Мошенничество Fun Coffee: расследование Ponzi-схемы с доходностью 278% в сети TRON

20 июля 2026 года приложение Fun Coffee перестало работать, оставив несколько сотен инвесторов в Гонконге и Макао без возможности вернуть ни основной капитал, ни обещанную платформой доходность. Компания, стоявшая за проектом и рекламировавшая себя как разработчика высокотехнологичного кофейного оборудования с совокупными активами свыше 1 млрд долларов США, была впоследствии признана полицией Гонконга и Макао мошеннической схемой. По состоянию на 19 августа полиция Гонконга получила 286 заявлений на сумму около 118 млн гонконгских долларов.

Отталкиваясь от платёжных записей одной из жертв, мы проследили движение средств вперёд по сети TRON и восстановили сеть из 99 адресов, которые получили извне 72 829 035 USDT и на момент среза наших данных вывели всю эту сумму обратно. Далее описана структура этой сети, то, как мы разделили деньги, возвращённые инвесторам, и деньги, выведенные из системы, а также где заканчиваются возможности анализа блокчейна.

Примечание к дальнейшему тексту. Факты, изложенные в первой главе, взяты из материалов регуляторов, полиции и СМИ, и каждая процитированная страница была открыта и проверена. Всё остальное — наш собственный анализ данных блокчейна, охватывающий только USDT в сети TRON. Там, где мы утверждаем, что делает тот или иной адрес, это основано на его поведении в блокчейне и на атрибуции сущностей в базе меток BlockSec. Это не является выводом о том, кто контролирует адрес, о состоянии сознания этого человека или о его юридической ответственности. Для защиты частной жизни жертвы, чьи материалы легли в основу этого расследования, мы не показываем её адреса, хеши транзакций или скриншоты платформы и не приводим её индивидуальные суммы.

Предупреждения появились раньше, чем платформа перестала работать

Публичные данные имеют структуру, на которую стоит обратить внимание ещё до анализа данных блокчейна.

15 мая 2026 года полиция провинции Кханьхоа, Вьетнам, опубликовала предупреждение. В нём описывалась рекламируемая доходность от 10% до 30% в месяц и структура, которая подталкивала участников привлекать новых людей через многоуровневые «системные комиссии» и «бонусы за командные показатели». В нём прямо указывалось, откуда берутся деньги: не от продажи кофе, а от людей, присоединившихся позже.

13 июля 2026 года Комиссия по ценным бумагам и фьючерсам Гонконга (SFC) добавила «Fun Coffee GCM 專案» в свой список подозрительных инвестиционных продуктов. SFC зафиксировала, что оператор и промоутер — одно и то же юридическое лицо, действующее в Гонконге и Вьетнаме. В записи перечислены продукты, которые рекламировала схема, включая систему высокоэффективной экстракции холодного заваривания и модуль тестирования и отслеживания пищевой безопасности, и отмечается, что материалы доходили до инвесторов через маркетинговые мероприятия, проводившиеся в Гонконге.

20 июля 2026 года приложение перестало работать.

Полиция Гонконга начала получать заявления в течение июля, после остановки платформы, и провела совместную операцию с Судебной полицией Макао с 1 по 3 августа, арестовав шесть человек в Гонконге и двух в Макао. Арестованные в Гонконге были директорами компании, акционерами и ключевыми участниками, отвечавшими за продвижение и привлечение новых участников. Было заморожено около 610 000 гонконгских долларов.

Таким образом, порядок событий был таков: предупреждение регулятора, затем остановка работы, затем уголовное расследование. Эта последовательность будет использована позже для объяснения аномалии в данных о выплатах.

Сама схема была несложной. Платформа заявляла о совокупных активах свыше 1 млрд долларов США и более чем 5000 сотрудниках. Полиция Гонконга описала три уровня — 啟航 (Launch), 成長 (Growth) и 遠航 (Voyage), — рекламирующих годовую доходность примерно от 197% до 278%. На высшем уровне 29 800 USDT, размещённые на 570 дней, должны были принести около 1 млн гонконгских долларов прибыли. Участники получали бонусы за привлечение друзей и родственников, а вьетнамская полиция отмечала, что на маркетинговых мероприятиях учили, как привлекать новых людей.

