- Елена РузлеваРедакция Forbes
На прошлой неделе криптобиржа Grinex, считающаяся наследницей закрывшейся биржи Garantex, сообщила о том, что была атакована западными спецслужбами. В результате из системы пропали токены на 1 млрд рублей. Какими именно спецслужбами была атакована площадка, в сообщении не уточнялось. Но с тех пор Grinex не работает. Что произошло с биржей — отвечаем на ключевые вопросы
Что случилось?
Вечером 16 апреля криптобиржа Grinex сообщила, что ее атаковали западные спецслужбы и похитили средства российских пользователей на сумму более 1 млрд рублей. В этом сообщении биржа заявила о «беспрецедентном уровне ресурсов и технологий», доступных исключительно на государственном уровне, и что целью атаки было нанесение «ущерба финансовому суверенитету России».
Площадка приложила список из 54 кошельков, с которых пропали USDT — привязанные к доллару стейблкоины, эмитированные компанией Tether. Сумма оценивается в 13,7 млн USDT. При этом биржа уверяет, что все украденные токены были конвертированы в сети Tron и оказались на одном кошельке, сумма на котором равнялась 15 млн USDT. Grinex, ссылаясь на этот инцидент, приостановила работу, она не возобновлена до сих пор.
Что такое Grinex?
Крипторублевая биржа Grinex заработала в 2025 году. Она зарегистрирована в Киргизии и ориентируется на российских клиентов. Там же в феврале 2025 года зарегистрирован первый российский стейблкоин A7A5, представленный на бирже. Все это вместе представляет собой инфрастуктуру для проведения трансграничных платежей в условиях санкций, введенных в том числе ЕС, США и Великобританией в ответ на «спецоперации»* на Украине.
Руководитель проекта А7А5 Олег Огиенко ранее сообщал, что через эту валюту идет значительный объем российских внешнеторговых расчетов — порядка 10%. В пресс-релизе на сайте проекта a7a5.kg при его запуске отмечалось, что криптовалюта обеспечена рублевыми депозитами в ПСБ (Промсвязьбанке) неких заинтересованных в использовании стейблкоина компаний. В проекте стейблкоина участвует также молдавский предприниматель Илан Шор. Все участники этой инфраструктуры находятся под санкциями. Пресс-служба Grinex ранее сообщала Forbes, что российский банк ПСБ или компания «А7» «не участвуют в бирже».
Как появилась Grinex?
До появления биржи Grinex существовала другая криптоплощадка — Garantex, попавшая под санкции в 2022 году. По версии американских властей, Garantex «способствовала отмыванию денег транснациональными преступными организациями, включая террористические организации, и нарушению санкций». По данным США, биржей управляли живший в России гражданин Литвы Алексей Бесчоков (его фамилию также переводили как Бещеков) и живущий в ОАЭ гражданин России Александр Мира Серда. Бесчоков умер в августе прошлого года в индийской тюрьме, ожидая экстрадиции.
Garantex фактически прекратила свое существование после того, как эмитент USDT Tether заблокировал на кошельках пользователей USDT на сумму около 2,5 млрд рублей. Тогда же, в марте прошлого года, Минюст США совместно с Финляндией и Германией вывел из строя инфраструктуру Garantex. В 2025 году секретная служба США конфисковала домены российской криптовалютной биржи Garantex. Но в своем сообщении Grinex указывает, что в 2025 году получила доступ к клиентской базе и инфраструктуре криптобиржи Garantex.
Кто клиенты биржи?
Среди пользователей Grinex достаточно много физических лиц, говорит аналитик криптовалют Виктор Першиков. Но тем не менее это неосновная аудитория проекта. «Все биржи, которые отстраивались последние годы в Киргизии, то есть вне контура России, в первую очередь работали и продолжают работать на интересы российского ВЭДа на фоне ограничений в банковских взаиморасчетах с контрагентами за рубежом», — говорит Першиков.
