Связаться с нами

Украденная криптовалюта компании поступила на биржу: как добиться заморозки и обратиться в полицию

Обнаружить похищенные активы на централизованной бирже - лучший момент расследования после самой кражи.

→ Короткий ответ
→ Убедитесь, что это депозит, а не метка
→ Бирже нужен маршрут, а не адрес
→ Пишите сразу, даже если пакет не готов
→ Один пакет - три адресата, и как разорвать бюрократическую петлю
→ Тикет - ещё не заморозка: пять этапов
→ Правильное юрлицо и ловушка MLAT
→ После депозита блокчейн слепнет
→ USDT и USDC: эмитент как третья нитка
→ Единый пакет: чек-лист
→ После подачи расследование продолжается
→ Краткий порядок действий
→ Вывод
→ FAQ

Получить консультацию экспертов AML Crypto

Площадка может поставить аккаунт под контроль, сохранить данные и ограничить вывод. Но метка «centralized exchange» в эксплорере ничего не замораживает: между ней и блокировкой - последовательность действий, на которую у компании есть считанные дни.

Короткий ответ

Попадание средств на биржу открывает окно возможностей, которое закрывается за дни: злоумышленник либо выведет активы, либо обменяет их внутри площадки - и публичный блокчейн ослепнет.
Сначала подтвердите, что адрес - клиентский депозит конкретной биржи, а не транзит, горячий кошелёк или платёжный шлюз.
Первичное уведомление биржи отправляется сразу, полный пакет досылается следом; заявление в полицию готовится параллельно, а не «после ответа биржи».
Заморозка, сохранение данных, процессуальный арест и возврат - четыре разных процесса с разными документами и разными адресатами.

Убедитесь, что это депозит, а не метка

Аналитический сервис может показать «centralized exchange», но атрибуцию проверяют вручную: за меткой способен оказаться транзитный адрес, инфраструктура платёжного провайдера или OTC-деск, внешне неотличимый от депозита. Обращение не по адресу - это потерянные сутки, которых у компании нет.

Если депозит подтверждён, не путайте его с горячим кошельком площадки. Депозитный адрес позволяет бирже связать транзакцию с внутренним аккаунтом клиента; последующий перевод в общий горячий кошелёк - служебная операция. Это как внести наличные в кассу банка: купюры оказываются в общем хранилище, и дальше работает только бухгалтерский след. Установить владельца аккаунта по ончейн-перемещению в горячий кошелёк значительно сложнее — поэтому фиксировать нужно именно клиентский депозит.

Бирже нужен маршрут, а не адрес

Сообщение «на вашей бирже находятся наши деньги» без доказательного маршрута для compliance-команды - просто письмо недовольного клиента. Площадка должна видеть, как активы прошли от корпоративного кошелька до её инфраструктуры:

Компания → несанкционированная транзакция → промежуточные адреса и сервисы → депозит биржи.

Для каждого участка фиксируются TXID, сумма, токен, сеть и время. Если злоумышленник менял активы через DEX или перекладывал между блокчейнами, отчёт обязан объяснять, как входящий поток соотносится с исходящим. Красивый граф без таблицы транзакций - как презентация стартапа без финмодели: выглядит убедительно, но решений по ней не принимают.

Пишите сразу, даже если пакет не готов

Полноценный аналитический отчёт готовится несколько дней. Ждать его завершения перед первым письмом - значит дать злоумышленнику время обменять токены внутри биржи или вывести их на другой сервис.

В первом уведомлении достаточно указать пострадавшую компанию, кратко описать обстоятельства и передать исходный адрес, TXID, депозит биржи, сеть, токен, сумму и контакт ответственного. Просьба должна быть конкретной: зафиксировать депозит, сохранить связанные активы и данные аккаунта до поступления официального запроса. Эмоциональное письмо «немедленно верните нашу криптовалюту» вреда не принесёт, но и работать не будет: оно не сопоставимо с конкретным аккаунтом, TXID и временной меткой.

