12 сентября 2026 года женщина собиралась обменять криптовалюту на наличные евро в Черногории. Обычная сделка: у неё есть USDT, у обменника — наличные, стороны согласовывают курс и встречаются в офисе.
Но за полчаса до встречи появляется дополнительное условие. Нужно проверить криптовалюту на соответствие требованиям AML. Якобы обменник не может принимать деньги с сомнительной историей.
Женщина соглашается. Для проверки ей предлагают воспользоваться Trust Wallet и специальным сервисом. Она открывает страницу, подключает кошелёк и дважды подтверждает операцию.
Через несколько секунд с её адреса исчезают 11 294,556608 USDT.
Представитель обменника прекращает разговор. Переписка обрывается. Наличные никто не выдаёт.
Но самое интересное здесь даже не сумма.
Мошенникам, судя по описанию происшествия, не понадобились ни пароль от кошелька, ни сид-фраза, ни доступ к телефону. Женщина самостоятельно подтвердила операцию в настоящем криптовалютном приложении.
Разбираемся, как под видом проверки безопасности можно получить доступ к чужим активам, почему на экране кошелька отображалась комиссия всего в несколько долларов и какие сайты уже замечены за подобными схемами.
Всё начиналось с обычного обмена криптовалюты
В опубликованной истории фигурирует проект, представлявшийся обменником TetherEx.
Потерпевшая описывает стандартную для внебиржевых сделок процедуру. Она находит обменный сервис, связывается с менеджером, согласовывает получение наличных и готовится к встрече в Тивате.
У проекта был Telegram-канал, менеджер и сайт tetherex.org. В рекламе, по словам женщины, заявлялось наличие офисов в 63 странах.
Для клиента это выглядит убедительно. Есть сайт, отзывы, фотографии, возможность встретиться лично. Сделка не предполагает отправку криптовалюты неизвестному человеку в обмен на обещание когда-нибудь получить деньги.
Но тут появляется менеджер, представившийся Александром.
Он объясняет, что перед выдачей наличных необходимо проверить происхождение USDT. Обменник якобы заботится о своей репутации и не хочет принимать средства, связанные с незаконными операциями.
Аргумент подобран удачно.
AML — Anti-Money Laundering — действительно существует. Криптовалютные платформы используют блокчейн-аналитику, чтобы обнаруживать связи адресов с мошенничеством, взломами, санкционными субъектами и другими источниками повышенного риска.
Более того, некоторые обменные сервисы действительно отказываются принимать определённые активы или требуют дополнительные документы.
Поэтому требование проверить криптовалюту само по себе не обязательно свидетельствует о мошенничестве.
Подозрения должны возникнуть, когда проверка превращается в требование предоставить стороннему сайту право взаимодействовать с вашим кошельком.
Именно это, согласно жалобе, произошло в Черногории.
Первый шаг: вывести USDT с биржи на личный кошелёк
Изначально криптовалюта женщины находилась на Bybit.
Менеджер заявил, что проверять деньги непосредственно на бирже неправильно. Причина якобы заключается в смешивании транзакционных потоков пользователей.
Звучит технически убедительно. Крупные биржи действительно используют собственную инфраструктуру хранения активов, внутренний учёт и адреса, связанные с операциями множества клиентов.
Но из этого не следует, что пользователь обязан переводить все свои активы на личный кошелёк и подписывать неизвестные транзакции.
Для проверки конкретного перевода аналитическому сервису могут понадобиться публичные адреса, идентификаторы транзакций и дополнительные сведения о происхождении средств. Предоставлять постороннему приложению право распоряжаться токенами для такой проверки не требуется.
В нашем случае рекомендация менеджера имела другое последствие.
До перевода активы находились на инфраструктуре централизованной биржи. После перевода они оказались на адресе, которым женщина управляла самостоятельно через Trust Wallet.
Это принципиальная разница.
Когда USDT находятся на личном кошельке, пользователь может напрямую взаимодействовать со смарт-контрактами. Он самостоятельно подписывает операции, включая выдачу разрешений на расходование токенов.
Поддельному AML-сервису как раз и нужна была такая возможность.
