Дело в пяти фактах: что удалось установить

  • Клиент из Молдовы потерял около $32 000 после переводов на платформу, которая имитировала инвестиционную деятельность.
  • В истории кабинета были выполнены 4 из 4 депозитов, но отклонены 11 из 11 заявок на вывод — от суммы менее $100 до $30 000.
  • Интерфейс показывал баланс около $58 064, тогда как на связанном блокчейн-адресе оставалось примерно $51.
  • Анализ транзакций позволил проследить около 26 538 USDT — примерно 83% заявленного ущерба — до адресов, атрибутированных в материалах как инфраструктура централизованных криптобирж.
  • В единую систему были сведены десятки переписок, видео, писем, логов и транзакций; для 67 исходных файлов подготовлен манифест цифровых отпечатков SHA-256.

Это серьёзный результат, но не финал дела. Проследить перевод — не значит автоматически вернуть деньги. Установить общий IP — не значит установить человека. Найти адрес биржи — не значит получить имя владельца без законного запроса. Сила проделанной работы в другом: у расследования появились конкретные адреса, суммы, временные отметки и вопросы, которые можно проверять официально.

Схема началась не с инвестиций, а с доверия

Первое сообщение не содержало предложения купить криптовалюту. Знакомство началось в анонимном чате как обычное личное общение. Финансовая тема появилась позже — после того, как контакт перестал восприниматься как случайный.

Затем клиента последовательно передавали от одного персонажа к другому. У каждого была своя роль и легенда: первичный контакт создавал доверие, «финансовый эксперт» объяснял возможность заработка, следующий собеседник сопровождал регистрацию, а «трейдер» давал указания по переводам. Такая цепочка создавала иллюзию целой организации: разные люди как будто независимо подтверждали надёжность платформы.

Первые платежи были небольшими. Они показывали, что перевод технически проходит, кабинет работает, а на экране появляется результат. Затем суммы увеличивались. Интерфейс демонстрировал растущий баланс и «прибыль», хотя клиент не контролировал активы, которые якобы находились на его счёте.

Когда он попытался вывести деньги, правила внезапно изменились. Появились требования внести дополнительную сумму, погасить выдуманную «финансовую помощь», разблокировать некий смарт-контракт или выполнить ещё одно условие. Даже небольшие заявки на вывод отклонялись. После отказа продолжать платежи убеждение сменилось давлением и угрозами юридических последствий.

Общий ущерб достиг примерно $32 000. Часть денег была заёмной и кредитной, поэтому прекращение контакта с платформой не прекратило последствия: у клиента остался не только потерянный капитал, но и обязательства перед другими людьми и банком.

Эта история важна для Молдовы не как редкое исключение. Национальная полиция относит фиктивные инвестиции, в том числе с использованием криптовалют, к распространённым видам онлайн-мошенничества. Механика строится не на одном грубом обмане, а на постепенном вовлечении, имитации профессиональной среды и постоянном переносе момента, когда деньги якобы станут доступны.

Первая развилка расследования: экран показывал $58 064, блокчейн — около $51

Дело могло остаться типичной историей: клиент перевёл деньги, увидел цифры в кабинете, но не смог ничего вывести. Для правоохранительных органов такой рассказ важен, однако сам по себе он ещё не объясняет устройство схемы и движение активов.

Клиент имел технический опыт и сохранил часть первичных материалов: переписки, экспортированные сообщения, записи экрана, электронные письма и данные транзакций. Команда Colenco Legal помогла выстроить из них единую хронологию, отделить подтверждённые факты от предположений и определить юридическое значение каждой находки.

Самым наглядным эпизодом стала непрерывная видеозапись. В личном кабинете отображался баланс около $58 064. Затем запись переходила к открытому блокчейн-обозревателю, где на связанном с платформой адресе оставалось примерно $51. Адрес был не случайным: он совпадал с адресом в транзакционных материалах и документах клиента.

Вторая запись показывала историю операций. Все четыре депозита получили статус COMPLETED. Все одиннадцать заявок на вывод — независимо от даты и суммы — получили статус DECLINED. Кабинет без задержки принимал деньги, рисовал рост, но не позволял вывести даже небольшую часть отображаемого баланса.

Один скриншот можно вырвать из контекста. Один адрес не обязательно отражает всю финансовую инфраструктуру сервиса: теоретически оператор может использовать несколько кошельков. Поэтому мы не строили вывод на одной эффектной цифре. Значение возникло из совокупности: непрерывного видео, совпадающего адреса, истории операций, писем об отказе и движения реальных токенов в блокчейне.

