Ilia Zavialov

Інцидент

Що Ілля Зав'ялов радить робити в перші години після крадіжки криптовалюти

Версія українською мовою для України.

Ілля Зав'ялов, консультант із цифрової безпеки, регулярно розбирає одну й ту саму ситуацію: гаманець щойно спорожнів або вхід до акаунта перестав працювати, і в перші хвилини хочеться зробити відразу все. Корисна робота після крадіжки криптовалюти вузька і жорстко обмежена в часі, тому спроба зробити все одразу зазвичай означає, що найважливіший крок виконують запізно. Головне питання перших хвилин просте: чи залишається доступ ще відкритим і чи можна зупинити подальший рух коштів прямо зараз. Ця стаття розкладає перші години і перші дні після крадіжки на кроки, які реально впливають на результат, у тому порядку, в якому вони дають ефект. Порядок тут важливіший за швидкість кожного окремого кроку.

·14 хв читання·Ілля Зав'ялов

Ілля Зав'ялов про порядок дій у перші години після крадіжки криптовалюти
Ілля Зав'ялов про порядок дій у перші години після крадіжки криптовалюти

01Питання, яке вирішує перша хвилина

Крадіжка криптовалюти рідко буває одним завершеним епізодом. Найчастіше це процес, що триває якийсь час, і зловмисник, який отримав ключ або пароль, забирає активи послідовно, у міру нагоди. Поки цей процес не зупинено, кожна хвилина роздумів коштує рівно стільки, скільки встигає піти з залишку. Перше практичне завдання, важливіше за з'ясування причин, це перевірити, чи доступ усе ще відкритий.

Ця різниця, між тим, що ще можна зупинити, і тим, що вже відбулося, вирішує, куди піде перша година уваги. Зупинити подальший відтік коштів здебільшого досяжно, бо він залежить від дій самого власника: перенести залишки, відкликати дозволи, закрити сесії. Повернути те, що вже пішло, залежить від дій інших сторін і багатьох обставин одразу, тому шанс на це набагато нижчий. Практичний висновок такий: перша година витрачається на дії, які піддаються впливу просто зараз.

Паніка після виявлення крадіжки штовхає в протилежний бік: хочеться одразу писати в підтримку, шукати винного в чатах, з'ясовувати, звідки взявся зловмисник. Кожна з цих дій здається логічною, і жодна з них не зупиняє відтік коштів, поки доступ залишається відкритим. Час, витрачений на пошук пояснення, це час, коли нападник, за наявності доступу, встигає забрати ще один актив. Тому перший крок навмисно вузький: перевірити доступ і за потреби перекрити його, відклавши все інше на потім.

Перш ніж діяти, варто швидко визначити тип інциденту, бо від нього залежать перші кроки. Витік ключа або фрази відновлення власного гаманця вимагає одних дій. Перехоплення пароля або сесії на біржі вимагає інших. У кожному випадку контроль повертається по-своєму, і наступний розділ розводить ці два випадки окремо.

02Що означає закрити доступ на практиці

Коли скомпрометовано фразу відновлення власного гаманця, вона з цієї миті вважається публічною назавжди, і жодна зміна пароля цього не виправляє, бо пароль до фрази стосунку не має. Єдина дія, що дає ефект, це перенести залишок коштів у новий гаманець, створений на чистому пристрої з новою фразою, якої зловмисник ніколи не бачив. Старий гаманець після цього залишається порожнім і більше не використовується, навіть якщо здається, що небезпека минула. Поспішність тут виправдана, бо кожна хвилина зволікання дає зловмиснику ще один шанс забрати залишок першим.

Коли скомпрометовано акаунт на біржі, картина інша, бо ключами розпоряджається сам майданчик, і контроль повертається через його власні налаштування безпеки. Активні сесії завершуються, видані застосункам і сайтам дозволи відкликаються, а пароль і другий фактор змінюються з пристрою, на якому зловмисника точно немає. Другий фактор варто перевести на метод, що не залежить від номера телефону, бо номер сам можна перехопити окремою атакою. Якщо на акаунті залишилися кошти, їх виведення на новий, чистий гаманець розумно виконати одразу після відновлення контролю.

