Мошенничество Fun Coffee: расследование 278% Ponzi-схемы в сети TRON

20 июля 2026 года приложение Fun Coffee перестало работать, оставив несколько сотен инвесторов в Гонконге и Макао без возможности вернуть ни основную сумму, ни обещанную платформой доходность. Компания, стоявшая за этим приложением и рекламировавшая себя как разработчика высокотехнологичного кофейного оборудования с совокупными активами свыше 1 млрд долларов США, впоследствии была признана полицией Гонконга и Макао мошеннической структурой. По состоянию на 19 августа полиция Гонконга получила 286 заявлений на сумму примерно 118 млн гонконгских долларов.

Отталкиваясь от платёжных записей одной пострадавшей стороны, мы проследили движение средств вперёд по сети TRON и восстановили сеть из 99 адресов, которые получили извне 72 829 035 USDT и, на момент среза наших данных, вывели их все обратно. Далее описывается структура этой сети, то, как мы отделили деньги, возвращённые инвесторам, от денег, выведенных из системы, и в каких пределах анализ ончейн-данных достигает своего предела.

Примечание о содержании ниже. Факты первой главы взяты из материалов регуляторов, полиции и СМИ, и каждая указанная страница была открыта и проверена. Всё остальное — наш собственный анализ ончейн-записей, касающийся только USDT в сети TRON. Там, где мы говорим о том, что делает тот или иной адрес, это основано на его поведении в сети и на атрибуции сущностей в базе данных меток BlockSec. Это не является выводом о том, кто контролирует адрес, о его намерениях или о юридической ответственности. Чтобы защитить конфиденциальность пострадавшей стороны, чьи материалы легли в основу этого расследования, мы не показываем её адреса, хэши транзакций или скриншоты платформы, а также не приводим её индивидуальные суммы.

Предупреждения появились раньше, чем платформа прекратила работу

Публичные материалы имеют форму, которую стоит отметить ещё до перехода к ончейн-данным.

15 мая 2026 года полиция провинции Кханьхоа, Вьетнам, опубликовала предупреждение. В нём описывалась рекламируемая доходность в 10–30% в месяц и структура, побуждающая участников привлекать новых людей через многоуровневые «системные комиссии» и «бонусы за результаты команды». В нём прямо говорилось, откуда берутся деньги: не от продажи кофе, а от тех, кто присоединился позже.

13 июля 2026 года Комиссия по ценным бумагам и фьючерсам Гонконга (SFC) добавила «Fun Coffee GCM 專案» в список подозрительных инвестиционных продуктов. SFC зафиксировала, что оператор и промоутер — одна и та же организация, действующая в Гонконге и Вьетнаме. В её списке названы продукты, которые рекламировала схема, включая высокоэффективную систему экстракции холодного заваривания и модуль проверки безопасности пищевых продуктов и прослеживаемости, и отмечается, что материалы доходили до инвесторов через маркетинговые мероприятия, проводившиеся в Гонконге.

20 июля 2026 года приложение перестало работать.

Полиция Гонконга начала получать заявления в течение июля, после отключения, и провела совместную операцию с Судебной полицией Макао с 1 по 3 августа, арестовав шесть человек в Гонконге и двух в Макао. Арестованные в Гонконге были директорами компании, акционерами и основными участниками, отвечавшими за продвижение и привлечение новых людей. Было заморожено примерно 610 000 гонконгских долларов.

Таким образом, последовательность была такой: регуляторное предупреждение, затем прекращение работы, затем уголовное расследование. Эта последовательность используется позже для объяснения аномалии в данных о выплатах.

Сама схема продаж была несложной. Платформа заявляла о совокупных активах свыше 1 млрд долларов США и более 5000 сотрудников. Полиция Гонконга описала три уровня — 啟航 (Launch/«Старт»), 成長 (Growth/«Рост») и 遠航 (Voyage/«Плавание») — с рекламируемой годовой доходностью примерно 197–278%. На верхнем уровне 29 800 USDT, размещённых на 570 дней, должны были принести около 1 млн гонконгских долларов прибыли. Участники получали бонусы за привлечение друзей и родственников, а вьетнамская полиция отметила, что на презентациях продаж участников учили, как привлекать новых людей.

