For business
KYT office
Compliance solution to monitor risks, detect sanctions and ensure AML rules.
KYT office
Compliance solution to monitor risks, detect sanctions and ensure AML rules.
AML certification
How industry players can get up-to-date knowledge and professional certification.
AML certification
How industry players can get up-to-date knowledge and professional certification.
Comprehensive transaction analytics that helps to build graphs and trace funds.
Graph
Travel rule
(soon)
For personal use
Telegram bot
Bot for checking crypto for risks, providing AML reports.
Telegram bot
Bot for checking crypto for risks, providing AML reports.
Crypto recovery
Services are focused on tracking
and recovering crypto assets.
and recovering crypto assets.
Сrypto recovery
Services are focused on tracking
and recovery crypto assets.
and recovery crypto assets.
Docs and reports
All types of documents related
to cryptocurrency.
to cryptocurrency.
Docs and reports
All types of documents related
to cryptocurrency.
to cryptocurrency.
Portfolio tracker
Information about all assets and risk assessment in one place.
Portfolio tracker
Information about all assets and risk assessment in one place.
AML checks
Сhecking wallets and transactions
for illicit funds.
for illicit funds.
AML checks
Сhecking wallets and transactions
for illicit funds.
for illicit funds.
AML-сертификация
Актуальные знания в области AML/KYT от ведущих экспертов отрасли.
AML-сертификация
Актуальные знания в области AML/KYT от ведущих экспертов отрасли.
Graph
Визуализация перемещения активов
и связей между кошельками.
и связей между кошельками.
Graph
Визуализация перемещения активов
и связей между кошельками.
и связей между кошельками.
KYT Office
Мониторинг транзакций и кошельков для вашего отдела комплаенса.
KYT Office
Мониторинг транзакций и кошельков для вашего отдела комплаенса.
Для себя
Для Бизнеса
Travel rule
(Cкоро)
Телеграм-бот
Бот для проверки кошельков и транзакций с выдачей отчётов.
Телеграм-бот
Бот для проверки кошельков и транзакций с выдачей отчётов.
Возврат средств
Услуги по отслеживанию и возврату украденных криптоактивов.
Возврат средств
Услуги по отслеживанию и возврату украденных криптоактивов.
AML-проверки
Проверка кошельков и транзакций на наличие "грязной" криптовалюты.
AML-проверки
Проверка кошельков и транзакций на наличие "грязной" криптовалюты.
Портфолио трекер
Информация о всех активах и оценка рисков в одном месте.
Портфолио трекер
Информация о всех активах и оценка рисков в одном месте.
Отчёты
Все типы документов связанные
с криптовалютой.
с криптовалютой.
Отчёты
Все типы документов связанные
с криптовалютой.
с криптовалютой.
В августе 2026 года в сети появился сайт Cyberleek. Его авторы заявили, что украли файлы еще не вышедшей игры GTA 6, и предложили заплатить за доступ к ним: купить их токен, потратить этот токен на «голосование» за то, какой фрагмент игры выложить следующим, или просто перевести им криптовалюту за «сборку» игры. Настоящие ли файлы, никто не доказал. Но деньги оставляют след: все платежи шли через блокчейн Solana, где каждый перевод записывается навсегда и виден любому желающему.
Аналитики BitOK, при помощи инструмента Graph, проверили 3 784 транзакции и выяснили, кто создал токены, сколько собрали, куда вывели и где след обрывается.
Статья состоит из двух частей: сначала — что произошло и главные цифры, затем — техническая часть со всеми адресами, транзакциями и расчетами.
Аналитики BitOK, при помощи инструмента Graph, проверили 3 784 транзакции и выяснили, кто создал токены, сколько собрали, куда вывели и где след обрывается.
Статья состоит из двух частей: сначала — что произошло и главные цифры, затем — техническая часть со всеми адресами, транзакциями и расчетами.
Содержание:
- Краткий словарь терминов, которые пригодятся
- Часть 1. Что произошло: четыре способа собирать деньги
- Способ № 1. Первый токен
- Способ № 2. «Голосования»
- Способ № 3. Сайты
- Способ № 4. Второй токен Grand Theft Leek / CYBER
- Часть 2. Доказательства и технические детали
Краткий словарь терминов, которые пригодятся
Краткий словарь терминов, которые пригодятся
- Блокчейн Solana — публичная база данных, где записаны все переводы. Запись нельзя удалить или изменить, а посмотреть ее может любой.
- SOL — основная монета сети Solana. Lamport — ее мельчайшая часть, одна миллиардная SOL; «сверено до lamport» значит, что сошлась каждая копейка.
- Токен — монета, которую любой может создать внутри Solana. Mint — запись о выпуске токена, его «паспорт».
- USDC — токен, привязанный к доллару один к одному. В него переводят выручку, чтобы не зависеть от курса.
- Ключ — то, чем подписывают операции. Кто физически держит ключ, блокчейн не показывает. Когда в таблицах написано «адрес X перевел на адрес Y», это значит, что перевод подписан ключом X; имя владельца остается неизвестным.
- Транзакция — одна операция, записанная в блокчейн: перевод, обмен, создание токена.
- Пул обмена — хранилище на бирже, через которое токен меняют на SOL. С каждого обмена пул берет комиссию.
- LP (доля в пуле) — подтверждение того, сколько человек внес в пул. Fee Key — право забирать комиссии пула; его получает тот, кто заблокировал свою долю.
- Комиссии создателя (creator fees) — отчисления создателю токена с каждой сделки на торговой площадке.
- Мост — сервис для перевода денег из одной сети в другую, например из Solana в NEAR.
- Arweave — сеть для постоянного хранения файлов; ArNS — система имен внутри нее; ARIO — ее токен.
- Замер — состояние блокчейна в конкретный момент, по которому считали остатки.
Часть 1. Что произошло: четыре способа собирать деньги
Часть 1. Что произошло: четыре способа собирать деньги
Люди, стоявшие за Cyberleek, зарабатывали не на продаже самих файлов GTA 6: ни одной подтвержденной покупки игровых файлов в данных нет. Деньги шли четырьмя путями: комиссии с обмена первого токена CYBERLEEK, «голосования» этим же токеном, прямые переводы на сайтах и второй токен CYBER, выпущенный две недели спустя.
Самый крупный куш, 2 676 SOL, принесли комиссии первого токена: кошелек, который его создал, забрал их одной операцией и вывел за пять минут; голосования и сайты принимали платежи еще 13 октября, в день последнего замера.
Ниже — каждый способ по порядку: кто получал деньги, сколько и куда они ушли.
Самый крупный куш, 2 676 SOL, принесли комиссии первого токена: кошелек, который его создал, забрал их одной операцией и вывел за пять минут; голосования и сайты принимали платежи еще 13 октября, в день последнего замера.
Ниже — каждый способ по порядку: кто получал деньги, сколько и куда они ушли.
Способ № 1. Первый токен
Способ № 1. Первый токен
15 августа 2026 года владелец кошелька Hok9…H3Np за один день создал токен, выпустил миллиард единиц, отказался от права допечатывать, внес токены и SOL в пул обмена и заблокировал этот вклад так, чтобы комиссии с каждого обмена доставались ему.
Как заблокированный вклад приносит доход
Биржа Raydium предлагает функцию Burn & Earn: создатель токена навсегда блокирует свой вклад в пул обмена, а взамен получает Fee Key — право забирать комиссии с каждого обмена (документация Raydium). Для покупателей это выглядит надежно: «деньги заблокированы, создатель не сбежит». На деле создатель просто зарабатывает иначе — не продавая токены, а собирая комиссии с их оборота. Именно так произошло 27 августа: комиссия снята операцией CollectCpFees. Это отдельный механизм от creator fees — комиссий создателя на других площадках, о которых речь пойдет ниже.
Сколько токенов в обращении
На момент последнего замера в обращении 729 888 774,100812848 CYBERLEEK. 22 августа в 18:27:59 владелец ключа Cbfb…RMPo сжег 270 000 000 CYBERLEEK со счета HLqFaqWkCN3sN3K8gNqtcJt3V2tyg2WBrNh7RqA6KFxa (V01); это объясняет основную часть сокращения выпуска. Еще 45,356205333 CYBERLEEK исчезли из обращения между двумя утренними замерами; какие операции их сожгли, не установлено, и к событию 270 млн они не добавлены.
