Xinbi Guarantee: заморозили $52,8 млн — а за неделю до этого с тех же кошельков ушло $146 млн

Xinbi Guarantee — китайскоязычная площадка, работающая в Telegram. Продавцы на ней предлагают то, что нужно скам-центрам: отмывание денег, украденные персональные данные, поддельные документы, спутниковый интернет, — а площадка держит USDT покупателя на эскроу до завершения сделки. Аналитическая компания Elliptic, которая следит за ней с 2025 года, оценивает её оборот за всё время не менее чем в $24 млрд и называет вторым по величине нелегальным онлайн-рынком в истории после Huione Guarantee.

8 сентября 2026 года с 08:00 UTC Tether заморозил кошельки площадки в операции с Секретной службой США; Elliptic сообщила о $52,8 млн, замороженных на 52 кошельках. 9 сентября Минфин США признал Xinbi транснациональной преступной организацией и опубликовал 52 адреса в Tron. Всё, что ниже, — наше собственное прочтение этих адресов в блокчейне на 4 октября 2026 года.

Xinbi не крала у собственных пользователей. Пострадали те, кто оказался на другом конце того, что продают её продавцы. Люди, которых втянули в фальшивые инвестиции и фальшивые романы — pig butchering — и чьи деньги отмывали через продавцов площадки. Люди, чьи персональные данные там продавали, чтобы использовать против них. И люди, которых удерживают в скам-центрах и заставляют вести эти схемы: площадка поставляла для этого инструменты.

Все 52 адреса из списка внесены в чёрный список Tether. Вместе на них 48 843 415 USDT. На самом крупном, TWPma8xH48AEN93x2krdukV9e1j6sPsBeS, — 10,78 млн; ещё на трёх — по 8 млн.

Это на четыре миллиона меньше объявленного, и разница лежит на 53-м кошельке. TThEzBN6SQ8ojyhofX6wahj13QkEdGGWXB заморожен в 08:04:57 UTC 8 сентября с 4 000 011 USDT, и его нет в санкционном списке. Это промежуточный кошелёк: с 4 по 7 сентября резервный кошелёк TBNjCi1d5Ns6ec5aMp28LpfKcX7xTpykAN отправлял ему по 6 млн USDT в день, а он порциями по 2 млн передавал деньги горячему кошельку площадки TXHX2NUvcgft4zs6MkkUtdNVERPTavHDWN — оба в списке есть. С ним выходит 52 843 426 USDT — те самые $52,8 млн, о которых было объявлено.

Для того, кто проверяет адреса только по санкционному списку, этого кошелька не существует. Чёрный список Tether его ловит; санкционный список — нет.

С 1 по 7 сентября 52 кошелька получили $181,5 млн в USDT с 6 113 внешних адресов и выплатили $146,0 млн на 8 256 внешних адресов — от $16 млн до $25 млн на выход каждый день. Сверх того около $620 млн они перевели между собой: обычное для эскроу-бизнеса перекладывание между резервными и горячими кошельками.

На этом фоне $52,8 млн — примерно два дня проходящих денег. Заморозка остановила кошельки, но не поймала то, что они уже выплатили.

Бегства не было. За последние восемь часов перед заморозкой кошельки выплатили $7,1 млн — в том же темпе, что и в остальные утра той недели ($4,8–8,4 млн). Последняя выплата — 2 500 USDT с горячего кошелька — ушла в 08:00:36 UTC, через тридцать шесть секунд после начала заморозки. Те, кто управлял кошельками, этого не ждали.

Мы посмотрели 300 крупнейших получателей: на них пришлось $92,3 млн, 63% оттока. Ни один из них сегодня не заморожен. Ни один получатель сам не под санкциями.

Около $13,9 млн из этого ушло прямо на депозитные адреса 22 сервисов биржевого типа — адреса, которые пересылают всё полученное на центральный кошелёк сервиса. Это счета, за которыми стоит известный сервису клиент. Публичных меток у этих сервисов нет, и мы их не называем.

Двенадцать из этих 22 сервисов нам уже встречались. В нашем разборе 9 993 жалоб на pig butchering в Tron деньги, отправленные жертвами, оказывались на депозитных адресах тех же двенадцати хабов. Деньги, о которых заявили жертвы, с одной стороны и выплаты санкционной площадки по отмыванию с другой приходят в одни и те же места.

Остальные $78 млн из топ-300 ушли на адреса вообще без меток — продавцам и их клиентам, насколько можно судить со стороны.

