Взлом биржи: куда уходят украденные криптовалюты и как не получить «грязные» деньги

01Что произошло и что пока неясно

В конце октября 2026 года Binance сообщила о рекордном взломе. По оценкам СМИ, потери составляют примерно $6,3–6,4 млрд. Биржа заявила, что выделила $6,34 млрд собственных средств на покрытие потерь и что средства клиентов не затронуты; около $3 млрд, по сообщениям, заморожено вместе с партнёрами. Ряд изданий со ссылкой на аналитические компании и Reuters связывает атаку с той же группой, что стоит за взломом Bybit, и называет её связанной с Северной Кореей.

Эти цифры и версия о том, кто стоит за взломом, взяты из новостных сообщений и заявлений компании и могут измениться по ходу расследования. Мы используем их только как фон: ничто ниже от того, кто это сделал, не зависит.

Не меняется то, что происходит дальше. Тот же сценарий повторяется после каждой крупной кражи, от взлома Bybit до следующего, и именно он важен каждому, кто работает с криптой.

02Как обычно движутся украденные средства

Воры не держат украденное: до вывода в деньги они стараются сделать след длинным и запутанным. Типичные этапы простыми словами:

Дробление

Средства раскладываются по множеству новых адресов, чтобы ни один перевод не выглядел крупным.

Обмен

Монеты, которые можно заморозить (например, стейблкоины), меняют на те, которые заморозить сложнее.

Мосты

Средства переходят между блокчейнами, и след приходится отслеживать сразу в нескольких сетях.

Миксеры

Сервисы, смешивающие средства многих пользователей, так что происхождение конкретной монеты трудно определить.

Вывод в деньги

Последний шаг: OTC-столы, P2P-сделки и биржи со слабым контролем. Именно здесь в схему могут втянуть честных людей.

03Почему страдают честные пользователи

За украденными средствами идёт погоня. Биржи и эмитенты замораживают то, что находят: Tether может внести адрес в чёрный список в блокчейне, а площадки удерживают депозиты, которые похожи на связанные с кражей. В этом случае, по сообщениям, заморожено около $3 млрд. Проблема в том, что заморозка накладывается на адрес, а не на человека. Если вы получили «грязные» монеты, ваш адрес могут заморозить, депозит удержать, а аккаунт проверить, хотя вы просто купили крипту.

Замороженный адрес

USDT или токены на нём не двигаются. Как понять, что именно заморозило средства и кто может это исправить, — в статье заморозили USDT: почему Tether блокирует адреса и что делать.

Удержанный депозит

Комплаенс площадки спрашивает, откуда деньги. План действий — в статье не прошёл AML-проверку: что делать дальше.

Плохая P2P-сделка

Продавцы, которые предлагают средства сильно ниже рынка или в спешке, нередко сбрасывают то, что не могут обналичить сами.

04Как AML-проверка показывает связь со взломом

AML-проверка читает то, что провайдер данных уже знает об адресе и средствах вокруг него. Здесь важны три части результата:

Категория «незаконная активность»

Включает кражи и взломы, скам и мошенничество, даркнет-сервисы и адреса из чёрного списка Tether. Отметка здесь — первое, на что нужно смотреть. Категории объяснены в статье что такое AML-проверка кошелька.

«Связан с известным взломом»

Если провайдер отнёс адрес к конкретному взлому, полный отчёт называет его. Бесплатная первая проверка показывает оценку и уровень, а разбивка по категориям и эта метка открываются платной проверкой.

Прямая или косвенная связь и как далеко

Прямая связь — серьёзное предупреждение. Косвенная через несколько переводов при небольшой доле — обычно фоновый шум; см. прямая и косвенная экспозиция и почему у кошелька высокий риск, хотя владелец ничего не делал.

05Перед получением средств: короткий порядок действий

1. 01Попросите адрес отправителя до сделки, а не после поступления денег.
2. 02Сделайте по нему AML-проверку — шаги в статье как сделать AML-проверку кошелька. Для стейблкоинов — AML-проверка USDT.
3. 03Читайте категории и метку «связан с известным взломом», а не только score.
4. 04Смотрите, насколько прямая связь, через сколько переводов она возникает и какую долю средств охватывает.
5. 05Остерегайтесь привычных признаков: цена сильно ниже рынка, спешка, странный посредник, просьба переслать деньги дальше.
6. 06При крупной сумме проверьте заново прямо перед переводом: метки обновляются по мере работы следователей.
7. 07Сохраните отчёт и переписку по сделке. Это ваша запись о должной осмотрительности.

Тот же порядок для крупных переводов USDT, с тем, что обычно спрашивают биржи, — в статье как безопасно перевести крупную сумму USDT.

06Если вы уже получили «грязные» средства

Остановитесь и не пересылайте средства дальше

Перевод через новые адреса может выглядеть как отмывание и превращает неудачливого покупателя в подозреваемого.

Сохраните доказательства

Переписку, условия сделки, хэши транзакций и AML-отчёт по адресу отправителя.

Проверьте, что можете

Сделайте проверку отправителя и адреса, где сейчас лежат средства, чтобы знать, что увидит площадка.

Используйте правильный канал

Если средства удерживает площадка, отвечайте на её вопросы через официальную поддержку. Какие документы подготовить, — в разделе что собрать в пакет по источнику средств.

При крупной сумме обратитесь к юристу

Юрист, знающий крипту в вашей юрисдикции, подскажет, о чём и кому сообщать. Эта статья — общая информация.

07Чего AML-проверка не умеет

• Она не находит все украденные монеты. Она показывает то, что провайдер уже отнёс к чему-то; средства без метки пока выглядят чистыми.
• Это не доказательство вины. Связь со взломом означает, что средства прошли рядом, но ничего не говорит о намерениях владельца.
• Она не прослеживает за вас конкретный взлом. Мы показываем результат провайдера как есть и никогда не выдаём отсутствие данных за «чисто».
• Чистый результат — снимок, а не гарантия. Новые переводы и новые метки могут его изменить.

Проверка стоит гораздо меньше замороженного баланса — см. сколько стоит AML-проверка. Как формируется оценка — на странице методологии.

Эта статья — общая информация, а не юридическая консультация, а факты о взломе взяты из новостных сообщений и заявлений компании и могут измениться. AML Check Hub проверяет адреса по доступным данным сторонних блокчейн-провайдеров и показывает результат как есть: высокий риск — серьёзный предупреждающий сигнал, а не окончательное юридическое заключение, а чистый результат — информация, а не гарантия.