Так что основные клиенты, вероятнее всего, юрлица из России и СНГ, которым нужно конвертировать рубли для трансграничных операций, говорит Першиков. Сама биржа подтверждает, что ориентирована на бизнес-операции и инвестиции русскоязычных пользователей.
Как была проведена атака?
Пресс-служба Grinex описывает произошедшее таким образом: сначала украденные активы в USDT в течение пяти минут были направлены на два промежуточных кошелька в сети Tron. Затем они были конвертированы в валюту TRX — нативный или специально созданный токен для работы блокчейн-сети Tron.
Теперь средства лежат на одном кошельке, который указала Grinex в своем сообщении, и никуда не перемещаются. «Преступники не только не пытались скрыть или размыть свои следы, а наоборот, сделали все, чтобы их действия были у всех на виду», — говорит представитель криптобиржи.
По факту кражи площадка обратилась в МВД. При этом, судя по сообщению аналитиков TRM Labs, атака на Grinex была не единственной в тот день — взлому подвергся также киргизский сервис TokenSpot, который связывают с Grinex.
С этой платформы было выведено лишь $5000. Сама платформа, правда, заявляла о неких технических работах. Аналитики TRM считают, что TokenSpot — часть обширной инфраструктуры, связанной с Grinex, Garantex и платежным агентом А7 Илана Шора и ПСБ. Также сообщалось, что был взломан и неназванный криптообменник в Москве, говорит независимый эксперт по крипторасследованиям Григорий Осипов.
Кто атаковал Grinex?
Судя по возможностям, продемонстрированным США в случае с Garantex, версия Grinex об участии «западных спецслужб» может иметь под собой основания, считает эксперт по информационной безопасности CaseCrypt Антон Редозубов. По его словам, это не просто кража криптовалюты, а «многоуровневая автоматизированная атака с почти мгновенной конвертацией активов в токены».
Но в случае с Garantex действия OFAC, Минюста США и международных правоохранительных органов, в том числе Интерпола, были публичными. Партнер Nasonov&Partners Алексей Насонов, сравнивающий оба кейса, считает, что это неважно. «Bыступали ли они заказчиками взлома, предоставляли ли они технологическую поддержку или просто стояли рядом — не имеет значения, для меня инициатива идет со стороны Запада», — говорит он.
Однако открытые данные пока не содержат ни технического отчета, ни независимого подтверждения участия государственного игрока. Так что это гипотеза, а не установленный факт, говорит основатель финтех-платформы SharesPro Денис Астафьев. Независимый эксперт по крипторасследованиям Григорий Осипов, сравнивая случаи Garantex и Grinex, говорит, что сценарии не совпадают: в случае с Garantex компания-эмитент USDT Tether тут же заблокировала эти токены. Об этом же писали ведущие мировые криптоаналитики, например Chainalysis.
Есть ли другие версии?
Еще одна версия, которая появилась в первые часы после кражи активов, — exit-scam. То есть что атака была инсценировкой для того, чтобы основатели проекта могли вывести средства с биржи и исчезнуть. Такие схемы использовались многократно: биржа объявляет о взломе, ссылается на внешнего противника, приостанавливает работу, а средства теряются, говорит партнер Digital & Analogue Partners Юрий Брисов.
«У Grinex есть прямой мотив — они под санкциями OFAC и ЕС, операционные риски нарастают, а легализация полученной ликвидности становится все сложнее», — предполагает он. Антон Редозубов из CaseCrypt сомневается в таком сценарии, потому что при нем будто бы наблюдается хаотичный ручной вывод криптовалюты. Доказательств инсценировки не нашли и аналитики BitOK, говорит основатель этого проекта Дмитрий Мачихин.
А что еще?