Обычный человек не получает выплаты от эскроу-сервиса по отмыванию денег и не заводит туда деньги. Поэтому 4 октября 2026 года мы пометили каждый адрес, который в ту неделю напрямую работал с 52 санкционными кошельками и провёл с ними не меньше 1 000 USDT: 7 834 адреса. В PublicAML у них теперь метка «нелегальные услуги» с пояснением «прямой контрагент Xinbi Guarantee» и суммами, а оценка риска — критическая. Любой, кто проверит такой адрес, — биржа, платёжный сервис, человек, которому собираются перевести деньги, — это увидит.

1 923 из них — депозитные адреса бирж и похожих сервисов. Их мы тоже пометили, и намеренно: депозитный адрес принадлежит одному клиенту, и этому клиенту платила Xinbi. Не помечали мы общие кошельки самих сервисов — горячие, сборные, кастодиальные (27 адресов): через них проходят деньги тысяч посторонних клиентов.

Как санкционные они не помечены, потому что ни в одном санкционном списке их нет. Метка говорит то, что видно в блокчейне: этот адрес вёл дела с санкционной площадкой по отмыванию. Адреса, которые провели меньше 1 000 USDT, не вошли — чтобы «пыль» и случайные переводы никого не пометили. Это одна неделя; история Xinbi намного длиннее, и список тех, кто ею пользовался, тоже.

Затем мы задали обратный вопрос: кто платил тем, кто работал с Xinbi? Мы сверили 900 крупнейших из помеченных адресов — на них пришлось три четверти всех денег, прошедших за ту неделю между Xinbi и её контрагентами, — со всем, что уже размечено в нашей базе.

В основном — ниоткуда, у чего есть имя. У 646 из 900 нет ни одного опознаваемого источника, который давал бы хотя бы десятую часть поступлений: деньги приходят с других кошельков без меток. Так рынок отмывания и выглядит снаружи — он для того и существует, чтобы источника не было видно.

С бирж. 28 адресов получили десятую часть денег или больше прямо из выводов с бирж — OKX (13), Binance (9), Gate (4), HitBTC и XT. Кто-то с аккаунтом на этих биржах выводил средства на адрес, который затем вёл дела с Xinbi.

С адресов, на которые жаловались жертвы. 16 помеченных адресов получали USDT напрямую с адресов, о которых жертвы мошенников сообщили на Chainabuse, — это выборка из нашего разбора pig butchering, — всего около 2,8 млн USDT. Один из них получил 2,29 млн USDT с одного такого адреса и отправил 59 100 USDT в Xinbi.

С замороженных кошельков. 10 адресов получали деньги напрямую с адресов, которые Tether заморозил по другим причинам. У семи выше по цепочке — деньги от кражи приватного ключа в Tron 13 сентября 2026 года, которую мы прослеживали отдельно; в двух случаях всего через три перевода. Один стоит в четырёх переводах от схемы Amir Capital.

То, чего мы не нашли, тоже показательно. В Tron нет миксеров, и их здесь нет. А связи, которым до санкционного имени пять и больше переводов, — такие есть примерно у сотни адресов — слишком длинные, чтобы что-то значить сами по себе: в Tron почти любой активный кошелёк так же близко к чему-нибудь. Их мы не считаем.

По данным Elliptic, администраторы Xinbi в ответ объявили пользователям, что переходят на USDD — стейблкоин в Tron, у которого нет эмитента, способного так же заморозить средства. На 52 кошельках из списка USDD нет; для такого перехода нужны новые адреса, которых пока нет ни в одном списке.

В этом вся суть истории. Списки называют адреса; такой бизнес меняет адреса за день. Неизменным остаётся место, где деньги должны выйти, — депозитные счета в сервисах, которые знают своих клиентов.

Xinbi признана преступной организацией решением Минфина США; мы это решение не проверяли и не оспариваем — мы прочитали её кошельки. Описание площадки — Elliptic. Страница не называет ни одного человека. Метка на адресе-контрагенте говорит, что он вёл дела с Xinbi, а не что сделал его владелец и кто он: продавец, покупатель его услуг и адрес, который только передал деньги дальше, в блокчейне выглядят одинаково. Потоки — это переводы USDT 52 адресов из списка с 1 по 9 сентября 2026 года; балансы и статус заморозки — на 4 октября 2026 года. Разбивка получателей охватывает только 300 крупнейших; разметка — всех прямых контрагентов с оборотом от 1 000 USDT.