За заявлением в полицию на 118 млн гонконгских долларов: как закончилась кофейная финансовая пирамида с годовой доходностью 278%

Автор: BlockSec

20 июля 2026 года мобильное приложение инвестиционной платформы Fun Coffee внезапно перестало работать. Инвесторы в Гонконге и Макао не смогли вернуть свои основные средства и не получили обещанных платформой доходов; многократные попытки связаться со службой поддержки остались без ответа. Полиция Гонконга совместно с Департаментом уголовной полицией Макао квалифицировала инцидент как деятельность мошеннической группы. По состоянию на 19 августа было зарегистрировано 286 заявлений на общую сумму около 118 млн гонконгских долларов.

Илл. · Защита прав пострадавших от Fun Coffee (Источник: Sing Tao Daily)

Компания заявляла о своей штаб-квартире на острове Фук Ок (Вьетнам), занимаясь разработкой высокотехнологичного кофейного оборудования, технологиями оптимизации генетики кофе и системами интеллектуального полива и внесения удобрений. Согласно заявлениям компании, ее активы превышают 1 млрд долларов США, а число сотрудников превышает 5 000 человек. Как раскрыла полиция Гонконга, инвестиционные планы делились на три уровня: «Старт», «Рост» и «Дальнее плавание». Заявленная годовая доходность составляла примерно от 197% до 278%. На примере высшего уровня «Дальнее плавание»: при вкладе 29 800 USDT (около 230 тыс. гонконгских долларов) сроком на 570 дней платформа обещала прибыль около 1 млн гонконгских долларов.

Илл. · Инвестиционный план Fun Coffee (Источник: Radio Television Hong Kong)

Наше расследование началось с анализа истории переводов одного из пострадавших. Сеть, состоящая из 99 адресов, получила из внешних источников суммарно 72 829 035 USDT. К моменту остановки сбора данных все средства были выведены: совокупный баланс USDT на этих 99 адресах, проверенный по цепочке блоков, составляет всего 1,52.

Информация об обстоятельствах дела, представленная в статье, основана на открытых данных Комиссии по ценным бумагам и фьючерсами Гонконга, Департамента уголовной полиции провинции Кхань Хоа (Вьетнам) и полицейских управлений Гонконга и Макао; все они проверены по первоисточникам. Остальные данные и выводы получены в результате нашего независимого анализа ончейн-записей и охватывают исключительно движение USDT в сети TRON. Описание функций адресов в тексте основано на шаблонах ончейн-активности и записях о принадлежности сущностей в базе тегов BlockSec и не является подтверждением личности владельца или его юридической ответственности. В целях защиты конфиденциальности пострадавших статья не содержит их кошельков, хэшей транзакций и сумм личных вкладов.

Все предупреждающие сигналы регуляторов были выпущены до остановки платформы

Еще до анализа каких-либо ончейн-данных представляет интерес сама хронология публичной информации. Департамент уголовной полиции провинции Кхань Хоа (Вьетнам) еще 15 мая 2026 года выпустил предупреждение о рисках, указав, что заявленная модель предполагает доходность «обычно от 10% до 30% в месяц» и поощряет участников привлекать новых людей через многоуровневые системные комиссии и бонусы за командные результаты, квалифицируя это как скрытую многоуровневую маркетинговую схему и риск пирамидальной схемы. Предупреждение было довольно прямым: эта доходность не возникает от продажи кофе, а зависит от средств новых участников. 13 июля Комиссия по ценным бумагам и фьючерсами Гонконга включила проект «Fun Coffee GCM Project» в список подозрительных инвестиционных продуктов, классифицировав его как «другие инвестиции», и указала операторов и промоутеров как Fun Coffee (Гонконг / Вьетнам), то есть регулирующие органы уже рассматривают обе локации как единую сущность.

20 июля приложение перестало функционировать. Уголовное расследование полицией Гонконга было начато после остановки платформы, когда с июля начали поступать сообщения. С 1 по 3 августа полиция Гонконга и Макау провела совместную операцию под кодовым названием «Цзюньли», в ходе которой задержали 8 человек. Шестеро в Гонконге были арестованы по обвинению в сговоре с целью мошенничества; среди них оказались члены совета директоров, акционеры, секретари ключевых сотрудников, отвечающих за продвижение проекта и привлечение инвесторов. Полиция заморозила предполагаемые преступные доходы на сумму около 610 тыс. гонконгских долларов.