По словам потерпевшей, на кошелёк перевели всю сумму предстоящего обмена.
Следующий этап атаки проводился уже через Trust Wallet.
Второй шаг: проверка, которая проверяла совсем другое
Менеджер попросил женщину открыть сайт coins-check.com через встроенный браузер децентрализованных приложений.
Страница представлялась сервисом AML-проверки.
В Telegram начался звонок. Собеседник сопровождал процесс и объяснял действия.
Это распространённый приём социальной инженерии. Пока человек слушает инструкции, его внимание сосредоточено на последовательности кнопок, а не на технических параметрах подтверждаемой операции.
Потерпевшая рассказывает, что дважды нажала кнопку подтверждения.
На одном из экранов Trust Wallet отображались домен сервиса, контракт USDT, предполагаемая комиссия 10,4403 TRX и сообщение:
Unparsed transaction.
Это означает, что интерфейс не представил содержимое транзакции в понятном для пользователя виде. Само по себе такое сообщение не доказывает наличие вредоносного кода, но подтверждать неизвестную операцию при подобном предупреждении опасно.
По заявлению женщины, она не увидела ни суммы потенциального списания USDT, ни адреса, на который могли уйти деньги.
При этом приложение показывало комиссию приблизительно в $3,56.
И вот здесь скрывается одна из наиболее неприятных особенностей схемы.
Человек видит небольшую сетевую комиссию и может ошибочно решить, что подтверждает платную проверку стоимостью несколько долларов.
Но комиссия блокчейна и сумма, которой затрагивает операция, — совершенно разные величины.
В сети TRON вычислительные операции оплачиваются за счёт ресурсов Bandwidth и Energy. Когда имеющихся ресурсов недостаточно, может списываться TRX.
Это не означает, что операция ограничена указанной комиссией.
Например, сетевые расходы могут составить несколько TRX, а сама подписанная операция — предусматривать перевод тысяч USDT или выдачу разрешения на их списание.
В рассматриваемой жалобе первоначально отображалась оценка комиссии 10,4403 TRX, а фактическую сетевую комиссию потерпевшая указала как 6,5123 TRX.
Сравните эти числа с суммой исчезнувших токенов — 11 294,556608 USDT.
Пользователь мог ориентироваться на стоимость выполнения операции, не понимая её финансового результата.
Третий шаг: деньги исчезают, менеджер отключается
После подтверждений приходит уведомление о списании USDT.
По словам женщины, были выведены все находившиеся на адресе токены USDT.
Она сообщает об этом собеседнику.
Тот завершает звонок и блокирует контакт.
Женщина обращается к администратору Telegram-канала обменника, но, как следует из её заявления, там её тоже блокируют.
Эта деталь заслуживает внимания.
Иногда мошенники создают поддельные аккаунты сотрудников настоящих компаний. Клиент общается с человеком, который выдаёт себя за менеджера, а сама компания к операции отношения не имеет.
Но в данном случае потерпевшая утверждает, что связь оборвалась также и с администратором канала.
Это усиливает подозрение в согласованности действий, однако не позволяет независимо установить, кто именно контролировал аккаунты и сайт.
В публикации фигурируют следующие технические данные:
Адрес потерпевшей:
TUb9KRrdiC7PSXi1MV2MJsYD2ifn1Pw92R
Первоначальный адрес получателя:
TEteTKAqHTRLLHGSELgyW2F1dhy44m7R2d
Идентификатор транзакции:
0ff22caa7fe0c51a3bb5c663b947eb3c170dbbb0c9bb8ad3f2bb82a3893ae498
Заявленная сумма: 11 294,556608 USDT.
Сеть: TRON, стандарт TRC-20.
Идентификатор можно использовать для поиска операции в блокчейн-обозревателе TRONSCAN.
При этом указанные данные взяты из опубликованного заявления потерпевшей. Независимая проверка записи в блокчейне при подготовке этого материала не завершена. Поэтому подтверждать сумму как установленный нами результат блокчейн-анализа было бы неправильно.
