---
title: "Криптовалюты и программы-вымогатели: основные тенденции"
description: "WannaCry, Colonial Pipeline, LockBit, Change Healthcare — кто на самом деле несет ответственность и почему обвинять платежную инфраструктуру в преступлениях — это борьба не с тем противником."
language: ru
published: 2026-05-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/crypto-and-ransomware-most-common-tendencies?lang=ru
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Криптовалюты и программы-вымогатели: основные тенденции

WannaCry, Colonial Pipeline, LockBit, Change Healthcare — кто на самом деле несет ответственность и почему обвинять платежную инфраструктуру в преступлениях — это борьба не с тем противником.

Требование выкупа на вашем экране, и вы воспринимаете это как катастрофу — что вполне справедливо, ведь так оно и есть. Но в то же время где-то в другом месте кто-то воспринимает это как обычный звонок в службу поддержки. Они составили шаблонное письмо. У них даже есть команда, готовая в любой момент принять ваш запрос. Это включает в себя ценообразование, процесс переговоров и последствия в случае пропуска крайнего срока оплаты. Некоторые из них получили пятизвездочный рейтинг: партнеры оценивают платформы-вымогатели так же, как фрилансеры оценивают ПО для управления проектами.

Именно в этой пропасти — между тем, как событие воспринимается с вашей стороны и как оно видится с их стороны — и кроется большая часть того, что делает программы-вымогатели интересным явлением. Технические детали, названия эксплойтов, суммы в долларах — все это лишь скелет. Движущей же силой является психология того, что происходит по обе стороны этой транзакции.

Вымогательство с использованием ПО — это не кустарный промысел. Те, кто проводит серьезные операции, считают себя предпринимателями, решившими проблему дистрибуции. Продукт готов — это ПО, которое шифрует файлы и создает рычаг давления — и им просто нужен способ превратить его в доход с возможностью правдоподобного отрицания причастности, не попавшись при этом.

Эта проблема была элегантно решена с появлением модели, известной как «вымогатель как услуга» (Ransomware-as-a-Service, RaaS), которая к началу 2020-х годов стала самой распространенной архитектурой в индустрии; основная команда создает и поддерживает как вредоносное ПО, так и инфраструктуру (включая обработку криптовалютных платежей), забирая долю от каждого успешно выплаченного выкупа (обычно двадцать процентов). Партнеры занимаются непосредственно взломом. Основная команда даже не касается сети жертвы. Управление ключами дешифрования никогда не является проблемой для партнеров.

Именно так выглядит разделение труда — в сфере вымогательства.

Внутренняя переписка киберпреступной группировки Conti, утекшая в феврале 2022 года — вскоре после начала полномасштабного вторжения России и до того, как группа публично заявила о своей поддержке российских властей, — позволила необычайно четко увидеть, как функционируют подобные организации. В чатах обсуждались трудовые споры, велись переговоры о зарплатах, давались технические задания новым сотрудникам. Шли дискуссии об условиях труда и удержании кадров. Перед нами предстала перегруженная команда управленцев, сосредоточенная на показателях эффективности, привлечении партнеров (аффилиатов) и планировании непрерывности бизнес-процессов. Операторы Conti руководили ИТ-компанией — вот только ее «продукты» парализовали работу больниц и муниципалитетов. При этом внутренняя корпоративная культура была настолько похожа на любую другую софтверную компанию, что письма администраторов вполне могли быть взяты из Slack-канала какого-нибудь стартапа. Этой детали уделялось слишком мало внимания. И это должно тревожить общество гораздо сильнее, чем сейчас.

## Что решает жертва

В мае 2021 года Джозеф Блаунт выплатил группировке вымогателей DarkSide выкуп в размере 4,4 млн долларов в биткоинах. Позже, давая показания в Сенате, он объяснил это решение. Блаунт заявил, что одобрил выплату, так как не имел четкого представления о глубине проникновения в систему и о том, сколько времени потребуется на самостоятельное восстановление. Он добавил, что это было одно из самых трудных решений в его карьере.

