Инвестиционные и романтические аферы часто выглядят как работа отдельных мошенников. Один человек знакомится с жертвой в социальной сети, другой представляется аналитиком, третий помогает внести деньги на торговую платформу. После исчезновения сайта создаётся впечатление, что преступная группа закрылась.
В действительности значительная часть такого бизнеса устроена иначе. Скам-центру необязательно самостоятельно разрабатывать сайты, регистрировать компании, искать банковские счета и строить систему вывода криптовалюты. Практически всю необходимую инфраструктуру можно приобрести у сторонних поставщиков.
Подробности этой модели раскрыло американское Управление по борьбе с финансовыми преступлениями FinCEN в предупреждении, опубликованном 3 сентября 2026 года. Ведомство описало так называемые гарантийные маркетплейсы — посреднические площадки, соединяющие мошеннические центры с продавцами специализированных услуг.
Чёрный рынок с гарантией сделки
По своему устройству такие маркетплейсы напоминают обычные торговые площадки. Продавцы предлагают товары и услуги, покупатели выбирают исполнителей, а посредник удерживает платёж до завершения сделки. Возможны страховые депозиты поставщиков и даже разбор конфликтов между сторонами.
От обычного маркетплейса эту модель отличает ассортимент. По данным FinCEN и правоохранительных органов, на таких площадках предлагают:
- услуги по отмыванию денег;
- банковские и платёжные счета;
- подставные компании;
- создание и верификацию аккаунтов в социальных сетях;
- подбор потенциальных жертв;
- массовые фишинговые рассылки;
- SIM-карты и чужие персональные данные;
- вредоносные программы;
- техническую инфраструктуру для сайтов и мессенджеров.
Многие площадки действуют через Telegram: в группах публикуются объявления, боты помогают оформлять заказы, а гарантийный сервис выступает посредником при расчётах. Формально операторы могут заявлять, что ничего не знают о целях клиентов и не отвечают за действия продавцов. Однако FinCEN отмечает, что крупные гарантийные рынки в значительной степени обслуживают серый и чёрный сектор.
Мессенджер может удалить каналы, нарушающие его правила. Но при сохранении администраторов, продавцов и платёжных связей рынок способен быстро восстановиться: достаточно создать новые группы и сообщить участникам другие адреса.
Именно поэтому закрытие Telegram-канала или инвестиционного сайта редко означает уничтожение всей сети.
Скам-центр занимается разговорами, остальное отдают подрядчикам
Один из наиболее важных выводов FinCEN заключается в том, что сотрудники скам-центра могут отвечать только за общение с жертвой.
Они знакомятся с человеком, входят в доверие, демонстрируют прибыль в фиктивном личном кабинете и убеждают увеличить вложения. Создание компаний и счетов, приём платежей, обмен активов и маскировку происхождения денег выполняют профессиональные посредники.
FinCEN описывает три основных этапа движения средств.
На первом этапе жертва переводит деньги. Её могут убедить открыть счёт на настоящей криптовалютной бирже, купить определённый актив и отправить его на указанный адрес. Законность биржи в данном случае не защищает клиента: площадка только продаёт криптовалюту, а окончательный перевод поступает на кошелёк, который контролируют злоумышленники.
При банковском переводе используются счета денежных мулов и подставных компаний. Иногда создаются фиктивные обменные сервисы. Некоторые из них регистрируются в FinCEN и затем предъявляют эту формальную регистрацию жертвам как доказательство надёжности. Однако такая запись не означает, что государство проверило бизнес и гарантирует сохранность денег.
На втором этапе криптовалюта быстро перемещается между множеством адресов. Средства разных жертв смешиваются в общих кошельках, проходят через обменные протоколы и переводятся из одной блокчейн-сети в другую. В частности, FinCEN описывает перемещение USDT из Ethereum в Tron. Могут применяться миксеры и другие способы разрыва очевидной связи между платежом жертвы и конечным получателем.
На третьем этапе активы обмениваются на обычные деньги и вводятся в легальную финансовую систему. Скам-центр приобретает всю эту цепочку как услугу и платит профессиональным отмывателям комиссию.
Huione Guarantee — супермаркет для теневой экономики
Самый известный пример такой инфраструктуры — камбоджийская группа Huione.
По данным FinCEN, её экосистема включала платёжную организацию Huione Pay, криптовалютный сервис Huione Crypto и маркетплейс Huione Guarantee, также известный как Haowang Guarantee. Через него предлагались товары и услуги, необходимые для кибератак, инвестиционных и романтических афер.
