Предполагаемая кража $106 млн с криптобирж: как след ведёт через ETH к Monero

В воскресенье, 1 ноября, со счетов неназванной организации из Евросоюза на нескольких криптовалютных биржах начали уходить крупные суммы. К 2 ноября исследователь движения криптовалют ZachXBT оценил предполагаемые потери более чем в 106 млн долларов. Следующий шаг оказался не менее важным, чем сами выводы: средства стали обменивать, переводить через промежуточные кошельки и направлять в сети, где дальнейшее отслеживание значительно сложнее.

Подтверждён ли взлом? Пока нет в том смысле, в каком это слово употребляется в официальном сообщении пострадавшей компании. Исследователь указал на вероятную кражу и опубликовал связанные с ней адреса; движение активов анализировали и другие специалисты. Но пострадавшая организация публично не названа, механизм получения доступа неизвестен, а окончательный ущерб не подтверждён независимой финансовой проверкой. Эти ограничения принципиальны: запись в блокчейне доказывает, что перевод состоялся, но сама по себе не доказывает, кто его разрешил.

Для обычного владельца криптовалюты история полезна по другой причине. Она показывает слабое место, которое часто остаётся вне внимания: несколько защищённых биржевых счетов ещё не означают, что вся система хранения денег защищена. Если одна организация использует общие устройства, электронную почту, сотрудников или правила вывода для нескольких площадок, риск может оказаться общим.

Что известно о предполагаемой краже на 3 ноября 2026 года

Первое публичное сообщение ZachXBT появилось 2 ноября. По его оценке, события начались накануне, 1 ноября. Исследователь говорил о сумме свыше 106 млн долларов и о нескольких счетах на централизованных криптобиржах. Он описал вывод двух привязанных к доллару токенов - USDC и USDT - и опубликовал одиннадцать адресов Ethereum, которые счёл связанными с инцидентом.

Следовательно, известны предполагаемый период, характер первоначальных активов и часть маршрутов их движения. Неизвестны владелец средств, точный набор затронутых счетов, способ авторизации переводов, наличие страхования, фактический объём безвозвратной потери и возможные действия бирж по блокировке дальнейших операций.

На момент подготовки текста нет оснований писать, что «взломали несколько бирж». Кража со счетов одного клиента на разных площадках и проникновение во внутреннюю инфраструктуру самих бирж - два разных события. В первом случае пострадать могли учётные записи или средства клиента; во втором злоумышленник получает доступ к системам торговой площадки. Официальных доказательств второго сценария по этому делу не представлено.

Дополнительное исследование компании Bitquery от 2 ноября сообщает о собственном отслеживании 108,8 млн долларов в USDC, выведенных с нескольких площадок. Это отдельная аналитическая оценка, а не пересмотр официально установленного размера кражи. Специалисты могут включать в расчёт разные адреса, промежутки времени и типы операций, поэтому цифры нельзя механически складывать или выдавать за окончательный ущерб.

Как могли перемещаться средства: последовательность без догадок о виновнике

По описанию ZachXBT, после вывода с бирж часть долларовых токенов меняли на эфир - основную монету сети Ethereum. Затем средства проходили через сервисы быстрого обмена, среди которых исследователь назвал WellWallet и Kyrrex, перемещались между блокчейнами и частично конвертировались в Monero через Wagyu. Название сервиса в маршруте не означает, что его сотрудники участвовали в преступлении: обменник может обработать перевод, не зная о происхождении средств.

Технически каждый этап создаёт новую задачу для расследования. Исходная транзакция USDC видна в соответствующей сети. Обмен на ETH обычно тоже оставляет проверяемые записи, но уже требует сопоставить входящие токены, договор обмена и результат. Перевод через мост создаёт два связанных события в разных сетях. После перехода в Monero открытое наблюдение за суммами и получателями становится гораздо менее информативным.

Слово «отмывание» здесь описывает предполагаемую цель скрыть происхождение денег, но конкретная последовательность операций не даёт читателю основания самостоятельно признать все участвующие адреса преступными. Для такого вывода нужны дополнительные данные: исходная принадлежность активов, подтверждение несанкционированного доступа, сообщения пострадавшей стороны и сведения служб расследования.

Чем отличается зафиксированный перевод от доказанной кражи

Представим, что обозреватель блокчейна показывает перевод 3 млн USDC со счёта A на адрес B. Можно проверить время, сумму, сеть, адреса, сбор и статус выполнения. Нельзя только по этой строке определить, был ли перевод разрешён владельцем, кто держал пароль от биржи и по какой причине получатель перевёл средства дальше. Даже если операции проходят быстро и через несколько сетей, это подозрительный признак, но не самостоятельный приговор.

