Украденную криптовалюту редко держат на одном адресе: после взлома ее обычно дробят, меняют на другие активы и переводят между разными блокчейнами. Но публичные сети сохраняют историю операций, поэтому по транзакциям можно восстановить маршрут средств и увидеть связи между кошельками.
С монетами с рискованным прошлым может столкнуться не только злоумышленник или жертва взлома. Обычный пользователь покупает, например, USDT у незнакомого продавца и не знает, что эти средства раньше проходили через адреса, связанные с кражей. Когда он отправит такие монеты на биржу, площадка может попросить объяснить их происхождение.
Поводом для разбора стало исследование аналитиков BitOK. Они изучили 38 эпизодов краж за январь-октябрь 2026 года, которые связывают с северокорейскими хакерскими группировками. Эти кейсы показывают, как расследователи отслеживают похищенные цифровые активы и почему AML-проверка до сделки снижает риск неприятных последствий.
Как аналитики восстанавливают движение похищенных средств
В сетях Bitcoin, Ethereum и TRON открыто видны адреса отправителей и получателей, суммы, время переводов и дальнейшее движение активов. При этом блокчейн не показывает имена владельцев кошельков. Поэтому расследование строится на сопоставлении признаков: последовательности транзакций, времени операций, повторяющихся сумм, общих контрагентов и других совпадений.
Обычно работа начинается с адреса пострадавшего, который уже известен. Затем аналитик смотрит, куда ушли средства, и идет дальше по цепочке, включая отдельные ветки, появившиеся после дробления суммы.
Для такой работы используют инструменты блокчейн-аналитики. BitOK Graph визуализирует перемещение криптовалюты и связи между адресами: с его помощью можно разбирать цепочки транзакций и искать признаки того, что несколькими кошельками управляет один и тот же субъект.
Один общий контрагент сам по себе ничего не доказывает. Два независимых пользователя могут отправить средства на одну и ту же биржу. Убедительные выводы появляются только тогда, когда совпадает сразу несколько признаков.
Какие следы остаются еще до атаки
Иногда важные для расследования операции происходят до самого взлома. Злоумышленникам нужно заранее подготовить адреса и пополнить их средствами для оплаты комиссий.
При разборе атаки на Binance аналитики BitOK нашли кошелек, который не проявлял активности 2146 дней. 28 октября 2026 года с него отправили 15 668 TRX через NEAR Intents. После этой операции на другом адресе оказалось около 2,2 ETH. Эти ETH затем использовали как газ для последующих транзакций.
Ключевой деталью стала подпись: транзакцию подписал тот же ключ, который использовался еще в 2020 году. Так давно неактивный кошелек удалось связать с подготовкой атаки.
Какими способами хакеры запутывают следы
После кражи средства редко идут по прямому маршруту. В расследованных BitOK эпизодах повторялись несколько приемов, которые усложняют анализ.
- Дробление: крупную сумму разбивают на большое число небольших переводов.
- Обмен: один актив, например USDT, меняют на ETH или другую криптовалюту.
- Межсетевой перевод: средства перемещают между блокчейнами через специальные протоколы.
- Микширование: сервис затрудняет сопоставление входящих и исходящих транзакций.
- Автоматизация: серии однотипных операций выполняют скрипты, а не ручные отправки каждой транзакции.
Один из показательных случаев связан с Drift Protocol, торговой платформой на блокчейне Solana. 1 апреля 2026 года в результате атаки с нее вывели 19 криптомонет примерно на $295,7 млн.
Часть украденных ETH сначала не двигалась дальше. По данным BitOK, средства несколько месяцев лежали на кошельках, а затем их начали отправлять в Tornado Cash. Этот микшер усложняет установление связи между входящими и исходящими переводами.
Аналитики насчитали 765 депозитов в Tornado Cash. Они прошли тремя сериями: 23 июля, 20 октября и 21 октября. Медианный промежуток между операциями составил 24 секунды, суммы и порядок действий повторялись. Такая регулярность указывает на заранее настроенные скрипты.
В других эпизодах использовались Umbra и Stargate. Umbra позволяет отправлять средства на одноразовые стелс-адреса, а Stargate служит для межсетевого перемещения криптовалют.
Через этот маршрут аналитики изучили 452 операции на общую сумму 5 047,29 ETH. На одноразовых адресах оставались небольшие остатки для оплаты комиссий. 31 августа остатки со 150 адресов собрали на один кошелек. Среди этих адресов были связанные с эпизодами AFX и кражей 28 августа. Всего на адрес-сборщик поступило 0,27 ETH.
