EN

Выкуп вымогателям в крипте: санкционный риск OFAC

Редакция TopAMLОпубликовано 8 ноября 20265 мин чтения

Выплата выкупа программе-вымогателю в криптовалюте может нарушить санкционное законодательство США, если под санкциями находится сам вымогатель или биржа, через которую он выводит деньги. OFAC может наказать за такой платёж, даже если плательщик об этом не знал, а правительство США настоятельно не рекомендует платить вообще. Для всех остальных монеты, которые ведут к ransomware, — метка высокого риска в AML-отчёте: биржам и банкам прямо предписано следить за такой связью.

Что говорится в предупреждении OFAC

21 сентября 2021 года OFAC, подразделение Минфина США, выпустило «Обновлённое предупреждение о потенциальных санкционных рисках содействия выплатам выкупа вымогателям». Оно заменило предыдущее предупреждение от 1 октября 2020 года.[1]

Главное:

  • Правительство США настоятельно не рекомендует платить. Это касается всех частных компаний и граждан. Вместо этого предлагается вкладываться в защиту и устойчивость.[1]
  • Посредники тоже под риском. OFAC называет финансовые организации, компании по киберстрахованию и фирмы цифровой криминалистики и реагирования на инциденты. Те, кто платит за жертву, тоже могут нарушить правила OFAC.[1]
  • Ответственность строгая. OFAC может наложить гражданский штраф, даже если человек не знал и не должен был знать, что сделка запрещена.[1]
  • Лицензию получить вряд ли удастся. Заявки на выплату выкупа рассматриваются индивидуально, с презумпцией отказа.[1]
  • Оплата ничего не гарантирует. OFAC отмечает, что нет гарантии ни возврата данных, ни защиты от новых атак.[1]

Документ носит разъяснительный характер. В нём сказано, что он не имеет силы закона и не меняет действующие нормы.[1] Эта статья тоже не юридическая консультация.

Что смягчает ответственность

OFAC перечисляет смягчающие обстоятельства, которые учтёт при разбирательстве:[1]

  • реальные шаги по усилению кибербезопасности — офлайн-резервные копии, план реагирования на инциденты, обучение сотрудников, протоколы аутентификации;
  • собственное и полное сообщение об атаке в правоохранительные органы или другие ведомства, например CISA, как можно скорее после обнаружения. OFAC считает это добровольным раскрытием;
  • полное и постоянное сотрудничество, включая технические детали, требование выкупа и платёжные инструкции.

Если эти шаги сделаны, OFAC с большей вероятностью закроет дело непубличным ответом — письмом об отсутствии мер (No Action Letter) или предупредительным письмом (Cautionary Letter).[1]

Кого OFAC уже внёс в санкционный список

В предупреждении перечислены прежние санкции против вымогателей. Среди них — разработчик Cryptolocker (2016), два гражданина Ирана, связанные с SamSam (2018), и Lazarus Group, которую документ связывает с WannaCry 2.0 (2019). Упомянута и Evil Corp с её лидером — санкции в декабре 2019 года за вредонос Dridex.[1]

В день выхода предупреждения OFAC ввёл санкции против SUEX OTC, S.R.O. — обменника виртуальных валют. По данным Минфина, SUEX обрабатывал доходы как минимум восьми вариантов программ-вымогателей. Более 40% его известных транзакций были связаны с незаконными участниками. Минфин назвал это первыми санкциями против обменника виртуальных валют.[2]

8 ноября 2021 года OFAC добавил Chatex, ещё один криптообменник. По данным Минфина, больше половины известных транзакций Chatex были связаны с незаконной или высокорисковой активностью — даркнет-рынками, высокорисковыми биржами и вымогателями. Chatex использовал SUEX как промежуточную биржу. Под санкции попали и три компании, строившие инфраструктуру Chatex: IZIBITS OU, Chatextech SIA и Hightrade Finance Ltd. В том же решении — два человека, связанные с вымогателем Sodinokibi/REvil: Ярослав Васинский и Евгений Полянин.[3]

Видна закономерность. Санкции не ограничиваются хакерами — они доходят до обменников, которые превращают выкуп в деньги. Как устроены такие списки, мы разбирали в статье о санкционных криптоадресах OFAC.