Напротив, запись «средства исчезли» может скрывать разные технические случаи: биржа завершила вывод на адрес, который владелец не узнаёт; сотрудник отправил деньги на собственный рабочий кошелёк, который затем скомпрометировали; транзакция зафиксирована в сети, но биржа ещё не зачислила депозит; либо право распоряжения средствами изменилось после выдачи разрешения вредоносному приложению. Для каждого сценария нужны собственные проверки.

Почему USDC и USDT сначала выводят, а затем меняют на ETH

USDC и USDT обычно используются как токены с привязкой к доллару. Их удобство для владельца одновременно создаёт риск для похитителя: у эмитентов таких активов существуют механизмы ограничения определённых адресов или токенов в поддерживаемых сетях. Возможность заморозки не означает, что эмитент автоматически возвращает деньги после жалобы, и тем более не означает, что он обязан действовать по просьбе любого человека в социальных сетях.

ETH устроен иначе. У него нет единой компании-эмитента, которая могла бы централизованно внести адрес в список блокировки и остановить передачу самой монеты. После обмена долларового токена на ETH один из возможных рычагов вмешательства исчезает. Но это не делает ETH невидимым: обычные переводы эфира по-прежнему публичны, и их можно исследовать.

Разница особенно заметна при задержке реакции. Пока подозрительная сумма остаётся в токене, эмитент теоретически может взаимодействовать с компетентными органами и площадками. Когда средства уже обменяны на ETH, расследованию приходится опираться на блокировку счетов в централизованных сервисах, сведения об участниках операций и отслеживание последующих переводов. А когда они попали в конфиденциальную криптовалюту, одна только публичная цепочка перестаёт давать прежний объём сведений.

Не следует делать из этого обратный вывод, будто любой переход из USDC в ETH - признак мошенничества. Обычные пользователи и компании постоянно меняют токены, управляют ликвидностью и переводят деньги между сетями. Подозрения возникают из сочетания обстоятельств: происхождения средств, заявлений владельца, последовательности операций, сумм, сроков и адресных связей.

Что изменяет Monero - и почему след обрывается не полностью

Monero (XMR) скрывает в публичной цепочке сведения о сумме, отправителе и получателе с помощью специальных криптографических механизмов. В сети Ethereum, напротив, для обычной транзакции доступны публичные адреса и значения переводов. Поэтому после конвертации в XMR наблюдатель уже не может привычным способом открыть адрес и увидеть цепочку дальнейших поступлений.

Однако вход в сервис обмена и выход из предыдущего блокчейна могут оставаться видимыми. Кроме того, у централизованных площадок могут иметься сведения о заказах, учётных записях и операциях. Поэтому утверждение «криптовалюту окончательно спрятали» столь же неточно, как обещание «любую монету можно отследить до последнего владельца».

В расследовании особенно полезно различать три уровня знания. Первый - достоверная запись: активы перечислены с адреса на адрес. Второй - аналитическая привязка: сервис или исследователь полагает, что несколько адресов принадлежат одному лицу. Третий - установление личности и правомерности операции. Эти уровни нельзя выдавать один за другой без оговорок.

Новая деталь: большинство средств могли уйти на ранее знакомые адреса

Исследование Bitquery содержит важное наблюдение: по данным компании, существенная часть выведенных средств сначала поступила на адреса, с которыми соответствующие биржевые кошельки взаимодействовали и раньше. В опубликованной аналитике названы 11 ранее использовавшихся адресов из 15 исследованных, но это ещё не доказывает, кому принадлежали их закрытые ключи.

Если эта картина верна, простое правило «разрешить вывод только на старые адреса» само по себе не гарантировало бы сохранности средств. Возможен сценарий, когда доступ к биржевому счёту и к принимающему кошельку скомпрометирован одновременно. Другой вариант - операции шли на известные корпоративные адреса, а затем средства были перенаправлены уже с них. Пока нет подтверждения способа атаки, оба объяснения остаются гипотезами.

Практическая ценность этой детали заключается не в поиске виновного, а в изменении подхода к защите. Нужно контролировать не только список разрешённых адресов вывода, но и устройства или аппаратные кошельки, которые управляют этими адресами, права сотрудников и порядок подтверждения крупных переводов.

