Аналіз крадіжки активів користувача Gate на суму 1,70 млн доларів США

Вступ: суперечка щодо крадіжки активів на біржі, доля якої ще не визначена

Нещодавно користувач біржі Gate у дописі в інтернеті заявив, що приблизно 1,7 млн доларів США активів на його рахунку було переказано в “порожнечу”. Згідно з його словами, на рахунку були ввімкнені мобільна верифікація, Google Authenticator і верифікація електронною поштою. Протягом усього процесу він не отримав жодного SMS-коду підтвердження і ніколи не надавав нікому відео з обличчям або фото з обличчям, що тримає документ.

Після цього Gate опублікував таймлайн, заявивши, що під час ключових операцій — відв’язування, зміна пароля, виведення коштів тощо — обліковий запис пройшов живу перевірку обличчям і багатофакторну верифікацію. Платформа, посилаючись на це, вважає, що це не системний ризик або проблема безпеки сайту, а радше пов’язано з витоком даних клієнта, облікового запису в Alipay та дозволів пристрою поза межами платформи.

(Твіт особи, у якої сталися крадіжка активів)

(Твіт офіційної відповіді Gate)

Однак цікаво те, що згодом цей клієнт також опублікував відео, заявивши: у момент, коли, за словами Gate, він успішно пройшов розпізнавання обличчям, він тримав дитину на руках і не здійснював жодних операцій з телефоном. У зв’язку з цим він ставить запитання: якщо сам він не керував, як платформі вдалося пройти перевірку обличчя, пов’язану з антифродом?

Що це — те, що системи захисту платформи були обійдені технологіями на кшталт AI-замін обличчя, чи хтось отримав контроль над власними даними клієнта, пристроєм або правами доступу до його акаунта? Наразі обидві сторони тримаються своїх позицій, і кінцевого висновку ще немає.

Втім ця історія справді нагадує багатьом користувачам, які зберігають активи на біржі: якщо монети вкрали, крім звернення до поліції, що ще можна зробити?

Адвокат Лю довгий час займається юридичними консультаціями та справами, пов’язаними з віртуальними криптовалютами та Web3. Виходячи з типових шляхів розв’язання таких інцидентів, він ділиться кількома практичними порадами.

I. Спочатку визначити, де потенційно виникла проблема

Крадіжка активів на рахунку біржі загалом може бути проаналізована з двох напрямів.

Перший варіант — це безпека біржі або проблеми з її механізмами ризик-менеджменту/антифроду.

Наприклад, у системі платформи можуть бути вразливості, механізм антифроду може бути обійдений, або хакери напряму атакують системи платформи. У попередніх великих випадках викрадення активів у міжнародних біржах були історії, де хакерські угруповання атакували платформу, гарячі гаманці або системи внутрішніх прав доступу, щоб вивести значні обсяги коштів. Найпоказовіший приклад — північнокорейське хакерське угруповання Lazarus Group (Lazarus Group / “група Лазаря”), у якого “результати” вражають: воно неодноразово зламувало відомі платформи та вивозило величезні суми активів. Якщо основне джерело втрат — це збій у безпекових механізмах платформи, біржа може бути зобов’язана нести відповідальність.

Другий варіант — це те, що інформація або права користувача були отримані іншою особою.

Наприклад, витік приватних ключів або seed-фраз, контроль над електронною поштою чи телефоном, інфікування пристрою трояном, викрадення KYC-даних. Як у цій справі стверджує Gate, це пов’язано з тим, що чиїсь незаконно здобуті дані реєстрації клієнта, акаунт у Alipay та дозволи пристрою були використані зловмисниками.

Останніми роками з’явилися й нові ризики: злочинці спочатку отримують документи особи користувача, відео з обличчям і матеріали, а потім, використовуючи технології AI deepfake, синтезують динамічні зображення обличчя, намагаючись обійти живу перевірку платформи.

Тому в таких справах “справжньо складне” часто не в тому, щоб підтвердити, чи були переведені монети, а в тому, щоб з’ясувати: чи це збій у системі антифроду платформи, чи витік даних користувача, або ж проблеми є в обох сторін.

Це також найкритичніша та водночас найскладніша частина для доказування під час подальшого захисту прав.

II. Повідомлення в поліцію — необхідний крок, але не можна просто чекати результату

Після виявлення крадіжки активів першочергово звернення до поліції та фіксація доказів — це обов’язково. Адже для подальших оперативних вимог до біржі та емітентів стабільних монет (наприклад, Tether, Circle) щодо замороження активів у справі, потрібна умова: має бути порушена справа в рамках судового/правоохоронного провадження.