Важно не путать показатели: исходный выпуск, текущее предложение, размер LP-позиции и остаток создателя — разные числа, и ни одно из них не заменяет расчет реально полученных денег.
Откуда взялись деньги на запуск
До создания пула на Hok поступило 331,66 SOL: 321,42 SOL двумя переводами от Ec2q…zYC7 и 10,24 SOL от 9Ve5…xxVg.
В тот же день в 17:14:33 с адреса 3YLN…vuNA4 ушло 4,61 SOL на ключ публикации 6Nq6 (T09). С того же 3YLND восемью переводами ушло 39,693 SOL на Ec2. Так два управляющих ключа — создатель токена и ключ публикации — оказываются в одном финансовом окружении. Это подтверждает пересечение, но не называет владельца.
27 августа: сбор комиссий и пять минут на вывод
В 07:27:33 владелец Hok единственный раз за всю историю кошелька забрал комиссии пула (операция CollectCpFees): 1 442,434206187 SOL и 15 487 189,424338940 CYBERLEEK (T21). В 07:28:16 токены проданы за 1 234,234022008 SOL до сетевой комиссии (T22). Совокупно это 2 676,668228195 SOL; токены и выручку от их продажи нельзя считать дважды. На кошельке уже лежало 28,455488229 SOL, поэтому четыре вывода на 2 705,074 SOL включают старый остаток и не являются самостоятельной оценкой чистой прибыли.
Как заблокированный вклад приносит доход
Биржа Raydium предлагает функцию Burn & Earn: создатель токена навсегда блокирует свой вклад в пул обмена, а взамен получает Fee Key — право забирать комиссии с каждого обмена (документация Raydium). Для покупателей это выглядит надежно: «деньги заблокированы, создатель не сбежит». На деле создатель просто зарабатывает иначе — не продавая токены, а собирая комиссии с их оборота. Именно так произошло 27 августа: комиссия снята операцией CollectCpFees. Это отдельный механизм от creator fees — комиссий создателя на других площадках, о которых речь пойдет ниже.
Сколько токенов в обращении
На момент последнего замера в обращении 729 888 774,100812848 CYBERLEEK. 22 августа в 18:27:59 владелец ключа Cbfb…RMPo сжег 270 000 000 CYBERLEEK со счета HLqFaqWkCN3sN3K8gNqtcJt3V2tyg2WBrNh7RqA6KFxa (V01); это объясняет основную часть сокращения выпуска. Еще 45,356205333 CYBERLEEK исчезли из обращения между двумя утренними замерами; какие операции их сожгли, не установлено, и к событию 270 млн они не добавлены.
Важно не путать показатели: исходный выпуск, текущее предложение, размер LP-позиции и остаток создателя — разные числа, и ни одно из них не заменяет расчет реально полученных денег.
Откуда взялись деньги на запуск
До создания пула на Hok поступило 331,66 SOL: 321,42 SOL двумя переводами от Ec2q…zYC7 и 10,24 SOL от 9Ve5…xxVg.
В тот же день в 17:14:33 с адреса 3YLN…vuNA4 ушло 4,61 SOL на ключ публикации 6Nq6 (T09). С того же 3YLND восемью переводами ушло 39,693 SOL на Ec2. Так два управляющих ключа — создатель токена и ключ публикации — оказываются в одном финансовом окружении. Это подтверждает пересечение, но не называет владельца.
27 августа: сбор комиссий и пять минут на вывод
В 07:27:33 владелец Hok единственный раз за всю историю кошелька забрал комиссии пула (операция CollectCpFees): 1 442,434206187 SOL и 15 487 189,424338940 CYBERLEEK (T21). В 07:28:16 токены проданы за 1 234,234022008 SOL до сетевой комиссии (T22). Совокупно это 2 676,668228195 SOL; токены и выручку от их продажи нельзя считать дважды. На кошельке уже лежало 28,455488229 SOL, поэтому четыре вывода на 2 705,074 SOL включают старый остаток и не являются самостоятельной оценкой чистой прибыли.
Способ № 2. «Голосования»
Способ № 2. «Голосования»
Программу сайта 7rAg…7w3a запустил владелец ключа 6Nq6…FaF3 15 августа в 18:46:56 (T31) — через четыре часа после выпуска токена. Право обновлять программу тоже принадлежит этому ключу. Это доказывает управление программой, а не личность автора публикаций.
Кампания продолжается до сих пор. 12 октября в 10:34:50 владелец ключа публикации опубликовал объявление Roadmap v2 в BsAY…kJxt (T32), а в 12:12:36 тем же ключом подписано создание нового голосования в Es4y…rJEJ (T33). Обе операции выполнены успешно и записаны именно в программу сайта.
Как это выглядит для посетителя
Материалы на сайте «открываются» по порогам капитализации токена: 5, 7, 9, 11, 13, 17, 21, 25 и 30 млн долларов. Полную сборку обещают при 30 млн. Важная оговорка: капитализация — это цена, умноженная на расчетное предложение, а не деньги, которые кто-то передал оператору.
Как это работает для оператора
Схема простая:
Кампания продолжается до сих пор. 12 октября в 10:34:50 владелец ключа публикации опубликовал объявление Roadmap v2 в BsAY…kJxt (T32), а в 12:12:36 тем же ключом подписано создание нового голосования в Es4y…rJEJ (T33). Обе операции выполнены успешно и записаны именно в программу сайта.
Как это выглядит для посетителя
Материалы на сайте «открываются» по порогам капитализации токена: 5, 7, 9, 11, 13, 17, 21, 25 и 30 млн долларов. Полную сборку обещают при 30 млн. Важная оговорка: капитализация — это цена, умноженная на расчетное предложение, а не деньги, которые кто-то передал оператору.
Как это работает для оператора
Схема простая:
- Посетители переводят CYBERLEEK на счета вариантов голосования (например, «Barbershop» или «Race track»).
- Когда голосование завершается, операция ProcessResults отправляет собранные токены на счет 2yvW…neLh.
- Этим счетом владеет ключ публикации 6Nq6.
По шести завершенным голосованиям таких выплат 17, всего 821 532,975326094 CYBERLEEK. Сетевую комиссию за 16 операций оплачивали с ключа публикации; одну инициировали с другого ключа, но получатель остался прежним.
Способ № 3. Сайты
Способ № 3. Сайты
В сохраненном коде сайта cyberleek.cc фактические счета вариантов голосования остаются счетами CYBERLEEK. Но на экране посетитель видит другое:
- подпись заменена на «SOL donated», то есть указана неверная единица;
- кнопка «скопировать адрес» ведет не на счет варианта, а на общий платежный кошелек 2hqv…zoyH;
- в локальном объявлении о Development Build указана цена $40 за скачивание, и обе ссылки оплаты ведут на тот же solana:-адрес.
Сумма пяти вариантов на снимке — 8 942,546527361 CYBERLEEK. Перевод на общий кошелек — не перевод на выбранный счет голосования: посетитель думает, что голосует, а на деле просто платит.
Подмена появилась в октябре. Архивные HTML от 5 октября 23:35:05 и 8 октября 11:37:44 показывают подпись CYBERLEEK, в них нет ни общего платежного адреса, ни локальной продажи сборки. Между 8 октября и текущим снимком интерфейс изменился. Архив фиксирует изменение страницы, но не личность изменившего. Записи о продаже сборки помечены как local и отсутствуют в текущих аккаунтах программы; это не означает, что их никогда не было в другом состоянии или канале.
В настройках программы есть контактный XMR-адрес (Monero) 83YZnx7AjFL5NTVCbwDYnKfqzB7WNaPdZ93c7UDyffkcJ4hHZrkj7AnX3WKWKU4Bfg3CZrAQVyHHmcWhrV89W1g33vkokmd и параметр «400». Это описание предложения контакта: транзакция оплаты 400 XMR и лицо за реквизитом не установлены, ключа для просмотра истории Monero (view key) в материалах нет.