Методика работы платформы сама по себе была несложной. Участники могли получать дополнительные бонусы за привлечение друзей и родственников. Вьетнамская полиция отметила, что на семинарах прямо обучали тому, как привлекать людей для получения системных комиссий и командных вознаграждений. Все поступления осуществлялись через криптовалюту. Согласно данным полиции Гонконга, после скачивания приложения и регистрации служба поддержки «указывала им перевести виртуальные валюты на указанные криптокошельки, и только после завершения пополнения счета они могли инвестировать на платформе». В Макао схема немного отличалась: жертвы передавали наличные сотрудникам точки, которые помогали им пополнить счет; инвестиционные средства в итоге переводились на указанные куратором криптокошельки, причем этот же куратор отвечал за предоставление операционных средств точке в криптовалюте. Точки в Макао открылись в ноябре 2025 года.

91 адрес для приема платежей, в конечном итоге сконцентрированные на одном адресе

Эти 99 адресов разделены на четыре уровня по функциональному признаку, и ни один уровень не хранит средства постоянно, как показано на Рисунке 1.

Илл. · Четырехуровневая ончейн-структива движения средств по делу Fun Coffee

Первый уровень составляют 91 адресов для приема платежей. Публичные адреса приема платежей платформы постоянно менялись; это был пул адресов, которые активируются партиями в ротации. Каждый адрес получил от 67 до 649 поступлений. Из 15 272 поступлений, полученных этими адресами из внешней сети, 13 903 (91%) исходили от горячих кошельков бирж, то есть розничные инвесторы выводили средства напрямую со своих биржевых счетов; доля таких переводов для каждого отдельного адреса варьировалась от 78,7% до 98,2%, ни один показатель не опускался ниже 50%, что полностью соответствует методике преступления, раскрытой полицией Гонконга.

На втором уровне находится лишь один адрес, куда стекаются все средства, полученные на первом уровне. 99,99% поступлений поступает сюда с первого уровня, а все расходы направлены на четыре промежуточных адреса третьего уровня без сохранения остатка. Это единственная точка концентрации всей сети. Именно наличие такой точки позволило нам восстановить всю структуру, начиная с истории переводов одного пострадавшего.

Третий уровень состоит из 4 промежуточных адресов, используемых последовательно во времени. Интервалы перечисления средств центральной системой на эти четыре адреса следуют друг за другом без перекрытий. Три смены произошли в одни и те же даты (2–3 февраля 2026 года, 1 июля и 14 июля). Это выглядит не как четыре параллельные роли, а скорее как один кошелек с определенным функционалом, который менялся три раза. Четвертый уровень включает 3 узла распределения, куда конвергирует 91,1% расходов с третьего уровня, где средства распределяются по различным направлениям. Один из узлов выплат был активен только с 15 по 23 июля 2026 года, что идеально совпадает с периодом остановки платформы и начала регистрации обращений полицией Гонконга и Макао; это был последний адрес выплат, принявший функции после停用 предыдущего узла.

Существует два нюанса, не укладывающихся в эту строгую многослойную схему, которые необходимо пояснить. Во-первых, не все средства поступают на четвертый уровень: 8,5% расходов с третьего уровня (всего 6 245 984 USDT) покидают сеть напрямую с этого уровня. Во-вторых, не все средства поступают с первого уровня: с третьего уровня дополнительно поступило 3 355 420 USDT (302 транзакции) напрямую из внешней сети, а два узла четвертого уровня также получили 1 293 472 USDT, которые никогда не касались адресов приема платежей.

Поступления монотонно росли девять месяцев, тогда как пул адресов фактически сокращался

На Рисунке 2 показан объем ежемесячных поступлений на 91 адрес первого уровня. Ни разу за девять месяцев не наблюдалось снижения: сумма выросла с 518 213 USDT до 14 349 354 USDT, достигнув 27,7 объема первого месяца в последнем месяце. Месяц с максимальными поступлениями совпал именно с остановкой платформы — июлем 2026 года. Это свидетельствует о том, что интенсивность привлечения средств оставалась на пике перед остановкой; платформа закрылась не вследствие естественного истощения капитала.