Оплата на каждом этапе проходила через криптовалюту. После регистрации инвестора в приложении служба поддержки сообщала, на какой кошелёк отправить виртуальные активы; только после такого пополнения можно было инвестировать. В Макао схема работала несколько иначе: жертвы передавали наличные сотрудникам магазина, которые помогали пополнить криптосчёт, а деньги в итоге поступали на счёт, указанный вышестоящим участником. Тот же вышестоящий участник финансировал деятельность магазина в криптовалюте.

Сеть: четыре уровня, одна узловая точка, три выхода

При индивидуальной проверке эти 99 адресов вместе держат 1,52 USDT, а все 91 адрес сбора средств имеют нулевой баланс. «Вывели всё» — это измеренный результат, а не обобщение.

99 адресов делятся на четыре уровня, и ведут они себя очень по-разному.

Уровень 1 — это пул из 91 адреса сбора средств, ротируемых партиями. Платформа никогда не публиковала единый фиксированный адрес для депозитов. Каждый из 91 адреса принял от 67 до 649 входящих переводов от 9 до 38 разных отправителей. Из 15 272 входящих переводов, поступивших извне сети, 13 903 (91%) были оплачены с горячего кошелька биржи, что соответствует методу, описанному полицией: жертвам говорили отправить средства с того места, где они хранят криптовалюту, на указанный кошелёк.

Уровень 2 — это единственный адрес. Всё, что собрал Уровень 1, сходится на адресе TRoCD8...yxJw, который получил 68 409 908 USDT в результате 2076 переводов, 99,99% из которых — от Уровня 1, и переслал всё дальше. Он ничего не оставляет у себя. Это единственная узловая точка сети, и именно поэтому платежей одной жертвы оказалось достаточно, чтобы раскрыть всю структуру.

Уровень 3 — это четыре ретрансляционных адреса, использовавшихся последовательно, один за другим. Периоды, в течение которых узел финансирует их, идут подряд и не перекрываются, причём каждая передача происходит в течение одного дня. Это выглядит не как четыре роли, работающие параллельно, а скорее как одна роль, кошелёк которой заменяли трижды.

Уровень 4 — это три узла распределения средств, и именно здесь деньги разделяются по назначению. 91,1% средств, покидающих Уровень 3, попадает на эти три адреса. Два из них работали последовательно, и второй, TPuLUc...Mo7Z, был активен только с 15 по 23 июля 2026 года — как раз в тот период, когда платформа перестала работать и полиция начала принимать заявления. Это был последний адрес, кому-либо выплачивавший средства.

Две детали не вписываются в аккуратную картину уровней, и их стоит отметить отдельно. Не всё дошло до Уровня 4: 8,5% исходящих средств Уровня 3, 6 245 984 USDT в результате 563 переводов, покинули сеть напрямую с Уровня 3. И не всё поступило через Уровень 1: Уровень 3 получил ещё 3 355 420 USDT в результате 302 переводов напрямую извне сети, а узлы Уровня 4 получили между собой ещё 1 293 472 USDT — деньги, которые никогда не проходили через адрес сбора средств.

Тот, кто управлял этой схемой, не направлял деньги строго по уровням. Уровень 3 действовал одновременно как ретранслятор и как собственный канал вывода средств.

Круглые суммы разделяют каналы

У сети три выхода. Назначение каждого из них можно определить по форме отдельных сумм переводов.

Строка «кратно 1000» разделяет их наиболее чётко. Переводы Канала 1 почти никогда не круглые: 1,1% кратны 1000, а наиболее распространённые суммы — такие цифры, как 393, 448 и 324. Каналы 2 и 3 круглые в 86,2% и 73,4% случаев соответственно, с суммами вроде 150 000 и 5 000.

Эта разница объясняется тем, как получается каждое число. Выплата пользователю его вывода или процентов означает вычисление «основной капитал × ставка», что обычно оставляет нецелый остаток. Массовое перемещение денег означает, что человек вводит цифру вручную, а люди вводят круглые цифры.

Это тенденция, а не закон. Платформа может округлять процентные выплаты; человек, перемещающий средства, может намеренно избегать круглых чисел. Но соответствие здесь достаточно чёткое, чтобы служить основанием для классификации, и оно подтверждается всем остальным, что известно о трёх каналах: Канал 1 совершил 12 532 небольших перевода на 1428 адресов назначения, тогда как Канал 2 совершил 87 крупных переводов на 19 адресов.

