Theft & hacksКража и взлом
Crypto stolen: what to do in the first 48 hours
A blockchain transfer cannot be reversed. But stolen funds rarely stay where they first land: thieves move them towards an exchange or a service where they can be cashed out — and those are the places where funds can sometimes be frozen. What you do in the first two days decides whether anyone gets a chance to try.
Hour 0–2: stop the bleeding
First make sure nothing else can be taken. Work from a device you trust — if you suspect malware on your computer, use another one.
- Wallet compromised (seed phrase leaked, drained wallet): treat the whole seed phrase as burned. Create a new wallet with a new seed phrase on a clean device and move any remaining assets there. Do not import the old phrase anywhere.
- Malicious approval (you signed a transaction on a fake site): revoke token approvals for the affected wallet using a reputable approval-checking tool or your wallet’s own feature, then move what is left.
- Exchange account hacked: change the password and email password, reset two-factor authentication, revoke API keys and log out all sessions. Contact exchange support through the official app and ask them to lock withdrawals.
- SIM swap: call your mobile operator immediately to regain the number, then change every account that used SMS codes.
Your seed phrase and private keys are never needed to investigate a theft. Anyone who asks for them — including someone claiming to be from an exchange, the police or a law firm — is trying to steal what you have left.
Hour 2–6: save the evidence
Everything that follows — exchange requests, police reports, a tracing report, a court order — is built from this file. Write it down while you remember.
- Transaction hashes (TXIDs) of every outgoing transfer, with the network (Ethereum, TRON, BNB Chain, Bitcoin…).
- Your wallet addresses and the addresses the funds went to.
- Exact amounts, tokens and times (with time zone).
- How it happened: the website URL, app name, the person’s usernames and phone numbers, links to the profiles.
- Screenshots and exports of chats — Telegram, WhatsApp, email. Export full chats, not just screenshots, if the app allows it. Scammers delete conversations.
- Bank or card payments if you bought crypto to send: statements and receipts.
Keep one simple timeline document: date, time, what happened, the TXID. It saves hours for everyone you contact later.
Hour 6–24: alert exchanges and issuers
Open a block explorer for the network (for example Etherscan or Tronscan) and follow the transfers from your wallet. Explorers often label addresses that belong to known exchanges. If the funds have reached, or are moving towards, an exchange deposit address, write to that exchange’s compliance or security team the same day.
- Use the exchange’s official support or law-enforcement/compliance contact listed on its website.
- Give the TXIDs, the deposit address, amounts and a two-paragraph description of the theft.
- Say that you are filing a police report and will send the case number.
Be realistic: exchanges usually freeze funds on the basis of a request from law enforcement or a court, not a private email. But an early alert can lead to the account being flagged for review, and it means the exchange already has your file when the police request arrives.
For stablecoins such as USDT and USDC, the issuer can technically freeze tokens at a specific address. Issuers generally act on law-enforcement requests, so again the police report is the key.
Hour 12–48: report to the police
A case number is what turns your story into something exchanges and issuers can act on. Report where you live, even if the thief is abroad.
- United States: the FBI’s Internet Crime Complaint Center, IC3 (ic3.gov), plus your local police.
- United Kingdom: Action Fraud (or the current national fraud reporting service) for England, Wales and Northern Ireland; Police Scotland in Scotland.
- UAE: Dubai Police accepts cybercrime reports through its eCrime platform; other emirates have their own channels.
- EU and elsewhere: your national police, ideally the cybercrime unit.
- Russia and CIS: a written report to the police, keeping the registration slip.
Attach your timeline and TXIDs. Ask for the report or reference number in writing. Many police forces will not trace crypto themselves; that is normal, and it is not a reason to skip the report.
Tracing and freeze requests
Thieves split funds, swap tokens, use cross-chain bridges and sometimes mixers. Professional tracing follows the trail through these steps until it reaches a service that knows its customers — usually a centralised exchange, an OTC desk or a payment provider. The result is a tracing report: a document that shows, transaction by transaction, where the funds went.