Илл. · Монотонный рост поступлений за девять месяцев при одновременном сокращении количества адресов

Особое внимание заслуживает разрыв между количеством адресов и объемом поступлений. В марте и апреле 2026 года новые адреса не подключались, но именно эти два месяца стали периодами наиболее быстрого роста поступлений. К июлю в работе участвовало всего 11 адресов, обработавших 14 349 354 USDT, что составляет в среднем 1 304 487 USDT на адрес в месяц — в 83 раза больше, чем в ноябре 2025 года. Пул адресов не расширялся постепенно вместе с объемом средств; он развертывался партиями сразу: 33 адреса были запущены в ноябре 2025 года, 20 — в мае 2026 года, в остальные месяцы практически не добавлялось новых. Рост затем поглощался за счет увеличения пропускной способности каждого отдельного адреса. Месяц запуска первых 33 адресов точно совпал с открытием точек продаж в Макао.

Еще один показатель, более точно отражающий изменения, чем общая сумма: средняя сумма одной транзакции выросла с 814 USDT до 6 882 USDT, увеличившись в 8,5 раза. Растет не только количество участников, но и размер каждой отдельной инвестиции носит систематический характер, с каждым месяцем ставки становятся крупнее.

Разделить возврат средств инвесторам и их вывод можно по анализу размера отдельных транзакций

У сети есть три выхода вовне. Для определения функциональной нагрузки каждого мы опирались на паттерны размеров исходящих транзакций.

Илл. · Сравнение паттернов размеров транзакций трех внешних каналов

Наиболее заметная разница на Рисунке 3 касается доли округленных до тысячи сумм. Переводы по каналу 1 почти никогда не бывают округленными; доля таких сумм составляет лишь 1,1%, причем самые частые значения — числа с остатком вроде 393, 448, 324. Каналы 2 и 3 имеют 86,2% и 73,4% округленных сумм соответственно, а самые частые значения — круглые числа типа 150 000, 5 000, 10 000. Эта разница обусловлена способом формирования сумм: поэтапные выплаты пользователям на снятие и дивиденды рассчитываются как капитум ставка умноженная обычно дает некруглое число; массовый перевод средств происходит при ручном указании суммы, которую чаще всего вводят целыми числами.

Это общая тенденция, а не абсолютный закон: платформа может округлять дивиденды, а лица, организующие переводы, могут намеренно использовать некруглые суммы. Однако данные по этому делу соответствуют этой тенденции весьма хорошо. Кроме того, канал 1 использует 12 532 мелких транзакции на 1 428 адресов, а канал 2 — 87 крупных транзакций на 19 адресов, что позволяет достаточно уверенно определить природу обоих каналов.

Канал 1 является каналом выплат: 45 574 708 USDT разбиваются на мелкие суммы и возвращаются инвесторам и «лидерам групп», причем 86,63% попадает на 946 адресов пополнения баланса Binance. Каналы 2 и 3 используются для вывода средств из сети. 19 нижестоящих адресов канала 2 представляют собой независимые крупные узлы, накопившие за все время 174 114 070 USDT. Средства по данному делу составляют лишь 12,8% от этого объема; источники остальной части нами пока не отслеживались.

Илл. · Соотношение каналов и уровней

Уровни и каналы не образуют строгого взаимно однозначного соответствия. Рисунок 4 показывает, что из канала 1 и канала 2 выходят с четвертого уровня, тогда как канал 3 выходит напрямую с третьего уровня, минуя четвертый. Данное несоответствие указывает на то, что группа не придерживалась строгой маршрутизации по уровням: третий уровень, выполняя функцию транзита, одновременно напрямую переводил вовне 6 245 984 USDT. При функциональной классификации из общего объема 72 829 035 USDT, выведенного из сети, 45 389 827 USDT прошло через канал выплат, а 27 439 208 USDT было выведено через каналы 2 и 3; соотношение составляет примерно 62% к 38%.

Большинство инвесторов, чьи вклады можно отследить поодиночке в блокчейне, вернули основной капитал

Выводы данного раздела применимы только к той части инвесторов, вклады которых можно идентифицировать поодиночке в блокчейне; границы этого набора нужно обозначить заранее. Люди, переводящие средства напрямую со своего кошелька на адреса приема платежей, позволяют отнесение каждой транзакции к конкретному адресу по цепочке блоков; в то время как участники, использующие биржевые счета, отправляют средства через горячие кошельки бирж, за которыми стоят десятки тысяч пользователей, и сопоставить конкретный взнос с конкретным человеком невозможно. После исключения адресов самого network и «пылевых» адресов с взносами менее 100 USDT остается 175 адресов первого типа.