.cc: что реально пришло и как превращалось в USDC
До 08:14:15 в объединенной истории владельца и его токеновых счетов — 18 успешных операций, в обновленном наборе — 24 (добавлены операции по токеновым счетам, где ключ владельца не фигурирует напрямую). Что пришло:
Подмена появилась в октябре. Архивные HTML от 5 октября 23:35:05 и 8 октября 11:37:44 показывают подпись CYBERLEEK, в них нет ни общего платежного адреса, ни локальной продажи сборки. Между 8 октября и текущим снимком интерфейс изменился. Архив фиксирует изменение страницы, но не личность изменившего. Записи о продаже сборки помечены как local и отсутствуют в текущих аккаунтах программы; это не означает, что их никогда не было в другом состоянии или канале.
В настройках программы есть контактный XMR-адрес (Monero) 83YZnx7AjFL5NTVCbwDYnKfqzB7WNaPdZ93c7UDyffkcJ4hHZrkj7AnX3WKWKU4Bfg3CZrAQVyHHmcWhrV89W1g33vkokmd и параметр «400». Это описание предложения контакта: транзакция оплаты 400 XMR и лицо за реквизитом не установлены, ключа для просмотра истории Monero (view key) в материалах нет.
.cc: что реально пришло и как превращалось в USDC
До 08:14:15 в объединенной истории владельца и его токеновых счетов — 18 успешных операций, в обновленном наборе — 24 (добавлены операции по токеновым счетам, где ключ владельца не фигурирует напрямую). Что пришло:
- шесть заметных поступлений в SOL — 2,231410800 SOL, плюс микропоток 0,000001002 SOL;
- прямое поступление USDC — 40,5 USDC и отдельные 0,0001 USDC.
Суммы сами по себе не доказывают покупку или скачивание сборки.
11 октября с кошелька 9mp5…hp7B ушли на .cc 5 607,063064356 и 7 160,296744978 CYBERLEEK, всего 12 767,359809334 (T35, T36). Оба поступления конвертированы в USDC. Выше по цепочке токены шли через операции, подписанные ключом 8Fts…zjvg, который давал разрешение на перевод; кто владел исходным счетом, в записях не указано, и аналитики это не додумывали. Связь отправителя с владельцем сайта не доказана. Кошелек 9mp5PwyYXJUNFyCGwJG6mDnQjpev489VK9CeQKMr1p7B, славший микросуммы, имеет другой полный адрес и с 9mp5B1B не объединен.
13 октября в 07:22:37 на общий адрес пришло еще 0,369975 SOL от 3Tn4…tdPE (T42). Остатки на момент основного замера: 0,384838069 SOL и 323,275015 USDC; CYBERLEEK — 0.
.org: своя касса и свой маршрут вывода
На cyberleek.org цифры голосов просто вписаны в код страницы и не обновляются, а копирование адреса варианта ведет на CBCv…Phje. Отображаемая сумма 4 644,452782123 CYBERLEEK не совпадает с данными программы в блокчейне. Модальное окно сборки показывает $40, пересчитывает цену в SOL через скрипт get_sol_price.php и содержит реквизиты нескольких сетей.
При первом замере у SOL-адреса было 16 операций, при обновлении — 19. Семь существенных входов дали 2,971202866 SOL, включая 0,036035321 SOL, внесенных на оплату сетевых комиссий. 12 октября на токеновый счет пришло 1 800 CYBERLEEK. Платежи не снабжены проверяемыми заказами или квитанциями, поэтому считать все входы продажами нельзя.
Деньги уходили двумя маршрутами. Пять прямых выплат на BM2v…ZFy8 составили 2,600632318 SOL. Еще 0,369200066 SOL ушли на B3sf…dqRs; 13 октября в 07:05:31 B3 перечислил 0,092344630 SOL на AJ3f…wr2J, а в 07:05:37 — 0,276842736 SOL на BM2. Вклад ветки .org в BM2 через оба маршрута — 2,877475054 SOL.
На момент основного замера общий SOL-адрес .org держит 0,000890880 SOL и 1 800 CYBERLEEK. Позднее, 13 октября, пришли новые деньги:
11 октября с кошелька 9mp5…hp7B ушли на .cc 5 607,063064356 и 7 160,296744978 CYBERLEEK, всего 12 767,359809334 (T35, T36). Оба поступления конвертированы в USDC. Выше по цепочке токены шли через операции, подписанные ключом 8Fts…zjvg, который давал разрешение на перевод; кто владел исходным счетом, в записях не указано, и аналитики это не додумывали. Связь отправителя с владельцем сайта не доказана. Кошелек 9mp5PwyYXJUNFyCGwJG6mDnQjpev489VK9CeQKMr1p7B, славший микросуммы, имеет другой полный адрес и с 9mp5B1B не объединен.
13 октября в 07:22:37 на общий адрес пришло еще 0,369975 SOL от 3Tn4…tdPE (T42). Остатки на момент основного замера: 0,384838069 SOL и 323,275015 USDC; CYBERLEEK — 0.
.org: своя касса и свой маршрут вывода
На cyberleek.org цифры голосов просто вписаны в код страницы и не обновляются, а копирование адреса варианта ведет на CBCv…Phje. Отображаемая сумма 4 644,452782123 CYBERLEEK не совпадает с данными программы в блокчейне. Модальное окно сборки показывает $40, пересчитывает цену в SOL через скрипт get_sol_price.php и содержит реквизиты нескольких сетей.
При первом замере у SOL-адреса было 16 операций, при обновлении — 19. Семь существенных входов дали 2,971202866 SOL, включая 0,036035321 SOL, внесенных на оплату сетевых комиссий. 12 октября на токеновый счет пришло 1 800 CYBERLEEK. Платежи не снабжены проверяемыми заказами или квитанциями, поэтому считать все входы продажами нельзя.
Деньги уходили двумя маршрутами. Пять прямых выплат на BM2v…ZFy8 составили 2,600632318 SOL. Еще 0,369200066 SOL ушли на B3sf…dqRs; 13 октября в 07:05:31 B3 перечислил 0,092344630 SOL на AJ3f…wr2J, а в 07:05:37 — 0,276842736 SOL на BM2. Вклад ветки .org в BM2 через оба маршрута — 2,877475054 SOL.
На момент основного замера общий SOL-адрес .org держит 0,000890880 SOL и 1 800 CYBERLEEK. Позднее, 13 октября, пришли новые деньги:
Обновленные остатки — 0,584944575 SOL, 40 USDC и 1 800 CYBERLEEK; новых исходящих переводов нет. Связь платежного ключа .org с ключами первого выпуска, программы публикаций или .cc через общее управление не доказана.
Способ № 4. Второй токен Grand Theft Leek / CYBER
Способ № 4. Второй токен Grand Theft Leek / CYBER
29 августа в 19:14:38 владелец ключа GLf2…9uCJ создал новый токен GPx5…pump — Grand Theft Leek / CYBER (T48). Это отдельный токен (стандарт Token-2022), а не переименование первого CYBERLEEK. В обращении 972 287 665,592870 CYBER; допечатать, заморозить или изменить его описание больше никто не может.
Семь выплат, два получателя
С 19:20:21 29 августа до 02:43:39 30 августа прошли семь успешных выплат комиссий создателю (операция DistributeCreatorFees); каждая содержит второй mint и его источник комиссий GN1ZMKUehXvRNwpUWbUSo5a8kvz6j9D7WpMiiJZjn5Xo. В записях операций два получателя с равными долями: 5 000 bps / 5 000 bps, то есть 50 % на 50 %.
Прямой связи второго токена с первым не найдено. Название и публичная кампания привязывают его к теме Cyberleek. Но в проверенных переводах между основными ключами двух выпусков общего управляющего ключа нет. Совпадение темы, времени рекламы и аудитории не доказывает общего владельца.
Куда ушли деньги: stake-счета на секунду и мост в NEAR
29 августа создатель отправил 44,214047680 SOL на 6smz…3EDJ и 0,999995 SOL на J2bJ…LmJc (T49, T50). Оба получателя в том же временном блоке создали временные счета для стейкинга (Stake Program) и сразу вывели из них деньги на 8ru6…44vr: 44,214037680 SOL и 0,999585 SOL (T51, T52). Открытие и опустошение счета выполнены в одной транзакции — это не доход от стейкинга, а способ провести деньги через промежуточный счет.
