По следам денег: как украденная криптовалюта исчезает ончейн

Звонок раздается в четыре утра, и человек на том конце провода дышит так, будто не выдыхал последние девять часов. Шестью часами ранее с мультисиг-кошелька биржи средней руки было выведено около четырех миллионов долларов в USDT. Человек, подписавший мошеннические транзакции — назовем его М. — сейчас сидит на съемной квартире с наглухо закрытыми окнами и наблюдает за собственным преступлением в блокчейн-эксплорере. Любой желающий через обычный браузер может увидеть каждую транзакцию, каждый перевод и каждый знак после запятой. Провести его аудит могла бы его девушка, мог бы его парикмахер, и, что куда опаснее, псевдонимный интернет-сыщик, который уже сажал команды куда профессиональнее его.

М. далеко не глуп. Он прекрасно понимал смарт-контракт, уязвимостью которого воспользовался; он знал, у какого горячего кошелька были избыточные полномочия; он подгадал вывод средств на время, когда команда мониторинга биржи, скорее всего, работала в усеченном составе. Чего он не учел — и чего почти никогда не понимают начинающие воры, — так это того, что сам факт кражи денег был самой простой частью плана. Между семью адресами, которые он использовал, и возвращением к нормальной жизни лежит система, созданная исключительно для того, чтобы такие, как он, никогда не добрались до финиша.

Первое упоминание об инциденте появляется в социальных сетях уже через девяносто минут. И исходит оно не от биржи (там все еще заняты составлением текста с извинениями), а от ончейн-исследователя с огромной аудиторией, которому, похоже, вообще не нужен сон. Он размечает адреса тегами, проводит тайминг-анализ и выкатывает убедительную схему атаки. М. перечитывает тред дважды и отчетливо видит свое будущее. Связей среди банкиров у него нет, а улететь в Дубай со смартфоном, набитым горячими кошельками, он не сможет. Все, что ему нужно — это специалист. И к рассвету он уже выходит с ним на связь.

Что пугает М. в этом треде даже сильнее самого анализа — так это то, что исследователь не просто тегнул биржу, но и мимоходом прикрепил адреса транзакций. В прежние времена на составление фоторобота после ограбления банка уходили недели. В этом же случае эскиз опубликовали еще до того, как захлопнулась дверь хранилища. Паникующая и озабоченная своей репутацией биржа наверняка объявит баунти — процент от любой возвращенной суммы каждому, чья информация поможет заморозить средства. Именно так поступила Bybit после взлома на миллиард долларов: десятипроцентная награда превратила весь интернет в добровольную группу захвата. Теперь у каждого охотника за головами с ноутбуком есть прямая финансовая выгода вычислить деньги М. раньше, чем тот успеет их потратить. Украденные миллионы не просто сделали его беглецом, они превратили его в мишень бессрочной самоокупаемой охоты, где ориентировка на преступника обновляется в реальном времени.

Специалист — то есть решала — сам никого не взламывает, и именно в этом заключается его главная ценность. Его товар — не кража, а забвение. Он берется вывести деньги из прозрачной экономики блокчейна и сделать так, чтобы они вновь возникли уже в тривиальном виде: фиатом в юрисдикции, за которой никто не следит, инвойсом за консалтинговые услуги или бизнесом с внешне безупречной выручкой. Его комиссия стартует от десяти процентов и ползет вверх по мере усложнения ситуации. И хотя М. поначалу посчитал эти десять процентов грабежом, вскоре он поймет, что это лишь минимальный тариф в череде предстоящих расходов.

Стеклянный блокчейн

Парадокс, сделавший эту ночь для М. бесконечной, заключается в следующем: криптовалюту продали миру как технологию конфиденциальности, тогда как на деле это самый прозрачный и непубличный вид денег в истории. Наличные почти не оставляют следов: переходя из рук в руки, купюра мгновенно забывает всех, кто ее касался. Блокчейн же помнит абсолютно все и навсегда фиксирует каждого участника вместе с таймстемпом. Псевдонимность — это не анонимность; это анонимность с таймером обратного отсчета, которая держится лишь до первой оплошности.