Кое-что осталось невысказанным, но это отчетливо читается между строк его показаний: то, каково было принимать это решение на самом деле. Компания Colonial Pipeline платила не за ключ дешифрования. Она платила за избавление от определенного чувства — чувства ответственности в режиме реального времени за дефицит бензина, охвативший Восточное побережье, за панику покупателей, за очереди на заправках и за медийный фон, превративший локальный операционный сбой в политическую катастрофу национального масштаба. Расчет, стоявший за выплатой 4,4 млн долларов, не был чисто рациональным.

Это была цена того, чтобы хотя бы самому себе сказать: ты попытался.

![](https://netts.io/blog/articles/crypto-and-ransomware-most-common-tendencies/images/1-3.png)

Однако операторам программ-вымогателей приходится это продавать. Возможность расшифровки данных — лишь номинальный продукт. На самом деле продается избавление от невыносимого давления: осознания того, что последствия разворачивающейся катастрофы теперь зависят от решения, которое вы принимаете прямо сейчас — в условиях максимальной неопределенности, ограниченной информации и под пристальным вниманием акционеров, регуляторов и журналистов. Даже для организаций, которые теоретически могли бы восстановиться из резервных копий, цена этого облегчения оказывается весьма значительной. Потому что восстановление занимает недели. А давление ощущается здесь и сейчас.

ФБР удалось вернуть около 2,3 миллиона долларов из платежа Colonial, изъяв закрытый ключ от кошелька, на котором группировка DarkSide разместила средства. Этот возврат на реальном примере наглядно продемонстрировал, что псевдонимность Биткоина не означает его анонимность. Это также выявило нечто более тревожное: после совершения платежа Блаунт на короткое время почувствовал себя лучше — реакция не рациональная, но очень человеческая. Даже если оно было беспочвенным, это облегчение реально.

Жертвы, которые отказываются платить, сталкиваются с иной вариацией той же психологии. Они принимают взвешенное решение, но в течение следующих нескольких недель наблюдают, как: (1) это обходится гораздо дороже, чем ожидалось; (2) их планы по резервному копированию и обеспечению отказоустойчивости оказались далеко не такими надежными, как они считали; (3) оценка, предоставленная фирмой по реагированию на инциденты, занимающейся минимизацией последствий, была чрезмерно оптимистичной; и, наконец, в какой-то момент всплывает неудобная правда, которая навсегда меняет то, как их оценивают клиенты, сотрудники и регуляторы. Принцип остается неизменным. Цена оказывается выше запланированной суммы.

Многие говорят, что, оглядываясь назад, они бы поступили точно так же — именно это люди твердят себе, когда им нужно убедиться в правильности своих действий.

Модель двойного вымогательства, ставшая стандартом к началу 2020-х годов — эксфильтрация данных перед шифрованием и замена блокировки доступа тактикой принуждения через угрозу публичного разоблачения — не была техническим прорывом. Это был прорыв психологический. С этим вектором атаки можно бороться с помощью резервного копирования. Однако риск раскрытия медицинских карт пациентов, данных о зарплатах сотрудников, контрактов с поставщиками или переписки руководства невозможно минимизировать никакими техническими средствами контроля. Эта модель бьет по другому: не по непрерывности бизнес-процессов, а по репутации, конфиденциальности и доверию, которое на них держится. Это был тот случай, когда атакующие знали свой «продукт» лучше, чем сами жертвы.

## География безнаказанности

Группировкой LockBit управляли операторы, которые были далеко не безызвестны правоохранительным органам. В феврале 2024 года, в последний месяц масштабной скоординированной международной операции по ликвидации инфраструктуры LockBit под руководством Национального агентства по борьбе с преступностью Великобритании (NCA), было названо имя администратора: Дмитрий Хорошев, 31-летний гражданин России. Была опубликована его фотография. Перечислены его активы. Министерство юстиции США обнародовало обвинительное заключение. OFAC ввело санкции. По сути, это была полноценная международная ориентировка на розыск.

