Останні кілька років ринок криптоактивів стрімко зріс не лише з точки зору капіталізації, але й з точки зору кількості шахрайських схем. Однією з найбільш поширених є криптодрейнери. Це інструменти, які дозволяють зловмисникам списувати активи з гаманців потерпілих.
На перший погляд може здаватись, що йдеться про класичний злам гаманця. Однак на практиці механіка працює інакше. Користувач сам підтверджує необхідні дії, підписує смарт-контракт, який дає зловмиснику повний доступ до управління його активами, не усвідомлюючи її реального змісту. Саме ця особливість і робить криптодрейнери настільки ефективними, адже з точки зору блокчейну такі операції виглядають легітимними, оскільки вони формально санкціоновані власником гаманця.
Як правило, це відбувається під час взаємодії з підробленими вебресурсами або фейковими застосунками, які імітують відомі сервіси. Користувач підключає гаманець і підтверджує запропоновану дію, вважаючи її технічною формальністю. Натомість така дія може означати надання доступу до активів або безпосереднє ініціювання їх виведення.
Звідси логічно випливає, що криптодрейнери – це не стільки питання технічного злому, скільки поєднання соціальної інженерії та особливостей роботи блокчейн-інфраструктури. Саме тому типові сценарії їх використання завжди побудовані на створенні довіри або ілюзії безпечної взаємодії.
Типові сценарії шахрайства
Найпоширенішим прикладом впровадження дрейнерів є airdrop або NFT-кампанії, де користувачу пропонується отримати активи за кілька кліків. Для цього необхідно лише підключити гаманець і підтвердити транзакцію, яка насправді відкриває доступ до коштів або одразу запускає механізм їх списання.
Схожим за логікою є використання підроблених сайтів відомих сервісів. Візуально такі ресурси можуть повністю повторювати оригінал, а відмінності зводяться до незначних деталей у домені чи інтерфейсі. У результаті користувач не ідентифікує загрозу і взаємодіє з ресурсом як із легітимним.
Додатково зловмисники активно використовують фактор довіри до джерела інформації. Йдеться про компрометацію акаунтів у соціальних мережах або спільнотах проєктів, де поширюються шкідливі посилання. Оскільки такі повідомлення надходять нібито від відомого проєкту, ризик їх сприйняття як безпечних суттєво зростає.
Окремо варто звернути увагу на так звані approve-схеми. У цьому випадку користувач не втрачає кошти одразу, а підписує транзакцію, яка надає смарт-контракту право розпоряджатись активами у майбутньому. На практиці такі механізми часто використовуються на фейкових обмінниках або псевдо-DeFi сервісах: після підписання approve зловмисники просто очікують, поки на гаманець надійдуть активи або збільшиться баланс, після чого здійснюють їх автоматичне списання без будь-якого додаткового підтвердження з боку користувача. Саме тому потерпілий може навіть певний час не підозрювати, що доступ до його активів уже фактично передано третім особам.
У більш складних сценаріях використовуються фейкові DeFi-платформи або інвестиційні сервіси, які імітують реальну взаємодію з блокчейн-протоколами. Проте кінцевий результат залишається тим самим – користувач власноруч надає доступ до своїх активів, після чого вони виводяться на контрольовані зловмисниками адреси.
Схематичне зображення руху викрадених коштів. Для збільшення натисніть на картинку
Чи можна відстежити викрадені кошти?
Один із ключових міфів, який грає на руку шахраям, це уявлення про повну анонімність криптовалюти. Насправді більшість публічних блокчейнів, зокрема Ethereum, працюють за принципом повної прозорості: кожна транзакція, адреса та рух активів зберігаються у відкритому реєстрі. Це означає, що після викрадення кошти не зникають, а продовжують рух, який можна відстежити.
Саме на цьому базується аналіз блокчейн-даних з метою встановлення зв’язків між адресами та відстеження потоків активів. На практиці використовуються два базові підходи.
По-перше, кластеризація адрес. Йдеться про об’єднання різних криптоадрес в умовні групи, які з високою ймовірністю контролюються однією особою або сервісом. Це робиться на основі поведінкових патернів: спільне використання коштів, характер транзакцій, взаємодія з конкретними смарт-контрактами тощо. У результаті замість набору розрізнених адрес формується більш цілісна картина.
По-друге, відстеження потоків коштів. Після інциденту будується ланцюг транзакцій: куди саме були переведені активи, як вони дробились, чи проходили через інші сервіси. Такий аналіз дозволяє виявити ключові точки, зокрема місця, де кошти потрапляють у централізовану інфраструктуру.