Один пакет - три адресата, и как разорвать бюрократическую петлю

Обращение на биржу и заявление в правоохранительные органы готовятся одновременно: завершать расследование заранее не требуется, материалы дополняются по мере обнаружения новых адресов. Фактическая часть совпадает, но каждый адресат получает запрос в пределах своих полномочий.

Здесь прячется классическая петля: биржа не раскрывает данные и не держит вечную заморозку без запроса правоохранительного органа; правоохранительный орган не направляет запрос без доказательной базы и понимания, куда именно запрашивать. Разрывается она встречным движением: компания сразу просит биржу о сохранении данных - это не требует судебного документа и делается в рамках внутреннего комплаенса, - а полиции передаёт готовый маршрут и депозит, чтобы официальный запрос ушёл в конкретную юрисдикцию и конкретное юрлицо. Сохранённые данные затем «доживают» до юридического запроса.

Заявление подаётся от имени компании через уполномоченного представителя: доверенность, принадлежность корпоративного кошелька и право на активы подтверждаются документами. Инцидент описывается последовательно: когда обнаружена кража, какие операции не санкционированы, какие активы выведены, какой ущерб и что уже сделано для его ограничения.

Тикет - ещё не заморозка: пять этапов

Служба поддержки зарегистрирует обращение и, возможно, временно ограничит вывод. Но между тикетом и блокировкой - несколько отдельных этапов, и компания должна понимать, на каком находится.

Учитывайте масштаб потока: по данным годового отчёта Binance, за 2025 год площадка обработала более 71 000 запросов правоохранительных органов и поддержала конфискацию примерно $131 млн, связанных с незаконной деятельностью. Для контекста: в 2025 году правоохранительные органы вместе с частными партнёрами конфисковали около 11% объёма незаконной криптовалюты - в 55 раз выше показателя традиционных финансов, и это аргумент действовать, а не ждать. Письма без конкретики в таком потоке тонут - поэтому запросы о KYC, сохранении аккаунта и юридической блокировке направляются не в общий чат поддержки, а через fraud-, compliance-, legal- или law-enforcement-каналы площадки.

Правильное юрлицо и ловушка MLAT

Один бренд может обслуживать клиентов через несколько компаний в зависимости от страны, продукта и даты регистрации аккаунта. От этого зависят адресат документов, применимое право и орган, способный направить официальный запрос: письмо «просто в Binance» может неделями лежать не в том юрисдикционном отделе.

По данным The New York Times, с апреля 2025 года Binance маршрутизирует запросы иностранных правоохранительных органов через ОАЭ с процедурой MLAT (договор о взаимной правовой помощи, когда одна страна официально запрашивает у другой помощь в уголовном расследовании через государственные каналы), что удлиняет сроки; сама компания публично отрицает ужесточение. Практический вывод: юрисдикцию площадки и маршрут официального запроса определяют до подачи заявления, а не после месяцев ожидания.

После депозита блокчейн слепнет

Зачислив средства на внутренний баланс, злоумышленник может обменять их, перевести другому пользователю площадки или использовать во внутренних продуктах - без единой ончейн-транзакции. С этого момента важнейшая информация живёт внутри системы VASP: KYC, история входов, IP, устройства, внутренние операции, реквизиты последующего вывода.

Потерпевшей компании эти сведения напрямую обычно не раскрываются - их получает правоохранительный орган. Поэтому просить о сохранении нужно с первого письма и не абстрактную «информацию о мошеннике», а конкретные категории цифровых данных.

USDT и USDC: эмитент как третья нитка

Если похищены централизованные стейблкоины, помимо биржи и полиции есть ещё одна точка воздействия — эмитент. Но политики Tether и Circle различаются принципиально:

В апреле 2026 года Tether совместно с OFAC и правоохранительными органами США заморозил $344 млн USDT — показательный пример работы рычага. Но письмо компании само по себе блокировку не гарантирует: решение зависит от подтверждённой связи с преступлением, текущего местонахождения токенов и юридических оснований. Эмитент — третья нитка стратегии, а не замена работе с биржей и полицией.