Что советуют CISA и ФБР

ФБР на своей странице о вымогателях на IC3 говорит прямо: оно не поддерживает выплату выкупа. Причин три. Оплата не гарантирует возврат данных. Она побуждает преступников атаковать новых жертв. И она мотивирует других заниматься тем же.[4]

ФБР просит подавать заявление на ic3.gov и указывать вариант вымогателя, тип криптовалюты и адрес, сумму требования и то, был ли платёж.[4]

Руководство CISA #StopRansomware подготовили CISA, ФБР, АНБ и MS-ISAC. В нём перечислено, куда сообщать: в CISA, местное отделение ФБР, IC3 или местный офис Секретной службы США.[5] OFAC называет те же ведомства и также просит сообщать в киберподразделение Минфина (OCCIP).[1]

Почему связь с ransomware — красный флаг в AML-отчёте

В ноябре 2021 года FinCEN обновил своё предупреждение о вымогателях для финансовых организаций. Один из красных флагов — адрес клиента или контрагента, связанный с вариантами вымогателей, выплатами или сопутствующей активностью. FinCEN пишет, что такие связи видны в открытых источниках, коммерческой или государственной аналитике.[6]

Коммерческую аналитику и дают AML-сервисы. Если в отчёте есть доля «ransomware», значит, часть средств ведёт к адресам, связанным со сбором или отмыванием выкупа. FinCEN называет и другие флаги, которые часто стоят рядом: миксеры, быстрые обмены в анонимные монеты и обменники в высокорисковых юрисдикциях со слабым AML-регулированием.[6]

При этом FinCEN подчёркивает: ни один флаг сам по себе не доказывает незаконность, нужно смотреть на все обстоятельства.[6] Поэтому небольшая и отдалённая доля не обязательно приведёт к заморозке. А прямая связь или связь с обменником под санкциями вроде SUEX или Chatex добавляет ещё и санкционный риск. Как сервисы помечают оба случая — в категориях «Программы-вымогатели» и «Санкции».

Что делать

  1. Если вы жертва — сначала сообщите. Обратитесь в ФБР через ic3.gov или местное отделение и в CISA. OFAC считает быстрое и полное сообщение важным смягчающим обстоятельством.[1]
  2. Не считайте платёж законным по умолчанию. Если вымогатель или обменник для вывода может быть под санкциями, оплата может стать нарушением. Проконсультируйтесь с юристом по санкциям и свяжитесь с OFAC при любых признаках санкционной связи.[1]
  3. Сохраните записку с требованием и адреса. ФБР просит указать вариант, адрес и суммы.[4]
  4. Проверяйте входящие монеты. Перед P2P- или OTC-сделкой прогоните адрес отправителя через AML-сервис. Метка ransomware — повод остановиться.
  5. Смотрите категорию и долю. Вымогатели плюс санкции — намного серьёзнее, чем небольшая косвенная доля ransomware.
  6. Если биржа придержала депозит, начните с материала «Биржа заморозила USDT».

Сравнить сервисы, которые помечают риск вымогателей и санкций, можно в обзорах.

Это общая информация, а не юридическая или финансовая консультация. Правила зависят от страны и меняются; проверяйте источники.

Источники

  1. U.S. Treasury, OFAC — Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (21 Sept 2021). Проверено 10 ноября 2026.
  2. U.S. Department of the Treasury — Treasury Takes Robust Actions to Counter Ransomware (21 Sept 2021). Проверено 10 ноября 2026.
  3. U.S. Department of the Treasury — Treasury Continues to Counter Ransomware as Part of Whole-of-Government Effort; Sanctions Ransomware Operators and Virtual Currency Exchange (8 Nov 2021). Проверено 10 ноября 2026.
  4. FBI (Internet Crime Complaint Center) — Ransomware. Проверено 10 ноября 2026.
  5. CISA — #StopRansomware Guide. Проверено 10 ноября 2026.
  6. FinCEN — Advisory on Ransomware and the Use of the Financial System to Facilitate Ransom Payments (FIN-2021-A004) (8 Nov 2021). Проверено 10 ноября 2026.