Канал 1 — это канал выплат, 45 574 708 USDT, возвращённых инвесторам и рекрутёрам. 946 депозитных адресов Binance получили 86,63% этой суммы; 451 адрес самостоятельного хранения получил 12,51%.

Каналы 2 и 3 выводили деньги из системы. 19 адресов назначения Канала 2 — это независимо действующие узлы, которые собрали в общей сложности 174 114 070 USDT по всей своей активности, из которых на этот случай приходится 12,8%. Канал 3 — тот же профиль, но на порядок меньше, средства идут в основном на адреса, которые мы не можем атрибутировать, и на три депозитных адреса HTX.

Пул адресов перестал расти, тогда как деньги — нет

Ежемесячные поступления на Уровень 1 росли каждый месяц на протяжении девяти месяцев. Без единого спада.

518 213 USDT в ноябре 2025 года выросли до 14 349 354 USDT в июле 2026 года — рост в 27,7 раза. Самый высокий месяц — июль, месяц остановки платформы, то есть привлечение средств находилось на пике, когда всё прекратилось.

Пул адресов не соответствовал росту денежных потоков. В марте и апреле 2026 года не было активировано ни одного нового адреса сбора средств, а это были два самых быстрорастущих месяца. К июлю 11 активных адресов обрабатывали 14 349 354 USDT, в среднем по 1 304 487 USDT на адрес — в 83 раза больше показателя ноября. Пул формировался партиями: 33 адреса одновременно в ноябре 2025 года и 20 одновременно в мае 2026 года, а рост поглощался за счёт увеличения нагрузки на каждый адрес. Месяц, когда эти первые 33 адреса были введены в эксплуатацию, — тот же месяц, когда открылся магазин в Макао.

Средняя сумма перевода также росла — с 814 USDT до 6882 USDT. Это говорит о большем, чем просто общие суммы: дело было не только в том, что присоединялось всё больше людей, но и в том, что каждый взнос становился всё крупнее. Более поздние участники вкладывали больше за одну транзакцию, чем ранние.

Сколько людей приняли участие

Два независимых метода приводят примерно к одному и тому же результату, и оба они — нижние оценки.

Из 15 272 входящих переводов, полученных Уровнем 1 извне сети, 13 903 поступили с 15 адресов, помеченных как принадлежащие биржам, каждый из которых представляет множество розничных отправителей, которых мы не можем различить между собой. Оставшиеся 1369 поступили со 175 адресов самостоятельного хранения, в среднем по 7,8 перевода на адрес. Экстраполируя биржевую сторону с тем же соотношением, получаем около 1777 человек; добавив 175, получаем примерно 1950.

С другого конца: Канал 1 выплатил средства на 1428 адресов назначения, и 86,3% участников с самостоятельным хранением, вносивших средства, в какой-то момент получили выплату. Применяя это соотношение в обратную сторону, получаем около 1655.

Итак, от 1650 до 1950 человек, и, вероятно, больше. Большинство адресов самостоятельного хранения вносили средства один-два раза, но некоторые — десятки раз, а один — более двухсот, что больше похоже не на человека, а на рекрутёра, пополняющего счёт за свою нижестоящую сеть. Среднее значение — правильный инструмент для перевода общей суммы переводов в число людей, но такие высокочастотные адреса завышают среднее и занижают итоговое число участников. Если оценивать по частоте, характерной для обычного участника, число может достичь порядка 7000. На то же указывают ещё три обстоятельства: один человек может держать несколько адресов; тот, кто ни разу не выводил средства, вообще не появляется в канале выплат; и существует маршрут финансирования, минующий Уровень 1 целиком, — выплата с горячего кошелька HTX напрямую на Уровень 3 (110 переводов, 240 824 USDT).

Число участников — это не число жертв. Адреса, получающие выплаты, объединяют как минимум три категории участников, которые блокчейн не разделяет: обычные инвесторы, получившие меньше, чем вложили; рекрутёры, зарабатывающие многоуровневую комиссию; и, возможно, собственные счета операторов для вывода средств, что нельзя исключить именно потому, что эти депозитные адреса Binance невозможно атрибутировать конкретным лицам.