Самый интересный маршрут — у второго получателя 6eh. Вот как он выглядит по шагам:
Семь выплат, два получателя
С 19:20:21 29 августа до 02:43:39 30 августа прошли семь успешных выплат комиссий создателю (операция DistributeCreatorFees); каждая содержит второй mint и его источник комиссий GN1ZMKUehXvRNwpUWbUSo5a8kvz6j9D7WpMiiJZjn5Xo. В записях операций два получателя с равными долями: 5 000 bps / 5 000 bps, то есть 50 % на 50 %.
Прямой связи второго токена с первым не найдено. Название и публичная кампания привязывают его к теме Cyberleek. Но в проверенных переводах между основными ключами двух выпусков общего управляющего ключа нет. Совпадение темы, времени рекламы и аудитории не доказывает общего владельца.
Куда ушли деньги: stake-счета на секунду и мост в NEAR
29 августа создатель отправил 44,214047680 SOL на 6smz…3EDJ и 0,999995 SOL на J2bJ…LmJc (T49, T50). Оба получателя в том же временном блоке создали временные счета для стейкинга (Stake Program) и сразу вывели из них деньги на 8ru6…44vr: 44,214037680 SOL и 0,999585 SOL (T51, T52). Открытие и опустошение счета выполнены в одной транзакции — это не доход от стейкинга, а способ провести деньги через промежуточный счет.
Самый интересный маршрут — у второго получателя 6eh. Вот как он выглядит по шагам:
- 12 сентября, 03:13:32 — 6eh переводит 149,423911935 SOL на 7fpx…XW1p (T55). У исходного кошелька были деньги до запуска CYBER и другие поступления, поэтому весь этот вывод — не сумма комиссий второго токена.
- Через 12 секунд 7fpx отправляет те же 149,423911935 SOL через Omni Bridge получателю near:intents.near, номер отправки (origin nonce) 627069 (T56). В транзакции EtZMZM22ViKMo4r5y4Anovs3wKQ2owUmDpjygnMMcdEX — компонент моста Wormhole, который передает сообщение; сами SOL попадают в хранилище моста 6tckHFBpiJ8YgYN8FUskvtvTpXQZ55g5LHeo1kvELoDQ программы Omni dahPEoZGXfyV58JqqH85okdHmpN8U2q8owgPUXSCPxe; адрес хранилища аналитики пересчитали сами по правилам Solana (seed sol_vault, bump 255), и он совпал. Признаков миксера — сервиса для запутывания следов — нет.
- На стороне NEAR транзакция 5twK…hfGd завершается успешно: события ft_transfer и mt_mint подтверждают зачисление 149,423911935 wrapped SOL в intents.near на внутренний счет 6f3d595d021ae32f1c2934e27410f8db2d91ea1afebf26a2a75c006da94fe7d3.
- 13 октября после 09:00 UTC баланс nep141:sol.omft.near этого счета равен нулю: остатка именно в этом активе нет, а адрес и актив следующего шага по доступным данным не восстановлены. Поиск заказа в сервисе 1Click по адресу депозита ничего не дал (ошибка 404).
intents.near — расчетный контракт сервиса, а не личный кошелек людей, стоящих за Cyberleek.
Проведите свое расследование при помощи Graph от BitOK. Стать блокчейн-аналитиком проще, чем вы думаете.
Проведите свое расследование при помощи Graph от BitOK. Стать блокчейн-аналитиком проще, чем вы думаете.
Часть 2. Доказательства и технические детали
Часть 2. Доказательства и технические детали
Здесь собраны адреса, транзакции, таблицы и расчеты, на которые опирается первая часть. Каждая строка со ссылкой ведет на запись в блокчейне.
Способ № 1: транзакции, финансирование и маршруты вывода
Хронология запуска 15 августа, реквизиты токена, цепочка финансирования до запуска, сеть из 75 адресов и четыре вывода 27 августа с последующими узлами.
Способ № 1: транзакции, финансирование и маршруты вывода
Хронология запуска 15 августа, реквизиты токена, цепочка финансирования до запуска, сеть из 75 адресов и четыре вывода 27 августа с последующими узлами.
Дата, UTC | Действие | Подтверждение |
15.08 · 14:20:54 | Создание токена (InitializeMint); право выпуска у Hok | |
15.08 · 14:23:38 | Выпуск 1 000 000 000 CYBERLEEK | |
15.08 · 17:05:19 | Отказ от права допечатывать токены | |
15.08 · 21:07:26 | Создание пула обмена; в него внесено 730 000 000 CYBERLEEK | |
15.08 · 21:19:37 | Блокировка доли в пуле (490 815,647672221 LP); взамен выдан Fee Key — право забирать комиссии |
- Mint CYBERLEEK — ApZu…pbKg; допечатать или заморозить его больше никто не может.
- Пул обмена на бирже Raydium — G8kg…iMGh; доли в нем (LP) учитываются как 3fmG…GiSH.
- Fee Key выдан в виде NFT — 44is…FttrS.
- При создании пула баланс Hok снизился на 330,192176720 SOL с учетом сетевой комиссии и служебных расходов; это итог нескольких списаний, а не одна сумма, переведенная в пул.
Выше по цепочке восстановлена следующая сеть. Сумма строки относится к указанной паре адресов; при других входах она не доказывает происхождение каждого SOL в следующей выплате.
Откуда и куда | SOL / число переводов | Пример |
26sZ…PMQ9 перевел на EjsB…3KGB2 | 156,02534747 / 1 | |
EjsB…3KGB2 перевел на 2ZdU…vJhD | 156 / 2 | |
171,344284793 / 1 | ||
171,12 / 1 | ||
734t…72Sb перевел на 3YLN…vuNA4 | 30,9101 / 8 | |
17,8683 / 4 | ||
2ZdU…vJhD перевел на 3YLN…vuNA4 | 1,401803 / 8 | |
15,8726 / 4 | ||
11,4626 / 5 |
Финансовая сеть до запуска: 75 адресов, сверенных до последней копейки
Финансовая сеть до запуска: 75 адресов, сверенных до последней копейки
13 августа из 26sZ в три узла пришло 440,879522103 SOL. К переводам приложены короткие пометки (memo); являются ли они номерами заказов, не установлено.
Эти три ключа работали как «кассиры»: они оплачивали сетевые комиссии за переводы других отправителей — 307 операций от 19 разных отправителей, где отправитель подписывал сам перевод, а один из этих трех ключей — оплату комиссии сети. Повторяемость говорит о скоординированном финансировании; число людей и юридический владелец ключей не определены.
В расчетную выборку вошли 75 адресов — известные узлы и временные контрагенты, возвращавшие средства внутрь сети (перечень и критерий — в funding_boundary_v2.json). Это граница расчета, а не доказанный кластер одного владельца. Что показала сверка:
В расчетную выборку вошли 75 адресов — известные узлы и временные контрагенты, возвращавшие средства внутрь сети (перечень и критерий — в funding_boundary_v2.json). Это граница расчета, а не доказанный кластер одного владельца. Что показала сверка:
- Остатки SOL на всех 75 адресах сошлись до lamport; пробелов в истории нет.
- На момент замера (слот 456408708) они вместе держат 1,509796036 SOL.
- Внешние переводы дали 440,880958189 SOL входов (включая 0,001436086 SOL сверх трех основных пополнений) и 439,288320980 SOL выходов.
- Сетевые комиссии — 0,004418773 SOL; еще 0,078422400 SOL ушло на открытие служебных счетов (за вычетом того, что вернулось при их закрытии).
- Основные внешние расходы: 331,66 SOL на запуск Hok, 4,61 SOL ключу публикаций, 5,87 SOL на покупку ARIO и 96,221 SOL на JCRM. Внутренние обороты повторно не считались.
Расчет сходится по выбранным адресам, но не гарантирует, что найдены все адреса сети и все скрытые встречные переводы.
Из той же сети оплачивались покупатель доменных имен ArNS и ключ загрузки файлов. На 52yK…wDHZ 14 августа в 09:42:10 пришел 1 SOL от 3YLND; комиссию оплатил 4wzw, оба ключа подписали транзакцию (V05). Еще 5 SOL пришли от 8xigoERqJF5KYXLhf7NAPsWYMtarE5iXGZLDfCgptbEp.
