У компании украли криптовалюту: что делать в первые 24 часа

Первые сутки после кражи криптовалюты не являются волшебным «окном возврата», но именно в это время у компании обычно больше возможностей определить маршрут активов, предупредить биржи и сохранить цифровые доказательства.

Пока команда обсуждает, кто виноват и нужно ли сообщать директору, злоумышленник может дробить сумму, менять токены, переходить между сетями и выводить средства через сервисы. Поэтому реагирование нужно начинать не после завершения внутреннего расследования, а сразу после подтверждения подозрительной операции.

При этом одинаково опасны две крайности: ничего не делать и действовать хаотично. Переустановка компьютера, удаление приложений и массовая смена настроек могут уничтожить следы атаки быстрее, чем остановить её.

Эта схема подходит не только крупной бирже с круглосуточным SOC. В небольшой компании один сотрудник может одновременно отвечать за финансы и кошельки, а внешний IT-специалист подключаться по необходимости. Важно не количество отделов, а разделение задач и единый центр принятия решений.

У инцидента должен быть один координатор. Это не обязательно CISO в дорогом костюме и с отдельной комнатой для кризисных совещаний. В небольшой компании им может стать генеральный директор, финансовый руководитель или наиболее компетентный технический сотрудник.

Его задача - вести хронологию, распределять работу и утверждать внешние обращения. Без этого IT меняет доступы, финансовый директор пишет в биржу, юрист просит ничего не трогать, а кто-то из сотрудников уже обсуждает кражу в отраслевом чате.

Нужно сразу определить:

Остальные сотрудники не должны самостоятельно связываться со злоумышленником, площадками или предполагаемыми посредниками.

Первый технический вопрос звучит не «как именно нас взломали», а «сохраняет ли злоумышленник доступ прямо сейчас».

Нужно проверить, могли ли быть скомпрометированы:

Если украдена seed-фраза или приватный ключ, смена пароля от приложения не решит проблему. Это примерно как заменить код домофона после того, как злоумышленник получил ключ от квартиры.

Для multisig следует проверить не только состав подписантов, но и возможные изменения порога, ролей и адреса назначения. При компрометации корпоративной почты нужно учитывать, что злоумышленник мог видеть уведомления, сбрасывать пароли и контролировать переписку с площадками.

Если на потенциально скомпрометированных кошельках остались средства, их необходимо защитить. Но подписывать спасательную транзакцию на том же устройстве, через которое произошла кража, - сомнительный способ спасения.

Используйте:

Перед переводом адрес нужно повторно проверить несколькими сотрудниками. В условиях стресса компании иногда спасают средства настолько энергично, что отправляют их не в ту сеть или на неверный адрес.

Если причина компрометации пока неизвестна, старые устройства, браузерные профили и кошельки нельзя считать безопасными только потому, что на них поменяли пароль.

Скомпрометированные устройства и аккаунты нужно изолировать от дальнейшего использования. Однако изоляция не означает цифровую генеральную уборку.

Не следует без фиксации:

Актуальное руководство NIST рассматривает реагирование как сочетание анализа, сдерживания, устранения причины и восстановления, а журналы событий называет важными для обнаружения, расследования и последующего восстановления. CISA также рекомендует сохранять логи, память и другие данные с ограниченным сроком хранения до их утраты или изменения.

В небольшой компании, где нет собственной forensic-команды, разумно как можно раньше привлечь внешнего специалиста. До его подключения желательно хотя бы зафиксировать текущее состояние устройств, активные сессии, процессы, сетевые подключения и время обнаружения инцидента.

Параллельно нужно собрать минимальный пакет данных, с которого начнётся блокчейн-расследование и подготовка заявления.

В него входят:

FBI/IC3 относит адреса, сумму и вид криптовалюты, дату, время и хеш транзакции к основным данным, которые необходимо передавать при сообщении о преступлении с цифровыми активами.

Не пытайтесь сразу написать окончательную версию произошедшего. В первые часы полезнее разделять:

Фраза «транзакцию подписал этот ноутбук» и фраза «деньги украл сотрудник, использовавший этот ноутбук» находятся на очень разном расстоянии от доказательства.

Задача первых часов - не назвать имя преступника. Сначала нужно понять, где находятся активы и куда они движутся.

Аналитик должен:

Подробнее сам процесс трассировки будет разобран в статье «Как отследить украденную криптовалюту компании и установить конечные адреса».

В первые сутки важнее найти точку возможного вмешательства, чем подготовить красивый граф на пятьдесят страниц. Подробный отчёт можно дополнять позже. Депозит на биржу может существовать недолго.

Одноразовая проверка быстро устаревает. Злоумышленник может оставить средства неподвижными, а начать вывод через несколько часов или дней, когда решит, что внимание к инциденту снизилось.