Илл. · Статус возврата средств по адресам с самохранением

Из 175 адресов 151 (86,3%) получили возврат средств. Их совокупный вклад составил 6 211 277 USDT, совокупный возврат — 7 830 067 USDT, общая норма возврата достигла 126,1%. Из них 110 адресов (72,8%) имели норму возврата на уровне 100% или выше, образуя группу с чистой прибылью. Еще 24 адреса после внесения средств не получили ничего взамен, их совокупный вклад составил 466 630 USDT. На Рисунке 5 медианные нормы возврата приведены по диапазонам сумм вклада и снижаются по мере роста размера инвестиций.

При группировке по месяцу первого взноса тенденция к снижению со временем отсутствует: медианные нормы возврата по месяцам колеблются от 75,0% до 183,2%, а самая ранняя группа (участники ноября 2025 года) составила 113,4%. Таким образом, типичный сценарий пирамиды «ранние зарабатывают, поздние теряют всё» в данной выборке не реализовался.

Это явление объясняется хронологией, приведенной в начале статьи. Пирамида прекратила работу не из-за истощения капитала; объем сборов в месяц остановки оказался самым высоким за все девять месяцев. Настоящим прерывающим фактором стало предупреждение о рисках со стороны иностранных правоохранительных органов в мае и внесение в список предупреждений Комиссией по ценным бумагам Гонконга 13 июля. Платформа впоследствии остановилась 20 июля, уголовное расследование было запущено уже после этого. Пирамида, прерванная внешними факторами при наличии достаточного капитала, просто не успела достичь этапа прекращения выплат.

Это также объясняет, почему проект с заявленной годовой доходностью 278% мог просуществовать почти год: ранние участники действительно получали деньги, и их опыт становился доказательством для платформы, чтобы привлекать новый капитал. Описание психологии жертв полицией Гонконга совпадает с этим выводом: участники «видя успешные инвестиции других и небольшие собственные доходы, верили в надежность плана, снимали осторожность и увеличивали объемы инвестиций».

Норма возврата в 126,1% не репрезентативна для всех участников

Эти данные имеют две непреодолимые ограничения, которые нельзя игнорировать. Первое — охват выборки. Сравнение суммы поступлений и взносов по одному адресу справедливо только для адресов самохранения: владельцы адресов пополнения бирж отправляют средства через горячие кошельки, и сопоставить эти взносы с будущими выплатами невозможно. Эти 175 адресов получили лишь 12,51% суммы канала выплат, в то время как 946 адресов пополнения Binance, на долю которых приходится 86,63%, вообще исключены из расчета; если считать по количеству транзакций, то участники, вкладывающие через биржи, составляют 91% от всех транзакций на первом уровне.

Второе ограничение важнее: тот факт, что данная группа в целом имеет чистую прибыль, как раз доказывает, что отслеживаемые по отдельности инвесторы не репрезентативны для обычных жертв. Те, кто использует кошельки самохранения для участия в таких схемах, как правило, более активны, инвестируют большие суммы и входят раньше; значительная часть из них — лидеры групп («топ-менеджеры»). Паттерн на блокчейне виден четко: один адрес внес 581 USDT, но получил назад 100 434 USDT, разница в 173 раза; существуют также множественные примеры с разницей в 100 и 75 раз. Любые выводы о потерях жертв, сделанные на основе этой выборки, будут систематически занижать реальный ущерб.

Тем не менее, мы оставляем возможность для проверки предположения о лидерах групп. И лидеры, получающие процент за привлечение, и ранние инвесторы, выходящие с прибылью, демонстрируют на блокчейне высокую сумму поступлений по сравнению со своими взносами, поэтому по одному только паттерну различить их невозможно. Следовательно, в статье не делается вывод относительно конкретных адресов. По аналогичной причине оценочная численность в 1 650–1 950 человек, рассчитанная методом пересечения количества транзакций и направлений выплат в канале, отражает масштаб участия, а не число пострадавших, поскольку среди адресатов выплат присутствуют как минимум три категории: обычные инвесторы, лидеры групп и потенциальные счета организаторов для обналичивания. Этот диапазон также склонен к недооценке: если оценивать реальную частоту взносов рядовых инвесторов, общее число участников может достигать порядка 7 000.

Жертва, с чьих переводов начиналось данное расследование, служит наглядным контрольным примером. Его взносы полностью проводились через биржевой счет, плательщиком выступал горячий кошелек биржи, поэтому он не входит в упомянутые 175 адресов, а сумма полученных обратно средств составила лишь около 3,8% от собственных взносов, что на два порядка ниже общей нормы возврата выборки самохранения в 126,1%. Единичный случай не является статистическим доказательством, но его направление полностью согласуется с описанным смещением: положение тех, кого не видно в блокчейне, вероятно, гораздо хуже видимых.