27 августа пять адресов перевели на JCRM…Sdfe 96,221 SOL, из них 0,89 SOL — от ключа загрузки Arweave. JCRM перечислил 96,220 SOL на GMTs…zqeS, а тот в 14:05:17 направил 96,218994750 SOL на 3Afn…J2rH (V06). Запомните этот адрес 3Afn: именно туда позже уйдет крупнейшая доля комиссий токена. Инфраструктура и финансирование сходятся в одной точке, но принадлежность конечного адреса конкретному клиенту сервиса не подтверждена.
Из той же сети оплачивались покупатель доменных имен ArNS и ключ загрузки файлов. На 52yK…wDHZ 14 августа в 09:42:10 пришел 1 SOL от 3YLND; комиссию оплатил 4wzw, оба ключа подписали транзакцию (V05). Еще 5 SOL пришли от 8xigoERqJF5KYXLhf7NAPsWYMtarE5iXGZLDfCgptbEp.
27 августа пять адресов перевели на JCRM…Sdfe 96,221 SOL, из них 0,89 SOL — от ключа загрузки Arweave. JCRM перечислил 96,220 SOL на GMTs…zqeS, а тот в 14:05:17 направил 96,218994750 SOL на 3Afn…J2rH (V06). Запомните этот адрес 3Afn: именно туда позже уйдет крупнейшая доля комиссий токена. Инфраструктура и финансирование сходятся в одной точке, но принадлежность конечного адреса конкретному клиенту сервиса не подтверждена.
Дальше деньги дробились через промежуточные адреса. В подтвержденной ветке достигнуты следующие узлы; это этапы одного потока, их суммы не складываются с прямыми выводами.
Дальше проследить деньги до конца нельзя: они смешиваются с чужими. Ece получил из этой ветки 391,027965123 SOL, добавил к ним другие поступления и девятью переводами отправил 2 978,540001502 SOL на 66ZQ…3H1o. Сумма больше, чем пришло по делу, поэтому целиком относить ее к доходу от Cyberleek нельзя. Сейчас на Ece 0 SOL. У следующего узла 192 полученные операции и множество контрагентов; его выплаты сохранены в таблицах как движение общего потока. Для 3Afn и eS4 принадлежность конкретной бирже документально не подтверждена. GPscf, Ece и 66Z смешивают разные поступления: после такого смешения маршрут к общему узлу виден, а доля именно этого эпизода в каждой следующей выплате не выделена.
Способ № 2: записи программы и выплаты голосований
Способ № 2: записи программы и выплаты голосований
Что хранит программа сайта, как ее записи сверены с сайтом и все выплаты голосований по датам.
Программа хранит контент, объявления, голосования и настройки сайта. Аналитики самостоятельно расшифровали 37 ее текущих записей:
Программа хранит контент, объявления, голосования и настройки сайта. Аналитики самостоятельно расшифровали 37 ее текущих записей:
- 24 записи контента;
- 7 голосований;
- 4 объявления;
- состояние и конфигурация.
Адреса настроек и счетов пяти вариантов голосования пересчитаны по правилам Solana — все совпали с адресами на сайте. При сверке с сайтом 28 записей совпали с данными программы, а две локальные записи о продаже сборки — нет.
Дата | CYBERLEEK перечислено ключу публикации |
20.08.2026 | 228 630,959061841 |
24.08.2026 | 67 951,772645367 |
26.08.2026 | 274 854,177140217 |
08.10.2026 | 204 976,973596189 |
11.10.2026 | 25 393,817627846 |
12.10.2026 | 19 725,275254634 |
Исключение — 26 августа в 13:10:10: с ключа DESB…XzNR была инициирована выплата 1 004,524589386 CYBERLEEK на счет 6Nq6 (T34). Инициатор, плательщик комиссии и получатель здесь — три разные роли. Общий контроль DES и 6Nq6 не установлен.
Полные 17 подписей с суммами, временем и инициаторами сохранены в vote_claims.csv. Сейчас у 6Nq6 лежит 821 533,195858644 CYBERLEEK: к выплатам голосований добавились два микропоступления по 0,110266275. Токены не выведены и не проданы в полученной истории счета. Поздние переводы на уже обработанные варианты учитываются отдельно и в выплаченный итог не входят.
Полные 17 подписей с суммами, временем и инициаторами сохранены в vote_claims.csv. Сейчас у 6Nq6 лежит 821 533,195858644 CYBERLEEK: к выплатам голосований добавились два микропоступления по 0,110266275. Токены не выведены и не проданы в полученной истории счета. Поздние переводы на уже обработанные варианты учитываются отдельно и в выплаченный итог не входят.
Способ № 3: счета сайтов и движение средств
Способ № 3: счета сайтов и движение средств
Счета вариантов голосования на .cc, конвертации в USDC, маршруты вывода с .org и реквизиты всех сайтов в других сетях.
У этого кошелька есть USDC-счет 4MDN…whPp и CYBERLEEK-счет FJPs…4yUT. Совпадение кода сайта и счетов в блокчейне зафиксировано в приложениях; см. также состояние сайта.
У этого кошелька есть USDC-счет 4MDN…whPp и CYBERLEEK-счет FJPs…4yUT. Совпадение кода сайта и счетов в блокчейне зафиксировано в приложениях; см. также состояние сайта.
Четыре из этих операций также перечислили 1,730069 USDC на счет 8Wsu…Vx8A владельца Gzm9…qQvd. Это выглядит как комиссия обменника или реферальная выплата и не говорит о владении сайтом. Таблица показывает чистое увеличение после этих выходов; иных выводов из USDC-счета не найдено.
После основного замера на .cc пришли 0,368790000 SOL в 08:20:50 и 41,841111 токена CASHx9KJUStyftLFWGvEVf59SGeG9sh5FfcnZMVPCASH в 09:59:04; в 10:07:39 CASH обменян с чистым зачислением 41,539119 USDC (V17). Дальше за 9 секунд произошла короткая цепочка:
После основного замера на .cc пришли 0,368790000 SOL в 08:20:50 и 41,841111 токена CASHx9KJUStyftLFWGvEVf59SGeG9sh5FfcnZMVPCASH в 09:59:04; в 10:07:39 CASH обменян с чистым зачислением 41,539119 USDC (V17). Дальше за 9 секунд произошла короткая цепочка:
- 10:07:58 — .cc перевел 0,738732009 SOL на 8ofX…twM1 (V18).
- 10:08:05 — 8ofX обменял сумму на 79,087366 USDC (V19).
- 10:08:06 — 78,533895 USDC вернулись на USDC-счет .cc (V20); остальные 0,553471 USDC ушли на счет A9cjW2ttReS2mHDr2CpTBb4MyokrknhfGKmFNcMPWVj1, owner EBk7pSomiBbHe21WFEWGN6UvkXPrAyymNm95gjiEAKwq.
Роль 8ofX как посредника конвертации подтверждается последовательностью; принадлежность оператору сайта не установлена. Микроперевод 0,000010000 SOL в 10:10:24 пришел с похожего, но другого адреса 8ofyYraDqxdaThe3eErTZYtDhiARaLGQLE2b7rR6twM1. На последнем замере: 0,014895805 SOL, 443,348029 USDC, 0 CYBERLEEK — остатки совпадают с расчетом по всем операциям.
Последнюю операцию оплатил и подписал другой ключ, DSc; такая инфраструктура может обслуживать многих клиентов, а принадлежность конкретному обменному сервису не подтверждена. У BM2 есть другие поступления и история с июня, поэтому его остаток 10,135655296 SOL нельзя целиком приписать .org. После начала октябрьских поступлений исходящих выплат BM2 не найдено.
.org: реквизиты в других сетях
.org: реквизиты в других сетях
Сеть | Реквизит из текущего кода | Результат проверки |
BTC | bc1qjfj8v82a50cvxjpjvluqdvvlv9av7mp06q5y6t | 325 608 sat получено и полностью потрачено; остаток 0 |
ETH / USDT ERC-20 | 0xFe6cF2c2c33cBC0784a6D810D3Fc1523Ef3eA9C4 | 0 ETH и ни одного перевода, включая токены ERC-20 |
LTC | LUehzypgaWcVTvnQjiTGKFq86jfhNmmA5j | 0 транзакций и 0 LTC в ответе провайдера |
TRON / USDT | TY9EfkSvED6qxdJjBdAnrUshx6bkfJGUZX | Ни одной операции, в том числе по токенам TRC-20 |
XMR | 43hhxBhDAxnYhthxsv66KCWBioLDyvNN2gFMhRqqyp9HhXEwoNqcyGyRRcFHt5p1PqNu7YYpzDwkGMVt1QN2zac34K3QvUz | История Monero без ключа просмотра (view key) недоступна |
BTC-реквизит получил 0,00325608 BTC двумя переводами 26 августа и 5 сентября, которые отправитель объединил с другими платежами в одну транзакцию. Оба поступления раньше октябрьской продажи сборки и не доказывают оплату именно этого предложения.