Половинчасті дії створюють оманливе відчуття безпеки. Зміна пароля без зміни фрази відновлення не зупиняє нічого, якщо витекла саме фраза, бо пароль її не захищає і до неї не має відношення. Так само відключення одного пристрою не допомагає, якщо дозвіл, виданий застосунку, залишається чинним і працює з будь-якого пристрою. Ефект дає тільки той крок, що закриває саме той канал, яким скористався зловмисник.

Після того, як доступ закрито в усіх напрямках, подальші втрати стають малоймовірними, і саме в цей момент варто перемкнутися з зупинки на фіксацію. Це не означає, що загроза зникла повністю, бо ті самі дані можуть спливти в іншій атаці пізніше. Але швидкість тут уже не вирішальний фактор, і наступний крок, фіксацію доказів, можна виконувати уважно.

Хто найчастіше звертається після новини про крадіжку і як це перевірити
Хто звертаєтьсяЩо обіцяє або запитуєЯк перевірити
Служба підтримки біржіПросить підтвердити гаманець або код доступуНаписати через офіційний канал застосунку
Приватний розслідувач блокчейнуПропонує повернення коштів за відсоток напередОплата ще не виконаної роботи наперед це сама по собі відмова
Представник поліції чи регулятораОбіцяє пришвидшене повернення за «мито»Державні органи не беруть відсоток із повернутих коштів
Родич за голосовим дзвінкомПросить терміново переказати кошти на порятунок рештиПередзвонити на номер, відомий заздалегідь
Новий партнер у тому самому чатіПропонує ще одну інвестицію замість втраченогоДруга пропозиція від того самого кола це продовження першої схеми
Дослідник чи журналістПросить деталі гаманця «для матеріалу»Публічна адреса й так відкрита, приватні дані не потрібні

03Чому докази зникають швидше, ніж здається

Докази крадіжки живуть недовго з обох боків. Зловмисник видаляє чати, перейменовує профілі і закриває сторінки протягом кількох годин після того, як гроші вже забрано, бо подальший слід йому не потрібен. З боку жертви пам'ять про точні формулювання, час і послідовність подій стирається набагато швидше, ніж здається в момент події. Фіксація доказів починається одразу після того, як закрито доступ.

У фіксацію входять ідентифікатори транзакцій, адреси гаманців з обох боків, точний час подій і дослівні формулювання повідомлень від того, хто видавав себе за підтримку чи знайомого. Профіль відправника, посилання на чат і назва застосунку чи каналу зберігаються окремо, бо саме вони найшвидше зникають після видалення. Кожен запис супроводжується датою і часом у форматі, що не залежить від часового поясу пристрою, яким користувалися в момент інциденту.

Знімок екрана має сенс лише тоді, коли на ньому видно адресний рядок або назву застосунку, бо обрізаний фрагмент легко поставити під сумнів пізніше. Найнадійнішим доказом лишається сам запис у блокчейні, бо ідентифікатор транзакції можна перевірити будь-коли і будь-ким, тоді як знімок екрана залежить від довіри до того, хто його зробив. Тому ідентифікатор зберігається як окремий текстовий запис, а знімок екрана лишається додатковим підтвердженням.

Значення цієї фіксації стає очевидним на наступних кроках, коли майданчик, банк чи правоохоронний орган просять саме ці деталі, перш ніж почати власну перевірку. Той, хто зберіг ідентифікатори й точні формулювання одразу, проходить ці кроки за хвилини. Той, хто покладався на пам'ять, відновлює ту саму інформацію днями, і частина її на той момент уже недоступна.

