Крипторасследование — это не просто поиск транзакции в блокчейне. Это комплексная работа на стыке:

• блокчейн-аналитики;
• цифровой форензики;
• AML- и комплаенс-процедур;
• корпоративного расследования;
• претензионной работы;
• взаимодействия с биржами;
• сопровождения уголовного или гражданского дела.

Главная задача — восстановить полную картину инцидента:

• кому принадлежали активы;
• кто контролировал кошелёк и ключи;
• когда и каким способом был получен доступ;
• с какого адреса вывели средства;
• через какие кошельки и сервисы они прошли;
• поступили ли активы на централизованную биржу;
• где потенциально можно остановить их дальнейшее движение;
• какие документы подтверждают размер ущерба.

Сам факт перевода ещё не доказывает хищение. Необходимо связать блокчейн-транзакцию с владельцем активов, обстоятельствами их вывода и конкретными действиями подозреваемых лиц.

Самая опасная ошибка — сразу начинать хаотичные действия: переустанавливать устройства, удалять приложения, переводить остатки без предварительной фиксации или публиковать адреса и детали происшествия в открытых чатах.

Сначала необходимо сохранить исходные данные.

Как правило, фиксируются:

• адреса кошельков;
• хэши транзакций — TXID;
• дата и точное время операций;
• используемые блокчейн-сети;
• данные бирж и обменных сервисов;
• история входов в аккаунты;
• IP-адреса и сведения об устройствах;
• скриншоты личных кабинетов;
• электронная переписка;
• уведомления о входах и переводах;
• журналы доступа;
• документы о приобретении криптоактивов;
• сведения о сотрудниках и других лицах, имевших доступ.

Важно установить и возможный сценарий компрометации. Причиной вывода средств может быть не только прямое хищение, но и:

• фишинговый сайт;
• вредоносное расширение браузера;
• заражённое устройство;
• утечка пароля или seed-фразы;
• подмена адреса получателя;
• компрометация аппаратного кошелька;
• превышение сотрудником предоставленных полномочий;
• нарушение внутренних правил управления корпоративными активами.

Поэтому доказательственная база обычно строится не на одном документе, а на совокупности технических, финансовых и юридических данных.

1. Блокчейн-данные

Первый уровень — информация из публичного реестра:

• адрес отправителя;
• адрес получателя;
• хэш транзакции;
• сумма;
• время операции;
• сеть;
• транзитные кошельки;
• дальнейшее движение активов;
• предполагаемые биржевые адреса;
• признаки использования мостов, обменников или сервисов смешивания.

По этим данным строится визуальный маршрут движения средств: от исходного кошелька до конечной точки, которую удалось установить.

Особенно важны адреса, связанные с централизованными биржами. На таких площадках может храниться информация о владельце аккаунта, результатах KYC, входах, устройствах и операциях. Однако получить эти сведения можно только в установленном порядке.

2. Подтверждение права на актив

Даже если движение средств полностью прослеживается, необходимо доказать, кому принадлежали активы.

Для этого могут использоваться:

• договоры приобретения;
• биржевые выписки;
• документы об оплате;
• история пополнений;
• бухгалтерские сведения;
• корпоративные решения;
• внутренние реестры;
• переписка с контрагентами;
• подтверждение контроля над исходным кошельком;
• документы о происхождении средств.

Для бизнеса особенно важно разграничить личные и корпоративные активы. Если криптовалюта компании хранилась на личном кошельке сотрудника или учредителя без оформления соответствующих отношений, доказывание значительно усложняется.

3. Цифровая форензика

Если вывод средств связан с утратой доступа, необходимо исследовать техническую сторону происшествия.

Проверяются:

• компьютеры и мобильные устройства;
• браузерные расширения;
• история авторизаций;
• вредоносное программное обеспечение;
• электронная почта;
• резервные копии;
• аппаратные кошельки;
• корпоративная инфраструктура;
• действия пользователей до и после инцидента.

Такая проверка помогает установить, каким способом был получен доступ и действительно ли операция совершена без согласия владельца.

4. AML- и KYC-документы

Если активы попали на централизованную площадку, одного сообщения «у меня украли криптовалюту» будет недостаточно.

Биржа может запросить:

• подтверждение личности заявителя;
• документы о происхождении средств;
• доказательства владения кошельком;
• описание инцидента;
• перечень транзакций;
• заявление в правоохранительные органы;
• процессуальные документы;
• экспертное описание маршрута движения активов.

Чем точнее подготовлен пакет, тем выше вероятность, что обращение будет рассмотрено по существу, а данные об аккаунте и транзакциях будут сохранены.