Мониторинг нужен для:

Необходимо следить не только за первоначальным адресом злоумышленника, но и за всеми ключевыми ответвлениями. Иначе расследование будет напоминать наблюдение за входной дверью после того, как человек давно вышел через пожарный выход.

Если похищенные активы поступили на централизованную биржу, кастодиальный обменник или иной VASP, уведомление нужно направить немедленно.

В обращении следует указать:

У крупных площадок существуют отдельные каналы для официальных запросов, а раскрытие данных клиента или длительное ограничение активов может зависеть от юридической достаточности обращения и последующего запроса уполномоченного органа. Биржи публично описывают сотрудничество с правоохранительными органами и возможность ограничения предположительно преступных средств, однако конкретная процедура зависит от площадки и юрисдикции.

Поэтому важно различать:

Даже если биржа подтвердила получение сообщения, это ещё не означает, что активы окончательно заблокированы. Подробный порядок будет разобран в статье «Украденная криптовалюта поступила на биржу: как добиться заморозки средств».

Если похищены USDT, USDC или другие централизованно выпускаемые стейблкоины, нужно оценить возможность обращения к эмитенту.

Но нельзя строить план на предположении, что эмитент обязательно и мгновенно заблокирует токены. Решение зависит от сети, текущего адреса, подтверждения инцидента, требований эмитента и юридической процедуры.

Tether указывает, что запросы о заморозке адресов должны сопровождаться надлежащими юридическими документами, а обращения по кражам и взломам направляются через предусмотренный канал. Circle также оставляет за собой возможность блокировать адреса и замораживать USDC, связанные с незаконной деятельностью, в том числе при получении действительного распоряжения государственного органа.

Отправлять эмитенту нужно не эмоциональное письмо «у нас украли деньги», а структурированный пакет: адреса, TXID, маршрут, обстоятельства, документы компании и контакты правоохранительного органа.

Блокчейн-расследование может продолжаться неделями. Ждать его полного завершения перед обращением в правоохранительные органы не следует.

Первичное заявление можно подать с уже известными фактами, а затем дополнить:

Конкретный порядок зависит от страны и обстоятельств дела. Однако для взаимодействия с зарубежными биржами и эмитентами наличие официально зарегистрированного сообщения часто становится важной частью документального следа.

FATF отдельно отмечает сложность возврата похищенных виртуальных активов и значение международного взаимодействия, заморозки и изъятия активов. Это ещё одна причина не разделять трассировку и юридическую работу на последовательные этапы: они должны идти одновременно.

Иногда компании хочется немедленно сообщить рынку, партнёрам и социальным сетям все известные адреса. Публичность действительно может помочь предупредить других участников, но преждевременная публикация способна и навредить.

Злоумышленник может понять:

Внешние коммуникации должны быть согласованы руководителем инцидента, юридической командой и аналитиками. Для клиентов и партнёров можно подготовить отдельное сообщение, не раскрывающее оперативные детали расследования.

Если инцидент затрагивает клиентские средства, персональные данные или договорные обязательства, дополнительно необходимо оценить требования применимого законодательства и условия уведомления контрагентов.

Злоумышленник может сам выйти на связь, предложить «возврат за вознаграждение» или прислать небольшую сумму в качестве доказательства контроля над активами.

Не следует без оценки рисков:

Контакт может быть частью вымогательства, способом собрать дополнительную информацию или попыткой добиться вредоносной подписи. Решение о переговорах должно приниматься совместно с юристами, расследователями и руководством компании.

Через 24 часа расследование, вероятнее всего, не будет закончено. Но у компании уже должен существовать промежуточный отчёт, в котором зафиксированы:

Для небольшой компании это может быть аккуратный документ на несколько страниц и таблица транзакций. Не нужно создавать корпоративный комитет из двенадцати человек, если вся криптоинфраструктура состоит из двух кошельков и ноутбука финансового директора. Но адреса, решения, время действий и ответственные лица должны быть зафиксированы так же строго.

Самые опасные действия после кражи обычно выглядят вполне логично в момент паники:

Чем раньше компания заменит импровизацию на управляемый процесс, тем больше информации и вариантов действий удастся сохранить.

В первые 24 часа после кражи криптовалюты компании не нужно пытаться сразу ответить на все вопросы. Нужно остановить продолжающуюся компрометацию, защитить оставшиеся активы, сохранить доказательства и определить текущий маршрут похищенных средств.

Техническое расследование, блокчейн-трассировка и юридическая работа должны идти одновременно. Биржи и эмитенты получают оперативные уведомления, правоохранительные органы - первичное заявление, а руководство - промежуточный отчёт с понятным планом следующих действий.

Размер компании здесь не меняет базовую логику. Даже если кошельком управлял один сотрудник вручную, инцидент всё равно требует дисциплины: один координатор, чистая инфраструктура, зафиксированные доказательства и постоянный мониторинг адресов.