Большинство участников, которых мы можем отследить индивидуально, действительно вернули свои деньги

Выводы этого раздела применимы только к участникам, которых можно идентифицировать индивидуально в блокчейне, поэтому эту группу сначала нужно определить. Есть подмножество, которое поддаётся измерению: те, кто вносил средства с кошелька, который они сами контролируют, а не через биржу. Когда кто-то платит с биржевого счёта, отправителем в блокчейне становится горячий кошелёк биржи, общий для тысяч клиентов, и ни один отдельный платёж нельзя привязать к конкретному человеку. Когда же платёж идёт с собственного кошелька, это возможно.

После исключения адресов, принадлежащих самой сети, и незначительных взносов ниже 100 USDT, остаётся 175 адресов. Из них 151 (86,3%) получили деньги обратно; вместе они внесли 6 211 277 USDT и получили 7 830 067 USDT — коэффициент возврата 126,1%, при этом 110 из них вернули 100% или больше вложенного. Как группа они оказались в выигрыше. Ещё 24 адреса не получили ничего, вложив в общей сложности 466 630 USDT.

При группировке по месяцу первого взноса нисходящей тенденции не наблюдается. Медианный коэффициент возврата по месяцам колеблется между 75,0% и 183,2%, а самая ранняя когорта, ноябрь 2025 года, показывает 113,4%. Знакомая история о финансовой пирамиде — ранние участники в выигрыше, поздние потеряли всё — в этой выборке не прослеживается.

Это возвращает нас к изложенной ранее хронологии. У схемы не закончились деньги: в последний месяц своей работы она привлекла больше средств, чем в любой предыдущий месяц. Остановило её иностранное полицейское предупреждение в мае и внесение в список регулятора 13 июля, за которыми последовала остановка работы 20 июля, а уголовное расследование началось только после этого. Схема, прерванная в тот момент, когда она ещё платёжеспособна, ещё не достигла той стадии, на которой перестают платить участникам.

Это также объясняет, как схема, рекламирующая 278% годовых, продержалась почти год. Ранним участникам действительно платили, и именно их опыт привлекал следующую волну участников. Полиция Гонконга описала тот же механизм со стороны жертв: участники видели успех других, сами получали небольшую доходность, верили, что схема настоящая, теряли бдительность и увеличивали свои вложения.

Коэффициент возврата 126,1% не отражает положение участников в целом

Ограничения двойные: насколько эта выборка охватывает канал выплат и кто в неё входит.

Во-первых, она охватывает лишь 12,51% канала выплат. Метод требует сопоставимого взноса в блокчейне, а такой есть только у адресов самостоятельного хранения. 946 депозитных адресов Binance, получивших 86,63% Канала 1, полностью остаются за рамками этой выборки. По количеству переводов 91% поступлений Уровня 1 прошли через биржу.

Во-вторых, именно то, что эта группа оказалась в чистом выигрыше, делает её нерепрезентативной. Люди, использующие кошельки самостоятельного хранения в подобной схеме, как правило, более активны, перемещают больше средств и присоединились раньше. Значительная их часть — рекрутёры, а не инвесторы. Мы можем наблюдать эту закономерность напрямую: один адрес внёс 581 USDT, а получил 100 434 USDT — рост в 173 раза, и есть другие с ростом в 100 и 75 раз. Любая оценка убытков, построенная на этой выборке, систематически занижает реальную цифру.

Нам следует быть осторожными даже с тем, чтобы называть их рекрутёрами. Получение значительно большей суммы, чем было внесено, выглядит одинаково в блокчейне независимо от того, зарабатывал ли человек комиссию за привлечение или был ранним инвестором, забравшим прибыль и вышедшим из схемы. Одна лишь эта закономерность не позволяет различить эти два варианта, поэтому мы не делаем такой вывод в отношении какого-либо конкретного адреса.

Жертва, чьи записи легли в основу этого анализа, служит прямым контрастом. Все её взносы проходили через биржевой счёт, поэтому она не входит в число 175 адресов, а её совокупные выплаты составили примерно 3,8% от внесённой суммы — на два порядка меньше, чем 126,1% в выборке. Единичный случай — не статистическое доказательство, но он указывает в ту же сторону, что и систематическая ошибка: те, кого мы не можем отследить индивидуально, могли пострадать гораздо сильнее, чем те, кого мы видим.

Сколько на самом деле потеряли участники

«Убытком» принято называть три разные цифры. Только одна из них подходит для оценки требований участников о возмещении ущерба.

Собственная отчётность платформы — это накопленная «сумма инвестиций», которую отображало приложение. Эта цифра включает реинвестированную бумажную прибыль и бонусы уровней, поэтому она значительно превышает то, что кто-либо реально внёс. Её использовать не следует.

