План реагирования на крипто-инцидент для компании: первые 60 минут

План реагирования на крипто-инцидент — это заранее записанный порядок действий на случай кражи средств, утечки ключа или атаки на контракт: кто принимает решения, что останавливают первым, кому пишут и что говорят клиентам. Главное, что он даёт, — скорость. Вечером 29 октября 2026 года, по данным FinanceFeeds и The Crypto Times, с горячих кошельков Binance за минуты ушли $3,3–3,55 млрд (оценки Blockaid и аналитика Spreek, по данным The Block), а Tether и Circle заморозили около $1,79 млрд стейблкоинов; сама Binance, по данным на 30.10.2026, 01:30 МСК, влияние на средства пользователей не подтвердила, ситуация развивается. Разбор события — в отдельном материале, а здесь — что подготовить вашей компании.

Роли до инцидента

У каждой роли должен быть заместитель, а контакты — в месте, доступном без рабочей почты и мессенджера, которые тоже могут быть скомпрометированы.

Первые 15 минут

1. Подтвердите инцидент: посмотрите транзакции в обозревателе, а не только алерт.
2. Соберите руководителя, исполнителя и подписантов в заранее согласованном канале.
3. Остановите сервис подписи горячего кошелька и все автоматические выплаты.
4. Если в контракте есть пауза — включите её.
5. Зафиксируйте время, адреса и хэши транзакций в журнале инцидента.

Минуты 15–60

1. Переведите незатронутые остатки с потенциально скомпрометированных адресов на новые, созданные на чистых устройствах.
2. Отзовите разрешения (approve), которые скомпрометированный адрес выдавал контрактам.
3. Если украдены USDT или USDC — немедленно обратитесь к эмитенту с адресами и хэшами: Tether и Circle могут заблокировать адрес получателя в контракте токена.
4. Отправьте адреса злоумышленника биржам и сервисам, куда могут пойти средства, с просьбой о блокировке.
5. Сообщите партнёрам, интеграции которых зависят от ваших адресов, чтобы они не отправляли средства на скомпрометированные кошельки.
6. Подготовьте первое сообщение клиентам.

Заморозка у эмитентов: что важно знать

У крупных стейблкоинов в контракте есть механизм блокировки адресов. Эмитент может заморозить средства на адресе злоумышленника, если успеет до того, как их обменяют на другой актив. Поэтому запрос эмитенту — одно из первых действий, а контакты отделов безопасности Tether и Circle стоит найти заранее и вписать в план.

Коммуникация

Молчание порождает слухи, а поспешные заявления — юридические проблемы. Формула первого сообщения: что мы знаем, что мы сделали, что пользователю нужно сделать или не делать, когда следующее обновление.

• Пишите факты и время: «в 21:40 МСК мы обнаружили…», а не «небольшие технические проблемы».
• Разделяйте подтверждённое и предполагаемое.
• Говорите, что пользователю делать: не отправлять средства на старые адреса, отозвать разрешения, проверить официальный канал.
• Предупредите о фишинге: после инцидента мошенники рассылают «компенсации» и «формы возврата».
• Обещайте только то, что точно выполните, включая время следующего сообщения.

После инцидента

1. Найдите первопричину: ключ, интерфейс, контракт, сотрудник, подрядчик.
2. Закройте её и проверьте, нет ли такой же проблемы в других местах.
3. Смените все ключи и доступы, которые могли быть затронуты.
4. Обновите план реагирования по итогам: что заняло больше времени, чем должно.
5. Опубликуйте отчёт для клиентов, если инцидент их затронул.

Как устроить хранение так, чтобы инцидент затронул меньше средств, — в статье горячий и холодный кошелёк компании. Как увидеть атаку раньше — в статье о мониторинге.

Учения

План, который ни разу не проверяли, не работает. Раз в квартал проводите учение в тестовой сети: алерт о смене администратора, сбор подписантов, пауза, перевод на новый адрес. Замеряйте время каждого шага. Если сбор подписей занимает три часа, порог или состав подписантов нужно менять.

Что держать готовым заранее

• Список всех адресов компании с ролями и сетями.
• Контакты отделов безопасности эмитентов стейблкоинов и бирж, с которыми вы работаете.
• Шаблоны сообщений клиентам и партнёрам.
• Заранее созданные резервные адреса на чистых устройствах, куда можно перевести остатки.
• Инструкцию по включению паузы и остановке сервиса подписи.
• Список подрядчиков с доступами, которые могут быть затронуты.

Учебная хронология

Условный пример, чтобы показать ритм. 21:40 — алерт о крупном выводе с горячего кошелька. 21:42 — дежурный подтверждает транзакцию в обозревателе и останавливает сервис подписи. 21:45 — руководитель инцидента собирает подписантов. 21:55 — запрос эмитенту стейблкоина с адресом и хэшами. 22:10 — остатки тёплого уровня переведены на резервный адрес. 22:20 — первое сообщение клиентам. Если в вашей компании этот путь занимает часы, начните с учений.

Юридическая сторона

Обращение в правоохранительные органы и к эмитентам требует официальных документов: заявление, хэши транзакций, адреса, хронология. Подготовьте шаблон заявления заранее и решите, кто его подписывает. Если инцидент затронул персональные данные клиентов, например базу KYC, в России действуют сроки уведомления Роскомнадзора по 152-ФЗ — это отдельный пункт плана, его стоит согласовать с юристом. Хронология, которую ведёт руководитель инцидента, станет основой всех этих документов, поэтому записывайте время каждого шага.

Где мы можем помочь

Мы готовим планы реагирования, настраиваем мониторинг и паузу, проводим учения. При активном инциденте на сайте или сервере работает экстренная помощь, а после взлома — восстановление после взлома. Блокчейн-часть — в рамках услуги мониторинг контрактов и реагирование на инциденты. Оценить ущерб поможет калькулятор ущерба от инцидента.