Хорошев остается на свободе. Он проживает в России, которая не выдает своих граждан за киберпреступления, если пострадавшие системы находятся за пределами страны. Именно так по замыслу и функционирует вся экономика программ-вымогателей.

Традиционно у российских правоохранительных органов в отношении вымогателей было одно простое правило: цели в России или в сфере ее политического влияния неприкосновенны; все остальное на планете не является приоритетом. Функция определения кириллической раскладки была встроена в ранние версии кода, использовавшегося группой Conti: если у жертвы была установлена русская раскладка клавиатуры, программа просто не запускалась.

Это не было патриотизмом. Это был механизм обеспечения комплаенса. Группа выстраивала отношения с правительством, которое позволяло продолжать деятельность при условии, что она будет оставаться в географических рамках, которые оно считало приемлемыми.

![](https://netts.io/blog/articles/crypto-and-ransomware-most-common-tendencies/images/1-2.png)

Вывод из этого очевиден: разработчики мер по борьбе с программами-вымогателями в Вашингтоне, Брюсселе и Лондоне реагируют на индустрию, руководители которой почти всегда остаются вне досягаемости. Все это складывается в слишком логичную картину: те немногие аресты, которые все же случаются — несколько отдельных сообщников в Польше, некоторые участники REvil, арестованные в России в короткий период нехарактерно теплых отношений в начале 2022 года, случайные американские или европейские операторы, неверно оценившие риски в своей юрисдикции, — являются лишь исключением на периферии огромной экосистемы. Там, где находится (и всегда находилось) ядро.

Эта география ответственности определяет все остальные аспекты политического диалога. Если доступные вам меры не позволяют добраться до виновных, вы пересматриваете само понятие ответных мер. Вашингтон реагирует, используя инструмент под названием «регуляторная криптовалюта».

Существуют также обязательные стандарты безопасности для критической инфраструктуры, но они внедряются медленнее, вызывают большее политическое противодействие и требуют признания реальности: отчасти это вина правительства. Федеральные агентства годами эксплуатировали сети с известными уязвимостями, нормативно-правовая база для безопасности критической инфраструктуры была недостаточной, а происходящее сейчас — отчасти результат решений тех же институтов, которые теперь предлагают пути решения проблемы.

Проще свалить вину на платежную инфраструктуру.

## Момент законодателя

Это типичные слушания в Конгрессе, которые неизменно проводятся вслед за крупной атакой вируса-вымогателя на объект критической инфраструктуры. Генеральный директор пострадавшей компании дает показания. Его постоянно спрашивают, почему был выплачен выкуп. Он отвечает, что так ему велели. Затем его спрашивают, почему не было создано более надежных резервных копий. Он объясняет, что системы резервного копирования были повреждены лишь частично или что их восстановление было нецелесообразным в существующих временных рамках. Затем его допрашивают о криптовалюте. Он говорит нечто намеренно двусмысленное — именно так удается избежать проблем с юристами.

Было бы немыслимо полагать, что законодатели, задающие эти вопросы, не осведомлены. Они получают подробные брифинги. То, чем они занимаются, отличается от простого сбора фактов: они формируют историю о том, что у проблемы есть четко определяемый и объяснимый источник, понятный их избирателям — и что их законодательные предложения по устранению этой причины считаются реальными мерами по борьбе с вымогательством.

В контексте законодательства криптовалюта — это проблема, поддающаяся решению. Это индустрия, находящаяся в их юрисдикции, с лоббистами, с которыми можно вступать в полемику, с регуляторными требованиями, которые можно расширять, и с осязаемыми показателями надзорной деятельности, которые попадают в информационный бюллетень.

Тот видимый результат, который дает прямая атака на хакеров методами войны или кибервойны, невозможен, если вы преследуете реальных исполнителей через внешнюю политику, сотрудничество разведок и экстерриториальное юридическое давление.