Детективы опираются на несколько базовых структурных изъянов блокчейна, и в них важно разобраться — именно они объясняют, почему отмывание денег превратилось в столь сложный процесс. Если два адреса пополняются в рамках одной транзакции, с высокой вероятностью они принадлежат одному владельцу: это эвристика совместных трат (co-spend heuristic), самый мощный инструмент в ончейн-криминалистике. Паттерны адресов для сдачи выдают привычки: кошелек, раз за разом делящий выходы в одних и тех же странных пропорциях, фактически оставляет цифровой автограф. Депозиты на биржу в 3 часа ночи по местному времени выдают часовой пояс человека так же надежно, как отпечаток подошвы выдает модель обуви. Все это добывается без ордеров и судебных постановлений — нужно лишь терпение, ведь реестр хранит каждую транзакцию.

Именно поэтому решала не может просто перегнать деньги на новый кошелек и успокоиться. Новый адрес — это всего лишь маскарадный костюм, а не новая личность. Деньги должны разорвать всю логическую цепочку связей: связь между кражей и первым узлом, связи между транзитными узлами и связи между узлами и реальными людьми. Каждый такой разрыв стоит денег, времени или и того, и другого. Все мастерство решалы состоит в понимании того, какие из этих связей являются несущими.

М. также упустил из виду человеческий фактор. За блокчейном следят не только правоохранительные органы, но и энтузиасты, журналисты, объединения пострадавших и охотники за баунти — каждый со своей планкой морали. Самые известные из них построили карьеру и заработали репутационный капитал на миллионы долларов именно на разоблачении схем, похожих на ту, за которую М. сейчас пытается заплатить. Решала это прекрасно знает; его комиссия высока еще и потому, что за ним тоже следят, а его операционная безопасность должна выдерживать проверки людей, которые разбираются в этом куда лучше его клиента.

Первые семьдесят два часа

В этой игре тайминг решает все: счетчик тикает беспощадно. Сутки после крупной кражи — самое опасное время для капитала, ведь ему неизбежно придется соприкоснуться с реальным миром. Биржи — главное уязвимое место: попадая на кастодиальную платформу, украденные монеты оказываются под контролем комплаенс-офицеров, под угрозой судебных запросов и жесткого стимула к сотрудничеству, ведь помочь жертве куда дешевле, чем стать соучастником преступления. У эмитентов стейблкоинов есть еще более радикальный инструмент — функция заморозки, зашитая прямо в код смарт-контракта. За эти годы Tether заблокировала подозрительные USDT на сотни миллионов долларов, порой накладывая арест уже через считанные часы после появления первых новостей о взломе.

С первой же секунды цель отмывателя — покинуть контролируемую зону до того, как прилетят распоряжения о заморозке. Первым делом нужно убрать средства со всех адресов, содержащих токенизированные доллары, поскольку эмитент может обнулить их удаленно — без судебных решений и переговоров, одной транзакцией превратив баланс в фантик независимо от того, где он находится. Следующий приоритет — уйти из сетей, находящихся под максимальным присмотром аналитиков, в сети с гигантскими торговыми объемами, а затем — в юрисдикции, где местные контрагенты считают бюрократию чужой религиозной причудой. Чем дольше тянется пауза, тем меньше остается путей к отступлению.

Именно в таком контексте проявляется индустриальный масштаб этого ремесла, самым свежим примером которого стала крупнейшая криптокража в истории. В феврале 2025 года хакеры, связанные с северокорейской группировкой Lazarus Group, вывели с биржи Bybit около полутора миллиардов долларов — сумма, которая в ту же секунду перестала быть просто кражей и переросла в полноценную логистическую операцию. Деньги за считанные часы распылили по тысячам новых адресов, перевели из Ethereum в Bitcoin через кроссчейн-сервисы, пропустили через мгновенные обменники без KYC (чьи владельцы позже клялись, что обработали лишь крошечную часть) и направили внебиржевым (OTC) брокерам, чья бизнес-модель строится на принципе «меньше знаешь — крепче спишь». Детективы, в том числе работающие инкогнито, отслеживали эти средства буквально в прямом эфире, твит за твитом, — и схема все равно сработала. По большей части. Механизм заморозки Tether успел заблокировать солидный кусок средств, отдельные биржи перехватили транзитные транши, один из обменников не выдержал репутационного удара и закрылся, но львиная доля суммы растворилась в мировой денежной массе. Это доказало суровую истину: когда у команды есть солидный бюджет, терпение и безразличие к комиссиям, скорость берет верх над контролем. Что показательно, операция не тормозила ради оформления бумаг — она шла непрерывно, в выходные и праздники, пока избегаемый ею госаппарат работал строго в приемные часы.