Даже успешная проверка транзакции не раскрыла бы личность человека, которому в действительности достались активы. Адрес в блокчейне сам по себе не является документом, удостоверяющим личность.
Как украсть USDT, не зная сид-фразу
Самая опасная ошибка — считать, что криптовалюту невозможно потерять, пока никому не передана фраза восстановления.
На самом деле для некоторых операций смарт-контракту достаточно разрешения владельца токенов.
В стандарте TRC-20 предусмотрены функции approve, allowance и transferFrom.
Упрощённо механизм выглядит следующим образом.
Владелец кошелька вызывает approve и разрешает определённому адресу или контракту расходовать установленное количество токенов.
После этого уполномоченный адрес может использовать transferFrom для перевода токенов в пределах предоставленного лимита.
Представим, что у человека на кошельке лежит 10 000 USDT.
Он открывает неизвестное приложение, которое предлагает подтвердить операцию ради проверки безопасности.
Но вместо проверки пользователь разрешает контракту расходовать 10 000 USDT.
После выдачи разрешения этот контракт или уполномоченный участник может инициировать списание в рамках полученных полномочий.
Повторного подтверждения владельца для каждого такого списания может не потребоваться.
Более того, некоторые приложения запрашивают разрешение на практически неограниченный объём токенов. Такое разрешение способно оставаться активным и после закрытия сайта.
Это реальная функциональность токенов, необходимая, например, для работы децентрализованных бирж.
Мошенники используют её против владельцев кошельков.
Существует и более прямой вариант: пользователь подтверждает транзакцию, которая сразу переводит токены на чужой адрес.
Какой именно набор вызовов использовался в истории с TetherEx, без полноценного разбора транзакций и их входных данных утверждать нельзя.
Но общий механизм понятен: опасное действие маскируется под безобидную проверку.
При этом подключение кошелька к сайту ещё не означает автоматическую передачу права распоряжаться средствами. Критическая граница обычно проходит на этапе подписания операции или выдачи разрешения.
Мы нашли ещё пять доменов. И это уже не история одного обменника
19 августа 2026 года исследователь компании Malwarebytes Стефан Дасич опубликовал материал о поддельных криптовалютных AML-проверках.
Исследователи обнаружили сайты, которые имитировали настоящие сервисы анализа криптовалюты. Некоторые копировали оформление AMLBot, другие использовали похожие названия и интерфейсы.
В публикации перечислены пять доменов:
amlbot-clear[.]comaudittrust[.]shopbitget-aml[.]comsearch-aml[.]netswapstoken[.]app
Адреса приведены в обезвреженном виде, без активных ссылок.
Это индикаторы, опубликованные Malwarebytes в августе 2026 года, а не подтверждение того, что все сайты продолжают работать 12 октября.
Исследователи заметили повторяющиеся элементы оформления и сценария. Сначала посетителю предлагается выбрать криптовалюту. Затем появляется кнопка проверки кошелька, после которой сервис требует подключение.
Дальше сайт может показать анимацию анализа.
Проверяется история операций. Якобы сверяются адреса и санкционные списки. Пользователь наблюдает за индикатором выполнения процедуры.
Затем появляется ошибка.
Например, сервис сообщает, что для продолжения необходимо пополнить кошелёк, чтобы покрыть комиссию.
После повторного запуска проверки пользователь получает сообщение о низком уровне риска и предложение скачать отчёт.
Malwarebytes отмечает, что исследованная версия сайта могла выдавать благополучный результат без реальной проверки блокчейн-истории.
Это уже не AML-аналитика, а спектакль с интерфейсом финансового сервиса.
Но есть существенная оговорка.
Совпадение сценариев не доказывает, что за пятью доменами Malwarebytes и сайтом coins-check.com стоят одни и те же люди.
Мы видим общую тактику и несколько задокументированных эпизодов. Доказанной связи между операторами этих сайтов пока нет.
Почему мошенники выбрали именно AML
Допустим, незнакомец предлагает вам подключить криптокошелёк к случайному сайту и подписать транзакцию.
Вероятность отказа достаточно высока.
Но что, если всё происходит перед сделкой на несколько тысяч долларов, а менеджер говорит об обязательной проверке средств?