5. Правовая квалификация

Техническая трассировка показывает, куда ушли активы. Но она не отвечает на вопрос, кому и какие требования необходимо предъявлять.

Нужно определить:

• в чём выразилось нарушение;
• кто является надлежащим адресатом претензии;
• как рассчитывается ущерб;
• какое право может применяться;
• в какой юрисдикции действовать;
• использовать ли гражданско-правовой, уголовно-правовой или корпоративный механизм;
• какие обеспечительные меры можно инициировать.

Без такой квалификации даже подробный технический отчёт рискует остаться просто набором транзакций.

Шаг 1. Остановить дальнейшие потери

Если компрометация продолжается, необходимо локализовать угрозу и обеспечить безопасность сохранившихся активов.

Одновременно важно не уничтожить цифровые следы. Поэтому действия по смене устройств, удалению программ и переносу средств должны проводиться с учётом необходимости последующей фиксации обстоятельств инцидента.

Шаг 2. Сохранить доказательства

До начала активной переписки и переговоров собирается первичный массив данных:

• скриншоты;
• история транзакций;
• журналы входов;
• уведомления;
• сведения об устройствах;
• переписка;
• подтверждение владения активом;
• документы об источнике средств.

Сведения желательно сохранять таким образом, чтобы впоследствии можно было подтвердить их происхождение, дату получения и неизменность.

Шаг 3. Построить маршрут движения активов

Далее проводится ончейн-трассировка: движение активов отслеживается от исходного адреса через транзитные кошельки, мосты, обменники и другие сервисы.

Задача этого этапа — определить:

• куда ушли средства;
• продолжают ли они перемещаться;
• были ли активы разделены;
• поступили ли они на биржу;
• где возможна идентификация получателя;
• существуют ли потенциальные точки заморозки.

Если средства проходили через несколько блокчейн-сетей, маршрут необходимо восстановить по каждой из них, а затем объединить в единую хронологию.

Шаг 4. Определить адресатов требований

Адресатом обращения может быть не только криптобиржа.

В зависимости от обстоятельств претензии и запросы могут направляться:

• бирже;
• обменному сервису;
• OTC-посреднику;
• контрагенту;
• бывшему сотруднику;
• деловому партнёру;
• оператору кошелька;
• страховщику;
• корпоративным органам управления.

Параллельно может готовиться обращение в правоохранительные органы или исковое заявление.

Шаг 5. Подготовить адресное обращение

Обращение должно содержать не общую просьбу «вернуть криптовалюту», а структурированную позицию:

• описание происшествия;
• точную хронологию;
• перечень адресов и транзакций;
• предполагаемый маршрут активов;
• подтверждение права на них;
• сведения о размере ущерба;
• правовое обоснование;
• конкретные требования;
• перечень приложений.

В зависимости от ситуации можно просить сохранить сведения об аккаунте, зафиксировать операции, ограничить движение активов и обеспечить взаимодействие с уполномоченными органами.

При этом сама по себе претензия не гарантирует заморозку или возврат средств: решение зависит от правил площадки, юрисдикции, качества доказательств и наличия необходимых процессуальных оснований.

Шаг 6. Выбрать стратегию взыскания

После технической и правовой оценки определяется дальнейший маршрут.

Возможны:

• претензионные переговоры;
• взаимодействие с биржей;
• корпоративное расследование;
• обращение в правоохранительные органы;
• гражданский иск;
• взыскание убытков;
• предъявление требований к сотруднику или контрагенту;
• международная координация;
• сочетание нескольких способов защиты.

В криптокейсах нередко приходится одновременно работать по нескольким направлениям: добиваться сохранения данных на бирже, фиксировать ущерб внутри компании и готовить материалы для официального разбирательства.

Биржа не обязана возвращать активы только на основании заявления пользователя. Площадка должна учитывать свои внутренние правила, AML-процедуры и законодательство юрисдикции, в которой она работает.

Наиболее распространённые причины отказа или формального ответа:

• заявитель не доказал принадлежность активов;
• не представлены TXID и адреса;
• отсутствует понятная хронология;
• не подтверждено происхождение средств;
• запрос направлен не в тот отдел;
• отсутствуют документы компетентного органа;
• требования сформулированы слишком широко;
• невозможно установить связь спорной транзакции с аккаунтом на площадке.

Поэтому обращение на биржу — это отдельный этап расследования, требующий технической и юридической подготовки.

Криптокейсы часто рушатся не из-за отсутствия цифрового следа, а из-за неправильного обращения с ним.