Платежи на каждом этапе проходили через криптовалюту. После регистрации в приложении служба поддержки сообщала инвестору, на какой кошелёк отправить виртуальные активы; только после такого пополнения можно было инвестировать. В Макао схема работала немного иначе: жертвы передавали наличные сотрудникам магазина, которые помогали пополнить криптовалютный счёт, и деньги в итоге попадали на счёт, указанный вышестоящим участником. Тот же вышестоящий участник финансировал работу магазина в криптовалюте.

Сеть: четыре уровня, одна узловая точка, три выхода

При проверке по отдельности эти 99 адресов держат в сумме 1,52 USDT, и все 91 адрес сбора средств находятся на нуле. «Вывели всё» — это измеренный результат, а не обобщение.

Эти 99 адресов делятся на четыре уровня, и они ведут себя очень по-разному.

Уровень 1 — это пул из 91 адреса сбора средств, ротируемых партиями. Платформа никогда не публиковала один фиксированный адрес для депозитов. Каждый из 91 адреса принял от 67 до 649 входящих переводов от 9 до 38 разных отправителей. Из 15 272 входящих переводов, поступивших извне сети, 13 903 (91%) были оплачены с горячего кошелька биржи, что соответствует методу, описанному полицией: жертвам говорили отправлять средства оттуда, где хранится их криптовалюта, на указанный кошелёк.

Уровень 2 — это единственный адрес. Всё, что собрал Уровень 1, сходится на адресе TRoCD8...yxJw, который получил 68 409 908 USDT в ходе 2076 переводов (99,99% — от Уровня 1) и переслал всё это дальше. Он ничего не удерживает. Это единственная узловая точка сети, и именно поэтому платежей одной пострадавшей стороны хватило, чтобы раскрыть всю структуру.

Уровень 3 — это четыре ретрансляционных адреса, используемых поочерёдно. Периоды, в течение которых узловой адрес их финансирует, идут последовательно и не пересекаются, а каждая передача происходит в течение одного дня. Это больше похоже не на четыре роли, работающие параллельно, а на одну роль, кошелёк которой заменялся трижды.

Уровень 4 — это три узла распределения средств, и именно здесь деньги разделяются по назначению. 91,1% того, что выходит из Уровня 3, попадает на эти три адреса. Два из них работали последовательно, и второй, TPuLUc...Mo7Z, был активен только с 15 по 23 июля 2026 года — как раз в тот период, когда платформа отключилась и полиция начала принимать заявления. Это был последний адрес, кому-либо выплачивавший средства.

Есть две детали, которые не вписываются в аккуратную картину уровней, и их следует указать. Не всё дошло до Уровня 4: 8,5% исходящих средств Уровня 3, то есть 6 245 984 USDT в ходе 563 переводов, покинули сеть непосредственно с Уровня 3. И не всё поступало через Уровень 1: Уровень 3 принял дополнительно 3 355 420 USDT в ходе 302 переводов напрямую извне сети, а узлы Уровня 4 приняли ещё 1 293 472 USDT в сумме — деньги, которые никогда не проходили через адрес сбора средств.

Тот, кто управлял этой схемой, не направлял деньги строго по уровням. Уровень 3 работал как ретранслятор и одновременно управлял собственным выходом.

Круглые суммы разделяют каналы

У сети три выхода. То, для чего использовался каждый из них, можно определить по форме отдельных сумм переводов.

Строка о кратности 1000 разделяет их наиболее резко. Переводы Канала 1 почти никогда не круглые: 1,1% кратны 1000, а наиболее распространённые суммы — это такие цифры, как 393, 448 и 324. Каналы 2 и 3 круглые в 86,2% и 73,4% случаев соответственно, с суммами вроде 150 000 и 5000.

Эта разница вытекает из того, как формируется каждая цифра. Выплата пользователю его снятия средств или процентов означает вычисление основной суммы, умноженной на ставку, что обычно оставляет неровный остаток. Перемещение денег оптом означает, что человек вводит цифру вручную, а люди набирают круглые цифры.

Это тенденция, а не закон. Платформа может округлять свои процентные выплаты; человек, перемещающий средства, может намеренно избегать круглых чисел. Но соответствие здесь достаточно близкое, чтобы обосновать классификацию, и оно подкрепляется всем остальным о трёх каналах: Канал 1 совершил 12 532 небольших перевода на 1428 адресов, тогда как Канал 2 совершил 87 крупных переводов на 19 адресов.