Матеріали, які потрібно зберегти, включають: записи входу в акаунт, записи виведення коштів, повідомлення платформи, листи та SMS, переписку в чаті, інформацію про аномалії на пристрої, хеші ончейн-транзакцій, записи комунікації з підтримкою платформи тощо. Чим раніше й повніше зафіксовані докази, тим більше зазвичай є простору для подальших дій.

Але також треба мати реалістичне очікування: у справах щодо віртуальних криптовалют лише за рахунок кримінальної заяви про повернення всієї суми втрат складно.

Причини здебільшого такі: може виникати спір щодо юридичної кваліфікації; органи юрисдикції можуть бути не до кінця визначені; сума збитків і вартість монет оцінюються складно; кошти можуть переходити через кордони, потрапляти в сервіси змішування (mixer), або бути конвертовані в інші монети. Навіть якщо кримінальне провадження просуватиметься, строк повернення коштів часто буває тривалим.

Тому звернення до поліції — це лише старт, але зазвичай не єдиний шлях для розв’язання.

III. Окрім звернення до поліції, що ще можна робити паралельно

(I) Якнайшвидше зробити трекінг ончейн, спробувати досягти заморозки

Після крадіжки віртуальних валют час має вирішальне значення.

Потрібно якнайшвидше через професійні компанії з безпеки блокчейну або технічні команди відстежити викрадені кошти on-chain, щоб підтвердити, з якої адреси їх вивели, через які адреси вони проходили, чи потрапили вони на централізовану біржу, або чи були конвертовані в централізовані стабільні монети на кшталт USDT, USDC.

Якщо кошти все ще у форматі USDT, USDC (тобто централізовані стабільні монети), або якщо вони вже потрапили на якусь централізовану біржу, є шанс спробувати домогтися замороження задіяних адрес, акаунтів чи активів — від емітента стабільних монет або відповідних платформ.

У цій справі Gate також згадав, що він звертається по допомогу до Tether для замороження відповідних активів.

Але такі дії зазвичай треба робити якнайшвидше. Якщо кошти вже багаторазово розділили, перекидали між ланцюгами (cross-chain), перемішали (mixing) або конвертували в монети з більш високою анонімністю, потім заморожувати та відстежувати стає помітно складніше.

(II) Розглянути цивільний позов про відшкодування або арбітраж, але спочатку перевірити угоду

Якщо користувач вважає, що біржа неналежно виконала обов’язки із забезпечення безпеки, що механізми антифроду не спрацювали, що аудит (перевірка) був недостатньо ретельним тощо, можна розглянути вимогу про компенсацію до біржі.

Але перед фактичними діями потрібно спочатку подивитися користувацьку угоду платформи.

Наприклад, у Gate у користувацькій угоді прописані домовленості щодо безпеки активів, відповідальності користувача, застосовного права та способу вирішення спорів. Якщо в угоді передбачено подання спорів на розгляд за кордоном, зокрема в арбітражі, наприклад у Панамі, то для звичайного користувача витрати, мовні бар’єри, процедурні моменти та “географічні” пороги зазвичай будуть досить високими.

Крім того, в біржових угодах зазвичай також вказується: якщо збитки сталися через причини, зумовлені витоком інформації облікового запису користувача, пароля, пристрою, даних особи тощо, платформа може не нести відповідальність або відповідальність може бути обмежена.

Це не означає, що користувач точно не може подавати позов. Але перед початком дій потрібно оцінити кілька питань: чи є вина платформи, чи також є відповідальність користувача, чи наявні докази можуть довести, що в антифроді платформи є дефекти, і чи виправдані витрати на вирішення спору.

(III) Публічні заяви на основі фактів і скарги для нагляду

Публічні заяви, контакти зі ЗМІ та подання скарг до регуляторних органів за місцем реєстрації біржі або за ліцензійним місцезнаходженням інколи справді можуть змусити платформу більше уваги приділяти проблемі, а також сприяти подальшому діалогу чи переговорному процесу.

Але тут слід звернути увагу на межі.

Захист прав має базуватися на фактах і доказах. Можна описувати власний досвід, публікувати відповіді платформи, ставити обґрунтовані запитання, але не вигадувати факти, не перебільшувати збитки, не здійснювати злісні атаки на платформу, і тим більше не вимагати через тиск громадської думки, щоб інша сторона мусила компенсувати, якщо немає юридичної підстави відповідати.

