Первое полугодие 2026-го закрылось с тяжёлой статистикой по крипто-кражам. За сухими суммами прячется практичный вывод: деньги, украденные у бирж и протоколов, не исчезают — они прокачиваются через цепочку адресов и в конце концов касаются розницы. Того, кто просто продал USDT по P2P. Разберём масштаб, векторы и маршрут отмывания — и что из этого реально касается вас.
01Масштаб: сколько украли и кто лидер
H1 2026 подтвердил тренд последних лет: основной объём краж делают не одиночки-мошенники, а организованные группировки государственного уровня. По данным аналитиков TRM Labs, группировки, связанные с КНДР (в первую очередь Lazarus Group), ответственны примерно за две трети всех крипто-краж первого полугодия — порядка $643 млн. Это единственная точная цифра, на которую здесь стоит опираться.
Остальные суммы по отдельным инцидентам сильно расходятся от отчёта к отчёту, поэтому дальше — только качественные оценки и прикидки долей, честно помеченные как оценка. Общий смысл важнее точности до доллара: деньги концентрируются у немногих профессиональных акторов, и это меняет то, как отмываются украденные средства.
источник: TRM Labs
02Как крадут: топ-векторы
Взломы редко бывают «магией». В основе почти всегда — один из четырёх механизмов. Первый по объёму ущерба уже несколько лет один и тот же: получение доступа к приватным ключам и сид-фразам — через социальную инженерию, вредонос или поддельные приложения. Дальше идут фишинг, ошибки в коде контрактов и заражение цепочки поставок.
| Вектор | Как крадут | Как защититься |
|---|---|---|
| Компрометация ключей / сид-фраз вектор №1 | Соц-инженерия («сотрудник поддержки», «HR с тестовым заданием»), вредонос-стилер, поддельные кошельки и приложения выманивают или крадут сид-фразу и приватный ключ | Аппаратный кошелёк; сид только офлайн, никогда не вводить на сайте; не ставить «кошельки» по ссылкам; отдельное устройство под крипту |
| Фишинг и поддельные интерфейсы | Клон сайта биржи/DEX или всплывающее «подключите кошелёк» подсовывает вредоносную транзакцию или подпись approve/permit, дающую право списать токены | Проверять домен вручную; читать, что именно подписываешь; не подписывать approve/permit вслепую; отзывать старые разрешения |
| Эксплойты смарт-контрактов | Ошибка в коде протокола (reentrancy, кривая проверка доступа, price-oracle) позволяет вывести средства из пула или моста | Розница: держать крупное не в свежих неаудированных протоколах; следить за дисклозами; не гнаться за аномальным APY |
| Supply-chain | Заражённая npm-библиотека, вредоносное расширение браузера или обновление подменяют адрес получателя или крадут ключи прямо в приложении | Минимум расширений; не обновлять софт из непроверенных источников; для крупных сумм — «чистое» устройство |
03Куда уходят деньги: путь отмывания
Украсть — половина дела. Дальше средства надо «отмыть»: разорвать связь между кражей и точкой вывода в фиат. У профессиональных групп маршрут почти стандартный, и понимать его полезно — потому что именно на последнем шаге грязь встречается с розницей.
- Дрейнер-кошелёк. Украденное со многих жертв сводят в один-два адреса — их метят первыми, как только связь становится видна.
- Микшер. Средства прогоняют через Tornado и аналоги, чтобы разорвать связь вход↔выход. На выходе — формально «новые» деньги, но с высокой экспозицией к микшеру.
- Мост. Перескок в другую сеть путает трекеры и удлиняет цепочку. Аналитике приходится сшивать маршрут через несколько блокчейнов.
- Биржа / OTC. Финальный вывод дроблением на множество адресов и депозитов, часто через P2P и внебиржевые сделки — и вот тут в цепочку попадают случайные люди.
Почему «грязь» долетает до розницы? Потому что на последнем шаге отмыватели специально перемешивают потоки с обычным трафиком: платят кому-то за товар, гоняют через P2P, оставляют «сдачу». Вы можете получить входящий перевод, у которого в паре хопов позади — микшер, и вообще этого не заметить.
04Почему это касается тебя
Ключевая ошибка мышления: «я ничего не нарушал, значит меня это не трогает». Трогает. В on-chain-мире вы отвечаете не только за свои действия, но и за происхождение монет, которые к вам пришли.
- Продали USDT по P2P — а плательщик рассчитался средствами с экспозицией к дрейнеру. Теперь эта экспозиция «на вас».
- Получили случайный входящий или airdrop с грязного кластера — вы его не просили, но он в вашей истории.
- Биржи и эмитенты стейблкоинов замораживают счета даже за старые и косвенные связи — по автоматическим правилам, не разбираясь, что вы «не виноваты».
05Что реально помогает
Полностью убрать риск нельзя, но резко снизить — можно, и бесплатно. Три привычки закрывают большинство бытовых сценариев:
06Честные границы
Чтобы не продавать иллюзий — где предел любого инструмента, включая наш:
- Свежий адрес не пометит ни один инструмент. Метки ретроактивны: атрибуция появляется только после того, как адрес «наследит». Кошелёк, созданный час назад, чист по всем базам — это не значит, что он безопасен.
- «Проверки на 100%» не существует. Любой, кто это обещает, продаёт воздух. Проверка — это снижение риска на основе того, что уже видно в цепочке, а не гарантия.
- Дальняя экспозиция — это шум. На дистанции в 4–5 хопов почти любой адрес к чему-то «прикасается». Смотреть надо на прямые связи (1–2 хопа) и явные метки, а не на глубокий taint.
Правильная рамка простая: проверка сдвигает вероятности в вашу пользу и отсекает очевидно грязных контрагентов. Итоговое решение — всегда за вами.
Проверь адрес за 10 секунд
Санкции OFAC, метки дрейнеров, экспозиция к микшерам — бесплатно, без привязки кошелька.
Открыть @amlconsensus_botAMLConsensus — инструмент снижения риска, а не гарантия. Свежесозданный адрес без истории не пометит ни один AML-инструмент; итоговое решение всегда за вами. Суммарная оценка ущерба (~$643 млн, около двух третей краж H1 2026) приводится по публикации TRM Labs; доли по векторам в инфографике — иллюстративные оценки порядка величин, а не точная статистика. Названия сервисов и компаний (Chainalysis, TRM Labs, Elliptic, MistTrack, Tornado Cash) — товарные знаки их владельцев; AMLConsensus не аффилирован с ними и упоминает их исключительно для сравнения и пояснения.