После кражи почти каждая жертва задает одни и те же два вопроса. Можно ли увидеть, куда ушли средства, и могу ли я их вернуть? Честный ответ состоит из двух частей. Украденную криптовалюту можно отследить чаще, чем предполагает большинство людей, но отслеживание и возврат — не одно и то же. Отслеживание часто возможно. Возврат — нет. Эта статья объясняет возможности и ограничения отслеживания, точки разрыва следа и дальнейшие действия пострадавшего.
Краткий ответ: часто да, но не всегда до возврата
Да, украденную криптовалюту обычно можно отследить, по крайней мере на части пути. Блокчейн навсегда записывает каждую транзакцию, поэтому специалист может проследить украденные средства от адреса к адресу и увидеть сервисы, которых они касались. Эта видимость реальна и помогла добиться ряда громких результатов правоохранительной работы. Схемы, которые исследуют специалисты, пересекаются с индикаторами подозрительной активности FATF для виртуальных активов. Но такая видимость не обещает возврата денег.
Отслеживание показывает, куда ушли украденные средства. Возврат означает получение их обратно, и первое не гарантирует второе. Специалист может наблюдать движение денег, назвать каждый затронутый адрес и все же столкнуться с точкой разрыва, останавливающей след. Это различие важно, потому что жертвы часто считают эти слова синонимами, хотя это не так. Знание о том, куда ушли средства, — доказательство. Для возврата нужно, чтобы биржа заморозила активы, правоохранительные органы приняли меры или успешно завершилась гражданско-правовая процедура, и ни один из этих шагов не происходит автоматически. В США отчетность, запускающая эти шаги, относится к сфере FinCEN. Поэтому добросовестный ответ прямо говорит о разрыве: отслеживание часто возможно, возврат — нет.
Почему украденную криптовалюту можно отследить
Украденную криптовалюту можно отследить, потому что блокчейн — публичный реестр: каждая транзакция записана, и специалист может идти по средствам переход за переходом, пока след не оборван. Скрытого хранилища, в котором можно спрятаться, нет — есть лишь адреса, и каждый оставляет постоянную историю транзакций, которую любой может изучить с подходящими инструментами.
Работа по отслеживанию опирается на две идеи. Первая — отслеживание через несколько переходов: пошаговое движение от адреса жертвы через каждый промежуточный адрес до конечного назначения средств. Вторая — метки: присвоение адресам известных идентичностей, благодаря чему перевод на биржу, в миксер или на известный кошелек злоумышленника становится именованным назначением, а не анонимным переходом.
Реальные дела показывают, насколько далеко это может зайти. В инциденте Ronin Bridge в марте 2022 года злоумышленники использовали скомпрометированные приватные ключи для подделки двух транзакций вывода и вывели 173 600 ETH и 25,5 миллиона USDC. Во время инцидента Nomad Bridge в августе 2022 года злоумышленники похитили около $190 миллионов, а 16 адресов, получивших прибыль, перевели примерно $17 миллионов в Tornado Cash; эти средства вряд ли удастся вернуть. Специалисты проследили оба маршрута через десятки адресов и составили карты движения средств — в этом и состоит основное обещание ончейн-отслеживания.
Что разрывает след
След обрывается, когда средства попадают туда, где разрывается связь между адресом и стоящим за ним человеком. Самая распространенная причина — миксер. Такой миксер, как Tornado Cash, объединяет депозиты множества пользователей и позволяет выводить эквивалентные суммы на новые адреса, разрывая ончейн-связь между депозитом и выводом.
Атака на Li.Fi показывает это на практике. После атаки на Li.Fi в июле 2024 года более 99% из примерно $11,6 миллиона украденных стейблкоинов в итоге перевели в Tornado Cash. После достижения этой точки отслеживание может показать вход средств в миксер, но не может надежно установить, кто вывел их с другой стороны. След дошел до точки разрыва, а не исчез.
Важны еще две точки разрыва. Биржа без проверки личности позволяет злоумышленнику обменять украденные средства на другой актив без привязки имени к выводу. Межсетевой мост переносит средства в другой блокчейн, где специалисту приходится заново подхватывать след с другим набором инструментов и меток. Ни одна из этих ситуаций не прекращает отслеживание полностью, но каждая уменьшает определенность результата. Это честный предел отслеживаемости: публичный реестр прозрачен, но точки соприкосновения криптовалюты с анонимностью — нет.
Как MetaSleuth повышает шансы на отслеживание
Специализированный инструмент меняет то, какую часть следа специалист может восстановить до точки разрыва. MetaSleuth — платформа отслеживания криптовалют и расследований от BlockSec, которая следует за средствами через несколько переходов, визуализирует потоки и позволяет сохранять анализ и делиться им. Именно это делает MetaSleuth. Вместо ручного восстановления следа в отдельных обозревателях специалист раскрывает каждый следующий переход и наблюдает, как поток складывается в граф.
MetaSleuth содержит более 600 миллионов меток адресов, превращая многие анонимные назначения в именованные до того, как специалисту придется остановиться и изучить их отдельно. Платформа также ведет публичную библиотеку дел, в которой были задокументированы приведенные выше примеры Ronin, Nomad и Li.Fi. ZachXBT неоднократно рекомендовал MetaSleuth для анализа ончейн-потоков средств в своих публичных расследованиях. В деле марта 2026 года ZachXBT сначала заметил около $23 миллионов аномальных переводов из кошелька, находившегося на хранении у правительства США, а позднее подозреваемого обвинили в краже более $46 миллионов.
Важно понимать: инструмент отслеживания улучшает отслеживаемость. Он не превращает ее в возврат средств и не способен отменить разрыв, создаваемый миксером. Когда более 99% средств в деле наподобие Li.Fi поступает в Tornado Cash, платформа может точно задокументировать место окончания следа, но не может выдумать следующий переход. Именно в этой честности смысл. Хороший инструмент точно показывает специалисту, где заканчиваются доказательства, чтобы дальнейшее решение о возврате опиралось на факты, а не на надежду.
Что делать дальше
Если вы потеряли средства, действуйте быстро. Возможность отслеживания снижается по мере прохождения денег через миксеры, мосты и биржи без проверки личности, поэтому чем раньше начинается работа, тем большая часть пути сохраняется. Сначала соберите все хеши транзакций, адрес назначения и точное время кражи, затем откройте след в инструменте отслеживания и пройдите по нему настолько далеко, насколько возможно до разрыва.
Отследите украденные средства с MetaSleuth и узнайте, насколько далеко может привести след.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где подробно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.