Тогда предложение начинает выглядеть иначе.
Человек уже потратил время на поиск обменника. Согласовал курс. Возможно, приехал на встречу или подготовил наличный расчёт.
И вдруг появляется последнее формальное препятствие.
Необходимость соблюдения AML-требований становится объяснением дополнительной процедуры.
Мошеннику даже не требуется придумывать вымышленное регулирование с нуля. Достаточно сослаться на существующие проверки, а затем подменить их порядок.
Настоящие проверки используются банками, биржами и другими участниками финансового рынка. Но легитимность AML как процедуры не означает легитимность сайта, который произносит эти три буквы.
Для базовой проверки публичного криптовалютного адреса не требуется получать доступ к распоряжению средствами.
Эту разницу отдельно подчёркивает Malwarebytes.
Получается парадокс: человек хочет убедиться в чистоте криптовалюты, а ему под видом защиты предлагают совершить действие, после которого криптовалюту можно потерять.
Настоящий AMLBot тоже предупреждал о подделках
Ещё 16 апреля 2025 года команда AMLBot опубликовала предупреждение о мошенниках, использующих название и оформление их сервиса.
В материале, впоследствии обновлённом 10 ноября 2025 года, компания описала поддельные сайты, Telegram-аккаунты и предложения возврата похищенных активов.
В том числе упоминаются лица, представляющиеся сотрудниками AMLBot Recovery или AMLBot Investigation Team.
Сценарии разные, но цель одна — получить дополнительные платежи, приватные данные или доступ к активам.
Компания отдельно заявила, что её настоящему AML-сервису не требуется подключение пользовательского Web3-кошелька для проведения проверки.
Официальный адрес сервиса — amlbot.com.
Это уточнение необходимо, поскольку мошенническое использование названия AMLBot не означает причастности самой компании к поддельным страницам.
Фактически злоумышленники паразитируют на чужой репутации.
Пользователь ищет сервис, которому можно доверять. Находит похожий логотип, знакомое название и интерфейс, напоминающий финансовую платформу. После этого становится проще убедить его подтвердить транзакцию.
Чем лучше выглядит подделка, тем меньше внимания человек уделяет техническому содержимому своих действий.
Почему настоящий Trust Wallet не спас деньги
У пользователя возникает закономерный вопрос.
Если операция проводилась через официальное приложение Trust Wallet, почему оно допустило списание?
Нужно разделять безопасность самого кошелька и содержание операций, которые подтверждает его владелец.
Приложение может правильно хранить приватные ключи, требовать подтверждения и отправлять в блокчейн именно подписанную пользователем транзакцию.
Но если пользователь разрешил стороннему контракту расходовать токены, блокчейн может исполнить это разрешение.
Наличие Face ID, PIN-кода или других средств защиты не делает вредоносную операцию безопасной.
В истории из Черногории отдельно фигурирует сообщение Unparsed transaction.
Потерпевшая утверждает, что на экране не было понятно, какая сумма USDT находится под угрозой и кому они могут перейти.
Это серьёзный вопрос к информативности интерфейса, но по одной жалобе нельзя установить техническую неисправность приложения или юридическую ответственность его разработчика.
Сама компания Trust Wallet признаёт риск вредоносных разрешений.
В августе 2026 года она описывала функцию Approvals, которая позволяет просматривать активные разрешения сторонних приложений и отзывать их.
Такая функция нужна потому, что некоторые разрешения продолжают действовать после завершения взаимодействия с сайтом.
Это означает, что пользователь может сегодня разрешить сомнительному контракту распоряжаться токенами, а списание произойдёт позднее.
Закрытие вкладки браузера не отменяет записанное в блокчейне разрешение.
Что известно, а что пока остаётся без ответа
По состоянию на 12 октября 2026 года мы располагаем несколькими группами фактов.
Первая — публичная жалоба потерпевшей на проект, использовавший название TetherEx, с описанием событий 12 сентября, адресами и TxID.
Вторая — исследование Malwarebytes о поддельных AML-сервисах, опубликованное за несколько недель до указанного происшествия.