После комиссии первый расход направил 163 321 sat на bc1qs98dxp6ghux5ujnwx83ngvurjkhz387gt8dh5n, второй — 161 645 sat на bc1qqsn3hpwwkw8h4rj93qyt85zte9ehvfvpgjtq55. Совпадение владельца этих реквизитов с SOL-ключом .org не подтверждено: установлена только их совместная публикация в коде страницы.
Другие домены: реквизиты из старых снимков
Другие домены: реквизиты из старых снимков
BTC-адрес bc1qf62q2t49lzwfp8y0lek62m54urlm8h6feqadcu фигурирует в снимках .space, .press и cyberieek.space. По Blockstream у него 8 операций — 4 входа и 4 расхода: получено 235 574 sat (0,00235574 BTC), остаток 0. Первые три входа — 27 июня, 29 июня и 9 августа — раньше запуска основного токена, и считать их пожертвованиями августовской кампании только по факту публикации адреса нельзя.
Реквизит | Что установлено |
BTC .world: bc1qg5s0x22cwlztvdqgl3pnh63fxv9remk44lkje8 | 0 операций и 0 полученных sat по данным Blockstream, включая неподтвержденные |
ETH .world: 0x73Ec78555FC688Ab67A7C9cEFA29fCC90b166A24 | 0 ETH и ни одного перевода, включая токены ERC-20 |
ETH .press: 0x56091EA8919Cd446Efe072e59c1F49ba9C382CB7 | 0 ETH и ни одного перевода, включая токены ERC-20 |
LTC .press: ltc1q7jvtyv4cmu2zva9fu9qfwr4jarxkjr072ffpw4 | 0 операций и 0 LTC у провайдера |
TRON: TQViyWp5vLQ4WBisiSPb7rJSYzZMYp6y2Y | Адрес записан с ошибкой: не проходит проверку контрольной суммы |
TON: UQBvWiFOx5DxN5vKGJGJvGnITvT8qBPQzqCMqvVY0bN4w3w5 | Адрес записан с ошибкой: не проходит проверку контрольной суммы |
BCH: qpewu2khr9ysfz6c6ejdxh4tg8xr8ekykg959c5dhl | Адрес записан верно, но историю получить не удалось |
Адреса с ошибками не пытались «починить» подбором символов. Отсутствующий ответ по BCH не означает отсутствия платежей. Свежие полные HTML .press и .space получить не удалось; утверждения о реквизитах этих страниц датированы переданным снимком. SOL-реквизиты .world и .press из старого пакета в этом проходе не обновлялись и как текущие остатки не используются. Ethereum-адреса проверены только в основной сети Ethereum; в других совместимых сетях (например, BNB Chain или Polygon) их не смотрели.
Способ № 4: распределения, другие токены и потоки после смешения
Способ № 4: распределения, другие токены и потоки после смешения
Распределение комиссий CYBER, еще три токена того же создателя и адреса, где деньги смешались с чужими.
В тех же транзакциях GLf2 отдельными переводами отправил 2,699340023 SOL на 8Ner…SCcS. Как сходится баланс создателя:
- мелкие выплаты другим адресам — 0,002800000 SOL;
- сетевые комиссии — 0,000035980 SOL;
- итоговый прирост баланса GLf2 — 51,287521366 SOL.
Чистый прирост на GLf2, 6eh и 8Ner вместе составляет 107,976558758 SOL — на 0,002835980 SOL меньше валового распределения, и эту сумму нельзя называть валовой комиссией протокола. 8Ner — получатель перевода от GLf2, а не третий участник распределения 50/50. Инструкции, события и сверка — в creator_fee_ledger.json и creator_fee_events.json.
Еще три токена с тем же ключом
Еще три токена с тем же ключом
Ключом GLf2 подписано создание еще трех токенов с названием CyberLeek — это доказанное повторное использование ключа создателя внутри этой ветки.
В 32 успешных операциях сбора и распределения на GLf2 поступило 279,452241637 SOL, включая «обернутый» SOL (WSOL), переведенный в обычный SOL. В тех же транзакциях с него ушло другим адресам 13,982025311 SOL и заплатил 0,000163940 SOL комиссий; чистое изменение баланса — 265,470052386 SOL. Каждая операция сверена до lamport, необъясненный остаток равен нулю. Из общего хранилища комиссий создателя можно забирать деньги, не указывая, по какому токену они начислены, поэтому 279,452241637 SOL нельзя автоматически разделить между четырьмя токенами. Семь выплат CYBER входят в этот набор по доле GLf2 и повторно не прибавляются.
Отдельная история у Hok: он получил 26,999143438 SOL в 66 операциях creator fees, где указаны 64 разных mint. Это подтверждает роль получателя, а не создание каждого токена; эти поступления отделены от 1 442,434206187 SOL комиссий Raydium.
Еще до рассматриваемых запусков, 16 июля, 2YbEKjjT7tfj9jsmZbKyjKiTL2DE3eVzRybA1VEmLZKj перечислил второму получателю 6eh 65,629791260 SOL (V16). Хронология исключает происхождение июльских денег из августовских комиссий CYBER; сход маршрутов не позволяет перенести августовский источник на июльский перевод.
Третий получатель 8Ner 30 августа в 21:33:55 отправил 2,699335023 SOL на Chqt…cJof (T53). Chqt собрал и другие средства, после чего отправил 14,834228878 SOL на B8XF…Q3aw и 2,617805095 SOL на 99Gc…NtTm (T54). Весь объединенный вывод к CYBER не относится; сумма входа от третьего получателя остается отдельной установленной величиной.
Дальнейшие получатели исследованы отдельно. По 8ru получено 396 операций, разобрана 361 за выбранный период; этот адрес раздает смешанные деньги многим получателям. По B8XF — 108 операций, разобраны 84 успешные; по 99Gc — 51 успешная, разобраны все. Среди следующих переходов общего потока: 8ru перевел на ACKN…JzuN — 240,833102641 SOL; B8XF перевел на Gj7p…e6Q7 — 139,383404228 SOL; 99Gc перевел на 71d8…W7iF — 7,048575883 SOL. Эти суммы описывают широкий поток после смешения; соответствие доли CYBER дальнейшему выводу не установлено.
Отдельная история у Hok: он получил 26,999143438 SOL в 66 операциях creator fees, где указаны 64 разных mint. Это подтверждает роль получателя, а не создание каждого токена; эти поступления отделены от 1 442,434206187 SOL комиссий Raydium.
Еще до рассматриваемых запусков, 16 июля, 2YbEKjjT7tfj9jsmZbKyjKiTL2DE3eVzRybA1VEmLZKj перечислил второму получателю 6eh 65,629791260 SOL (V16). Хронология исключает происхождение июльских денег из августовских комиссий CYBER; сход маршрутов не позволяет перенести августовский источник на июльский перевод.
Третий получатель 8Ner 30 августа в 21:33:55 отправил 2,699335023 SOL на Chqt…cJof (T53). Chqt собрал и другие средства, после чего отправил 14,834228878 SOL на B8XF…Q3aw и 2,617805095 SOL на 99Gc…NtTm (T54). Весь объединенный вывод к CYBER не относится; сумма входа от третьего получателя остается отдельной установленной величиной.
Дальнейшие получатели исследованы отдельно. По 8ru получено 396 операций, разобрана 361 за выбранный период; этот адрес раздает смешанные деньги многим получателям. По B8XF — 108 операций, разобраны 84 успешные; по 99Gc — 51 успешная, разобраны все. Среди следующих переходов общего потока: 8ru перевел на ACKN…JzuN — 240,833102641 SOL; B8XF перевел на Gj7p…e6Q7 — 139,383404228 SOL; 99Gc перевел на 71d8…W7iF — 7,048575883 SOL. Эти суммы описывают широкий поток после смешения; соответствие доли CYBER дальнейшему выводу не установлено.