With a tracing report and a police reference, it becomes possible to:
- send formal freeze or preservation requests to the exchanges holding the funds;
- support the police in sending official requests;
- apply to a court for an asset-freezing order or a disclosure order requiring an exchange to reveal who owns the receiving account.
Honest expectations: if the funds went straight through a mixer or sit in a private wallet nobody can identify, the chances are low. If they reached a regulated exchange quickly, there is often something to work with. Nobody can promise a result in advance.
What not to do
- Do not pay anyone who contacts you offering to recover the funds. Victims are often contacted within days by “recovery agents”, “hackers” or fake lawyers. Read how to spot a crypto recovery scam.
- Do not pay a “withdrawal fee” or “tax” to a fake trading platform to release your balance. It is the same scam, second round.
- Do not message the thief threats. It only speeds up the movement of funds.
- Do not post your full story with addresses publicly before reporting. It attracts more scammers.
If an exchange froze your own account rather than the thief’s, see exchange account frozen: what to do.
Checklist
- Move remaining assets to a new wallet; revoke approvals; reset passwords and 2FA
- List every TXID, address, amount, network and time
- Export full chats and save the scam website URLs
- Alert compliance at the exchanges receiving the funds
- File a police report (IC3, Action Fraud, local police) and get a reference number
- Get a tracing report if the amount justifies it
- Ignore anyone who contacts you offering recovery
Украли криптовалюту: что делать в первые 48 часов
Перевод в блокчейне отменить нельзя. Но украденные средства редко остаются там, куда пришли сначала: воры ведут их к бирже или сервису, где можно обналичить, — а именно там средства иногда удаётся заморозить. От того, что вы сделаете в первые двое суток, зависит, будет ли у кого-то шанс попробовать.
Часы 0–2: остановить потери
Сначала убедитесь, что больше ничего не уведут. Работайте с устройства, которому доверяете: если подозреваете вирус на компьютере, возьмите другой.
- Кошелёк скомпрометирован (утекла сид-фраза, кошелёк опустошён): считайте сид-фразу сгоревшей целиком. Создайте новый кошелёк с новой сид-фразой на чистом устройстве и переведите туда всё, что осталось. Старую фразу никуда не вводите.
- Вредоносное разрешение (вы подписали транзакцию на поддельном сайте): отзовите разрешения на токены для этого кошелька проверенным сервисом или встроенной функцией кошелька, затем переведите остаток.
- Взломан аккаунт на бирже: смените пароль от аккаунта и от почты, перевыпустите двухфакторную защиту, удалите API-ключи и завершите все сеансы. Напишите в поддержку через официальное приложение и попросите заблокировать вывод.
- Перевыпуск SIM-карты (SIM-swap): сразу звоните оператору, чтобы вернуть номер, затем смените доступы везде, где были SMS-коды.
Для расследования кражи сид-фраза и приватные ключи не нужны никогда. Кто их просит — в том числе якобы от имени биржи, полиции или юрфирмы, — пытается украсть то, что у вас осталось.
Часы 2–6: сохранить доказательства
Всё дальнейшее — запросы биржам, заявление в полицию, отчёт об отслеживании, судебное решение — строится на этом досье. Запишите, пока помните.
- Хеши транзакций (TXID) каждого исходящего перевода и сеть (Ethereum, TRON, BNB Chain, Bitcoin…).
- Адреса ваших кошельков и адреса, куда ушли средства.
- Точные суммы, токены и время (с часовым поясом).
- Как это произошло: адрес сайта, название приложения, ники и телефоны людей, ссылки на профили.
- Скриншоты и выгрузки переписки — Telegram, WhatsApp, почта. Если приложение позволяет, выгрузите чат целиком, а не только скриншоты. Мошенники удаляют переписку.
- Банковские и карточные платежи, если вы покупали криптовалюту, чтобы отправить: выписки и чеки.
Ведите один простой документ-хронологию: дата, время, что случилось, TXID. Он сэкономит часы всем, к кому вы обратитесь потом.
Часы 6–24: предупредить биржи и эмитентов
Откройте обозреватель блоков нужной сети (например, Etherscan или Tronscan) и пройдите по переводам от вашего кошелька. Обозреватели часто подписывают адреса известных бирж. Если средства дошли или идут к депозитному адресу биржи, напишите в отдел комплаенса или безопасности этой биржи в тот же день.