Канал 1 — это канал выплат, 45 574 708 USDT возвращаются инвесторам и рекрутерам. 946 депозитных адресов Binance приняли 86,63% этой суммы; 451 адрес самостоятельного хранения принял 12,51%.

Каналы 2 и 3 выводили деньги из системы. 19 получателей Канала 2 — это независимо действующие узлы, которые в общей сложности приняли 174 114 070 USDT по всей своей активности, из которых данное дело составляет 12,8%. Канал 3 имеет тот же профиль, но на порядок меньше, в основном на адреса, которые мы не можем атрибутировать, и на три депозитных адреса HTX.

Пул адресов перестал расти, а деньги — нет

Ежемесячные поступления на Уровень 1 росли каждый месяц в течение девяти месяцев подряд. Без спадов.

518 213 USDT в ноябре 2025 года выросли до 14 349 354 USDT в июле 2026 года — рост в 27,7 раза. Самый высокий месяц — июль, месяц, когда платформа остановилась, то есть привлечение средств всё ещё было на пике, когда всё отключилось.

Пул адресов не поспевал за деньгами. В марте и апреле 2026 года не было активировано ни одного нового адреса сбора средств, а это были два месяца самого быстрого роста. К июлю 11 активных адресов обрабатывали 14 349 354 USDT, в среднем по 1 304 487 USDT на каждый, что в 83 раза больше показателя ноября. Пул закладывался партиями: сразу 33 адреса в ноябре 2025 года и сразу 20 адресов в мае 2026 года, а рост поглощался за счёт проведения большего объёма через каждый из них. Месяц, когда эти первые 33 адреса начали работать, — тот же месяц, когда открылся магазин в Макао.

Средний размер перевода также вырос — с 814 USDT до 6882 USDT. Это говорит о большем, чем просто общие суммы: дело не только в том, что присоединялось больше людей, — каждый вклад становился крупнее. Более поздние участники вносили на транзакцию больше, чем более ранние.

Сколько людей приняло участие

Два независимых пути приводят примерно к одному и тому же результату, и оба они являются нижней границей.

Из 15 272 входящих переводов, полученных Уровнем 1 извне сети, 13 903 поступили с 15 адресов, помеченных как принадлежащие биржам, каждый из которых представляет множество розничных отправителей, которых мы не можем различить между собой. Оставшиеся 1369 переводов поступили от 175 адресов самостоятельного хранения, в среднем по 7,8 перевода на каждый. Если экстраполировать биржевую сторону по этому же коэффициенту, получится примерно 1777 человек; добавив 175, получаем около 1950.

С другой стороны: Канал 1 выплатил средства на 1428 адресов-получателей, и 86,3% участников с самостоятельным хранением в какой-то момент получили выплату. Применяя этот коэффициент в обратном направлении, получаем примерно 1655.

Итак, от 1650 до 1950, и вероятно больше. Большинство адресов самостоятельного хранения вносили средства один или два раза, но некоторые вносили десятки раз, а один — более двухсот, что больше похоже не на человека, а на рекрутера, пополняющего счёт для своей нижестоящей структуры. Среднее значение — правильный инструмент для превращения общей суммы переводов в число людей, но эти адреса с высокой частотой операций завышают среднее и занижают итоговое количество людей. Если оценивать по частоте, с которой реально проявляется обычный участник, число может достигать порядка 7000. На это же указывают ещё три обстоятельства: один человек может владеть несколькими адресами; те, кто никогда не снимал средства, нигде не появляются в канале выплат; и существует путь финансирования, минующий Уровень 1 полностью — платежи с горячего кошелька HTX напрямую на Уровень 3 (110 переводов, 240 824 USDT).

Число людей — это не число пострадавших. Адреса, получающие выплаты, содержат смешение как минимум трёх типов участников, и цепочка их не разделяет: обычные инвесторы, получившие меньше, чем вложили; рекрутеры, зарабатывающие многоуровневую комиссию; и, возможно, собственные счета операторов для вывода средств, что нельзя исключить именно потому, что эти депозитные адреса Binance невозможно атрибутировать кому-либо конкретно.