Как проверить подозрительный вывод со своей биржи

Если вы обнаружили незнакомый перевод, сначала зафиксируйте данные в личном кабинете биржи. Нужны точная сумма, тикер, сеть, адрес назначения, время операции, идентификатор вывода и, если он уже выдан, хеш транзакции. Сделайте снимки экрана с видимыми датой и статусом. Не размещайте в открытом доступе имя, номер телефона, адрес электронной почты или другие сведения о своём аккаунте.

Шаг 1. Сопоставьте историю биржи с блокчейном. Откройте запись о выводе и скопируйте именно идентификатор транзакции, а не номер заявки поддержки. Для Bitcoin воспользуйтесь инструментом проверить Bitcoin-транзакцию по TXID. Для других сетей выберите обозреватель соответствующего блокчейна и проверьте, что он показывает тот же перевод.

Шаг 2. Проверьте сеть. Одинаковое обозначение USDT или USDC в биржевом интерфейсе не делает переводы в Ethereum, TRON и других сетях взаимозаменяемыми. Начинающий пользователь часто сверяет только сумму и первые символы адреса. Для расследования этого мало: нужны полная сеть, контракт токена и точный получатель. Особенно опасно принимать за доказательство скриншот «перевод успешен», если он не сопровождается проверяемой записью сети.

Шаг 3. Отделите подтверждение от зачисления. У транзакции могут быть подтверждения в блокчейне, но депозит на бирже всё ещё находиться на проверке. И наоборот, биржевой интерфейс может показывать внутреннее перемещение, для которого отдельной публичной транзакции вовсе нет. Универсальную схему проверки разбирает материал как проверить криптовалютную транзакцию по хешу.

Шаг 4. Запишите цепочку действий. Если монеты ушли в другой адрес, зафиксируйте первый переход, затем только подтверждённые следующие. Не помечайте все адреса, когда-либо взаимодействовавшие с получателем, как принадлежащие одному преступнику: сервисы обслуживают тысячи клиентов и часто используют общие кошельки.

Шаг 5. Откройте обращение в официальной поддержке. Передайте номер операции, хеш, сеть, сумму и время. Укажите, что перевод не был санкционирован, если это действительно так. Попросите сохранить журналы авторизации, сведения о смене настроек, привязанных устройствах и подтверждениях вывода. Контактируйте с поддержкой через официальный сайт или приложение, а не через личные сообщения неизвестных «сотрудников безопасности».

Как понять, где оборвался перевод: три разных случая

Эти случаи нельзя лечить одним действием. Если операция ещё ожидает отправки, поддержка может иметь техническую возможность её остановить. Если токен уже ушёл в публичный блокчейн, отменить подтверждённый перевод по просьбе отправителя обычно нельзя. Если монеты попали на адрес сервиса, решение зависит от его правил, того, идентифицирован ли получатель, и наличия законных оснований для ограничений.

Особый случай - токен действительно присутствует на адресе, но пользователь выбрал в приложении неправильную сеть. Это не обязательно кража. Сначала изучите формат адреса и поддержку конкретного актива кошельком. Переводы в неизвестные «восстановительные» сервисы для проверки ситуации делать не надо.

Что делать в первые 15 минут после обнаружения незнакомой операции

Время особенно важно при возможном захвате учётной записи, но паника мешает сохранить доказательства. Первые действия должны быть простыми и выполнимыми. Проверьте, вошли ли вы в подлинное приложение биржи; если есть подозрения на заражённое устройство, используйте другое, заведомо надёжное устройство для смены доступа.

1. Сообщите бирже о несанкционированном выводе. Попросите временно ограничить исходящие операции и заблокировать подозрительные сеансы, если такая функция доступна. Не обещайте себе, что это обязательно вернёт уже отправленные монеты.
2. Смените пароль и проверьте почту. Особенно опасно, если электронный ящик, через который подтверждаются выводы, защищён тем же паролем. Проверьте правила переадресации писем, резервные адреса, открытые сеансы и способы восстановления.
3. Проверьте двухэтапную защиту и ключи доступа. Если биржа поддерживает аппаратный ключ безопасности или независимый способ подтверждения операций, проверьте его настройки. Не отключайте защиту, если это только увеличит доступ посторонних.
4. Отзовите ненужные программные ключи. Ключи для торговых роботов и аналитических программ должны иметь минимальные права. Возможность вывода через программный интерфейс следует отключать, если она не требуется. Сохраните сведения о ключах для расследования, но не публикуйте секретные значения.
5. Сохраните доказательства. Выгрузите доступную историю операций, письма и уведомления; запишите часовой пояс. Не меняйте и не удаляйте журналы, которые могут понадобиться поддержке или правоохранительным органам.