Для цього використовуються спеціалізовані інструменти, такі як Chainalysis та TRM Labs. Вони поєднують технічний аналіз блокчейну з власними базами даних (наприклад, адрес бірж, сервісів, раніше ідентифікованих схем), що дозволяє не лише бачити рух коштів, але й розуміти, з ким або чим саме взаємодіє адреса.
Окремим важливим елементом є так зване маркування (помічення) коштів як викрадених. Як це працює на практиці. Після фіксації інциденту та проведення первинного аналізу визначаються адреси, які отримали викрадені активи або використовувались у схемі. Ці адреси передаються аналітичним платформам або безпосередньо централізованим сервісам (наприклад, криптобіржам). У їхніх системах комплаєнсу такі адреси отримують ризиковий статус.
Надалі, якщо кошти з цих адрес або пов’язаних з ними кластерів потрапляють на платформу з процедурами KYC, це може автоматично викликати:
- додаткову перевірку транзакції;
- обмеження операцій;
- у певних випадках навіть тимчасове блокування активів.
Простими словами, активи стають поміченими: їх складніше використати без взаємодії з комплаєнс-службами, а будь-яка спроба їх легалізації підвищує ризик ідентифікації користувача.
Для потерпілого це має цілком практичне значення. Залежно від обставин, результатом такої роботи може бути:
- встановлення маршруту руху коштів;
- визначення сервісів, через які вони проходили;
- виявлення моменту потрапляння коштів у централізоване середовище;
- можливість ініціювати блокування активів на стороні таких сервісів;
- формування доказової бази для подальших юридичних дій;
- у окремих випадках можна отримати дані, що дозволяють ідентифікувати особу.
Таким чином, хоча криптодрейнери і створюють ілюзію безконтрольності, публічна природа блокчейну дозволяє перетворити рух коштів у відстежуваний процес. Подальший результат уже залежить від того, наскільки ефективно цей технічний аналіз буде підкріплений юридичними інструментами.
Попри те, що рух коштів у публічних блокчейнах піддається аналізу, на практиці встановлення кінцевого бенефіціара схеми залишається складним завданням. Це пов’язано з тим, що зловмисники цілеспрямовано використовують інструменти та підходи, які ускладнюють або розривають ланцюг відстеження.
Одним із таких інструментів є міксери. Їх суть полягає у перемішуванні коштів великої кількості користувачів: активи надходять у спільний пул, після чого виводяться на інші адреси у зміненій структурі. У результаті прямий зв’язок між початковою та кінцевою транзакцією значно ускладнюється або стає статистичним, а не детермінованим. Для аналітики це означає втрату чистого ланцюга руху коштів і необхідність працювати з імовірнісними моделями.
Схожий ефект досягається за рахунок використання кросчейн-мостів. У цьому випадку активи переводяться з одного блокчейну в інший (наприклад, з Ethereum в іншу мережу), часто з одночасною зміною їх форми (wrapped-токени, тощо). Такий перехід створює додаткову точку розриву для трекінгу, оскільки подальший аналіз вимагає синхронізації даних з різних мереж і врахування специфіки кожної з них.
Окремо варто звернути увагу на використання так званих приватних (анонімних) криптовалют, де сама архітектура блокчейну побудована таким чином, щоб унеможливити або суттєво обмежити відстеження транзакцій. Найбільш відомим прикладом є Monero.
На відміну від публічних мереж, у випадку з Monero застосовуються технології, які приховують як відправника, так і отримувача, а також суму транзакції (зокрема, ring signatures, stealth addresses та конфіденційні транзакції). У практичному вимірі це означає, що класичний блокчейн-аналіз, заснований на відкритості даних, тут або не працює взагалі, або має суттєві обмеження. Якщо викрадені кошти конвертуються в такі активи, подальше відстеження значно ускладнюється.
Ще одним фактором є використання централізованих бірж, яке має подвійний ефект. З одного боку, потрапляння коштів на платформу з KYC-процедурами створює можливість ідентифікації користувача. З іншого боку, зловмисники часто використовують декілька бірж поспіль, у різних юрисдикціях, або виводять кошти через сервіси з менш суворими вимогами до верифікації. Це дозволяє розмити слід і ускладнює оперативне реагування.