Наиболее вероятная версия, если оставить за скобками атаку спецслужб, — это компрометация внутренней инфраструктуры биржи на фоне слабого операционного контроля, считает консультант IPN Partners Дарья Петрухина. В частности, пользовательские средства и операционные кошельки могли быть недостаточно защищены и изолированы друг от друга.
Атака могла быть как внешней, с доступом к ключам, так и следствием использование инсайдерских данных, считает Петрухина. «При этом сама архитектура системы и условия работы под санкциями — ограниченный доступ к провайдерам, деградация контроля — создают почву для подобных инцидентов», — считает она.
Инфраструктура Garantex была скомпрометирована в марте 2025 года, ее клиентская база и часть кошельков перешли к Grinex, и любой, у кого был доступ к ключам, мог его использовать, говорит Юрий Брисов. В этот сценарий укладывается одновременная атака на Grinex и небольшую компанию TokenSpot. «Скоординированная компрометация двух связанных площадок в один момент времени — признак согласованного действия лиц, имевших доступ к обеим системам», — отмечает он.
Произошедшее с Grinex напоминает классический криминальный налет, а не политическую диверсию, добавляет Дмитрий Мачихин из BitOK, а версия про спецслужбы, скорее, похожа на попытку менеджмента оправдать провалы в безопасности.
Что будет с деньгами?
Похищенные активы отследили, однако юридических механизмов для их возврата фактически нет, говорит Мачихин. «Grinex находится под международными санкциями, что делает сотрудничество с правоохранительными органами других стран невозможным», — говорит он.
Сама Grinex заявляет, что работает с «ведущими экспертами по блокчейн-криминалистике», чтобы отслеживать движение выведенных средств и препятствовать их использованию.
Как это влияет на Россию?
Сумма потерь для корпоративной аудитории Grinex несущественная, но важен сам факт остановки инфраструктуры для проведения внешнеторговых платежей, говорит Денис Астафьев из SharesPro. «Контрагентам придется в срочном порядке искать альтернативные маршруты расчетов, нести транзакционные издержки и объяснять паузы партнерам. Краткосрочно это просадка оборотов и рост стоимости операций для всей цепочки», — говорит он.
Остановка работы Grinex бьет по ликвидности токена А7А5, который используется для расчетов с иностранными контрагентами, объясняет Юрий Брисов из Digital & Analogue Partners. По его словам, это потеря площадки для ликвидности и репутационный ущерб на фоне уже действующих санкций. Более широкий эффект — дальнейшее снижение доверия к инфраструктурам, построенным вокруг санкционно-токсичных активов. «Любой бизнес, рассматривавший использование A7A5 для расчетов, теперь получил наглядную демонстрацию», — говорит он.
Заработает ли биржа Grinex?
Представитель биржи на условиях анонимности рассказал, что после нанесенного инфраструктуре ущерба невозможно обеспечить безопасность операций. «Работа биржи приостановлена, проводится восстановление инфраструктуры», — говорит он.
Алексей Насонов из Nasonov&Partners считает, что шансы на восстановление в прежнем виде у Grinex невысоки, поэтому он полагает, что площадка будет перезапущена в новой оболочке. «Перерождение Garantex уже доказало, что этого «феникса» не сломить. Да, остановка площадки спровоцировала операционный разрыв для компаний. Потеря делает использование А7А5 крайне затруднительным и дорогим в моменте, но все поправимо. Думаю, вскоре на рынке может появиться очередная реинкарнация биржи на букву G», — резюмирует Дмитрий Мачихин.
* Согласно требованию Роскомнадзора, при подготовке материалов о специальной операции на востоке Украины все российские СМИ обязаны пользоваться информацией только из официальных источников РФ. Мы не можем публиковать материалы, в которых проводимая операция называется «нападением», «вторжением» либо «объявлением войны», если это не прямая цитата (статья 57 ФЗ о СМИ). В случае нарушения требования со СМИ может быть взыскан штраф в размере 5 млн рублей, также может последовать блокировка издания.
Источник: www.forbes.ru