На протяжении многих лет криптовалютная индустрия доказывала, что ужесточение мер против криптоактивов не остановит программы-вымогатели — потому что вымогательство существовало еще до Биткоина, потому что операторы просто перейдут на другие платежные каналы, и потому что настоящие преступники живут в странах, которые не считаются с американским финансовым регулированием. Этот аргумент верен. Но поскольку правота — это не то же самое, что эффективность в политическом контексте (где она нужнее всего), этот довод остается неэффективным. Это следствие необходимости предлагать то, чем присутствующие в кабинетах люди действительно могут воспользоваться.

![](https://netts.io/blog/articles/crypto-and-ransomware-most-common-tendencies/images/1-1.png)

Поведение группировки BlackCat в ситуации с Change Healthcare в феврале 2024 года стало иллюстрацией совершенно иной проблемы, которую нормативно-правовая база вообще не призвана решать. BlackCat получила около 22 миллионов долларов от материнской компании Change Healthcare. В итоге BlackCat совершила экзит-скам: оператор скрылся с деньгами и закрыл инфраструктуру, оставив своего партнера-аффилиата ни с чем. Разгневанный партнер в ответ начал угрожать публикацией украденных данных в любом случае. Операторы программ-вымогателей обманули собственные «криминальные винтики». Таким образом, для этого конкретного уровня проблемы в рамках текущих политических дискуссий просто не существует адекватных механизмов решения.

## Что ложится на плечи пользователя

Обычные люди, владеющие криптовалютой для конкретных целей — переводов в стейблкоинах, позиций в DeFi, денежных переводов и повседневного бизнеса — привносят в дискуссию о программах-вымогателях особый аспект, который пока мало изучен.

Именно они на самом деле расплачиваются за регуляторные меры, принимаемые в ответ на преступления, которых они не совершали и от которых не получают никакой выгоды.

Это порождает в криптосообществах своего рода фоновую оборонительную позицию, которая становится очевидной всякий раз, когда новости о программах-вымогателях попадают в заголовки. Человек, отправляющий USDT для законного коммерческого перевода, внезапно оказывается в одном ряду с преступной организацией, к которой он не имеет никакого отношения. Команда, выпускающая протокол, в очередной раз объясняет миру, почему смарт-контракты не несут ответственности за то, как их используют в транзакциях по выплате выкупа. Из-за того, что совершается где-то в другой стране другими людьми через совершенно иные потоки транзакций, весь процесс использования криптовалюты в законных целях становится объектом более пристального надзора и чрезмерно затратным.

Такая оборонительная позиция часто контрпродуктивна — она выглядит не искренней, а неуверенной, и те, кто защищается, порой перегибают палку в своих аргументах, что лишь дает повод отмахнуться от них. Но скрытая за этим ярость вполне реальна. Вам приходится испытывать досаду из-за издержек, возникших как реакция на чужое преступное поведение. И, конечно, те, кто создает эти издержки, не считают нужным обосновывать их в своих расчетах, поскольку люди, несущие эти расходы, не входят в число тех, чьи интересы они учитывают.

Есть и более личный взгляд на это, касающийся того, как люди, владеющие криптовалютой, обосновывают свое присутствие в этой сфере перед окружающими. Они проводят грань между вещами, которые кажутся им очевидными, но остаются непонятными для их собеседников. Они объясняют, почему проведение бизнес-перевода через публичный блокчейн — это совсем не то же самое, что использование его для отправки выкупа больнице. Эти объяснения верны. Постоянно повторять их крайне утомительно, но это различие, которое оценят лишь те, кому всё равно или кто не понимает.

Сам WannaCry преподает нам в этом отношении определенный урок. Атака нанесла фактический ущерб на сотни миллионов долларов таким организациям, как NHS, Telefónica, FedEx, Deutsche Bahn и многим другим. На деле же она принесла лишь десятки тысяч долларов в виде реальных выкупов, поскольку операторы утратили контроль над тем, какое количество запросов на дешифровку от жертв они могли реально обработать. Двадцатидвухлетний Маркус Хатчинс остановил вредоносное ПО, зарегистрировав ранее незарегистрированный домен, к которому обращался код. Тем самым он активировал нечто вроде «аварийного выключателя» (kill switch), предусмотренного создателями программы, работая при этом из своей спальни в Девоне. Геополитический контекст заключался в том, что боевой эксплойт АНБ был направлен против глобальной инфраструктуры в рамках борьбы, которая буквально не имела никакого отношения к биткоину. В общественном сознании закрепилось лишь одно: хакеры требовали биткоины.