Инфраструктура: домены, файлы и Telegram
Инфраструктура: домены, файлы и Telegram
Кроме кошельков, у кампании есть сайты, файлы и канал связи. Все они оплачивались из той же финансовой сети, что и токен. Ниже — что именно удалось проверить.
Пять доменных имен за день до запуска
ArNS — это система имен внутри сети Arweave, где хранят файлы навсегда. 14 августа, за сутки до выпуска токена, владелец ключа 52yK…wDHZ купил пять таких имен на 388 584,392 ARIO (ARIO — токен этой системы). Записи о покупке проверены вместе со статусом и переводами токена. Покупка фиксирует покупателя в этот момент, но не всю дальнейшую историю владельцев.
Пять доменных имен за день до запуска
ArNS — это система имен внутри сети Arweave, где хранят файлы навсегда. 14 августа, за сутки до выпуска токена, владелец ключа 52yK…wDHZ купил пять таких имен на 388 584,392 ARIO (ARIO — токен этой системы). Записи о покупке проверены вместе со статусом и переводами токена. Покупка фиксирует покупателя в этот момент, но не всю дальнейшую историю владельцев.
Файлы на Arweave: подписи настоящие, происхождение неизвестно
На ключ загрузки 667G…L33D поступил 1 SOL от 3YLND 15 августа в 12:23:37 (V12) — из той же сети, что и остальная инфраструктура. Этим ключом подписаны пять файлов. Для каждого проверены содержимое, теги, открытый ключ и цифровая подпись (Ed25519, формат ANS-104 тип 4). Все пять подписей верны; совпадают размер данных и идентификатор файла.
На ключ загрузки 667G…L33D поступил 1 SOL от 3YLND 15 августа в 12:23:37 (V12) — из той же сети, что и остальная инфраструктура. Этим ключом подписаны пять файлов. Для каждого проверены содержимое, теги, открытый ключ и цифровая подпись (Ed25519, формат ANS-104 тип 4). Все пять подписей верны; совпадают размер данных и идентификатор файла.
Файл Arweave | Тип / размер, байт | Результат |
video/mp4 / 36 399 611 | Подпись ключа 667Gfn подтверждена | |
image/png / 3 712 210 | Подпись ключа 667Gfn подтверждена | |
video/mp4 / 35 748 783 | Подпись ключа 667Gfn подтверждена | |
image/png / 922 561 | Подпись ключа 667Gfn подтверждена | |
image/png / 787 106 | Подпись ключа 667Gfn подтверждена |
Итог: три картинки и два видео загружены одним ключом. Тег App-Name=sol-arweave-ipfs-uploader входит в подписанные данные, но не называет человека. Проверка не говорит, кто создал исходный контент, был ли он украден и имеют ли файлы отношение к реальному инциденту у Rockstar. Метод проверки соответствует эталонной реализации подписи Solana; контрольные суммы файлов и результаты сохранены в приложении.
Восемь доменов, шесть регистраторов
Данные о регистрации (RDAP) и DNS получены 13 октября. Дата регистрации домена не совпадает с датой создания токена, первого контента или запуска платежного предложения; регистраторы и CDN обслуживают множество независимых клиентов.
Восемь доменов, шесть регистраторов
Данные о регистрации (RDAP) и DNS получены 13 октября. Дата регистрации домена не совпадает с датой создания токена, первого контента или запуска платежного предложения; регистраторы и CDN обслуживают множество независимых клиентов.
Домен | Регистрация, UTC | A-запись | NS |
22.08 · 03:03:11 | 188.114.97.1, 188.114.96.1 | AMIR / BRENDA .ns.cloudflare.com | |
20.08 · 23:15:35 | 172.67.166.158, 104.21.33.206 | ken / vera .ns.cloudflare.com | |
26.08 · 18:15:44 | 104.21.47.166, 172.67.171.173 | albert / naya .ns.cloudflare.com | |
22.08 · 16:32:18 | 212.2.234.152 | ns1–ns4.fornex.com | |
29.08 · 14:40:16 | 91.236.136.29 | ns1–ns2.webhost1.com, ns3–ns4.webhost1.org | |
26.08 · 00:23:36 | 80.97.124.250 | alpha / beta .alexhost.com | |
09.10 · 18:48:05 | 31.31.196.3 | ns1–ns2.hosting.reg.ru | |
22.08 · 06:36:48 | 162.35.101.236 | CRYSTAL / NASH .ns.cloudflare.com | |
— | 49.13.45.141, 162.55.156.39 | шлюз / субдомен | |
— | 49.13.45.141, 162.55.156.39 | шлюз / субдомен |
Регистраторы: www.cyberleek.cc — Cloudflare, Inc.; cyberleek.org — NameCheap, Inc.; cyberleek.wtf — Tucows Domains Inc.; cyberleek.space и cyberieek.space — NameSilo, LLC; cyberleek.world — Global Domain Group LLC; cyberleek.press — REG.RU LLC; www.cyber-leek.com — Cloudflare, Inc. Полные ответы и идентификаторы IANA — в domains.json.
Что из этого следует:
Что из этого следует:
- .cc, .org и .wtf используют разные пары серверов Cloudflare; общий провайдер защиты не доказывает общего владельца.
- cyberieek.space написан через i вместо l — это отдельный домен.
- .space, .world и .press размещены у разных хостеров.
- IP-адреса и страна серверов не говорят о стране или гражданстве владельца.
- leek.ar.io и cyberleek.turbo-gateway.com — адреса шлюзов с одинаковыми A-записями; регистрация корневых доменов шлюзов не датирует размещение сайта Cyberleek и не определяет его владельца. В переданном пакете один шлюз вернул ошибку 451, второй — страницу недоступности; текущий контент через них не подтвержден.
- Историю SSL-сертификатов получить не удалось из-за ошибок источника, поэтому список прежних поддоменов может быть неполным.
Telegram, «переключатель мертвеца» и счетчик на $376 750
Telegram, «переключатель мертвеца» и счетчик на $376 750
Публичный канал @cyberleak регулярно ссылается на .wtf, а .wtf — на канал. Это подтвержденная взаимная ссылка, но она не раскрывает администратора и не доказывает управление ключами Solana. Сохранены 20 доступных сообщений, не полная история.
Публикация | Дата, UTC | Содержание |
28.08 · 12:50:43 | Ссылка на .wtf и окно обещанного выпуска 29 августа | |
29.08 · 20:57:46 | Утверждение о капитализации; не доказательство полученных денег | |
01.09 · 12:33:48 | Предложение вознаграждения за продвижение в TikTok | |
04.09 · 21:51:30 | Обещание опубликовать сборку, если сработает deadman switch | |
18.09 · 23:16:54 | Утверждение о подготовке сервера |
Deadman switch («переключатель мертвеца») — механизм, который публикует файлы автоматически, если автор перестает подавать признаки жизни. Текущий .wtf заявляет, что он сработал, выпуск бесплатный, а продажи токена и предпродажи нет. Это противоречит платежным предложениям .cc и .org. Разница помогает отслеживать развитие кампании и зеркала, но сама по себе не доказывает ни захват сайта, ни общего владельца.
В коде .wtf есть форма для отправки контактов и ссылок на материалы; данные уходят через Cloudflare Worker bold-sunset-fe9d.addict0184.workers.dev в Telegram. Поддомен addict0184 — конкретная зацепка для сопоставления публичных аккаунтов, но совпадение псевдонима само по себе личность не устанавливает. На .world форма обращается к /send.php. Формы не отправлялись, файлы не запускались: код показывает предусмотренный канал передачи данных, но не доказывает похищение данных у посетителей.
На .world счетчик $376 750 просто прописан в HTML — платежей на эту сумму нет. Независимые GitHub-зеркала называют себя неофициальными; их код использован только для сравнения интерфейсов и форматов данных. Управление ими автором токена не установлено. Похожее название репозитория или тикер без совпадения mint и ключей в доказанный кластер не включены.
В коде .wtf есть форма для отправки контактов и ссылок на материалы; данные уходят через Cloudflare Worker bold-sunset-fe9d.addict0184.workers.dev в Telegram. Поддомен addict0184 — конкретная зацепка для сопоставления публичных аккаунтов, но совпадение псевдонима само по себе личность не устанавливает. На .world форма обращается к /send.php. Формы не отправлялись, файлы не запускались: код показывает предусмотренный канал передачи данных, но не доказывает похищение данных у посетителей.