Единый пакет: чек-лист

Пакет для биржи и правоохранительных органов отвечает на четыре вопроса: кто потерпевшая сторона; почему активы принадлежат компании; как доказана связь депозита с кражей; какое конкретное действие требуется от адресата.

Сведения о компании и уполномоченном представителе: доверенность, контакты.
Описание инцидента с временной шкалой: когда обнаружена кража, какие операции не санкционированы.
Доказательства владения: бухгалтерские документы, корпоративные кошельки, подписи транзакций.
Таблица маршрута: адреса, TXID, токены, суммы, сети, время по каждой ветке.
Депозитный адрес биржи и источник атрибуции.
Аналитический отчёт с методикой и степенью уверенности по каждому выводу.
Заявление с конкретными, а не абстрактными просьбами.
Журнал обращений: дата, адресат, номер тикета, ответ, следующее действие.

Адреса и хеши передавайте текстом, а не только скриншотами. Скриншоты помогают понять контекст, но копировать длинный TXID с фотографии - сомнительное развлечение для сотрудника compliance.

После подачи расследование продолжается

Злоумышленник может использовать несколько депозитов, отправить на площадку часть суммы или быстро вывести остаток на другой VASP. Каждая новая транзакция добавляется в отчёт и передаётся следователю и площадкам - новые адреса не «ломают» дело, а усиливают его.
Журнал обращений ведите с первого дня. Когда в процессе участвуют руководство, юристы, безопасность и внешние расследователи, без единой фиксации регулярно получается классика: все уверены, что «кто-то уже написал на биржу», но письмо найти не удаётся.

Краткий порядок действий

Подтвердить клиентский депозит; исключить горячий кошелёк и ошибочную метку.
Зафиксировать маршрут: TXID, суммы, токены, сети, время.
Немедленно уведомить биржу через официальный канал, попросив сохранить данные.
Параллельно подать заявление от имени компании.
Передать единый пакет с разными запросами бирже, полиции и эмитенту.
Продолжать мониторинг и дополнять материалы новыми транзакциями.

Вывод. Попадание украденной криптовалюты на биржу создаёт реальное окно для заморозки и идентификации владельца аккаунта. Но оно закрывается быстро, если компания ограничивается меткой на графике или общим тикетом в поддержку. Один согласованный фактический пакет и конкретные запросы каждому адресату работают лучше любых эмоциональных писем

Вывод

Попадание украденной криптовалюты на биржу создаёт реальное окно для заморозки и идентификации владельца аккаунта. Но оно закрывается быстро, если компания ограничивается меткой на графике или общим тикетом в поддержку. Один согласованный фактический пакет и конкретные запросы каждому адресату работают лучше любых эмоциональных писем

FAQ

Может ли компания сама попросить биржу заморозить средства?

Первичное уведомление стоит отправить сразу. Но для длительной юридической заморозки и раскрытия данных потребуется официальный запрос правоохранительного органа или судебный документ.
Раскроет ли биржа компании имя владельца аккаунта?

Обычно нет. KYC и технические данные передаются компетентным органам при юридически достаточном запросе.Приостановить операцию, сохранить полный отчёт, установить категорию, долю и характер связи. Связаться с контрагентом для выяснения деталей ситуации.
Средства ушли на горячий кошелёк — всё потеряно?

Нет. Перевод на горячий кошелёк - служебное перемещение биржи; клиентский депозит остаётся точкой входа для идентификации аккаунта. Сохраните первоначальный TXID и депозитный адрес.
Означает ли заморозка, что активы сразу вернут?

Нет. Возврат — отдельный процесс: подтверждение собственности, процессуальное решение, согласование юрисдикций.
Есть ли смысл писать эмитенту напрямую?

Письмо компании токены не заблокирует: Tether и Circle работают с запросами правоохранительных органов и юридическими документами. Но эмитент — полезная третья нитка при правильно построенной стратегии.