Викрадення криптовалюти може статися через фішинговий сайт, компрометацію seed-фрази, шкідливе програмне забезпечення, підписання небезпечного smart-контракту або злам облікового запису на біржі. На відміну від банківського платежу, blockchain-транзакцію зазвичай неможливо просто скасувати або відкликати.
Однак це не означає, що викрадені активи неможливо відстежити. Більшість публічних блокчейнів зберігають історію переказів, тому рух коштів можна аналізувати навіть після проходження через десятки адрес, обмінів або міжмережевих мостів. Головне — діяти швидко, правильно зафіксувати докази та визначити сервіс, на якому опинилися активи.
Чи реально повернути викрадену криптовалюту
Можливість повернення залежить не тільки від факту викрадення, а й від подальшого маршруту активів. Самостійний доступ до гаманця зловмисника отримати неможливо, але кошти можуть бути заблоковані, якщо вони потраплять під контроль централізованої біржі, платіжного сервісу, кастодіального провайдера або іншого VASP.
1 Кошти на централізованій біржі. Якщо викрадена криптовалюта надходить на депозитну адресу CEX, біржа потенційно може ідентифікувати пов’язаний обліковий запис, зберегти технічні журнали та обмежити подальше виведення активів. Для тривалого блокування або розкриття персональних даних зазвичай потрібен належний запит правоохоронного органу чи інший юридичний документ відповідно до юрисдикції сервісу.
2 Кошти у стейблкоїнах. Окремі централізовано емітовані токени можуть мати технічну функцію блокування адрес. Проте емітент не заморожує активи автоматично лише на підставі приватного звернення. Рішення залежить від політики компанії, наданих доказів, санкційного або AML-ризику та наявності запиту компетентного органу.
3 Активи залишаються на приватному гаманці. У такій ситуації технічно заблокувати гаманець неможливо. Основним завданням стає постійний моніторинг адреси та фіксація моменту, коли кошти почнуть переміщуватися до сервісу, здатного встановити особу власника облікового запису або обмежити операції.
Важливо: Blockchain-розслідування не гарантує повернення коштів. Воно встановлює маршрут активів, пов’язані адреси, використані сервіси та потенційні точки блокування. Фактичне вилучення або повернення активів потребує взаємодії з VASP, емітентами токенів і правоохоронними органами.
Отримати консультацію
Коротка оцінка ситуації — без зобовʼязань
Що робити одразу після викрадення криптовалюти
Перші години після інциденту можуть мати вирішальне значення. Зловмисники часто намагаються швидко розподілити активи між різними адресами, обміняти їх через DEX, перемістити в інший блокчейн або вивести через централізований сервіс.
1 Захистіть активи, які залишилися. Якщо гаманець скомпрометований, створіть новий гаманець на чистому пристрої та переведіть туди залишок коштів. Не використовуйте стару seed-фразу. Якщо інцидент пов’язаний із підписанням шкідливого дозволу, необхідно перевірити та відкликати активні token approvals.
Не видаляйте застосунок гаманця, листування, історію браузера або файли до збереження доказів. Якщо є підозра на malware, не продовжуйте роботу з ураженого пристрою та не виконуйте з нього нові операції.
2 Зафіксуйте всю інформацію про інцидент. Збережіть TxID викрадених транзакцій, адреси відправника й одержувача, назву блокчейну, тип і кількість активів, дату та точний час події. Окремо збережіть скриншоти, URL фішингового сайту, електронні листи, Telegram-листування, записи дзвінків, чеки та ідентифікатори облікових записів.
- TxID кожної пов’язаної транзакції;
- адреса скомпрометованого гаманця;
- адреси, на які були виведені активи;
- сума збитків у криптовалюті та її еквівалент на момент події;
- фішинговий домен, застосунок або файл;
- листування зі зловмисником;
- скриншоти гаманця, біржі та повідомлень про операції;
- дані про пристрій і обставини компрометації.
3 Розпочніть blockchain-аналіз. На цьому етапі встановлюється початковий маршрут активів, пов’язані адреси, використані DEX, мости, обмінники, платіжні провайдери та централізовані біржі. Важливо не обмежуватися переглядом однієї транзакції: кошти можуть бути розподілені на десятки частин або об’єднані з іншими потоками.
4 Повідомте VASP і правоохоронні органи. Якщо встановлено біржу або інший централізований сервіс, йому необхідно оперативно направити повідомлення про інцидент із TxID, адресами та описом походження активів. Паралельно потрібно подати заяву до Національної поліції або Кіберполіції та зберегти підтвердження її прийняття.