Сама сумма была небольшой, но важен способ консолидации. Переводы подписывались ключами тех же адресов, что помогло связать кошельки с единым процессом управления. Дальнейший анализ показал связи этого расчетного контура с атаками на Bitget и Binance. Это говорит об общей инфраструктуре вывода средств, но не доказывает, что все взломы выполнила одна команда.
Почему время вывода помогает расследованию
В ходе анализа атак BitOK обнаружил характерное окно: через 2,5-5 суток после взлома основная масса ETH выводилась через THORChain, протокол для обмена криптовалют между разными блокчейнами.
Задержки помогают восстановить хронологию. В случае Drift часть средств оставалась на кошельках месяцами и только потом попала в Tornado Cash. Именно такая пауза дала расследователям возможность точнее отследить движение криптовалюты.
Как рискованные монеты оказываются у обычного пользователя
Источники могут быть разными, и получить криптовалюту с сомнительной историей можно даже через торговые площадки. Пользователь покупает 5000 USDT у незнакомого продавца, перевод подтверждается, монеты приходят на кошелек. Но подтверждение транзакции говорит только о факте получения средств, а не об их происхождении.
Если раньше эти USDT проходили через адреса, связанные с кражами или мошенническими схемами, при переводе на централизованную биржу могут возникнуть вопросы. Площадка вправе запросить документы об источнике средств, временно ограничить операции или заморозить USDT.
Получатель при этом может не знать историю монет. Рискованная связь сама по себе не доказывает его причастность. Важны степень близости к подозрительному адресу и то, через какие сервисы проходила криптовалюта.
Как проверить криптовалюту перед сделкой
AML-проверка помогает заранее оценить риски, связанные с адресом или конкретной транзакцией. В BitOK можно проверить кошелек, посмотреть категории риска и доступные сведения об источниках средств. Для быстрых проверок используется BitOK AML Bot в Telegram, также есть отдельный инструмент AML-проверок на сайте.
Перед сделкой стоит выполнить несколько шагов.
- Уточнить адрес и сеть. Контрагент должен заранее сообщить, с какого кошелька придут средства. У USDT в Ethereum и TRON разная история операций.
- Проверить адрес. Важно смотреть не только итоговую оценку, но и категории риска, которые повлияли на результат.
- Сверить фактический перевод. После поступления средств нужно проверить TxID, сеть, сумму и реальный адрес отправителя. Если перевод пришел с другого кошелька, прежняя проверка уже не покрывает риск.
- Сохранить подтверждения. Переписка, условия сделки и TxID помогут объяснить происхождение средств, если биржа запросит дополнительные данные.
AML-оценка не является доказательством законности средств и не гарантирует полного отсутствия риска. Это предварительный фильтр. Если обнаружена прямая связь с известной кражей, сделку лучше остановить.
Какие инструменты BitOK помогают контролировать операции
Для регулярного контроля криптовалют BitOK предлагает портфолио-трекер. Он собирает данные о цифровых активах и позволяет оценивать риски в одном интерфейсе. В разделе отчетов можно подготовить документы по криптовалютным операциям.
Для бизнеса предусмотрен KYT Office. Этот инструмент мониторит транзакции и кошельки для комплаенс-команд. Подозрительные операции можно детально изучать через Graph. Для специалистов доступна AML-сертификация: программа включает восемь модулей и 30 академических часов.
Что делать, если криптовалюту уже украли
После кражи главная задача — восстановить маршрут средств и подготовить материалы для взаимодействия с биржами и другими организациями. BitOK предлагает услугу расследования и возврата криптовалюты: специалисты анализируют движение цифровых монет, ищут возможные связи между адресами и оформляют материалы для дальнейшей работы.
Отслеживание не гарантирует блокировку или возврат средств. Итог зависит от конкретной ситуации и действий площадок.
На примере северокорейских группировок видно, насколько различаются результаты. По предварительной оценке BitOK, ущерб от 38 эпизодов атак за январь-октябрь 2026 года составил $7,61 млрд. Заморозить или изъять удалось криптовалюту на $2,86 млрд, еще $4,75 млрд остались вне блокировок.
В результате расследования атаки на Binance удалось заморозить или изъять около 43% похищенных средств. По другим крупным атакам совокупный результат оказался значительно ниже: вернуть удалось около 6% украденной криптовалюты.
Главное
Даже сложные маршруты не всегда полностью скрывают происхождение средств. Повторяющиеся операции, общие расчетные адреса, автоматизированные серии транзакций и небольшие остатки на одноразовых кошельках оставляют следы, по которым можно восстановить картину движения активов.
Перед сделкой важно проверять не только сумму и факт поступления криптовалюты, но и ее историю. AML-проверка не дает абсолютной гарантии безопасности, зато помогает заранее заметить рискованные связи и избежать проблем с биржами.
