Можно ли вернуть украденную у компании криптовалюту: сценарии и действия

После остановки продолжающейся атаки и защиты оставшихся активов запускайте два направления: выяснение причины кражи и отслеживание похищенного.

Для возврата важно установить:

• какие активы и суммы ушли из компании;
• где они находятся сейчас;
• какие части потока дошли до бирж, обменников или других известных сервисов;
• какие адреса требуют дальнейшего мониторингас.

Цель трассировки - найти возможность действовать. Красивый граф без ответа «кому направить материалы и что запросить» для руководителя примерно так же полезен, как пожарная тревога без уточнения адреса где огонь.

Если средства остаются на неизвестных адресах, настройте постоянный мониторинг с уведомлениями о движении. Назначьте ответственного: сигнал о поступлении на биржу или другой известный узел должен запускать обращение, а не ждать еженедельного совещания.

VASP - поставщик услуг с виртуальными активами, например централизованная криптобиржа. Если сервис контролирует клиентские средства, у него может быть техническая возможность ограничить операции. Однако основания для блокировки определяются законом и правилами площадки.

Биржа полезна расследованию даже тогда, когда аккаунт оформлен на подставное лицо. У неё могут сохраниться:

• документы клиента, телефон и email;
• IP-адреса, время входов и характеристики устройств;
• история обменов и внутренних переводов;
• адреса вывода криптовалюты и банковские реквизиты, если они использовались.

Набор данных зависит от площадки, но зачастую это сбор идентификационной, финансовой и технической информации. Поэтому «аккаунт на дропа» не обязательно означает тупик, хотя и не устанавливает настоящего организатора автоматически.

Что делать компании

Сразу направьте сообщение через официальный канал площадки. Зачастую у крупных бирж есть специальные формы или инструкции для обращений по краже средств. Например:

• Binance: обращение через поддержку по инструкции о похищенных средствах, поступивших на Binance. Площадка просит описание инцидента, подтверждение принадлежности кошелька, список связанных TXID со ссылками и копию заявления в полицию.
• Bybit: раздел «Сообщение об украденных средствах» в центре помощи или меню самообслуживания поддержки. Порядок подачи и необходимые документы указаны в официальной инструкции Bybit.

Сохраните номер обращения и передайте его сотруднику правоохранительных органов, который занимается делом. Первичное сообщение компании и официальный запрос дополняют друг друга.
Не отправляйте в VASP только депозитный адрес со словами «здесь наши средства, верните, пожалуйста». Приложите:

• описание кражи и подтверждение принадлежности активов компании;
• TXID исходных хищений и цепочку переводов до площадки;
• сеть, токен, суммы и время операций;
• адрес зачисления, а при наличии memo/tag;
• номер заявления или дела, если уже получен.

Сообщение компании не заменяет процессуальный документ. Например, Binance прямо указывает на необходимость надлежащего распоряжения правоохранительного органа или компетентного суда для заморозки. Порядок сообщения о похищенных средствах.

Данные чужого аккаунта тоже обычно не передают потерпевшему просто по письму. Их получение нужно организовать через предусмотренную законом процедуру.

У некоторых централизованно выпускаемых токенов есть дополнительный механизм воздействия: эмитент способен блокировать определённые адреса. Это может быть полезно, даже если средства находятся вне биржи.

Но заморозка токенов и возврат компании - разные этапы. Блокировка сама по себе не переводит активы потерпевшему. Circle, например, предусматривает блокировку адресов и исполнение действительных распоряжений государственных органов. Условия USDC.

Куда обращаться

USDT / Tether: начните с официальной поддержки Tether, указав, что обращение связано с кражей, и попросите направить материалы команде Information Requests. Tether отдельно относит кражи и взломы к этой категории, а не к обычному восстановлению ошибочно отправленных токенов.

USDC / Circle: первичное сообщение можно направить через Circle Support, запросив передачу в подразделение, рассматривающее юридические обращения и мошенничество. Это канал уведомления, а не обещание заморозки или возмещения.

Что написать: кто обращается и от имени какой компании; когда и сколько похищено; сеть и адрес контракта токена; TXID кражи; маршрут до текущих адресов; остатки на них с указанием времени проверки. Приложите доказательства и сведения о заявлении в полицию. Сформулируйте просьбу: срочно рассмотреть инцидент и сообщить требования к официальным документам.

Адреса и TXID передавайте текстом, а не только скриншотами. Seed-фразы и приватные ключи для такого обращения не нужны.