Министерство юстиции США утверждает, что в Telegram-каналах Huione Guarantee обсуждались торговля украденными банковскими и персональными данными, результаты краж с использованием вредоносных программ, поиск людей для торговли людьми и отмывание поступлений от мошеннических схем. Сама площадка предоставляла участникам расчётный сервис, похожий на эскроу.
FinCEN установил, что с августа 2021-го по январь 2025 года через Huione Group прошло не менее $4 млрд преступных доходов. В эту сумму, по оценке ведомства, входили не менее $36 млн от инвестиционных афер с криптовалютой, $37 млн от киберкраж, связываемых с КНДР, и $300 млн от других киберсхем.
Это не общий оборот площадки, а объём средств, которые FinCEN классифицировал как преступные доходы.
В октябре 2025 года ведомство фактически отрезало Huione Group от американской финансовой системы. Американским финансовым организациям запретили открывать для группы корреспондентские счета и обрабатывать связанные с ней операции через счета иностранных банков.
Но история на этом не закончилась.
От Huione Pay к H-Pay
В июне 2026 года FinCEN заявило, что Huione Group перевела операции с Huione Pay на H-Pay Service PLC. По оценке ведомства, это было сделано, чтобы уйти от публичного внимания и обойти ранее введённые ограничения.
Одновременно Министерство юстиции США изъяло облачную учётную запись, на которой размещалась серверная инфраструктура дочерних структур Huione. Ведомство утверждает, что эти системы использовались для перемещения и сокрытия доходов от инвестиционных и других киберафер.
Переименование платёжного компонента показывает, почему борьба только с отдельными доменами малоэффективна. Сайт можно заменить за несколько часов, компанию — зарегистрировать заново, Telegram-группу — открыть под другим названием. Даже платёжный сервис способен продолжить работу через нового формального оператора.
После удаления публичных каналов Huione Guarantee в мае 2025 года аналитическая компания TRM Labs обнаружила сохранившиеся группы для VIP-продавцов. Криптовалютная площадка появилась по новому адресу, а связанный гарантийный рынок Xinbi возобновил работу в Telegram уже через несколько дней. TRM Labs также выявила блокчейн-связи между адресами продавцов Huione и Xinbi.
Это вывод частной аналитической компании, а не судебное решение, но он согласуется с общей оценкой FinCEN: инфраструктурные посредники способны быстро менять названия, каналы и точки входа.
Почему одинаковые сайты появляются снова
Модель «инфраструктуры напрокат» объясняет характерную особенность инвестиционных афер: внешне разные компании нередко используют одинаковые личные кабинеты, документы, сценарии общения и способы оплаты.
Сайт с новым названием необязательно принадлежит новой группе. Скам-центр мог заказать у того же подрядчика очередной лендинг, приобрести готовые аккаунты и подключить прежний сервис по приёму криптовалюты. После блокировки домена меняется вывеска, но поставщики и денежные маршруты сохраняются.
Поэтому при расследовании важнее искать не только владельца конкретного сайта, но и повторяющиеся элементы:
- одинаковую верстку и тексты;
- общие серверы, сертификаты и аналитические коды;
- совпадающие формы регистрации и торговые кабинеты;
- повторно используемые криптовалютные кошельки;
- одни и те же платёжные компании;
- Telegram-аккаунты «аналитиков» и операторов;
- юридические лица и банковские счета, принимающие переводы;
- домены и бренды, появившиеся сразу после блокировки прежних.
Совпадение одного признака ещё не доказывает общую собственность. Но совокупность технических, финансовых и организационных связей позволяет увидеть за десятками одноразовых брендов общую фабрику.
Для жертвы вывод проще: красивый сайт, зарегистрированная компания, аккаунт на настоящей бирже и формально существующий платёжный сервис не подтверждают добросовестность предложения. Проверять нужно прежде всего конечного получателя денег и основание, на котором он обещает инвестиционный доход.
А для правоохранительных органов наиболее болезненной точкой становится не очередной оператор переписки, а инфраструктурный посредник. Пока у скам-центров сохраняется возможность арендовать сайты, счета, подставные компании и отмывание денег, закрытие одной вывески освобождает место для следующей.
Подписывайтесь на телеграм-канал Финсайд и потом не говорите, что вас не предупреждали: https://t.me/finside.
Читайте нашу книгу про обман в крипте:
Сообщить о мошенниках или задать вопрос Памятка о возврате от мошенников Телеграм-канал и чат Вкладер Белый список инвестиций