Наиболее опасные ошибки:

• несвоевременная фиксация инцидента;
• удаление приложений, переписки и журналов;
• позднее обращение на биржу;
• публикация деталей расследования в открытом доступе;
• отсутствие документов о принадлежности активов;
• смешение личных и корпоративных кошельков;
• передача ключей нескольким сотрудникам без разграничения полномочий;
• неподготовленный AML/KYC-пакет;
• отсутствие расчёта ущерба;
• обращение в суд или правоохранительные органы без систематизации материалов;
• использование технического отчёта без его юридической интерпретации.

Отдельная проблема — попытки воспользоваться услугами неизвестных «возвратчиков». Потерпевшему обещают мгновенную блокировку кошелька или гарантированный возврат, после чего требуют аванс, доступ к аккаунту либо seed-фразу. Это может привести к повторному хищению.

В корпоративном сегменте проблема часто связана не только с действиями злоумышленника, но и с отсутствием внутреннего контроля.

Если компания:

• не ведёт журнал доступа;
• не разграничивает ключи;
• не определяет ответственных лиц;
• не устанавливает лимиты операций;
• не использует многоуровневое согласование;
• не фиксирует назначение переводов;
• хранит корпоративные активы на личных кошельках сотрудников,

то даже очевидный вывод средств становится сложнее квалифицировать и доказать.

Нужно установить, кому был разрешён доступ, какие полномочия имело конкретное лицо, требовалось ли согласование операции и в какой момент действия сотрудника вышли за пределы предоставленных прав.

Поэтому после инцидента компании важно провести не только трассировку активов, но и внутреннее расследование.

Частным инвесторам

Основные задачи — оперативно сохранить доказательства, определить маршрут активов, восстановить контроль над инфраструктурой и обратиться к биржам или уполномоченным органам.

Компаниям

Для бизнеса приоритетны:

• фиксация ущерба;
• цифровая форензика;
• анализ действий сотрудников;
• корпоративное расследование;
• предъявление претензий;
• подготовка материалов для суда и правоохранительных органов;
• усиление внутреннего контроля.

Фондам и финансовым организациям

На первый план выходят AML-процедуры, подтверждение происхождения средств, проверяемость выводов и возможность использовать результаты расследования во внутреннем и внешнем контроле.

Страховщикам и профессиональным участникам

Им необходимы воспроизводимый маршрут движения средств, подтверждение обстоятельств инцидента и обоснованный расчёт ущерба.

Итогом работы должен быть не просто ответ «деньги ушли на такой-то адрес», а полноценный пакет материалов:

• хронология происшествия;
• карта движения цифровых активов;
• перечень связанных адресов и транзакций;
• описание возможного способа компрометации;
• документы о принадлежности актива;
• расчёт ущерба;
• определение возможных адресатов;
• AML/KYC-пакет;
• экспертное описание цифрового следа;
• правовая квалификация;
• проект претензии, заявления или процессуальной позиции;
• рекомендации по дальнейшим действиям.

Такой результат можно использовать в переговорах, при обращении на биржу, в корпоративном расследовании, судебном споре или при взаимодействии с правоохранительными органами.

Криптовалюта не исчезает бесследно, но наличие записи в блокчейне ещё не означает, что актив удастся вернуть.

Сначала необходимо зафиксировать адреса, транзакции, устройства, переписку и обстоятельства получения доступа. Затем — восстановить маршрут движения средств, определить возможные точки блокировки и подтвердить право на актив. Только после этого технический след превращается в юридически применимую позицию.

Поэтому крипторасследование — это не узкий «поиск монет в блокчейне», а комплексная работа: блокчейн-форензика, технический анализ, AML-сопровождение, фиксация ущерба, взаимодействие с площадками и предъявление юридических требований.

Чем раньше начинается такая работа, тем больше шансов сохранить цифровые следы, определить маршрут активов и использовать доступные механизмы защиты.

Не начинайте с обвинений. Сначала необходимо зафиксировать факты и оценить доказательства. Команда АКГ «АИП» проводит независимые ревизии, финансовый и правовой анализ, рассчитывает ущерб и формирует дорожную карту его взыскания. Подробнее https://clck.ru/3V2m5H

Получить консультацию: +7 (495) 236-77-50

Больше материалов — в книге Сергея Елина о финансово-правовой безопасности бизнеса и защите личных активов собственников и руководителей.

Книга помогает директорам, учредителям, бухгалтерам и топ-менеджерам системно разобраться в рисках, с которыми сталкивается бизнес, и заранее выстроить стратегию защиты.

Полную версию можно приобрести на платформах:

• Яндекс Книги
• ЛитРес
• Ozon
• в издательстве Эксмо

Основной сайт: https://www.ap-group.ru/

Сергей Елин, Эксперт по финансово-правовой безопасности, управляющий парнер Аудиторско-консалтинговой группы «АИП»