З цим безпосередньо пов’язані юрисдикційні складнощі. Криптотранзакції за своєю природою не прив’язані до конкретної держави, тоді як доступ до інформації про користувачів бірж або сервісів залежить від національного законодавства. У результаті отримання необхідних даних може вимагати:
- міжнародної правової допомоги;
- взаємодії з іноземними регуляторами;
- дотримання процедур, які займають значний час.
Нарешті, поширеною практикою є використання підставних осіб (money mules, дропи). У таких випадках акаунти на біржах або інших сервісах оформлюються на третіх осіб, які свідомо або несвідомо залучені до схеми. Це створює додатковий рівень відокремлення між безпосереднім виконавцем та організатором, ускладнюючи доведення їхньої ролі.
Таким чином, хоча технічна можливість відстеження коштів у більшості випадків існує, на практиці вона стикається з низкою інструментальних і правових бар’єрів. Саме ці фактори визначають складність конкретної справи та обсяг дій, необхідних для ідентифікації причетних осіб і подальшого захисту інтересів потерпілого.
Схематичне зображення blockchain-трекінгу. Для збільшення натисніть на картинку
Юридичні механізми захисту
Попри технологічну складність таких схем, криптодрейнери поступово перестають бути сірою зоною для правоохоронної та судової системи. Українська практика вже містить як кримінальні провадження щодо організаторів таких схем, так і судові рішення про арешт криптоактивів, що свідчить про поступове формування процесуальних механізмів захисту потерпілих.
Першочерговим інструментом у більшості випадків залишається саме кримінальне провадження. Залежно від обставин, дії можуть кваліфікуватись, зокрема, як шахрайство, несанкціоноване втручання в роботу інформаційних систем або інші злочини у сфері використання електронно-обчислювальної техніки.
Показовим у цьому контексті є вирок від 26.02.2026, у якому суд розглядав схему із використанням дрейнера. За фабулою справи, потерпілого через месенджер Telegram переконали перевести активи на гаманець та підключити його до фіктивного сервісу перевірки прозорості криптовалюти. Після цього зловмисники отримали доступ до цифрових активів та здійснили їх виведення. Важливим є сам факт того, що механіка дрейнера вже прямо фігурує у кримінальному провадженні та отримує правову оцінку суду.
Окремого значення набуває питання визнання криптоактивів майном. Саме це дозволяє застосовувати до них класичні процесуальні механізми – арешт майна, забезпечення збереження активів, подальше вирішення питання їх повернення або спеціальної конфіскації. Судова практика останніх років демонструє, що українські суди дедалі частіше погоджуються з можливістю накладення арешту саме на віртуальні активи.
На практиці одним із найбільш ефективних механізмів є звернення до централізованих бірж із вимогою про замороження активів. Якщо під час блокчейн-аналізу встановлюється, що викрадені кошти потрапили на платформу з KYC-процедурами, потерпіла сторона або правоохоронні органи можуть ініціювати обмеження операцій із такими активами.
І хоча біржі не завжди реагують однаково оперативно, практика свідчить, що у разі належного документування інциденту та наявності процесуальних документів взаємодія є цілком можливою. Особливо коли йдеться про великі централізовані платформи.
Паралельно з цим використовуються і судові інструменти забезпечення. Зокрема, у 2024 – 2026 роках українські суди неодноразово виносили ухвали про накладення арешту на криптоактиви, які обслуговувались через акаунти на біржі Binance. В окремих випадках суди прямо забороняли користування та розпорядження віртуальними активами, а також блокували функціонал відповідних акаунтів.
Фактично йдеться про адаптацію класичного механізму арешту майна до цифрових активів. Це особливо важливо з огляду на швидкість переміщення криптовалюти: без оперативного забезпечення активи можуть бути виведені через декілька юрисдикцій або конвертовані в анонімні криптовалюти, такі як Monero, де подальший трекінг значно ускладнюється.
Ще одним важливим процесуальним механізмом є витребування інформації. У межах кримінального провадження або міжнародної взаємодії можуть отримуватись:
- дані KYC користувачів;
- історія входів та IP-адрес;
- інформація про рух активів;
- пов’язані акаунти та транзакції.
Саме ці дані часто стають критичними для переходу від анонімної адреси до конкретної особи. Оскільки значна частина криптоінфраструктури знаходиться поза межами України, окрему роль відіграє міжнародна правова допомога. На практиці взаємодія може охоплювати:
- іноземні криптобіржі;
- реєстраторів доменів;
- хостинг-провайдерів;
- правоохоронні органи інших держав.