04Кому повідомляти першим і чому порядок має значення

Майданчик, на якому стався інцидент, сповіщається через канал звернень усередині самого застосунку чи особистого кабінету. Сторінки підтримки, що виходять у верхніх результатах пошуку за назвою великої біржі, регулярно виявляються підробленими і створеними спеціально під людей, які шукають допомогу одразу після втрати. Правильний канал завжди підписаний з акаунта, де вже підтверджено особу власника, тому відповідь на нього приходить від служби, яка реально бачить історію цього акаунта.

Якщо в оплаті на шляху до крадіжки була задіяна картка або банківський рахунок, наприклад для купівлі криптовалюти напряму в зловмисника, банк сповіщається окремо і в перший же робочий день. Строк на оскарження платежу зазвичай короткий і рахується з моменту самої транзакції, тому він спливає незалежно від того, коли саме про крадіжку дізнався власник рахунку. Пізнє звернення часто означає, що формальне вікно для оскарження вже закрито, навіть якщо сама крадіжка щойно виявлена.

Заява до поліції подається там, де юрисдикція вимагає її для будь-якого наступного кроку, і подається рано, поки деталі ще точні. Сама собою вона рідко повертає кошти, тому що більшість юрисдикцій не мають механізму, здатного відстежити і повернути кошти з приватного гаманця за короткий строк. Її реальна користь у тому, що це офіційний документ, який пізніше вимагають банки, страховики і деякі майданчики, перш ніж розглядати запит власника.

Порядок цих трьох звернень має значення, тому що кожне з них має своє власне вікно часу, і вікна не однакові за довжиною. Банківське найкоротше і закривається за дні, звернення до майданчика працює, поки історія акаунта ще свіжа і легко перевіряється, а заява до поліції залишається корисною довше за інших. Виконані в такому порядку, усі три дії займають одну чи дві години і закривають більшість того, що піддається впливу ззовні.

05Друга хвиля: чому пропозиції повернути кошти приходять так швидко

Масштаб шахрайства навколо криптовалют дає відповідь на питання, чому пропозиції «допомогти повернути кошти» приходять протягом годин після публічної згадки про крадіжку. За 2025 рік профільний центр приймання скарг ФБР зафіксував 1 008 597 звернень і майже 21 мільярд доларів заявлених втрат, на 26 відсотків більше, ніж роком раніше. За тими самими даними приблизно половина всіх заявлених у США втрат пов'язана з криптовалютою. Там, де рухаються такі суми, існує і зворотний ринок: ті, хто вже втратив гроші, стають зручною ціллю для другого заходу.

Ці ж дані показують і зворотний бік картини. За спостереженнями Федеральної торгової комісії США, у чотирьох із кожних п'яти звернень про шахрайство з видачею себе за іншу особу грошової втрати не було взагалі, тобто спроб завжди набагато більше, ніж успіхів. Це стосується і другої хвилі: більшість пропозицій «повернути кошти» так і не отримує оплату наперед, бо адресат вчасно розпізнає схему. Тому впевненість, з якою обіцяють гарантований результат, сама по собі підозріла: реальна робота з відстеження коштів гарантій не дає.

Механізм пошуку жертв нескладний. Адреса, з якої вивели кошти, видна будь-кому в блокчейні назавжди, і той самий запис, що є головним доказом для власника, стає підказкою для тих, хто шукає, кому запропонувати платну «допомогу». Публічний допис на форумі чи в чаті підтримки з проханням про пораду працює так само: його бачать не лише ті, хто справді хоче допомогти.

06Фальшива підтримка і колл-центри, що дзвонять першими

Одна з найбільш підготовлених форм другої хвилі це дзвінок або чат, що видає себе за службу підтримки біржі чи навіть за державну структуру. За даними ФБР, шахрайство через фальшиві колл-центри, тобто підроблена технічна підтримка разом із підробкою під державні служби, дало понад 80 тисяч звернень і більш ніж 2,9 мільярда доларів заявлених втрат за 2025 рік. Такий масштаб можливий лише тоді, коли за категорією стоїть налагоджений, повторюваний процес.