Если потерпевшая компания из России

К сожалению, санкционные ограничения и международные процедуры в текущей ситуации явно осложнят взаимодействие. Нужно учитывать статус компании и её владельцев, правила адресата и юрисдикцию дела. Соответствующие ограничения предусмотрены в условиях Tether и политике Circle.

Юрист может оценить возможность обращения через другие юрисдикции или местного адвоката и компетентные органы страны, где находится площадка, имущество или другой участник дела. Представитель действует от имени реальной потерпевшей компании с раскрытием полномочий. Простая отправка письма «из другой страны» не создаёт правовых оснований и не отменяет ограничений.

Обмен через DEX или переход через мост не обязательно обрывают след. DEX - децентрализованный обменный протокол, а кроссцейн-мост позволяет перемещать активы между сетями.

Задача аналитика - связать исходную операцию с её результатом: какой актив отдали, что получили и на каком адресе. Проверяют, какие операции выполнили смарт-контракты, какой актив и в каком количестве отправлен, где и кем он получен. При переходе между сетями сопоставляют отправку через мост с выдачей средств в другой сети, в том числе по идентификатору операции, если он доступен. Одного совпадения суммы и времени недостаточно.

Практический результат должен выглядеть так: «Похищенные USDT обменены на ETH, затем активы перемещены в другую сеть и поступили на такой-то сервис». После этого появляется адресат для запроса.

Компании полезно иметь сотрудников, способных выполнить первичный разбор и сохранить данные без ожидания подрядчика. Такой анализ входит в корпоративное обучение AML Crypto: работа с DEX, мостами, маршрутами и фиксацией результатов.

На обычном некастодиальном адресе средствами распоряжается обладатель ключа. Знание адреса не даёт возможности списать активы обратно. Судебное решение, конечно же, само по себе не подписывает Bitcoin-транзакцию (возможно и к лучшему).

Если доступного механизма блокировки нет, продолжайте мониторинг. Выход на биржу или другой идентифицируемый сервис может появиться позднее. Одновременно ищите сведения, позволяющие установить контролирующее адрес лицо.

Если средства проходят через миксер (сервис или протокол, который затрудняет связь между внесённой криптовалютой и последующими выплатами) - отслеживать их становится значительно сложнее.

Иногда аналитикам удаётся “размотать” такой сервис или сузить круг адресов, на которые могли попасть похищенные активы: для этого зачастую используется эвристики (сопоставляют суммы, время, другие признаки операций и применяют другие механики). Такой анализ называют демиксингом. Он требует специальных знаний и практики, а найденные совпадения нужно дополнительно проверять: вероятная связь ещё не является доказанной.

Оценивайте каждый поток отдельно. Допустим, из похищенных 100 000 USDT часть дошла до биржи, часть остаётся на отслеживаемом адресе, а часть прошла через непрозрачный сервис. Для этих частей будут разные действия и сроки.

В рабочей документации разделяйте статусы: найдено, направлен запрос, заморожено, изъято, возвращено. Иначе сумма «возврата» в презентации окажется значительно бодрее банковской выписки.

Реальные юридические механизмы существуют. Украденные средства в ряде случаев возвращаются компаниям в том числе через процедуру гражданской конфискации. Это пример работающего механизма, а не универсальная процедура для любой страны.

Так же стоит учитывать, что известная личность злоумышленника не гарантирует наличия активов. После установления виновного юрист оценивает возможность взыскания за счёт другого имущества если сама криптовалюта не найдена или конвертирована в фиат.

Компании обычно нужны три компетенции: техническое устранение причины кражи, блокчейн-анализ и мониторинг, а так же дальнейшее сопровождение в рамках общения с блокчейн сервисами, полицией и судом. Важно, чтобы они работали параллельно и использовали общую хронологию инцидента.

Для первичной оценки расследования в AML Crypto подготовьте блокчейн данные и краткое описание произошедшего. Задача анализа - установить маршрут и возможные дальнейшие действия, а не обещать возврат до изучения обстоятельств.
Обращение в полицию нужно подавать так же незамедлительно. Если есть необходимые компетенции и понимание специфики работы правоохранительных органов, то можно сделать это самостоятельно. Если таких компетенций нет, то лучше обратится к профильному юристу или к блокчейн расследователям.

Остерегайтесь предложения заплатить «налог на разблокировку» или перевести криптовалюту на «страховой кошелёк». Большое количество мошеннических предложений и помощи в возврате и псевдо-юристов встречается в интернете.