Большинство участников, которых мы можем отследить индивидуально, действительно вернули свои деньги

Выводы этого раздела применимы только к участникам, которых можно идентифицировать индивидуально в цепочке, поэтому эту группу сначала нужно определить. Есть подмножество, которое мы можем измерить: те, кто вносил средства с кошелька, который они контролируют, а не через биржу. Когда кто-то платит с биржевого счёта, отправителем в цепочке является горячий кошелёк биржи, общий для тысяч клиентов, и ни один отдельный платёж нельзя привязать к конкретному человеку. Когда же они платят со своего собственного кошелька, это можно сделать.

После исключения адресов, принадлежащих самой сети, и вкладов ниже 100 USDT (уровень «пыли»), остаётся 175 адресов. Из них 151 (86,3%) получили деньги обратно; в совокупности они внесли 6 211 277 USDT и получили 7 830 067 USDT — коэффициент возврата 126,1%, при этом 110 адресов вернули 100% или более. Как группа они оказались в плюсе. Ещё 24 адреса не получили ничего, внеся между собой 466 630 USDT.

При группировке по месяцу первого взноса нисходящей тенденции нет. Медианный коэффициент возврата по месяцам колеблется между 75,0% и 183,2%, а когорта ноября 2025 года, самая ранняя, находится на уровне 113,4%. Знакомая история о финансовой пирамиде — где ранние участники в порядке, а поздние остаются ни с чем — в этой выборке не проявляется.

Это возвращает нас к изложенной ранее хронологии. Схема не исчерпала деньги: она привлекла больше средств в последний месяц своей работы, чем в любой предыдущий. Её остановило иностранное полицейское предупреждение в мае и включение в регуляторный список 13 июля, за которыми последовало отключение 20 июля, а уголовное расследование началось только после этого. Схема, прерванная, пока она ещё платежеспособна, ещё не достигла той стадии, на которой перестаёт платить людям.

Это также объясняет, как схема, рекламирующая 278% годовых, продержалась почти год. Ранние участники действительно получали выплаты, и именно их опыт привлекал следующую волну. Полиция Гонконга описала тот же механизм со стороны пострадавших: участники видели успех других, сами получали небольшую доходность, верили, что схема настоящая, теряли бдительность и увеличивали свои вложения.

Коэффициент возврата в 126,1% не отражает участников в целом

Ограничения двоякие: насколько эта выборка охватывает канал выплат и кто в неё входит.

Во-первых, она охватывает лишь 12,51% канала выплат. Метод требует сопоставимого вклада в цепочке, который есть только у адресов самостоятельного хранения. 946 депозитных адресов Binance, принявших 86,63% Канала 1, полностью выпадают из этой выборки. По количеству переводов 91% поступлений на Уровень 1 прошли через биржу.

Во-вторых, то, что эта группа в чистом плюсе, как раз и делает её нерепрезентативной. Люди, использующие кошельки самостоятельного хранения в подобной схеме, как правило, более активны, перемещают больше средств и присоединяются раньше. Значительная часть из них — рекрутеры, а не инвесторы. Мы можем видеть эту закономерность напрямую: один адрес внёс 581 USDT и получил 100 434 USDT — рост в 173 раза, и есть другие случаи со стократным и 75-кратным ростом. Любая оценка убытков, построенная на этой выборке, систематически занижает реальную цифру.

Нам следует быть осторожными даже с тем, чтобы называть их рекрутерами. Получение суммы, намного превышающей вложенную, выглядит в цепочке одинаково независимо от того, зарабатывали ли вы рекрутинговую комиссию или были ранним инвестором, забравшим прибыль и ушедшим. Одна лишь эта закономерность не позволяет разделить эти два варианта, поэтому мы не делаем такого вывода в отношении какого-либо конкретного адреса.

Пострадавшая сторона, чьи записи легли в основу этого анализа, представляет собой прямой контраст. Все её вклады прошли через биржевой счёт, поэтому она не входит в число этих 175 адресов, а её совокупные выплаты составили примерно 3,8% от того, что она внесла — на два порядка ниже, чем 126,1% по выборке. Единичный случай — не статистическое доказательство, но он указывает в ту же сторону, что и смещение выборки: те, кого мы не можем увидеть по отдельности, возможно, пострадали намного сильнее, чем те, кого мы можем увидеть.

Сколько на самом деле потеряли участники

Три разные цифры обычно описываются как «убыток». Только одна из них подходит для оценки убытков участников.