Если у вас несколько биржевых аккаунтов, не ограничивайтесь одним. Проверьте, не использовались ли одинаковые пароль, почта, доверенное устройство, восстановительные коды или учётная запись сотрудника. Два независимых логотипа бирж на экране не означают двух независимых контуров безопасности.

Какие настройки способны снизить риск для частного владельца USDT

Начните с разделения повседневных операций и хранения. На торговом счёте логично держать сумму, необходимую для ближайших сделок, а не автоматически весь резерв. При этом отдельный личный кошелёк создаёт собственные риски: потеря секретной фразы или компрометация устройства может лишить владельца средств без возможности обратиться к бирже за восстановлением.

Включите подтверждение входа и важных действий, проверьте список доверенных устройств и белый список адресов для вывода, если он предусмотрен площадкой. Убедитесь, что изменение списка требует дополнительного подтверждения и задержки: без этого злоумышленник с доступом к аккаунту может попытаться добавить собственный адрес, а затем вывести деньги.

Нельзя считать белый список универсальной защитой. Если скомпрометирован кошелёк получателя, перевод на разрешённый адрес всё равно может закончиться потерей. Поэтому резервные копии секретной фразы, аппаратное подтверждение и физический контроль устройства - самостоятельные элементы защиты. Подробная проверка адресов доступна в разделе инструменты проверки криптокошелька.

Для USDT в сети TRON полезно научиться читать историю операций и реальные адреса в обозревателе. В отдельной инструкции BarbadosNews объясняется, как проверить кошелёк USDT в TronScan. Это поможет отличить обычный перевод от незнакомого движения токенов, но не заменит расследование обстоятельств авторизации.

Почему нельзя судить об инциденте только по числу 106 миллионов

В новостях о криптовалюте рядом часто стоят разные суммы: сколько вывели с первоначальных счетов, сколько активов прошли через определённые адреса, сколько осталось в отслеживаемых кошельках и сколько реально признано потерянным. Одна и та же монета может несколько раз пройти через обмены и промежуточные адреса. Складывать объёмы таких переводов - значит многократно считать одну сумму.

В качестве примера: если 10 млн USDC сначала отправили на промежуточный адрес, затем обменяли на ETH и перевели дальше, суммарный объём наблюдаемых операций может превышать 20 млн долларов. Из этого не следует, что похищено 20 млн: исходный капитал был один. Точно так же оценка стоимости ETH может изменяться вместе с курсом, даже когда количество монет на адресе остаётся прежним.

Bitquery сообщила о 108,8 млн долларов в собственном анализе переводов и о значительной сумме, остававшейся на адресах Ethereum в определённый момент 2 ноября. Эти цифры представляют снимок выбранного времени и методики, а не показатель того, что любую названную сумму уже возвратили, заморозили или окончательно потеряли. На 3 ноября для осторожной публикации корректнее говорить о предполагаемой краже более 106 млн и отдельно атрибутировать более высокую оценку аналитикам.

Что делать, если деньги ушли в обменник или на чужую биржу

Сразу после установления принимающей площадки направьте официальное обращение в её подразделение безопасности или поддержки. В обращении полезны хеш, точное время, исходный и конечный адреса, сумма, сеть и номер заявления о несанкционированной операции. Если у вас есть официальный номер обращения в полицию, укажите его. Не выдумывайте статус расследования, которого ещё нет.

Сервис может запросить подтверждение владения исходным счётом и предоставить инструкции по дальнейшему взаимодействию с компетентными органами. Не отправляйте секретные фразы, закрытые ключи, одноразовые коды или пароль от биржи - ни «службе возврата», ни человеку, который первым написал вам после публичной жалобы.

Иногда мошенники связываются с потерпевшими под видом специалистов, способных «заморозить транзакцию за комиссию». Такой платёж почти всегда создаёт дополнительную потерю. Подтверждённый перевод Bitcoin или ETH не становится отменяемым после оплаты частной услуге. С USDT и USDC также нет универсальной кнопки возврата: порядок действий зависит от эмитента, сети, судебных и иных законных процедур.

Если проблема состоит не в краже, а в блокировке конкретного токена, используйте нашу инструкцию как проверить блокировку USDT и список ограниченных адресов. Она помогает отличить ограничения токена от отсутствия средств на адресе.

