Pig butchering в Tron: мы прошли за деньгами из 9 993 жалоб пострадавших

Chainabuse — крупнейшая открытая база жалоб на криптомошенничество. Жалобу может оставить любой, обычно с адресом, на который он платил. Мы взяли все жалобы в трёх категориях — pig butchering (1 999; выдача сайта обрывается около 2 000), романтические аферы (1 622) и платформы с фальшивой доходностью (6 372) — и извлекли адреса Tron. Tron важен потому, что такие аферы оплачиваются в основном в USDT на Tron.

Прежде чем делать выводы об адресе, мы проверили, что это такое. 38 из 2 197 — горячие кошельки бирж, которые пострадавшие указали по ошибке: это место, где они купили USDT, а не куда он ушёл. Их мы исключили. 132 — депозитные адреса бирж: пострадавшему велели платить прямо на счёт на бирже. Этот счёт принадлежит тому, кто его открыл, и это самая полезная зацепка во всём наборе — биржа знает, кто это.

По оставшимся 2 154 мы прочитали историю USDT. Активность была у 1 895; 855 получали USDT от 10 и более разных отправителей, а 110 — больше чем от 100. Это намного больше, чем один пострадавший на адрес. Большинство этих людей жалобу так и не оставили.

Полезный вопрос — не что сделал один адрес из жалобы, а куда несколько таких адресов отправляют деньги. Среди всех получателей 115 кошельков получают USDT от четырёх и более разных адресов из жалоб. Многие из них биржи. Некоторые — нет.

`TRZxeXSWnqsJzSt712WYBaxmydxVFBTkP6` получал деньги от 7 адресов из жалоб. Если прочитать его самого, через него прошло 92,7 млн USDT от 70 отправителей с 1 мая по 2 июля 2025 года, и почти всё ушло в три кошелька без публичных меток: 48,0 млн на TYzyB3X64PpkAXaQ46Mr2pnaiUAWtPXViE, 17,6 млн на TKLLW7yFdvUUCDeHDs3MTjbGrR1TArRy3f и 16,0 млн на TPBrDxaepqeUm3WzxCAdWKaggq9qg6kpBV. С тех пор он неактивен.

`TVE1KMVZucBDjoYeBjxbtvcXgDV2k9PYwj` и `TRkHJNBxFpP9waNqGcRmP4R3sNk3VoNKot` пополняли 9 и 7 адресов из жалоб. Они работали ровно в одни и те же три недели, с 10 сентября по 3 октября 2023 года, и оба отправляли деньги в одни и те же два кошелька, TVVKHDrwid1VW9XrTewjpM2grFbRspv4NS и TVReU4Zz7h7jHwvYkzhT6gnCXwyWV8AccS, — вместе около 6,3 млн из 10,7 млн полученных. Два сборщика, работающих в одно окно в одни и те же точки, — так в блокчейне выглядит одна операция.

`TEion5ow2fkZVCw24PjB4cB7h8oHxbDXgB`, на который есть одна жалоба, только за последние 10 000 переводов (с августа 2025 года) принял 57,8 млн USDT от 1 553 отправителей и активен до сих пор; крупнейший его вывод идёт на TUXcBqJSUqb62oqtowFZgrohUQCbRyxBgJ. `TJnJeormPeDNLSA5Qo4obXJH4e6H5yw2tW` получал деньги от 7 адресов из жалоб, с декабря 2022 года принял 12,3 млн от 1 094 отправителей, активен и частично выплачивает через депозитные счета одной биржи, например TTHycaY6HJSwd6QnUMHqaKZ3HwfXRVjPuj.

Деньги с адресов из жалоб выходят через 184 депозитных счёта бирж. Большинство принадлежат нескольким биржам, чьи депозитные сети мы видим, но здесь не называем; остальные — на Binance, Kraken, Bybit и HitBTC. Депозитный счёт — это не деньги самой биржи, а счёт клиента, и клиент бирже известен.

Четыре адреса HuionePay получили около 1,63 млн USDT от адресов из жалоб, из них 1,17 млн — на один TMqDrZa5kEebg5wi3W3wusVZ6ZF2w6JczH. Минфин США прямо называл Huione каналом отмывания денег от таких афер.

Жалоба — это заявление, а не вывод. Жалобы на Chainabuse анонимны, и часть из них заводится пачками: 105 жалоб на одну фальшивую торговую платформу написаны по пяти шаблонам. Поэтому мы считали отправителей в блокчейне, а не жалобы. И поэтому одна жалоба в нашей системе не поднимает оценку риска адреса; адреса с многими независимыми жалобами или те, в которые стекаются деньги из нескольких жалоб, — вот где мы работаем над тем, чтобы её поднять.

Страница никого не называет и не говорит, кто управляет каким-либо кошельком. Крупные узлы описаны тем, что они получили и от кого. Горячие кошельки бирж, указанные по ошибке, не перечислены. Полные данные по адресам передаются нашей команде оценки риска, чтобы сверить адреса из жалоб с базой инцидентов.