Если взглянуть на опыт любителей, налицо поучительный урок. Семейная пара, обвиненная в отмывании украденного в 2016 году с Bitfinex биткоина, годами держала на руках основную часть куша, гоняя средства через миксеры и аккаунты в даркнете, но так и не решилась окончательно их сбросить. В итоге, когда федеральные агенты постучали в их дверь в 2022 году, государство конфисковало криптовалюту на миллиарды долларов парой судебных ходатайств. Тот же блокчейн, та же абсолютная прозрачность — и диаметрально противоположный исход. Дело было не в инструментах; дело было в дисциплине и, если называть вещи своими именами, в терпении. Lazarus воспринимает отмывание как цепочку поставок; фигуранты дела Bitfinex видели в нем просто способ хранения. А хранение — это верная дорога на скамью подсудимых.

Схема, которую решала разворачивает для М. — это уменьшенная копия той же логистической цепочки. Имеет смысл разобрать ее по пунктам, ведь каждый шаг здесь призван нейтрализовать конкретный метод расследования:

1. Дробление украденного капитала на десятки адресов с полным исключением перекрестного финансирования — это сбивает эвристики объединения в кластеры и совместных трат. 2. Подключение миксера (традиционного или на базе CoinJoin) либо современных решений со сложными кроссчейн-свопами, намеренно стирающими след. 3. Прогон активов между блокчейнами через мосты и инстант-обменники: следователю приходится начинать все с нуля и восстанавливать контекст в другой экосистеме с иными аналитическими параметрами. 4. Использование Bitcoin ради ликвидности и стейблкоинов ради скорости, с последующей консервацией средств на время, пока не утихнет шум в медиа. 5. Вывод капитала через шлюзы с минимальным комплаенсом: OTC-дески, частных брокеров и обналичивание в странах, где регуляторные предписания никого не волнуют.

Каждый этап требует расходов, времени и несет в себе риск утечки информации — отсюда и столь высокий ценник решалы. Пил-чейны (peel chains) — старый добрый метод прогона средств через сотни последовательных адресов, на каждом из которых отщипывается небольшая комиссия — обходятся почти даром, но рисуют в криминалистическом софте самые выразительные графики. Миксеры действительно обеспечивают качественную обфускацию, но с юридической точки зрения они превратились в выжженное поле: создателей одного известного Bitcoin-миксера арестовали в 2024 году, а Tornado Cash находился под американскими санкциями годами, пока суды в 2025 году не добились частичной отмены ограничений. Инструменты могут менять названия, законы экономики остаются прежними. Анонимность — это товар, имеющий конкретную цену, и эта цена подскакивает каждый раз, когда власти вводят очередной пакет санкций.

Детективы и бремя доказательств

В это же время по другую сторону стекла гудит мощная индустрия. Компании-разработчики специализированного ПО автоматически раскручивают эти цепочки, объединяя миллионы разрозненных адресов в понятные сущности. Они обслуживают самых разных клиентов: биржи, которым нужно отсекать грязные активы; регуляторов, требующих сухих цифр отчетности; и правоохранительные органы, которым нужны реальные фигуранты. Есть и независимые игроки — например, ZachXBT, который в одиночку вскрыл преступные сети на сотни миллионов долларов. Он работает практически pro bono, фактически став одновременно частным детективом и совестью индустрии. Его сила держится не на законе, а на публичности: грамотно расписанный ончейн-маршрут способен привести к блокировке биржевого аккаунта дропа еще до того, как прокурор вообще узнает о случившемся.

Этот системный перекос ощущается на каждом шагу. Следователи видят движение капитала практически в реальном времени, однако машина правосудия реагирует постфактум и через длинную цепочку процедур. Чтобы силовики смогли предпринять реальные шаги — арестовать банковские счета, недвижимость или ограничить чью-то свободу, — одного лишь отчета об отслеживании транзакций недостаточно. Требуется доказательная база: данные KYC, привязывающие адрес к паспорту; логи серверов, связывающие паспорт с ноутбуком; свидетельские показания, доказывающие, что за этим ноутбуком сидел конкретный человек. Идентификация обязана выдерживать планку судебных стандартов, а путь от транзакции в блокчейне до приобщения материалов к делу длинен, петляет от юрисдикции к юрисдикции и чудовищно неповоротлив. Трейсер может вскрыть сетку решалы за неделю; у прокурора на отработку этой карты уйдет год — к тому моменту дропы успеют сменить десяток телефонов.