## Почему это продолжается

В 2023 году объем выплат вымогателям, отслеженный Chainalysis, превысил миллиард долларов — это первый зафиксированный год, когда общая сумма перешагнула этот порог. В 2024 году объем платежей упал примерно на 35 процентов, отчасти благодаря действиям правоохранительных органов против крупнейших группировок, а отчасти потому, что жертвы стали чаще отвечать отказом. Ни одно из этих событий не свидетельствовало о том, что коренные причины проблемы устраняются.

Работа LockBit была нарушена, инфраструктура изъята, личность администратора раскрыта и против него введены санкции — и всё же спустя несколько дней группировка частично возобновила деятельность. На протяжении более чем шести месяцев, начиная с середины 2022 года, ФБР внедрялось в Hive, тайно передавая жертвам бесплатные ключи дешифрования; операция продолжалась до января этого года, когда власти изъяли часть инфраструктуры группировки. К моменту массовой эксплуатации уязвимости MOVEit Transfer в 2023 году группировка Cl0p полностью переключилась на эксфильтрацию данных без шифрования — это вымогательство без использования шифровальщиков, где нет файлов для расшифровки, а есть лишь взломанные чужие сети, украденные данные и весомый повод для шантажа и дальнейших преступных действий против жертв.

Индустрия адаптируется быстрее, чем успевают приниматься политические меры — у компаний в сфере кибербезопасности есть прямые стимулы к адаптации, в то время как у политики оценки рисков иные приоритеты.

Протестированные офлайн-бэкапы, многофакторная аутентификация, своевременное обновление систем, сегментация сети и средства обнаружения угроз на конечных точках — все это рутинные и лишенные внешнего лоска, но понятные элементы инфраструктуры безопасности, которые действительно могли бы снизить частоту атак. Это не исключает существования операторов программ-вымогателей. Однако такие меры повышают стоимость каждой атаки до такой степени, что многие жертвы справляются с последствиями, не выплачивая выкуп. Эти меры требуют постоянной организационной дисциплины и долгосрочного финансирования, что гораздо сложнее продвинуть, чем регуляторные инициативы, создающие видимость бурной деятельности перед камерами, но не требующие затрат на вещи, результат работы которых не всегда очевиден в моменте.

Запрет криптовалют не обезопасит больницы, использующие необновленное ПО в несегментированных («плоских») сетях. Платежный механизм — лишь один из элементов системы, в которой сошлись воедино многочисленные структурные недостатки. Чем проще подступиться к исправлению этих сопутствующих проблем, тем больше внимания они привлекают.

![](https://netts.io/blog/articles/crypto-and-ransomware-most-common-tendencies/images/1-14.png)

Для тех, кто использует стейблкоины в сети Tron — по причинам, не связанным с вышеизложенным — сервис Netts.io агрегирует актуальные цены на Энергию от провайдеров среднего уровня (JustLend, Trongas, Catfee, Sohu, APITRX) и усредненные показатели частных пулов. Это позволяет в реальном времени находить и обеспечивать транзакции Энергией по минимальной цене: на данный момент всего 25 sun за единицу Энергии — примерно на 75% дешевле стандартной стоимости сжигания TRX; при этом делегирование происходит мгновенно и не требует стейкинга или «заморозки» собственных TRX. Воспользоваться сервисом можно через простого Telegram-бота без веб-интерфейса. Связан ли контекст использования той или иной транзакции с программами-вымогателями — это не тот вопрос, на который может ответить энергетический рынок. По крайней мере, он напрямую влияет на стоимость транзакции.