Так появилось сильное подтверждение того, что интерфейс не отражал реальное положение средств. Но этого всё равно было недостаточно. Следующий вопрос был сложнее: если деньги не находились там, где их показывал кабинет, куда они ушли на самом деле?

Как мы проследили 83%: от кошелька клиента до точек для официальных запросов

Блокчейн хранит публичную историю операций, но не подписывает каждую транзакцию паспортным именем. Поэтому задача состояла не в том, чтобы посмотреть один перевод, а в том, чтобы сопоставить несколько массивов данных: заявление клиента, суммы и даты депозитов, транзакционные хеши, адрес платформы и дальнейшее движение токенов.

Сначала команда свела переводы из разных материалов. Это позволило найти три небольшие операции, которые ранее не попали в общую диаграмму. Такие суммы не меняли общий размер ущерба радикально, но объясняли логику вовлечения: тестовые платежи предшествовали крупным переводам и укрепляли доверие к системе.

Затем был восстановлен дальнейший маршрут примерно 26 538 USDT. Это около 83% от $32 000, указанных в материалах дела. Средства дошли до адресов, атрибутированных в исследованных материалах как депозитная инфраструктура крупных централизованных бирж.

Именно здесь проходит граница между публичной аналитикой и официальным расследованием. В блокчейне можно увидеть адрес, сумму, токен, время и дальнейшее движение. Но связь депозитного адреса с конкретной учётной записью хранится внутри биржи. Если платформа проводит идентификацию клиентов, у неё могут находиться регистрационные данные, история входов и операций, сведения о выводе и другие записи. Получение таких данных требует законной процедуры и зависит от юрисдикции, политики площадки и действий компетентных органов.

Поэтому цифра 83% не означает, что деньги уже найдены на доступном для взыскания счёте. Она означает нечто более точное: вместо безадресной фразы «криптовалюта исчезла» появились конкретные адреса, транзакции, суммы и временные отметки, которые можно включить в официальные запросы.

Это меняет качество дела. Запрос «помогите найти деньги» трудно исполнить. Запрос, привязанный к определённому адресу, транзакционному хешу, сумме и точному времени, даёт зарубежной бирже или провайдеру возможность проверить собственные записи. Возврат по-прежнему не гарантирован: активы могли быть выведены дальше, конвертированы или распределены. Но расследование получает проверяемую точку продолжения.

Деньги уже переведены? Сохраните цифровой след

Команда Colenco Legal поможет оценить переводы, переписки и технические материалы, определить срочные действия и подготовить правовую стратегию без обещаний гарантированного возврата.

Написать в Telegram

Один IP, 86 счетов и 67 цифровых файлов: как совпадения стали системой

Финансовый след был только одной линией расследования. В переписках участвовали несколько персонажей, которые представлялись независимыми друг от друга. После обнаружения обмана клиент организовал пассивную техническую фиксацию переходов по отправленной им ссылке. Система сохраняла публичный IP, параметры устройства и время перехода без получения доступа к чужим аккаунтам.

Два ключевых персонажа несколько раз открыли ссылку через один публичный IP, но с разных мобильных устройств. Это существенное совпадение: оно указывает как минимум на общую сетевую точку или инфраструктуру. Однако оно не позволяет честно написать, что обоими аккаунтами управлял один человек. Возможны общий офис, одна группа, один VPN- или прокси-сервис либо другие объяснения. Чтобы установить абонента и характер подключения, нужен официальный запрос провайдеру за конкретные временные интервалы.

Другая находка появилась при анализе обычной пользовательской сессии на платформе. Один из серверных ответов содержал данные о 86 счетах, относящихся к 79 уникальным пользователям. Внутри набора обнаружились технические совпадения с ещё одной онлайн-платформой, которая ранее рассматривалась лишь как возможная часть той же инфраструктуры.

Мы не публикуем названия, имена, email или другие сведения из этого массива. Наличие учётной записи не доказывает, что её владелец был потерпевшим или участником схемы. Но агрегированные данные помогли сформулировать новую проверяемую гипотезу и показать, что история клиента могла не быть изолированным эпизодом.

Затем требовалось сохранить не только выводы, но и исходную доказательственную основу. Для 67 файлов — скриншотов, видео, писем, документов, логов и диаграмм — был составлен манифест SHA-256. Такой хеш работает как цифровой отпечаток: если после фиксации изменить хотя бы один элемент файла, контрольное значение станет другим.

Хеш не доказывает, что содержание файла истинно, и не исключает редактирования до момента его расчёта. Его функция конкретнее: показать, что версия, переданная для дальнейшей работы, совпадает с зафиксированной версией и не была незаметно заменена позже.

