Расследование инцидентов с поддельными токенами: как выявить и отследить мошенничество

Поддельные токены опасны прежде всего тем, что выглядят как настоящие: тот же тикер, знакомый логотип, похожий интерфейс, тот же «стиль» контракта. Снаружи всё кажется корректным — но внутри скрываются другие смарт-контракты, завышенные комиссии, чёрные списки и механизмы, из которых пользователь уже не может выбраться.

Эта статья создана для читателей, которые уже имеют базовое понимание блокчейна и сталкивались с ончейн-анализом или расследованиями. Мы разберём реальный пример — не для академической теории, а чтобы на практике показать, как обнаружить, куда «застряли» деньги, что именно произошло и какие шаги можно предпринять уже сегодня.

Дальше материал будет становиться сложнее: мы будем глубже погружаться в цепочки транзакций, структуру контрактов и работу аналитических инструментов. Но именно этот путь позволит увидеть полную картину и понять, как подобные схемы устроены — и как им противостоят.

В любой истории с поддельными токенами полезно мысленно проиграть дорожную сцену: автомобиль исчезает со стоянки, и нас интересуют три вещи — куда он поехал, кто оказался в салоне и какие камеры это зафиксировали. В крипте это переводится так: на какой адрес ушли средства, какая механика позволила вывести их без вашего согласия, и какие транзакции/логи подтвердят каждый шаг.

Если кошелёк жертвы был скомпрометирован — например, через фишинг или злонамеренный approve — то на момент вывода мы считаем его фактически под контролем злоумышленника. Это важный сдвиг роли: транзакция “жертва → злоумышленник” в таком случае — не добровольный перевод, а технический симптом компрометации.

Дальше фиксируем рамки: сеть (допустим, Ethereum), актив (ETH или токен строго по адресу контракта, а не по символу), объём (скажем, 63 000 TRX), дата и хэш транзакции, в которой средства ушли “наружу”. Это ваша опорная точка: от неё мы протягиваем нитку по цепочке.

Поддельные токены чаще всего маскируются под реальные за счёт совпадающего названия, тикера и логотипа, поэтому ориентироваться только на внешний вид нельзя. Главный критерий подлинности — адрес смарт-контракта. Настоящий токен всегда имеет один официальный контракт, указанный на сайте проекта, в его документации или на проверенных платформах (CoinGecko, CoinMarketCap, Etherscan Verified).

Если адрес контракта отличается хотя бы на один символ — это другой токен, даже если он выглядит идентично. Второй признак подделки — аномалии в механике токена: невозможность продать актив, резкие комиссии, автоматические списания, отсутствие ликвидности или биржевых пар. Проверить это можно через блокчейн-обозреватель: посмотреть события Transfer, проверить наличие трейдинга на DEX и увидеть реальные балансы держателей.

В реальности встречаются четыре частых варианта.

Расследование не пытается сразу “деанонить” человека. Его задача — довести деньги до “точки остановки”: биржа, кастодиальный сервис или мост. Там след в публичном блокчейне размыкается, и включаются процедуры заморозки и запросов логов.

Etherscan — ваш первый объектив. Здесь видны движения средств, события (Events), внутренние переводы (internal transactions).

Btrace и Arkham — это “таблички на дверях”: они подсказывают, какие адреса принадлежат биржам, обменникам, мостам.

Важно сверять пометки в двух источниках: разметка всегда неполная, а вам необходимо минимизировать риск ошибки.

Наконец, Bholder — это инструмент профессионального уровня, позволяющий быстро и наглядно сформировать маршрут: жертва → транзит → биржа. Он не просто “удобный”, а существенно упрощает и ускоряет процесс анализа, особенно когда нужно готовить материалы для внешних команд или служб безопасности бирж.

Хорошее расследование — то, что ложится в одно письмо. В нём кратко: “XX единиц актива Y ушли DD.MM.YYYY в HH:MM из адреса A, прошли через адрес B и попали на метку биржи C (tx: …). Механика — {approve/подмена токена/honeypot}. Просим freeze/flag, сохранить логи входа и дальнейших переводов”. К письму прикладываем: список хэшей (исходная, транзиты, вход на биржу), граф связей инструмента Bholder и таблицу транзакцию (hash, from, to, сумма, актив, примечания). Этого достаточно, чтобы AML-команда биржи/сервиса быстро сопоставила ваши данные со своей внутренней телеметрией.

Важно понимать границы: публичный блокчейн может довести вас до кастодиального ввода; дальше чаще всего — компетенция площадки и правоохранителей.

Данный раздел представляет собой структурированное описание хода расследования инцидента с поддельными токенами — от исходных фактов до технических доказательств и приложений. В нём пошагово раскрываются все элементы типового отчёта: фабула (описание инцидента), краткие итоги, визуализация маршрута средств (граф связей), блокчейн-анализ, перечень транзакций и вспомогательные материалы.

Материал выстроен в логике от общего к частному: сначала даётся контекст и краткая фабула, затем результаты и аналитика движения активов, после чего — подтверждающие данные в виде таблиц, графов и приложений. Каждый подраздел отвечает на свой ключевой вопрос:

Ниже последовательно рассмотрены все эти блоки — от описания инцидента до полного набора доказательной базы, необходимой для передачи отчёта в биржи, службы комплаенса или правоохранительные органы.

Фабула должна быть короткой, но содержательной. Она создаёт основу для последующих разделов и позволяет любому участнику (бирже, следователю, аналитической платформе) быстро понять контекст дела.