Можно ли вернуть похищенные USDT, USDC или ETH

Теоретическая возможность зависит от того, на каком этапе находится перевод. Пока деньги остаются в централизованной системе, внутренний контроль биржи или последующего получателя иногда позволяет сохранить активы до выяснения обстоятельств. Для отдельных долларовых токенов возможна адресная заморозка на уровне контракта, но это зависит от полномочий эмитента и применимых процедур. При переводе в ETH такого централизованного механизма у самой монеты нет.

Даже когда часть средств удалось заблокировать, разблокировка в пользу потерпевшего не происходит автоматически. Необходимо установить право на активы и оформить решения, которые примет соответствующий сервис или орган. Перевод через несколько сетей увеличивает число организаций и технических записей, с которыми придётся работать.

При крупных потерях разумно сохранить первичные данные до самостоятельных попыток что-либо менять: список используемых устройств, перечень сотрудников с доступом, состояние учётных записей, письма с подтверждениями, историю разрешённых адресов и журналы приложений. Эксперт сможет отличить утечку пароля от компрометации ключа, ошибочной настройки или другого сценария - но только если доказательства не уничтожены.

Что неизвестно в расследовании европейской организации

Первое - личность пострадавшего. Формулировка «организация из Евросоюза» не позволяет назвать конкретную биржу, инвестиционный фонд или компанию. Публикации, которые уверенно называют владельца без подтверждений, рискуют вводить читателя в заблуждение.

Второе - способ атаки. Нет публичного подтверждения, что причиной стала фишинговая ссылка, заражённый компьютер, недобросовестный сотрудник, утечка программных ключей или уязвимость инфраструктуры биржи. Все эти механизмы возможны в принципе, но конкретно к этому делу пока не привязаны достоверными доказательствами.

Третье - роль различных площадок. Упоминание биржи как источника или получателя криптовалют не равно обвинению в нарушении её защиты. Компания Bitquery приводит собственные привязки денежных потоков к сервисам и площадкам; независимая проверка корпоративной стороны инцидента при этом отсутствует.

Четвёртое - окончательная сумма. Разница между предполагаемыми 106 млн и аналитическими 108,8 млн не означает, что существует два отдельных эпизода. Для окончательного расчёта нужны точное множество адресов, время, учёт обменов и подтверждённый перечень операций без разрешения владельца.

Пятое - предполагаемый злоумышленник. ZachXBT заявил, что по характеру движения средств с высокой уверенностью не связывает эпизод с Lazarus Group. Это оценка исследователя, а не установленная личность другого преступника. Официально обвинять кого-либо на основании такого сообщения нельзя.

Три вопроса, которые теперь стоит задать своей криптобирже

Можно ли запретить вывод на новые адреса без независимого подтверждения? Если платформа позволяет сразу добавить любой адрес и немедленно отправить крупную сумму, одного пароля и входа по коду недостаточно для устойчивой защиты. Изучите задержки, подтверждение смены настроек и способы уведомления владельца.

Можно ли отделить торговые права от права вывода? Роботу для сбора котировок не нужны ключи, разрешающие перемещать деньги. Сотруднику, который оформляет отчёты, также не обязательно иметь полномочие на перевод всего баланса. Уточните доступные роли и проверьте действующие разрешения.

Есть ли способ экстренно остановить выводы и получить журнал операций? Это нужно выяснять до возникновения проблемы. Контакты официальной поддержки, порядок заморозки учётной записи и механизм выгрузки истории должны быть известны заранее, а не разыскиваться ночью после уведомления о пропаже средств.

Главный урок этой истории

Исследование предполагаемой кражи более 106 млн долларов показывает, насколько быстро деньги могут сменить форму после первоначального вывода. USDC и USDT становятся ETH, затем проходят через промежуточные сервисы и другие блокчейны, а часть средств может попасть в систему с ограниченной публичной наблюдаемостью. Это затрудняет расследование, но не заменяет доказательств самой кражи или личности её участников.

Для владельца криптовалюты вывод практичнее: защита биржевого счёта, кошелька получателя, электронной почты и разрешений на вывод должна рассматриваться как одна система. Проверка только баланса не обнаруживает опасную настройку. Проверка только публичного перевода не показывает, кто получил доступ к учётной записи. Нужны оба уровня контроля - и быстрый способ обратиться к площадке при первых признаках чужой операции.

Редакционная справка: материал подготовлен 3 ноября 2026 года на основе сообщения исследователя ZachXBT от 2 ноября, публикаций CoinDesk и Unchained, а также отдельного анализа блокчейна Bitquery, датированного 2 ноября. Сообщения о потерях и принадлежности адресов имеют предварительный характер; независимого подтверждения пострадавшей стороной на момент проверки нет.

Автор

Barbados