Решала знаком с процессуальными сроками ничуть не хуже любого адвоката. Запросы в рамках договоров о взаимной правовой помощи ползут со скоростью тектонических сдвигов. Ордер на арест действует только на то, до чего физически можно дотянуться, а дотянуться можно лишь до активов, лежащих на регулируемой бирже ровно в тот момент, когда туда курьером доставят бумаги. Поэтому его стратегия строится не на попытках обогнать блокчейн (это технически невозможно), а на том, чтобы переиграть бюрократию. Он удерживает ликвидность в серых зазорах между разными юрисдикциями до тех пор, пока внимание системы не переключится на новую цель. В этой парадигме преступление — не столько нарушение законов, сколько паразитирование на их природной медлительности.

В официальные отчеты редко попадает психологическая подоплека происходящего. Трейсерами часто движет нечто большее, чем оклад — неподдельный азарт, замешанный на обостренном чувстве справедливости после пережитых скамов, а порой и чистый дофаминовый кайф от триумфа первооткрывателя. Отмывателями же, напротив, движет чувство куда менее яркое, чем классическая жадность: они просто плывут по течению профессиональной рутины. Большинство решал не считают себя уголовниками точно так же, как клерки не считают себя злодеями: они всего лишь перемещают ликвидность из точки А в точку Б, оставляя груз моральной ответственности заказчику. Это самооправдание — позиционирование себя нейтральными, техническими и вполне респектабельными специалистами — служит фундаментом всей теневой индустрии. И регуляторы наконец наносят удар прямо в эту точку, преследуя разработчиков миксеров и операторов платформ, а не охотясь за призраками, владеющими приватными ключами.

Почему этот механизм невозможно остановить

Если абстрагироваться и взглянуть на историю М. масштабно, перед нами предстанет не просто криминальная хроника, а самоподдерживающийся метаболизм экосистемы. Любое ужесточение мер безопасности осложняет кражу, что автоматически поднимает планку мастерства взломщиков. Это, в свою очередь, взвинчивает требования к качеству услуг решал, что вынуждает компании прокачивать ончейн-аналитику, а это запускает разработку новых изощренных схем отмывания — и так по кругу. Северная Корея возвела этот цикл в ранг государственной доктрины, снабжая режим ресурсами с помощью тех самых платежных каналов, которые столь популярны у ее геополитических оппонентов. Любители раз за разом доказывают, что человеческий фактор — спешка, алчность и зуд потратить легкие деньги — остается самой уязвимой точкой отказа. А приватные инструменты, восхваляемые в одном десятилетии, в следующем объявляются вне закона.

TRON занимает в этой архитектуре особое место: здесь циркулирует больше USDT, чем в любой другой экосистеме. А значит, именно в сети TRON идут самые масштабные легальные транзакции и одновременно разворачиваются наиболее интенсивные схемы отмывания на планете. Прогон тысяч переводов USDT в сети TRON влетает в копеечку, если сжигать TRX под каждую транзакцию. Поэтому крупные игроки — биржи, процессинги и те же отмыватели с их peel chains — пришли к общему решению: они арендуют TRON Energy. Покупка TRON Energy обходится в разы дешевле сжигания TRX, а часовая аренда делегированной Energy под пакет из нескольких сотен транзакций — это грамотный инженерный ход со стороны легального бизнеса. Но ровно эта же копеечная TRON Energy делает экономически целесообразной схему с сотней транзитных кошельков для преступников. Именно поэтому серьезные поставщики Energy начали жестко фильтровать клиентуру. Netts проводит здесь черту, которую игнорирует остальной рынок: опираясь на собственную аналитическую базу в сети TRON, сервис выстроил периметр комплаенса, включающий свыше 28 миллионов заблокированных адресов (санкционные объекты, фишинговая инфраструктура, кошельки хакеров и украденные средства). Каждый запрос на делегирование Energy сверяется с этой базой в реальном времени под капотом с независимым мониторингом от Elliptic. Логика кристально ясна: ресурсы, подпитывающие серую экономику, не должны поставляться инфраструктурой, делающей вид, будто она не понимает, как выглядит отмывание средств.

Для тех, кто находится по светлую сторону баррикад — трейдеров, бирж и платежных сервисов — вывод прост: если вам нужно переводить USDT в сети TRON без лишних трат TRX, маркетплейс Netts TRON Energy Market агрегирует весь рынок аренды в реальном времени и гарантирует лучшую ставку, позволяя арендовать Energy по минимальной цене — через платформу, которая умеет отличать активного трейдера от очередной транзитной схемы.