Каковы точные потери участников?

Существует три распространенных способа учета потерь, из которых лишь один подходит участникам для предъявления требований о возмещении. Платформенный бухгалтерский метод подразумевает суммарное значение суммы, отображаемое в приложении; он включает реинвестирование виртуальных доходов и бонусов за уровни, что существенно превышает реальные денежные средства, внесенные участниками.

Метод cumulative on-chain receipts указывает общую сумму, полученную адресами приема извне сети, по итогам расследования удалось отследить 68 170 144 USDT. Это измеримый объем средств, но он не равен сумме потерь: в структуре пирамиды одни и те же средства многократно циркулируют между взносами и выплатами, поэтому накопленная сумма заведомо превышает фактический чистый ущерб. Кроме того, на блокчейне невозможно отделить средства, введенные организаторами самостоятельно для создания фиктивного оборота. Третий метод — чистые потери — означает фактическую сумму ущерба участников, и именно этот показатель пригоден для юридических претензий.

Илл. · Три метода оценки потерь и нижняя граница чистого ущерба

Как видно на Рисунке 6, поскольку все средства с этих 99 адресов выведены и балансы обнулены, действует следующее тождество: Общий вклад участников = Возвращенная часть участникам + Выведенная организаторами часть + Остаток в сети (≈ 0). Иными словами, чистые потери участников равны сумме, выведенной организаторами. Из трех каналов средства каналов 2 и 3, покидая сеть, поступают в крупные узлы и адреса пополнения бирж, аккумулирующие значительные объемы средств из других источников. Характер этих переводов — крупные округленные суммы, не свойственные помесячным выплатам клиентам, что однозначно указывает на внешний вывод. Реальная сумма, покинувшая сеть по каналу 2, составила 21 193 224 USDT, по каналу 3 — 6 245 984 USDT, итого 27 439 208 USDT. Это и есть нижняя граница чистых потерь участников.

Верхнюю границу установить невозможно. Она должна включать нижнюю границу плюс ту часть из 45 389 827 USDT, выведенных по каналу 1, которая попала на счета организаторов для обналичивания. Это зависит от того, сколько из 946 адресов пополнения Binance принадлежат операторам, что является неразрешимой задачей на уровне блокчейна. Поэтому в статье приводится исключительно нижняя граница без указания верхней или точечной оценки.

Даже эта нижняя граница опирается на предположение, что адреса назначения канала 3 находятся вне сети. Среди 1 636 внешних адресов, взаимодействовавших с сетью, 160 вели двусторонний оборот, как отправляя, так и получая средства от сети. Такая структура указывает на то, что некоторые из них функционально могут изначально принадлежать одним и тем же операторам, но были исключены из определяемого в данном анализе пула из 99 адресов; при последующей верификации и их включении потребуется пересмотреть объем внешнего вывода канала 3 и скорректировать вниз нижнюю границу чистого ущерба.

Что может и чего не может ответить ончейн-анализ

Отправной точкой послужила история переводов одного пострадавшего; блокчейн выявил полную конфигурацию структуры: 91 ротатируемый адрес приема, одна уникальная точка концентрации, 4 промежуточных адреса, используемых последовательно, 3 функционально различимых выхода и 27 439 208 USDT, которые достоверно были выведены, а не возвращены инвесторам.

Невозможно получить личность. 946 адресов пополнения баланса бирж, аккумулирующих 86,63% средств канала выплат, являются пределом возможного ончейн-анализа. Хотя один адрес пополнения соответствует одному счету на бирже, информация о том, кому принадлежит этот счет и делал ли данный пользователь взносы на платформу, отсутствует в блокчейне. Ее можно получить только путем запроса верифицированных данных у биржи в сочетании с другими оффчейн-материалами. Преодолев эту границу, вопрос перестает быть аналитическим и становится вопросом архивных записей бирж; дальнейший путь по таким делам лежит именно туда.

Охват анализа: USDT в сети TRON. Данные по транзакциям актуальны на 24 августа 2026 года, проверка балансов проведена 25 августа, проверка открытых источников завершена 25 августа. Проценты в тексте рассчитаны по сумме средств, если не указано иное (для количества адресов). Адреса, не имеющие установленной принадлежности сущности в блокчейне, маркированы как «без сущности», что означает лишь отсутствие данных, а не подтверждение статуса личного кошелька. Адреса пополнения бирж указывают исключительно на движение средств в сторону биржи и не означают причастность самой биржи к делу.