Как краденая крипта оказывается в вашем кошельке

22 июля человек с нужными ключами валидатора вывел 24,15 млн долларов в USDC из моста AFX Trade на Arbitrum. Ничего не сломалось. У вывода было достаточно действительных подписей, чтобы собрать кворум моста, и система отпустила средства ровно так, как её и построили. Через несколько часов деньги лежали на Ethereum примерно в виде 12 467 ETH — в кошельке, который любой может открыть в блок-эксплорере.

На следующий день мост Verus на Ethereum потерял около 7,54 млн долларов через тот же путь импорта, которым атакующий уже пользовался в мае. Этот случай был быстрее и грязнее: 3 916 ETH ушли прямо в Tornado Cash. Wanchain отдал порядка 10 млн долларов из-за ошибки кодирования в скрипте валидатора. Allbridge Core встал на паузу после флеш-лоан-атаки на 1,65 млн долларов на его пул стейблкоинов в Solana. 24 и 25 июля у сингапурской платёжной компании Triple-A вытащили более 9,7 млн долларов из горячих кошельков сразу на шести сетях, и около 5 227 ETH были собраны на один адрес.

Неделя, больше 47 млн долларов — и это только то, что подтверждено.

Отчёт CertiK Hack3D за первое полугодие 2026 года насчитывает 1,31 млрд долларов потерь в 344 инцидентах. На одни только скомпрометированные кошельки пришлось свыше 444 млн из этой суммы — всего в 33 случаях.

Теперь та часть, которая никогда не попадает в заголовки. Все эти деньги должны куда-то деться, и удивительно большая их доля идёт искать обычных людей.

Краденые монеты продают незнакомцам

У атакующего, сидящего на 12 467 ETH, есть проблема. Баланс публичный, за считаные часы его помечает полдюжины аналитических компаний, и он бесполезен, пока не превратится во что-то, что можно потратить. Часть забирают миксеры. Остальное дробят на куски и выталкивают через каналы, которые касаются живых людей: OTC-столы с рыхлым онбордингом, P2P-объявления, мелкие обменники, фрилансеры, которым платят в крипте, покупатели, готовые переплатить за товар.

Именно на последней группе попадается большинство. Вы продаёте машину, железо, домен, дизайн-проект. Покупатель платит в USDT или ETH. Деньги приходят, транзакция подтверждается — и вы понятия не имеете, что девять дней назад они вышли из взлома моста.

Биржа сначала замораживает, а спрашивает потом

Как только вы переводите эти монеты на регулируемую площадку, их сканируют. Сегодня любая крупная биржа ведёт мониторинг транзакций по депозитам, и после многих лет комплаенс-штрафов реакция по умолчанию на срабатывание одна: заблокировать баланс и открыть проверку. Вы ничего не крали. Но автоматическая проверка задаёт совсем другой вопрос.

Эмитенты могут пойти дальше. 1 июля OFAC добавил в список SDN 134 криптоидентификатора, связанных с ИГИЛ-Хорасан: 131 адрес TRON и три адреса Monero, — и Tether заморозил баланс USDT на всех 131. Через две недели, 14 июля, под записью центрального банка Ирана добавили ещё четыре кошелька TRON, и около 131 млн долларов в USDT встали намертво. Блокировка происходит на уровне контракта токена. После этого сдвинуть их не может ни биржа, ни кошелёк, ни мост.

Оценивают расстояние до кражи

Инструменты скрининга не выдают «краденое» или «чистое». Они выдают экспозицию: какая доля пришедшего на адрес восходит к помеченному источнику и через сколько переходов.

Прямое получение с кошелька взломщика — худший вариант и самый заметный. Через три перехода, DEX и пару промежуточных адресов, оценка падает, но след остаётся. И остаётся надолго, потому что реестр не забывает. Адрес, который сегодня выглядит нормально, может покраснеть в следующем месяце, когда следователи достроят кластеризацию кражи и зальют новые атрибуции в те данные, по которым все и проверяют.

Поэтому время значит больше, чем принято думать. Самое рискованное окно — первые дни после крупной кражи, пока отмывочные адреса ещё не носят никакой метки, когда продавец с хорошей ценой выглядит просто как хорошая цена.

Проверяйте до того, как деньги двинутся, а не после

Четыре привычки, которые почти ничего не стоят:

• Просите адрес отправителя заранее. Тот, кто платит вам законно, может сказать, откуда идёт перевод. Тот, кто отказывается, уже кое-что вам сказал.
• Проверьте адрес до того, как согласитесь. Проверка одного адреса по санкциям и AML занимает секунды. Вы можете проверить любой адрес кошелька здесь и увидеть его экспозицию, флаги и атрибуцию до того, как отдадите товар или работу.
• Считайте скидку предупреждением. OTC-продавец, отдающий на 4 % ниже рынка, не щедрый. Он назначает цену риску, который передаёт вам.
• Храните бумаги. Счёт, переписку, адрес, отметку времени. Если банк или биржа потом спросят про источник средств, эта папка — разница между проверкой на два дня и проверкой на два месяца.

Если деньги уже пришли

Не пересылайте их, не дробите и не прогоняйте через обменник, чтобы они выглядели лучше. Именно этот шаг превращает неудачное поступление в то, что прокурор может назвать сокрытием. Оставьте средства там, где они есть.

Запишите всё: хеш входящей транзакции, кто заплатил, за что и когда. Если вы уже завели деньги на биржу и упёрлись в блокировку, отвечайте на проверку этими документами, а не спорами. Большинство блокировок по действительно чистым депозитам всё-таки снимают — медленно. Если сумма значимая, найдите юриста в своей юрисдикции, который уже вёл такие дела.

Криптоплатёж проходит за минуту, и из-за этого легко забыть, что история за ним постоянная и публичная. Вы не можете выбрать, у кого незнакомец взял свои монеты. Зато можете потратить тридцать секунд и выяснить это до того, как скажете «да».