MSTR Cat

Криптоправо/Уровень VI · Поведение на рынке/6.2 Инсайдеры и раг-пуллы/Урок 6

Хакерские атаки и эксплойты как кража

Почему аргумент «код это разрешал» не помешал прокурорам США предъявлять обвинения за эксплуатацию смарт-контрактов по статьям о компьютерном мошенничестве, мошенничестве с использованием средств связи и отмывании денег, и где суды стали возражать.

Это образовательный материал, а не юридическая, налоговая или инвестиционная консультация. Законодательство о криптоактивах различается от страны к стране и от штата к штату и часто меняется. Прежде чем действовать, уточните действующие правила по месту жительства у квалифицированного юриста или налогового консультанта.

Экономный путь

Самый дешёвый, с наименьшими налогами, самый простой и самый приватный путь, который допускает закон, — от лучшего к худшему. Для каждого шага указано, на какой норме он основан и при каком условии остаётся законным.

  1. Разработчикам: самая дешёвая юридическая защита — это план реагирования на инциденты, составленный до запуска, в котором указано, кто сохраняет логи и хеши, фиксирует адреса атакующих и связывается с IC3, эмитентами стейблкоинов и криптобиржами. Сообщение о происшествии ничего не стоит; задержка лишает возможностей для заморозки активов.
  2. Протокол-жертва может подать гражданский иск по 18 U.S.C. §1030(g) о возмещении убытков и получении судебного запрета, параллельно с любым уголовным делом. Нюанс: он должен быть подан в течение 2 лет с момента совершения акта или обнаружения ущерба.
  3. Не существует дешёвого законного способа удержать средства, полученные через эксплуатацию: аргумент «код это разрешал» не помешал приговору Ахмеда в 2024 году к трём годам лишения свободы и конфискации около $12,3 млн. Законной альтернативой является сообщение об уязвимости в рамках опубликованной программы bug bounty.
  4. Никогда не получайте и не переводите средства, прослеживаемые до эксплуатации или санкционных акторов, таких как те, которые FBI связало с кражей с Bybit в феврале 2025 года. Проверка по бесплатному списку санкций OFAC ничего не стоит; гражданские санкции обычно предполагают строгую ответственность (strict liability).

Материалы18 U.S.C. §1030, Computer Fraud and Abuse Act (на law.cornell.edu)Сообщение Министерства юстиции США от апреля 2024 года об приговоре Шейкаб Ахмеду и сообщение от февраля 2025 года о предъявлении обвинений МеджедовичуПубличное предупреждение FBI от 26 февраля 2025 года о краже с криптобиржи BybitУроки 6.1.4 (фронт-раннинг и MEV) и 6.1.5 (дело Mango Markets)

Любопытство

  1. Если смарт-контракт позволил мне вывести средства, как это может считаться кражей?
  2. По каким федеральным законам прокуроры предъявляют обвинения эксплуататорам DeFi?
  3. Что протокол или его пользователи могут сделать после эксплуатации, кроме обращения в полицию?