Дзвінок, що лунає одразу після справжнього інциденту, легко сприймається як закономірне продовження події, і саме на цьому тримається довіра до нього. Співрозмовник говорить упевнено, знає загальні терміни біржі і створює відчуття терміновості, у якому немає часу на перевірку. Це відчуття терміновості і є основним інструментом, бо воно заважає застосувати єдину надійну перевірку: передзвонити самому за номером з офіційного застосунку чи сайта.

Жодна справжня служба підтримки не запитує фразу відновлення, повний код входу чи переказ коштів на «безпечний гаманець» для перевірки. Будь-яке з цих трьох прохань є самостійною ознакою підробки, незалежно від того, наскільки переконливо звучить голос чи текст на іншому кінці. Саме голос як інструмент довіри заслуговує окремого розгляду, бо технології останніх років змінили те, наскільки йому можна вірити.

07Клонований голос як інструмент другої хвилі

До нещодавнього часу голос вважався надійним способом впізнати людину, з якою розмовляєш. Дослідження клонування голосу за 2025 і 2026 роки змінюють цю картину: переконливий клон роблять із запису довжиною близько трьох секунд, і за оцінками таких досліджень він досягає приблизно 85 відсотків точності відтворення. Трьох секунд достатньо, щоб узяти їх з публічного відео, голосового повідомлення чи навіть з голосової пошти.

Наскільки складно відрізнити такий клон на слух, показує окремий експеримент: учасники впізнавали справжній голос серед підроблених лише у 37,5 відсотка випадків. Це стосується як дзвінка від нібито служби підтримки, так і дзвінка від нібито родича, що просить терміново переказати кошти на порятунок решти заощаджень. В обох випадках переконливість голосу нічого не доводить сама по собі.

Практичний висновок з цих двох фактів простий: перевірка більше не може спиратися на те, наскільки голос звучить знайомо. Вона переноситься на канал зв'язку: передзвонити самому на номер, який був відомий заздалегідь, написати в застосунку, до якого зловмисник доступу не має, або запитати щось, що знає лише справжня людина і що ніколи не потрапляло в жоден запис. Кожен із цих кроків займає лічені хвилини і рятує саме тоді, коли голос уже не є доказом.

08Хто опиняється під прицілом повторно

Не всі жертви другої хвилі однаково вразливі, і вік тут виявляється значущим фактором. За даними ФБР, середня заявлена втрата постраждалого віком від 60 років становила 38 501 долар проти загальної середньої 20 699 доларів, тобто приблизно в 1,86 раза вище. Різниця настільки велика, що пояснити її самою лише сумою заощаджень недостатньо: старших людей також частіше й наполегливіше обробляють повторно.

Коли крадіжка вже сталася один раз, у зловмисників з'являється додаткова перевага: вони або вже мають контакти постраждалого, або знають, що людина перебуває в стані, коли рішення ухвалюють швидше, ніж зазвичай. Той самий стан робить уразливими і близьких постраждалого: їм можуть подзвонити нібито від імені родича або самого постраждалого, якщо контакти чи голосові записи вже витекли раніше. Тому коло уваги після інциденту варто розширювати за межі однієї людини, попереджаючи тих, хто теж може отримати схожий дзвінок чи повідомлення.

Принципи, розібрані вище, застосовуються однаково незалежно від віку постраждалого: закрити доступ, зафіксувати докази, повідомити в правильному порядку і перевіряти будь-який вхідний контакт через окремий канал. Різниця в тому, що частині людей ці кроки варто виконувати разом із кимось, кому вони довіряють, особливо коли рішення потрібно ухвалити швидко. Присутність другої людини поруч сама собою знижує тиск терміновості, на якому тримається майже кожна спроба другої хвилі.