Без цього етапу ефективне розслідування транскордонних схем часто є неможливим.
Таким чином, попри специфіку криптоактивів та технічну складність дрейнерів, сучасні юридичні механізми вже дозволяють не лише документувати факт викрадення, але й здійснювати реальні процесуальні дії щодо пошуку, блокування та потенційного повернення активів. Судова практика у цій сфері ще формується, однак уже зараз демонструє поступову адаптацію класичних правових інструментів до цифрових активів.
Алгоритм дій потерпілого
У випадку з криптодрейнерами критичне значення має швидкість реагування. Через особливості блокчейн-транзакцій активи можуть переміщуватись між десятками адрес протягом кількох хвилин, а тому перші дії після інциденту напряму впливають на шанси подальшого відстеження та потенційного блокування коштів.
Перш за все необхідно зафіксувати всі транзакції та пов’язані дані. Йдеться не лише про адреси гаманців і TXID транзакцій, але й про:
- скріншоти підключеного ресурсу;
- посилання на сайт;
- листування;
- повідомлення у Telegram, Discord або X;
- інформацію про час і послідовність дій.
На практиці навіть дрібні деталі можуть мати значення для подальшого аналізу та формування доказової бази.
Паралельно з цим доцільно якнайшвидше звернутись за правничою допомогою. У таких справах важливе не лише технічне відстеження коштів, але й правильне процесуальне оформлення інциденту з перших етапів. Своєчасне залучення юристів дозволяє:
- оперативно організувати блокчейн-аналіз;
- підготувати та зафіксувати доказову базу;
- правильно ініціювати кримінальне провадження;
- підготувати звернення до криптобірж та інших сервісів;
- мінімізувати втрату часу, яка у подібних кейсах часто є критичною.
Наступним кроком є проведення блокчейн-аналізу. Його мета – встановити маршрут руху активів, визначити пов’язані адреси та перевірити, чи потрапили кошти до централізованих сервісів. Саме цей етап дозволяє зрозуміти, чи існують практичні можливості для подальшого арешту активів або ідентифікації користувача.
При цьому важливо не взаємодіяти повторно зі scam-ресурсом. На практиці потерпілі нерідко намагаються скасувати транзакцію, повторно підключають гаманець або виконують додаткові дії, які нібито мають допомогти повернути кошти. У результаті це може призвести до повторної компрометації або втрати інших активів.
Також доцільно:
- відкликати дозволи;
- від’єднати гаманець від підозрілих сервісів;
- перевести залишок активів на новий гаманець.
Уже після цього, за участі адвокатів, відбувається ініціювання кримінального провадження та подальша взаємодія з правоохоронними органами. Попри складність та транскордонний характер таких схем, саме кримінальне провадження створює процесуальні механізми для:
- витребування інформації;
- міжнародної правової допомоги;
- накладення арештів на активи;
- офіційної комунікації з криптобіржами та іншими платформами.
У комплексі це формує основу для подальшого захисту інтересів потерпілого та потенційного повернення активів.
Чи реально повернути кошти?
Універсальної відповіді на питання про повернення криптоактивів не існує. Практичні перспективи залежать від того, як саме діяли зловмисники після викрадення коштів, чи залишились точки для подальшої ідентифікації активів та наскільки швидко потерпілий розпочав реагування.
Найбільш сприятливими є ситуації, коли викрадені кошти потрапляють до централізованих бірж (CEX). У таких випадках з’являється можливість встановити платформу, через яку проходили активи, ініціювати freeze коштів та отримати дані користувача через KYC-процедури. Саме тому швидкість реагування має критичне значення: чим раніше проведено блокчейн-аналіз та направлено відповідні звернення, тим вищі шанси, що кошти ще не були виведені або конвертовані в інші активи.
Перспективи повернення активів також суттєво зростають у випадках, коли вдається ідентифікувати конкретну особу або встановити зв’язок між адресами та реальними акаунтами. У такому випадку мова вже йде не лише про технічний трекінг, а про можливість застосування повноцінних юридичних механізмів: арешт активів, витребування інформації, кримінального переслідування та подальше стягнення активів.
Водночас існують сценарії, у яких повернення коштів стає значно складнішим. Насамперед це стосується випадків, коли активи проходять через міксери, DeFi-протоколи або кросчейн-сервіси, а також конвертуються в анонімні криптовалюти, зокрема Monero. У таких ситуаціях ланцюг транзакцій частково або повністю втрачає прозорість, а можливості класичного блокчейн-аналізу суттєво обмежуються.