Собственные записи платформы — это накопленная «сумма инвестиций», отображавшаяся в приложении. Эта цифра включает реинвестированную бумажную прибыль и уровневые бонусы, поэтому она существенно больше того, что кто-либо реально заплатил. Её не следует использовать.

Накопленные ончейн-поступления — это то, что адреса сбора средств приняли извне сети: 68 170 144 USDT. Эта цифра подтверждена документально и обоснована, но она не является тем, что потеряли участники. В финансовой пирамиде одни и те же деньги могут циркулировать между вложением и выплатой более одного раза, поэтому накопленная цифра превышает реальный чистый убыток. И нельзя по цепочке определить, была ли часть этих средств введена самими операторами для создания видимого объёма.

Чистый убыток — это сумма, которую участники потеряли в совокупности, и это единственная из трёх цифр, подходящая для оценки убытков.

Поскольку сеть полностью опустошила себя, доступно следующее тождество:

общая сумма вложений = суммы, возвращённые участникам + суммы, присвоенные операторами + средства, оставшиеся в сети (≈ 0)

Это означает, что совокупный чистый убыток равен тому, что забрали операторы. Каналы 2 и 3 соответствуют этому определению: крупные круглые переводы на узлы и депозитные адреса бирж, которые одновременно аккумулируют значительные суммы из других источников, без каких-либо признаков поочередной выплаты отдельным пользователям.

(Цифра по Каналу 2 отражает то, что реально покинуло сеть; 1 100 002 USDT из объёма его узла вернулись на Уровень 3 и никогда не выходили.)

Верхнюю границу мы дать не можем. Она равнялась бы этой цифре плюс какая-то часть из 45 389 827 USDT, отправленных Каналом 1 за пределы сети, ушедшая на собственные счета операторов для вывода средств, а не реальным инвесторам, и это зависит от того, сколько из этих 946 депозитных адресов Binance принадлежат операторам. Депозитный адрес биржи соответствует одному биржевому счёту, но кто им владеет и вносил ли этот человек также деньги на платформу — этого в цепочке не видно. Решить это могут только собственные записи биржи. Поэтому в данном отчёте приводится нижняя граница, без верхней границы и без точечной оценки.

Даже нижняя граница несёт одно допущение, а именно, что получатели Канала 3 действительно находятся вне сети. Из 1636 внешних адресов, взаимодействовавших с этими 99, 160 делали это в обоих направлениях, отправляя деньги внутрь, а также забирая их наружу. Некоторые из них могут функционально принадлежать той же операции и просто оказались за пределами границы, проведённой в этом анализе. Если дальнейшая работа включит их внутрь, и общая сумма исходящих средств Канала 3, и эта нижняя граница уменьшатся.

Что установила цепочка, а что — нет

Начав с платежей одной пострадавшей стороны, анализ цепочки дал форму всей операции: 91 ротируемый адрес сбора средств, единственная узловая точка, четыре ретрансляционных адреса, использованных последовательно, три выхода с различимыми назначениями, и 27,4 млн USDT, которые можно показать как выведенные, а не возвращённые.

Чего он не смог дать — так это личностей. 946 депозитных адресов бирж, удерживающих 86,63% выплат, — это граница. За этой точкой вопрос перестаёт быть аналитическим и становится вопросом записей, которые хранятся у бирж, и именно туда должно двигаться дальнейшее расследование подобного рода дел.

Источники

Каждый пункт в разделе о предыстории был проверен по оригинальной странице. Заголовки приведены на языке оригинала.

Два примечания к источникам. Число заявлений в Гонконге фиксировалось в трёх временных точках (225 заявлений и около 94 млн гонконгских долларов 3–4 августа; 255 заявлений и около 104 млн 5 августа; 286 заявлений и около 118 млн 19 августа); мы используем самые последние данные. Что касается даты отключения, VietnamPlus сообщает о 20 июля, тогда как Судебная полиция Макао описывает, что жертвы заметили проблемы 22 июля; это дата отключения и дата обнаружения проблемы соответственно, и они не противоречат друг другу.

Охват: USDT в сети TRON. Данные о транзакциях по состоянию на 24 августа 2026 года; балансы проверены 25 августа 2026 года; публичные источники проверены 25 августа 2026 года. Проценты указаны от сумм, если не оговорено иное в виде количества адресов. Адреса без атрибуции в базе данных меток описываются как не имеющие метки сущности, что означает лишь то, что мы не смогли их идентифицировать.