- Используйте официальную поддержку или контакт для правоохранительных органов и комплаенса, указанный на сайте биржи.
- Укажите TXID, депозитный адрес, суммы и опишите кражу в двух абзацах.
- Сообщите, что подаёте заявление в полицию и пришлёте номер.
Будьте реалистами: биржи обычно замораживают средства по запросу правоохранительных органов или суда, а не по частному письму. Но раннее предупреждение может привести к тому, что аккаунт получателя пометят для проверки, а когда придёт запрос полиции, ваше досье у биржи уже будет.
У стейблкоинов вроде USDT и USDC эмитент технически может заморозить токены на конкретном адресе. Обычно эмитенты действуют по запросу органов, поэтому и здесь главное — заявление в полицию.
Часы 12–48: заявление в полицию
Номер дела превращает ваш рассказ в то, на что биржи и эмитенты могут опереться. Подавайте заявление по месту жительства, даже если вор за границей.
- США: Центр жалоб на интернет-преступления ФБР — IC3 (ic3.gov), а также местная полиция.
- Великобритания: Action Fraud (или действующая национальная служба приёма сообщений о мошенничестве) для Англии, Уэльса и Северной Ирландии; в Шотландии — Police Scotland.
- ОАЭ: полиция Дубая принимает заявления о киберпреступлениях через платформу eCrime; в других эмиратах свои каналы.
- ЕС и другие страны: национальная полиция, лучше — отдел по киберпреступлениям.
- Россия и СНГ: письменное заявление в полицию, обязательно сохраните талон-уведомление о регистрации.
Приложите хронологию и TXID. Попросите номер заявления письменно. Многие полиции сами криптовалюту не отслеживают — это нормально и не повод не подавать заявление.
Отслеживание и запросы на заморозку
Воры дробят средства, меняют токены, переводят через кросс-чейн мосты, иногда через миксеры. Профессиональное отслеживание проходит по следу через все эти шаги до сервиса, который знает своих клиентов, — обычно централизованной биржи, OTC-площадки или платёжного провайдера. Результат — отчёт об отслеживании: документ, где транзакция за транзакцией показано, куда ушли средства.
С отчётом и номером заявления в полицию можно:
- направить официальные запросы о заморозке и сохранении данных биржам, где лежат средства;
- помочь полиции направить официальные запросы;
- обратиться в суд за обеспечительной мерой (арестом активов) или за истребованием у биржи данных о владельце аккаунта-получателя.
Честно об ожиданиях: если средства сразу ушли через миксер или лежат на частном кошельке, владельца которого не установить, шансы малы. Если они быстро дошли до регулируемой биржи, работать обычно есть с чем. Заранее результат не может пообещать никто.
Чего не делать
- Не платите никому, кто сам вышел на вас с предложением вернуть деньги. Пострадавшим часто уже через несколько дней пишут «агенты по возврату», «хакеры» и фальшивые юристы. Прочитайте, как распознать мошенников по «возврату».
- Не платите «комиссию за вывод» или «налог» поддельной торговой платформе, чтобы получить свой баланс. Это та же афера, второй круг.
- Не пишите вору угрозы. Это только ускорит перевод средств дальше.
- Не публикуйте историю с адресами в открытом доступе до заявления. Это привлекает новых мошенников.
Если биржа заблокировала ваш собственный аккаунт, а не аккаунт вора, смотрите «Аккаунт на бирже заблокирован: что делать».
Чек-лист
- Остаток — на новый кошелёк; отозвать разрешения; сменить пароли и 2FA
- Записать каждый TXID, адрес, сумму, сеть и время
- Выгрузить переписку целиком, сохранить адреса мошеннических сайтов
- Предупредить комплаенс бирж, куда пришли средства
- Подать заявление в полицию (IC3, Action Fraud, местная полиция) и получить номер
- Заказать отчёт об отслеживании, если сумма того стоит
- Игнорировать всех, кто сам предлагает «вернуть деньги»