Именно на этом этапе большой массив перестал быть папкой со «скриншотами из интернета». Мы разделили сведения на три категории:

  • факты, подтверждённые несколькими источниками;
  • обоснованные гипотезы, которые требуют официальной проверки;
  • данные, которые нельзя публиковать или использовать для обвинений.

Такой фильтр менее эффектен, чем громкое объявление о найденных преступниках, но юридически он намного ценнее.

Юридическая работа начинается там, где заканчивается эффектный скриншот

Техническая находка полезна для дела только тогда, когда понятно, как она получена, что именно подтверждает и какое процессуальное действие из неё следует. Совпадение IP должно вести к запросу определённому провайдеру за точный период. Биржевой адрес — к запросу данных по конкретным транзакциям. Электронное письмо — к сохранению оригинала с техническими заголовками, а не только картинки экрана.

Статья 93 Уголовно-процессуального кодекса Республики Молдова предусматривает среди средств доказывания документы, фотографии, аудио- и видеозаписи. Но это не означает, что любой файл автоматически становится допустимым и достаточным доказательством. Имеют значение законность получения, источник, возможность проверки и соблюдение процессуальных правил. Окончательную оценку дают орган уголовного преследования, прокурор и суд.

Поэтому работа Colenco Legal состояла не только в описании найденного. Для каждой линии был определён возможный следующий адресат:

  • централизованные биржи — по депозитным адресам, транзакциям и возможным данным учётных записей;
  • провайдер сетевой инфраструктуры — по IP и точным временным отметкам;
  • поставщики хостинга, электронной почты и иной инфраструктуры — по данным, которые ещё могут храниться у них;
  • банк — для документирования того, что часть ущерба связана с кредитными средствами;
  • правоохранительные органы — для процессуальной проверки, международных запросов и приобщения материалов.

Международный элемент не делает такую работу бессмысленной, но усложняет её. Официальные материалы IGP показывают, что в трансграничных делах о фиктивных инвестициях молдавские органы используют анализ блокчейна, обмен информацией через Europol и совместные механизмы под эгидой Eurojust. Частный отчёт не заменяет эти полномочия. Его задача — дать им точные исходные данные, а не пытаться подменить следствие.

По той же причине нельзя самостоятельно публиковать предполагаемые личности, связываться с найденными людьми с обвинениями или распространять данные других пользователей платформы. Ошибочная идентификация может навредить непричастному человеку и ослабить позицию самого потерпевшего.

Что изменилось для клиента — и что делать другим потерпевшим в Молдове

До систематизации дело выглядело как знакомая, но слишком общая история: деньги переведены, платформа показывает прибыль, вывод заблокирован, собеседники требуют доплату. После проведённой работы появились единая хронология, карта ролей, подтверждённые адреса и транзакции, временные отметки, оригиналы технических материалов и список официальных запросов.

Обращение в зарубежный центр приёма сообщений о киберпреступлениях зарегистрировано, а материалы подготовлены для дальнейшей работы с компетентными органами и организациями. Это не означает, что иностранное расследование уже начато. На дату публикации мы также не заявляем о возврате денег, заморозке активов или установлении виновных. Colenco Legal продолжает заниматься делом.

Если вы оказались в похожей ситуации в Молдове, первые действия должны сохранять возможности, а не создавать новые потери:

  1. Прекратите любые доплаты. «Налог», «страховка», «комиссия за разблокировку» или оплата услуг неизвестного «специалиста по возврату» часто продолжают ту же схему.
  2. Сохраните оригиналы. Нужны не только скриншоты, но и экспорт переписки, электронные письма в исходном формате, видео, чеки, адреса кошельков, транзакционные хеши, даты и точное время.
  3. Зафиксируйте движение денег. Составьте таблицу: откуда, куда, когда, какая сумма и каким активом была переведена.
  4. Обратитесь в банк, биржу и полицию по официальным каналам. Не используйте контакты, которые прислали участники схемы. BNM отдельно предупреждает о ложных инвестиционных предложениях и фиктивных онлайн-страницах.
  5. Получите подтверждение регистрации обращения. Номер и дата помогут контролировать дальнейшие действия и передавать дополнения.
  6. Не редактируйте исходные файлы. Работайте с копиями, а оригиналы храните отдельно.
  7. Передайте адвокату весь контекст. Иногда решающим оказывается не самый красивый скриншот, а незаметная тестовая транзакция, технический заголовок письма или совпадение времени в двух источниках.

Криптовалютный перевод нельзя отменить одной жалобой, а OSINT не обещает чудес. Но это дело показывает: даже сложную трансграничную схему можно разложить на проверяемые элементы и превратить цифровой хаос в конкретный юридический маршрут — если действовать быстро, сохранять исходники и не подменять доказательства догадками.