Інакше справа може перетворитися з захисту прав на новий юридичний ризик, наприклад на позов щодо порушення честі та гідності (наклеп/дифамація). У тяжчих випадках протилежна сторона може у відповідь висунути вимоги щодо вимагання тощо.

Справді ефективна публічна заява — це не емоційний викид, а чітке викладення доказів, таймлайну та ключових точок спору, щоб громадськість, медіа та регуляторні органи могли оцінити ситуацію.

(IV) Коли докази неясні, переговори та врегулювання також є реалістичним варіантом

Багато спорів щодо крадіжки монет біржами не вдається одразу повністю розділити відповідальність.

Користувач вважає, що антифрод платформи збоїв, а платформа вважає, що це витік інформації користувача. У обох сторін є частина доказів, але жодна сторона не може повністю довести свою позицію. У такому разі, якщо “битися до кінця”, час, витрати та невизначеність будуть надзвичайно високими.

Тому, за умови, що обидві сторони хочуть якнайшвидше зупинити збитки (止损), переговорне врегулювання, часткова компенсація та спільне просування процесу замороження і повернення коштів також можуть бути більш реалістичним способом вирішення.

Звісно, перед врегулюванням потрібно подбати про збереження доказів, чітко зафіксувати характер платежу, умови конфіденційності, домовленості щодо подальшого стягнення (recoupment), а також чи це впливає на можливість продовжувати звернення до поліції або добиватися повернення коштів.

IV. Кілька нагадувань для звичайних користувачів

По-перше, не покладайте всі надії лише на один шлях.

Після крадіжки монет паралельно (залежно від ситуації) можна просувати: кримінальне повідомлення, ончейн-трекінг, комунікації з платформою, регуляторні скарги, оцінку цивільного позову чи арбітражу. Кожен шлях має обмеження, але в сукупності вони частіше створюють і тиск, і можливості.

По-друге, профілактика до інциденту важливіша, ніж захист прав після.

Не зберігайте великі активи довго на біржі. Якщо активи можна зберігати у самостійній (self-custody) відповідальності, ретельно керуйте приватними ключами та seed-фразою; якщо активи зберігаються на платформі, використовуйте незалежні сильні паролі, апаратні безпечні ключі або passkey, обережно вмикайте **** 2FA **** хмарну синхронізацію функцію.

По-третє, KYC **** інформацію та права доступу пристроїв треба особливо берегти.

Паспортні дані, відео з обличчям, фото документа, який тримають в руках, інформація про Alipay або банківську картку: щойно ці дані потрапляють до рук зловмисників, їх можуть використовувати, щоб обійти перевірки платформи або здійснювати атаки з підміною обличчя через AI. Не надсилайте ці матеріали випадковим людям і не завантажуйте їх на незрозумілих вебсайтах, в App чи за посиланнями “підтримки”, щодо походження яких немає ясності.

По-четверте, після виявлення аномалій не зволікайте.

Якщо виникає неможливість увійти до акаунта, електронна пошта або телефон підв’язані аномально, обліковий запис біржі обмежено, раптово приходять повідомлення про виведення коштів, пристрій підозріло заражений тощо, слід негайно зупинити дії, зберегти докази, звернутися до платформи із запитом про замороження акаунта та якнайшвидше проконсультуватися з професіоналами.

Наприкінці

Повернімося до події з Gate: на даний момент факти все ще потребують подальшого розслідування, тож ми не маємо підстав заздалегідь робити висновки, коли доказів недостатньо.

Але хоча б це вона нагадує всім користувачам віртуальних криптовалют: акаунт на біржі — не “скарбниця з гарантією”. Розпізнавання обличчя, багатофакторна верифікація також не є абсолютною безпекою. AI-замін обличчя, контроль пристроїв, витік даних особи та вразливості в антифроді платформи — усе це може стати “точкою входу”, через яку активи викрадають.

Якщо станеться крадіжка монет, потрібно якнайшвидше зафіксувати докази, відстежити кошти, зв’язатися з платформою, оцінити відповідальність і обрати правильний шлях для захисту прав. Для звичайних користувачів усвідомлення безпеки завжди має бути на першому місці. Де зберігаються активи, кому передаються повноваження доступу, як зберігаються дані особи — ці, на перший погляд, дрібниці часто визначають, який обсяг шансів на порятунок у вас залишиться, коли ризик справді настане.