Третья — официальные предупреждения AMLBot и Trust Wallet о выдаче вредоносных разрешений и подмене криптовалютных сервисов.
Вместе они показывают существование и техническую реализуемость описанной схемы.
Но остаются вопросы, на которые пока нет доказательных ответов.
Кому принадлежал сайт coins-check.com в момент инцидента? Кто управлял Telegram-аккаунтом @obmen_tetherex? Связан ли получатель токенов с администраторами сайта? Были ли другие потерпевшие? Куда средства перемещались после первоначального получения?
Для ответов необходимо сопоставить блокчейн-транзакции, историю доменов, данные хостинга, архивные версии сайта, материалы переписки и сведения от сервисов, через которые проходили активы.
Сам факт поступления USDT на определённый адрес не раскрывает конечного выгодоприобретателя.
Также нельзя автоматически считать владельцем мошеннической инфраструктуры лицо, чьи данные могли использоваться при регистрации сайта. Они способны оказаться недостоверными или принадлежать посреднику.
Без таких проверок любое громкое заявление о раскрытии организаторов будет преждевременным.
Что делать, если вас уже заставили пройти такую проверку
Если сайт только получил публичный адрес кошелька, это ещё не даёт ему возможности переводить ваши токены. Но мошенники могут использовать этот адрес для изучения баланса и подготовки следующего этапа атаки.
Если вы подтвердили неизвестную транзакцию, нужно немедленно проверить историю операций и действующие разрешения.
Для этого следует использовать встроенные инструменты кошелька или проверенные блокчейн-обозреватели. Незнакомые сайты, обещающие срочно отменить все разрешения одним нажатием, могут оказаться продолжением той же схемы.
Если обнаружен вредоносный approve, разрешение необходимо отозвать. Отзыв может потребовать сетевых расходов.
При компрометации сид-фразы или приватного ключа одного отзыва разрешений недостаточно. Активы следует перевести на новый кошелёк с новой фразой восстановления.
Если средства уже списаны, необходимо сохранить TxID, историю переписки, адреса участников, скриншоты подтверждений и сведения о сайте.
С этими данными можно обращаться в правоохранительные органы и к соответствующим криптовалютным платформам. Шанс блокировки активов зависит, в частности, от того, куда они попали и возможно ли установить обслуживающего их оператора.
Но обещать гарантированный возврат USDT нельзя.
Более того, после публикации жалобы может появиться ещё один мошенник — теперь под видом специалиста по возврату криптовалюты.
О подобных схемах предупреждает и американский FBI IC3. Лжеспециалисты предлагают найти и вернуть активы, требуют предварительную оплату, а затем исчезают или запрашивают дополнительные комиссии.
Поэтому обещания гарантированного возврата за предоплату следует рассматривать как отдельный риск повторной потери денег.
Главный вопрос: зачем проверке кошелька право тратить ваши деньги?
Вернёмся к истории из Черногории.
Женщина хотела получить наличные евро. Для этого ей предложили подтвердить соответствие криптовалюты AML-требованиям.
Но вместо обычного анализа публичной информации она оказалась на стороннем сайте, взаимодействовавшем с её кошельком.
Затем последовали два подтверждения.
После них, согласно жалобе, исчезли 11 294,556608 USDT.
Мошеннический сценарий сработал за счёт подмены смысла операции.
Пользователь считал, что подтверждает проверку средств. Подписываемое действие при этом могло предоставлять право на их списание или непосредственно переводить токены.
И всё происходило под разговоры о финансовой безопасности.
Пожалуй, самый показательный момент этого расследования — реакция представителей криптовалютной индустрии.
AMLBot предупреждает о поддельных сервисах. Malwarebytes фиксирует фишинговые домены. Trust Wallet выпускает инструменты управления разрешениями.
То есть сама схема давно известна специалистам.
Но для отдельного пользователя она может выглядеть как обычная процедура перед обменом криптовалюты.
Запомните один критерий. Если сервису для проверки истории ваших USDT требуется право их переводить, перед вами уже не обычная AML-проверка.
Добавить комментарий