На .world счетчик $376 750 просто прописан в HTML — платежей на эту сумму нет. Независимые GitHub-зеркала называют себя неофициальными; их код использован только для сравнения интерфейсов и форматов данных. Управление ими автором токена не установлено. Похожее название репозитория или тикер без совпадения mint и ключей в доказанный кластер не включены.
Что доказано, а что нет
Что доказано, а что нет
Блокчейн показывает, какие операции подписаны каждым ключом. Он не показывает, кто держит ключ. Ниже — участники, их подтвержденные роли и граница, за которой доказательства заканчиваются.
Адрес / объект | Установленная роль |
Создание первого токена, ликвидность, Fee Key, сбор комиссий и распределение SOL | |
Развертывание и управление программой сайта; публикации; получатель голосований | |
Программа хранения контента, объявлений, голосований и настроек | |
Токен CYBERLEEK; допечатать или заморозить его никто не может | |
Общий платежный кошелек текущего .cc | |
Общий платежный кошелек .org | |
Токен Grand Theft Leek / CYBER (стандарт Token-2022) | |
Создатель второго токена, один из двух получателей распределения комиссий |
Роль адреса установлена по подписи, типу операции, записи о праве управления или реквизиту в сохраненном коде сайта. Перевод между двумя адресами устанавливает только финансовую связь. Чтобы говорить об общем контроле, нужно одно из трех: повторное использование ключа, доказуемое управление обоими счетами или подтвержденная связь оператора с аккаунтом сервиса.
Биржи и сервисы на маршрутах
Биржи и сервисы на маршрутах
Часть денег приходила с адресов, которые принадлежат крупным сервисам. Это не значит, что организаторы — их клиенты: один такой адрес обслуживает тысячи пользователей.
Адрес | Основание метки | Предел вывода |
Solscan Public Name: Robinhood Hot Wallet | Оплата комиссий .org и 9mp; общий сервис не указывает на одного клиента | |
Solscan Public Name: Revolut Hot Wallet | Выплаты SOL и USDC на .cc; клиент отправки неизвестен | |
Адрес в официальном отчете о резервах Bybit от 26.02.2026 | Историческое включение в список Bybit; отправка в октябре не устанавливает личность клиента |
Для iGd адрес найден поиском полного идентификатора в официальном документе Bybit PoR, страница 19; для Dwdr и Biw — страница Dwdr на Solscan и страница Biw на Solscan. Метка относится к указанному адресу и не распространяется на связанные кошельки.
Что осталось на кошельках
Что осталось на кошельках
Картина простая. Создатель токена, собравший 2 676 SOL, держит на кошельке 0,052 SOL: все выведено. На ключе публикации лежит 821 тысяча CYBERLEEK, и их не продают. Два сайта накопили чуть больше 480 USDC на двоих. Страна, гражданство, личная прибыль и криминальная роль из имеющихся данных не выводятся.
Как считали и где данные могут быть неполными
Как считали и где данные могут быть неполными
Первый набор данных содержал 2 506 успешных уникальных транзакций Solana и 15 неуспешных. Объединенный реестр версии 2 — 3 784 успешных и 69 неуспешных. Неуспешные исключены из расчета переводов, но их комиссии учтены при сверке балансов. Суммы считались в lamports и базовых единицах токена, без округления. Пройдены 33 базовые числовые проверки; проверки ветки NEAR и графа связей вынесены в отдельные QA-файлы.
Полностью расшифрованы успешные операции из историй Hok, 6Nq6, .cc, .org, 9mp, Ec2, 3YLND, Ece, основных промежуточных источников и трех получателей комиссий второго токена, а также их токеновые счета. История каждого адреса получена до конца, который вернул провайдер данных; это не гарантирует охват всех ранее закрытых счетов или неизвестных адресов.
Где выборка ограничена:
Полностью расшифрованы успешные операции из историй Hok, 6Nq6, .cc, .org, 9mp, Ec2, 3YLND, Ece, основных промежуточных источников и трех получателей комиссий второго токена, а также их токеновые счета. История каждого адреса получена до конца, который вернул провайдер данных; это не гарантирует охват всех ранее закрытых счетов или неизвестных адресов.
Где выборка ограничена:
- истории крупных сервисных адресов iGd и Biw — 3 000 подписей, J4zo и источника комиссий второго токена — 1 000;
- по 26sZ и 9WwE расшифрованы только выбранные операции финансирования; их полный оборот не заявляется;
- для 8ru выбран период после крупных выплат;
- при обновлении один провайдер вернул лишь 7 подписей для .cc и .org, независимый — 22 и 19; короткий ответ не принимался за доказательство отсутствия старых операций;
- история mint, случайно ограниченная 2 000 подписями при обновлении, не используется как полная история всех сжиганий.
Число подписей, расшифрованных операций, пропусков и причина остановки по каждому адресу — в coverage.csv. Неизвестные владельцы и границы сервисов сохранены в графе связей.
Что продвинет расследование дальше:
Что продвинет расследование дальше:
- данные клиентов сервисных выплат Ec2 и 3YLND;
- журналы изменений и аккаунты оплаты хостинга .cc и .org;
- подтверждение владельцев 3Afn, eS4 и 66Z;
- исполнение внутреннего счета NEAR Intents после депозита;
- происхождение предлагаемых файлов и связь публикаций с реальным инцидентом.
Все это требует новых первичных данных.
Доказательные приложения
Доказательные приложения
Пакет сохраняет исходный материал дела и отдельный каталог проверки. Исходные 380 файлов из переданного SHA256SUMS не изменялись; итоговая сверка — в PACKAGE_QA.json. У новых ответов сохранены URL, метод, параметры, UTC, статус, исходное тело и SHA-256. Происхождение внешних зацепок хранится в рабочих материалах; выводы опираются на перечисленные первичные доказательства.
Файл | Назначение |
coverage.csv | История и фактическое покрытие по каждому адресу |
transactions.csv | Уникальные успешные операции; роли подписантов и изменения балансов |
native_transfers.csv | Переводы SOL; отдельный путь инструкции |
spl_transfers.csv | Переводы токенов, mint, владельцы счетов и authority |
vote_claims.csv | 17 выплат ProcessResults, суммы и UTC |
creator_fee_ledger.json | Валовые начисления, дальнейшие выплаты и сверка 98 fee-операций |
site_ledgers_v2.json | Обновленные операции и сверка .cc/.org |
org_ledger.csv | Операции платежного получателя .org |
CYBERLEEK_VERIFIED_GRAPH_V2_2026-10-13.graphml | Подтвержденные маршруты, подписи, активы и пределы общего контроля |
stake_withdrawals.csv | Выводы из Stake Program: отдельный путь инструкции и сумма |
round2_NEAR_proof.json | События зачисления в NEAR Intents и текущий баланс |
program_accounts_verified.json | Независимая расшифровка 37 аккаунтов программы |
site_chain_comparison.json | Совпадающие и локальные записи сайта |
domains.json | Доменные реестры, DNS, URL и UTC первичных ответов |
creator_fee_events.json | Расшифрованные события распределения по официальному описанию формата (IDL) |
creator_fee_summary.json | Валовые и чистые суммы без двойного счета |
arweave_signature_verification.json | Пять проверенных подписей и SHA-256 содержимого |
funding_boundary_v2.json | 75 адресов: критерий включения, внешние входы и расходы |
funding_balance_checks.json | Сверка остатков и разрывов истории каждого адреса |
transaction_index.json | Объединенный реестр первичных транзакций |
QA_V2.json | Проверки версии 2 |
Все транзакции, упомянутые в статье (T01–T56 и V01–V23), приведены со ссылками на Solscan, Blockstream, NearBlocks и Arweave в соответствующих разделах; полные подписи хранятся в исходном отчете.
Все цифры в статье — на 13 октября 2026 года. Утром в 08:14:15 аналитики зафиксировали состояние блокчейна (это момент под номером 456372231, так называемый слот) и по нему считали остатки на кошельках. Данные о платежных адресах сайтов .cc и .org и о первом токене обновили позже, в 10:26:38 (слот 456408707). Все время в статье указано по UTC.