Совокупные поступления в блокчейне — это то, что адреса сбора средств получили извне сети: 68 170 144 USDT. Эта цифра подтверждена и обоснована, но это не то, что потеряли участники. В финансовой пирамиде одни и те же деньги могут циклически проходить путь «взнос — выплата» более одного раза, поэтому совокупная цифра превышает реальный чистый убыток. И нельзя определить по блокчейну, была ли часть этой суммы деньгами, которые операторы вложили сами, чтобы создать видимость оборота.

Чистый убыток — это сумма, которую участники потеряли в совокупности, и это единственная из трёх цифр, подходящая для требования о возмещении ущерба.

Поскольку сеть полностью опустошила себя, можно вывести следующее тождество:

сумма всех взносов = суммы, возвращённые участникам + суммы, присвоенные операторами + средства, оставшиеся в сети (≈ 0)

Из этого следует, что совокупный чистый убыток равен тому, что забрали операторы. Каналы 2 и 3 подходят под это определение: крупные круглые переводы на узлы и депозитные адреса бирж, которые одновременно аккумулируют значительные суммы из других источников, без каких-либо признаков поочерёдной выплаты отдельным пользователям.

(Цифра Канала 2 — это то, что реально покинуло сеть; 1 100 002 USDT из объёма его узла вернулись обратно на Уровень 3 и никогда не выходили за пределы сети.)

Верхнюю границу мы дать не можем. Она составила бы эту сумму плюс неизвестную часть из 45 389 827 USDT, отправленных Каналом 1 за пределы сети, которая пошла на собственные счета операторов для вывода средств, а не реальным инвесторам, а это зависит от того, сколько из этих 946 депозитных адресов Binance принадлежит операторам. Депозитный адрес биржи соответствует одному биржевому счёту, но кто им владеет и вносил ли этот человек также деньги в платформу — это не отражено в блокчейне. Только собственные записи биржи могут это прояснить. Поэтому в данном отчёте приводится нижняя граница, без верхней границы и без точечной оценки.

Даже нижняя граница опирается на одно допущение — что адреса назначения Канала 3 действительно находятся за пределами сети. Из 1636 внешних адресов, взаимодействовавших с этими 99 адресами, 160 делали это в обоих направлениях, как внося деньги, так и выводя их. Некоторые из них могут функционально принадлежать той же операции и просто оказаться за пределами границы, проведённой в этом анализе. Если дальнейшая работа включит их внутрь этой границы, то снизятся как исходящая сумма Канала 3, так и эта нижняя граница.

Что установил блокчейн, а что нет

Отталкиваясь от платежей одной жертвы, блокчейн позволил восстановить структуру всей операции: 91 ротируемый адрес сбора средств, единая узловая точка, четыре ретранслятора, использовавшихся последовательно, три выхода с различимым назначением и 27,4 млн USDT, которые, как можно показать, были выведены из системы, а не возвращены участникам.

Чего он не смог дать — это личностей. 946 депозитных адресов бирж, на которые пришлось 86,63% выплат, представляют собой границу. За этой чертой вопрос перестаёт быть аналитическим и становится вопросом данных, хранящихся у бирж, — именно туда должно двигаться дальнейшее расследование подобных дел.

Источники

Каждый пункт в разделе с предысторией был проверен по оригинальной странице. Названия приведены на языке оригинала.

Два примечания к источникам. Число заявлений, поданных в Гонконге, зафиксировано в трёх временных точках (225 заявлений и около 94 млн гонконгских долларов 3–4 августа; 255 и около 104 млн 5 августа; 286 и около 118 млн 19 августа); мы используем самые последние данные. Что касается даты остановки работы, VietnamPlus указывает 20 июля, тогда как Судебная полиция Макао описывает, что жертвы заметили проблемы 22 июля; это разные события — остановка работы и её обнаружение, — и они не противоречат друг другу.

Охват: USDT в сети TRON. Данные о транзакциях по 24 августа 2026 года включительно; балансы проверены 25 августа 2026 года; публичные источники проверены 25 августа 2026 года. Проценты указаны от сумм, если не указано иное количество адресов. Адреса без атрибуции в базе меток описываются как не имеющие метки сущности, что означает лишь то, что мы не смогли их идентифицировать.