Приватне повідомлення може допомогти сервісу завчасно зберегти інформацію або провести внутрішню перевірку, але не замінює офіційний процесуальний запит. Саме тому технічне розслідування та юридичні дії мають проводитися паралельно.
Обережно: Після викрадення криптовалюти потерпілим часто пишуть так звані recovery-сервіси, які обіцяють гарантоване повернення коштів за попередню оплату. Не передавайте таким особам seed-фразу, приватні ключі, коди двофакторної автентифікації та віддалений доступ до пристрою.
Дізнатися детальніше
Пояснимо наступні кроки у вашому кейсі
Як відбувається відстеження, блокування та повернення активів
Повноцінне крипторозслідування складається з кількох послідовних етапів. Його мета — не просто показати, куди була відправлена перша транзакція, а встановити весь маршрут активів до кінцевого сервісу або контрольованої зловмисником інфраструктури.
1 Побудова транзакційного маршруту. Аналітик досліджує всі вихідні транзакції, розподіл активів, об’єднання коштів, внутрішні перекази токенів, swaps, cross-chain-переходи та взаємодію зі smart-контрактами. Окремо перевіряються ознаки використання міксерів, privacy-сервісів, gambling-платформ або OTC-інфраструктури.
2 Ідентифікація сервісів і точок виходу. Адреси зіставляються з відомими кластерами бірж, обмінників, мостів, платіжних провайдерів та інших VASP. Якщо активи потрапили на депозитну адресу сервісу, фіксуються відповідні TxID, сума, час надходження та подальший рух коштів.
3 Збереження даних і блокування. Сервісу направляється структуроване повідомлення з доказами зв’язку активів із конкретним інцидентом. Залежно від обставин можуть запитуватися збереження журналів, даних облікового запису, IP-адрес, KYC-інформації та відомостей про подальше виведення коштів.
Рішення про заморожування залежить від політики сервісу та правових підстав. Для арешту активів, отримання конфіденційної інформації та їх подальшого повернення може знадобитися ухвала суду, запит слідчого, прокурора або міжнародна правова допомога.
4 Процесуальне вилучення та повернення. Якщо активи заблоковані й підтверджено їх зв’язок із кримінальним правопорушенням, компетентні органи можуть ініціювати арешт, вилучення або конфіскацію відповідно до застосовного законодавства. Подальше повернення потерпілому залежить від процесуального статусу активів, юрисдикції сервісу та рішення уповноваженого органу.
Залишити заявку
Відповімо конфіденційно найближчим часом
Висновок
Повернення викраденої криптовалюти можливе не в кожному випадку. Проте професійний і своєчасний blockchain-аналіз дозволяє встановити маршрут активів, виявити пов’язані адреси та визначити сервіси, через які зловмисники намагаються вивести або приховати кошти.
Чим раніше розпочато розслідування, тим більше можливостей зафіксувати рух активів, своєчасно повідомити відповідний VASP і зберегти інформацію, яка може бути втрачена з часом. Самостійний перегляд транзакцій у blockchain explorer часто не дає повної картини, особливо якщо використовувалися DEX, мости, swaps, обмінники або декілька блокчейнів.
Допомога ProDefence
Не втрачайте час — доручіть розслідування професіоналам
ProDefence проводить комплексні крипторозслідування та супроводжує кейс від першої транзакції до встановлення кінцевих сервісів і потенційних точок блокування. Ми працюємо з інцидентами, пов’язаними з фішингом, зламом гаманців, викраденням seed-фраз, інвестиційним шахрайством, шкідливими smart-контрактами та несанкціонованим виведенням активів.
У межах розслідування наша команда:
- відстежує рух коштів у різних блокчейнах;
- встановлює пов’язані адреси, кластери та транзакції;
- визначає використані біржі, обмінники, мости та платіжні сервіси;
- організовує постійний моніторинг подальшого руху активів;
- готує структуровані звернення до VASP та емітентів токенів;
- формує технічний звіт і доказові матеріали для адвокатів та правоохоронних органів;
- супроводжує комунікацію із сервісами до отримання офіційної відповіді.
Якщо у вас викрали криптовалюту, надішліть нам адресу гаманця, TxID або короткий опис події. Фахівці ProDefence проведуть первинну оцінку ситуації, визначать можливі напрями розслідування та пояснять, які дії необхідно виконати саме у вашому випадку.
Конфіденційно. Без необґрунтованих обіцянок. З технічною та юридичною оцінкою перспектив.
Обговорити ваш випадок
Первинний розбір без гарантій і тиску