09Коли і навіщо взагалі варто розраховувати на повернення

Відстеження вкрадених коштів у блокчейні це справжня і технічно обґрунтована робота: аналітики будують маршрут від адреси жертви через проміжні гаманці до точки, де кошти нарешті обмінюють на щось інше. Результатом такої роботи є звіт з маршрутом і, іноді, назвою майданчика, куди кошти зрештою потрапили. Сам по собі цей звіт не змінює того, хто розпоряджається коштами, і не примушує жоден майданчик щось повернути.

Реальний шлях до часткового повернення, коли він взагалі існує, зазвичай проходить через співпрацю правоохоронних органів або самого майданчика з тим самим звітом про маршрут коштів. Великі біржі не продають відновлення акаунта чи повернення коштів як платну послугу, і будь-яка пропозиція від їхнього імені за окрему плату є підробкою незалежно від того, наскільки офіційно вона виглядає. Передоплата за обіцяне повернення в такому випадку стає другою втратою, накладеною поверх першої.

Кожен із розглянутих кроків, від закриття доступу до перевірки вхідного дзвінка, працює саме тому, що виконується у своєму вікні часу і в правильному порядку відносно інших. Виконаний запізно чи не в тому порядку, той самий крок часто вже не дає ефекту, навіть якщо технічно все ще можливий. Саме тому перша година після крадіжки криптовалюти вартує більше уваги, ніж усі наступні дні розбирання того, що сталося.

У практиці Іллі Зав'ялова ці кроки повторюються від випадку до випадку майже без винятків, змінюється лише те, яка саме частка коштів чи доступу встигла постраждати до моменту втручання. Порядок дій залишається тим самим незалежно від суми, платформи чи того, наскільки переконливим був початковий обман. Саме цей послідовний порядок у підсумку визначає, скільки вдасться зберегти, набагато більше, ніж будь-який окремий героїчний вчинок в один момент.

10Питання і відповіді

Що робити в перші хвилини після крадіжки криптовалюти?

Спочатку з'ясувати, чи доступ до гаманця або акаунта все ще відкритий, і якщо так, негайно перенести залишок коштів у гаманець, створений на чистому пристрої з новою фразою відновлення. Лише після цього має сенс переходити до фіксації доказів і сповіщення сторін.

Чи можна повернути вкрадену криптовалюту?

Відстеження в блокчейні дає точний звіт про маршрут коштів, але саме по собі не змінює того, хто ними розпоряджається. Передоплата за гарантоване повернення є ознакою другої схеми, накладеної на першу втрату.

Чому одразу після крадіжки телефонують люди, які обіцяють допомогти повернути гроші?

Тому що адреса, з якої вивели кошти, видна в блокчейні будь-кому, а масштаб шахрайства навколо криптовалют робить постраждалих зручною ціллю для другого заходу. Прохання оплатити таку допомогу наперед уже саме собою є ознакою підробки.

Як перевірити, що дзвінок зі служби підтримки біржі справжній?

Покласти слухавку і зателефонувати самому за номером чи через застосунок, узятим з офіційного сайту біржі. Жодна справжня служба не ображається на таку перевірку і не поспішає під час неї.

Чи можна довіряти голосу в слухавці, якщо він звучить знайомо?

Ні, сучасний клон голосу роблять із запису довжиною лічені секунди, а люди в дослідах відрізняли справжній голос від підробленого лише у 37,5 відсотка випадків. Перевірка тому спирається на канал зв'язку: передзвонити на номер, відомий заздалегідь, замість довіряти тому, як звучить голос.

Чи варто подавати заяву в поліцію, якщо шанс повернути кошти малий?

Так, бо заява рідко повертає кошти сама по собі, але часто є документом, який банки, біржі та страховики вимагають перед тим, як вжити власних заходів. Подавати її варто рано, поки деталі інциденту ще точні.

Монограма Іллі Зав'ялова

Автор: Ілля Зав'ялов, консультант з цифрової безпеки. Профіль Іллі Зав'ялова

11Читати далі

Назад до блогу