удаляют, профили переименовывают, страницы снимают в течение часов.
Скриншоты делаются с видимой адресной строкой, а транзакция сохраняется по идентификатору, а не только скриншотом, потому что идентификатор остаётся проверяемым.
| Порядок | Действие | Почему именно здесь |
|---|---|---|
| 1 | Перевести остатки в чистый кошелёк | Доступ может быть ещё открыт |
| 2 | Отозвать разрешения и завершить сессии | Останавливает повторные выводы |
| 3 | Записать идентификаторы, адреса, сообщения | Доказательства исчезают за часы |
| 4 | Обратиться к площадке её собственным каналом | Поиск выдаёт самозванцев |
| 5 | Уведомить банк, если участвовали карта или счёт | Сроки оспаривания короткие |
| 6 | Подать заявление, где этого требует юрисдикция | Документ просят другие организации |
| 7 | Любое предложение возврата считать второй потерей | Предоплата не возвращает ничего |
03Сообщать в порядке, который даёт эффект
Площадка уведомляется через её собственный канал обращений, а не через чат, найденный поиском. Если участвовали банковский счёт или карта, банк уведомляется в его срок оспаривания, который короток и начинает течь немедленно.
Заявление в полицию подаётся там, где юрисдикция требует его для любого следующего шага. Само по себе оно редко возвращает средства и часто оказывается документом, который просят другие организации.
04Возврат последним и без иллюзий
Предложения вернуть средства за плату приходят быстро после публичной потери, потому что потери видны в цепочке, а пострадавших легко найти.
Отслеживание это настоящая работа, дающая точный отчёт о том, куда ушли средства, и она ничего не меняет в том, кто ими распоряжается. Ни одна крупная площадка не продаёт восстановление аккаунта как услугу. Любая предоплата за обещанный возврат это вторая потеря.
05Вопросы и ответы
Что сделать самым первым после кражи криптовалюты?
Выяснить, открыт ли ещё доступ, и перевести всё оставшееся в кошелёк, созданный на чистом устройстве с фразой, которую атакующий никогда не видел. Прекращение дальнейших потерь это та часть, которая достижима.
Стоит ли платить сервису, который обещает вернуть средства?
Нет. Отслеживание даёт отчёт и не меняет того, кто распоряжается деньгами, а восстановление аккаунта крупные площадки как услугу не продают. Предоплата за обещанный возврат это вторая потеря.
Есть ли смысл подавать заявление в полицию по краже криптовалюты?
Само по себе оно редко возвращает средства и при этом часто оказывается документом, который банки, площадки и страховщики требуют до того, как что-то предпримут, поэтому подаётся рано, а не поздно.
Автор: Илья Завьялов, консультант по цифровой безопасности. Профиль Ильи Завьялова