Компания потеряла криптовалюту: что делать бизнесу

Чем корпоративный инцидент отличается от частной кражи

У частного лица обычно один кошелёк, один подписант и короткий контур «закрыть дыру → сохранить следы». У компании в ход идут казначейство, мультиподпись, боты ребалансировки, API-ключи бирж и доступ нескольких сотрудников. Потеря может быть внешней (фишинг, вредоносный approve, утечка seed) или внутренней: скомпрометирован один из подписантов. Чеклист для личного адреса — в взломали криптокошелёк; ниже — слой, которого у частного кейса нет.

Вторая ось — коммуникации. Публичный проект не может бесконечно молчать: движение в блокчейне видно сторонним наблюдателям. Но ранний пост «нас взломали» без фактов и без запроса на заморозку часто мешает: контрагенты паникуют, а мошенники ускоряют вывод. Имеет смысл заранее назначить узкий круг: кто говорит с биржами, кто с юристами, кто с инвесторами — и что не публикуется до пакета TXID.

Третья ось — форма запроса. Площадки иначе смотрят обращение от юрлица: нужны полномочия подписанта, реквизиты компании и связный отчёт по маршруту, а не скрин из чата. Это не гарантия заморозки; это другой вход в ту же процедуру, что разобрана в заморозке украденных средств на бирже.

Первые 24 часа: чеклист

1. Остановите дальнейший отток: отзовите опасные approve, переведите остаток на новый контур ключей, выключите боты и скрипты, которые ходили со старыми ключами или API.
2. Зафиксируйте TXID, сети, адреса, время блоков, затронутые казначейские адреса и, если есть, логи доступа к подписи.
3. Определите узкий круг коммуникации: один канал с биржами, один с юристами, запрет на самовольные посты в соцсетях.
4. Проверьте, не активен ли ещё скомпрометированный подписант мультиподписи — при необходимости смените порог и набор ключей.
5. Соберите полномочия для обращения от имени компании до массовой рассылки «всем партнёрам».
6. Не вводите seed и не передавайте API-секреты в тикет, чат или «помощнику из поиска».

Параллельно оцените, ушли ли средства на депозит централизованной биржи: тогда окно запроса на удержание короче, чем внутренние совещания. Карту переходов имеет смысл отдать в блокчейн-аналитику, не подменяя её скрином из эксплорера. Если дыра на кошельке ещё открыта, сначала закройте её — иначе каждый час добавляет новые исходящие.

Заморозка, партнёры и юридический контур

Запрос на заморозку — это просьба к площадке удержать депозит, пока активы ещё на её счетах. Он не откатывает перевод в блокчейне. От компании ждут связный пакет: TXID, маршрут, описание механизма (фишинг, approve, инсайдер), подтверждение полномочий. Решение принимает биржа; срок ответа площадки вы не назначаете. Анонимизированные разборы без обещания исхода — в кейсах.

Партнёрам и инвесторам лучше короткое фактическое сообщение после первичной фиксации, чем молчание до утечки или панический пост. Юридический слой — полномочия, договорная база, заявление — отдельный контур, не замена стопа потерь; см. юриста при краже криптовалюты. Публичное заявление до пакета следов редко ускоряет заморозку.

Чего не делать

• Не публикуйте сырые детали инцидента, пока не собран пакет TXID и не отправлен запрос площадкам назначения.
• Не оставляйте скомпрометированный ключ в мультиподписи «на потом».
• Не оплачивайте «гаранта возврата» и не отдавайте seed в тикет.
• Не путайте заморозку чужого депозита с разблокировкой своего биржевого аккаунта.

Не тратьте первые сутки на поиск виноватого в чатах. Окно, пока остаток ещё на адресе или на депозите биржи, короче внутренних согласований. Сначала стоп оттока и следы — потом нарратив для рынка.