Исследование

  1. Некоторые эксплуататоры утверждают, что смарт-контракт является всей сделкой, и поэтому всё, что разрешает его код, считается допустимым. Прокуроры США отвергли эту точку зрения. Они предъявляют обвинения за эксплуатацию по Computer Fraud and Abuse Act (18 U.S.C. §1030), который среди прочего наказывает за умышленный доступ к защищённому компьютеру без авторизации или превышение полномочий с намерением обмануть; по закону о мошенничестве с использованием средств связи (18 U.S.C. §1343), если эксплуатация основана на введении в заблуждение, таком как поддельные цены или манипулированные входные данные; и по законам об отмывании денег, когда выручка мостится, смешивается или обменивается для сокрытия её происхождения. Суды всё ещё определяют границы применения этих норм.
  2. Первое осуждение за взлом смарт-контракта состоялось в Южном округе Нью-Йорка. Шейкаб Ахмед, старший инженер по безопасности, чьё резюме включало реверс-инжиниринг смарт-контрактов и аудит блокчейна, использовал поддельные данные о ценах в июле 2022 года, чтобы сгенерировать около $9 млн завышенных комиссий на одной децентрализованной бирже. Спустя несколько недель он эксплуатировал Nirvana Finance, выведя около $3,6 млн — практически все средства протокола; вскоре после этого Nirvana прекратила работу. Он отмывал выручку через мосты, Monero и миксеры. В декабре 2023 года он признал себя виновным по одной статье о компьютерном мошенничестве.
  3. 12 апреля 2024 года судья Виктор Марреро приговорил Ахмеда к трём годам лишения свободы и трём годам испытательного срока, постановил конфисковать около $12,3 млн и значительное количество криптовалюты, а также выплатить более $5 млн в качестве возмещения двум жертвам. В феврале 2025 года прокуроры из Восточного округа Нью-Йорка раскрыли обвинительный акт против канадца Андена Меджедовича по статьям о мошенничестве с использованием средств связи, компьютерном взломе, попытке вымогательства и отмывании денег. Они утверждают, что он использовал заёмные средства для создания искусственных цен и опустошил пулы KyberSwap и Indexed Finance на сумму около $65 млн. На момент предъявления обвинений он находился в розыске.
  4. Не каждое преследование увенчалось успехом. Обвинения Авраама Айзенберга в мошенничестве и манипуляциях по делу Mango Markets были отменены судьёй первой инстанции в мае 2025 года, частично потому, что доказательства не показали ложного заявления; апелляция правительства рассматривается в уроке 6.1.5. Дело Антона и Джеймса Перайре-Буэно, которых обвиняли во выводе около $25 млн за 12 секунд через процесс создания блоков Ethereum, завершилось отменой приговора (mistrial) в ноябре 2025 года (урок 6.1.4). Для разработчиков послание неоднозначное: за эксплуатацию регулярно предъявляют обвинения, но вопрос о том, как далеко право о мошенничестве распространяется на «манипулятивную» торговлю против кода, всё ещё решается.
  5. Уголовное право — лишь один из путей. Computer Fraud and Abuse Act позволяет лицу, понёсшему соответствующий ущерб или потери, подать гражданский иск о возмещении убытков и получении судебного запрета (18 U.S.C. §1030(g)). Эмитенты стейблкоинов и криптобиржи могут заморозить активы, которыми они управляют. Государственные акторы создают вопросы в сфере санкций: 26 февраля 2025 года FBI приписало кражу около $1,5 млрд с криптобиржи Bybit (произошедшую примерно 21 февраля 2025 года) Северной Корее, которую оно называет «TraderTraitor», и призвало сервисы блокировать связанные адреса. Любое обращение с такими средствами несёт риск санкционных последствий (урок 5.2.5).
  6. Практический план реагирования для разработчиков стоит составить до запуска. В нём должно быть указано, кто сохраняет логи и хеши транзакций, кто фиксирует адреса атакующих и кто связывается с IC3 (FBI), затронутыми эмитентами стейблкоинов и крупными криптобиржами. Также следует определить, кто может вступать в контакт с атакующим и что можно ему предложить (урок 6.2.7). Не обещайте никому иммунитет от преследования; частный протокол не может его предоставить. Пользователи должны знать, что умышленное получение или перевод украденных средств само по себе может быть предъявлено как отмывание денег, независимо от того, что говорит эксплуататор о коде.

Ключевые факты

  • 18 U.S.C. §1030(a)(4) наказывает за умышленный доступ к защищённому компьютеру без авторизации или превышение полномочий с намерением обмануть и тем самым получить что-либо, имеющее ценность.
  • Шейкаб Ахмед признал себя виновным по одной статье о компьютерном мошенничестве в декабре 2023 года в том, что прокуроры назвали первым осуждением за взлом смарт-контракта.
  • 12 апреля 2024 года Ахмед был приговорён к трём годам лишения свободы и обязан был конфисковать около $12,3 млн и выплатить более $5 млн в качестве возмещения.
  • В феврале 2025 года прокуроры из Восточного округа Нью-Йорка предъявили Андену Меджедовичу обвинения по статьям о мошенничестве с использованием средств связи, компьютерном взломе, попытке вымогательства и отмывании денег за вывод около $65 млн из KyberSwap и Indexed Finance.
  • 18 U.S.C. §1030(g) позволяет лицу, понёсшему соответствующий ущерб или потери в результате нарушения, подать иск о возмещении убытков и судебном запрете (injunctive relief).
  • 26 февраля 2025 года FBI приписало кражу около $1,5 млрд с криптобиржи Bybit северокорейским акторам, которых оно называет «TraderTraitor».

Упражнение девять, шесть, три, один

9СобратьПеречислите до 9 фраз, которые человек может использовать для оправдания вывода средств через баг смарт-контракта (некоторые списки короче), например: «код это разрешал», «это была арбитражная сделка» или «я планировал вернуть деньги».
6СгруппироватьРазделите их на 6 категорий: аргументы об авторизации, о введении в заблуждение, о намерении вернуть средства, о справедливости рынка, о том, кто является жертвой, и аргументы, которые являются лишь предлогами.
3Выделить главноеСведите 6 категорий к 3 группам: аргументы, которым суды придали значение; аргументы, отклонённые прокурорами; и аргументы, эффективность которых ещё проверяется.
1КристаллизоватьНапишите 1 предложение, объясняющее своими словами, почему разрешение смарт-контракта на проведение транзакции не определяет, была ли эта транзакция законной.

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

Открыть в интерактивной академии →

EN PT ES ZH JA KO DE FR MS