Додатково ситуацію ускладнює використання великої кількості проміжних адрес, акаунтів підставних осіб та сервісів у юрисдикціях із мінімальною співпрацею з іноземними правоохоронними органами.
Окремо варто враховувати, що сучасні дрейнери дедалі рідше обмежуються лише фейковим сайтом або одиничною фішинговою атакою. Фактично формується ціла гібридна екосистема, яка поєднує класичне кіберзлочинство, інфраструктуру шкідливого програмного забезпечення та блокчейн-механізми. На це звертають увагу і дослідники кібербезпеки, зокрема SOC Prime.
На практиці це означає, що після первинного викрадення коштів зловмисники можуть використовувати:
- шкідливе програмне забезпечення;
- скомпрометовані браузерні розширення;
- віддалений доступ до пристрою;
- автоматизовані drainer-as-a-service платформи;
- мережі phishing-ресурсів та Telegram-інфраструктуру.
У результаті потерпілий іноді стикається не лише з одноразовим списанням активів, а з тривалим компрометуванням власного середовища. Саме тому після інциденту недостатньо просто закрити сайт або створити новий гаманець, у певних випадках необхідно перевіряти і сам пристрій на наявність шкідливого програмного забезпечення чи компрометації браузера.
Крім того, сучасні дрейнери дедалі частіше працюють за моделлю drainer-as-a-service, тобто фактично як готова кримінальна інфраструктура: одні особи адмініструють технічну частину, інші займаються фішинговими кампаніями та пошуком жертв, а прибуток розподіляється між учасниками схеми.
Це також впливає на перспективи повернення активів. З одного боку, більша кількість учасників та використання централізованої інфраструктури іноді залишають більше цифрових слідів для аналізу. З іншого боку, сама схема стає більш масштабованою та професійною, а отже складнішою для оперативного реагування.
Саме тому у справах, пов’язаних із дрейнерами, важливо оцінювати не лише сам факт викрадення коштів, але й те, чи не є потерпілий частиною ширшого інциденту компрометації, з доступом до акаунтів, браузера, електронної пошти або інших пов’язаних сервісів. Це напряму впливає як на подальшу безпеку активів, так і на ефективність юридичних та технічних дій щодо їх повернення.
Висновок
Ще декілька років тому криптодрейнери сприймались як вузькоспеціалізована проблема криптоспільноти. Сьогодні ж мова йде про повноцінну та масштабовану індустрію, яка поєднує фішинг, шкідливе програмне забезпечення, блокчейн-інфраструктуру та елементи організованої кіберзлочинності.
Особливу увагу привертає те, що частина таких сервісів фактично працює відкрито та публічно позиціонує себе як бізнес. Показовим прикладом є діяльність CryptoGrab – сервісу, який пов’язували з Nova Drainer та який був офіційно зареєстрований як компанія у Великій Британії. Дослідники у сфері кібербезпеки прямо вказували, що сервіс рекламував інструменти для викрадення криптоактивів та працював за моделлю drainer-as-a-service.
Сам факт існування подібних структур демонструє, наскільки професіональним стало середовище криптошахрайства. Мова вже не про одиноких хакерів, а про екосистеми з власною інфраструктурою, affiliate-моделями, технічною підтримкою та розподілом ролей між учасниками.
Водночас розвиток таких схем паралельно стимулює і розвиток механізмів протидії. Блокчейн-аналітика, співпраця з централізованими платформами, механізми замороження активів та формування судової практики щодо арешту криптоактивів поступово перетворюють криптовалюту з анонімного середовища у простір, де рух коштів може бути відстежений та використаний як доказ.
Українська практика також поступово адаптується до таких викликів: з’являються кримінальні провадження щодо дрейнерів, ухвали про арешт криптоактивів та процесуальні механізми взаємодії з криптобіржами. Це свідчить про те, що криптошахрайство більше не перебуває поза межами правового поля.
Разом з тим, ефективність захисту напряму залежить від швидкості реагування та правильного поєднання технічних і юридичних інструментів. У подібних справах блокчейн-аналіз без належного процесуального супроводу часто є недостатнім, так само як і формальне кримінальне провадження без розуміння специфіки руху криптоактивів.
Саме тому у справах, пов’язаних із криптодрейнерами, ключове значення має комплексний підхід, від фіксації інциденту та трекінгу коштів до взаємодії з біржами, правоохоронними органами та іноземними юрисдикціями.
Автор: Марко Головач