Хорошая новость о криптокражах: каждое перемещение навсегда записано в публичном реестре. Плохая: воры это тоже знают — и дробят, гоняют и миксуют средства, чтобы измотать любого преследователя. Трассировка — это умение вести стоимость по этому лабиринту быстрее, чем она растворяется. В гиде — как работает многохоповый анализ графа, какие паттерны обфускации вы встретите и что делать в критические первые часы после кражи.
Почему трассировка вообще работает
Блокчейны только пополняются: вор может переместить средства, но не может стереть их происхождение. Аналитические инструменты восстанавливают граф транзакций — кошельки как узлы, переводы как рёбра — и накладывают метки из базы известных сущностей. Движок Arya Crypto опирается на 7M+ размеченных сущностей в 43 сетях: когда украденная стоимость достигает известного депозитного адреса биржи, миксера или OTC-брокера, граф говорит об этом прямо.
Паттерны, которыми реально пользуются воры
Большинство краж — вариации нескольких мотивов:
- Peel-цепочки: крупный баланс движется длинной серией транзакций, на каждом шаге «отслаивая» небольшую долю на адрес обналичивания, пока остаток перекатывается в свежий кошелёк.
- Веер и схождение: средства разлетаются по десяткам кошельков и затем сходятся на консолидирующем адресе — именно это схождение и ловит анализ.
- Межсетевые прыжки: стоимость уходит мостом в другую сеть, чтобы сломать наивную односетевую трассировку; мультисетевое покрытие здесь обязательно.
- Миксеры: настоящая обфускация, но суммы и тайминг входа-выхода всё равно текут статистическим сигналом — а сам депозит в миксер — красный флаг, который видит любой скрининговый движок.
Биржи — точки контроля
Почти каждому вору в итоге нужен выход в расходуемые деньги, а значит — контакт с сервисом, у которого есть KYC-записи: биржей, OTC-деском, платёжным процессором. Этот депозит и есть добыча расследователя: регулируемая организация, способная заморозить средства и по законному запросу раскрыть личность. Поэтому скорость решает — запрос на заморозку, дошедший до биржи, пока средства ещё лежат в депозитном кошельке, стоит больше идеального отчёта месяцем позже.
Что жертве делать в первую очередь
В первые часы: зафиксируйте хеши транзакций кражи, прогоните скрининг адресов-получателей и поставьте каждый адрес оттока под постоянный мониторинг, чтобы получить оповещение в момент нового движения средств. Сформируйте PDF-отчёт трассировки — время, путь, риск-категории: биржи и полиция реагируют на структурированные доказательства быстрее, чем на устный рассказ. Затем подайте заявление в правоохранительные органы своей юрисдикции; реальное возвращение средств идёт юридическими каналами, и ваша трассировка резко сокращает их работу.
Трассировка как профилактика
Тот же графовый анализ, что гонится за украденным, не даёт вам его получить. Скрининг контрагента перед расчётом показывает, не лежат ли его средства в нескольких хопах от свежей кражи — экспозиция, которую вы не хотите видеть у себя на балансе. Одна проверка до транзакции дешевле криминалистического расследования после неё.
Как читать граф транзакций и не заблудиться
Когда впервые открываешь многоуровневый граф, он выглядит как взрыв узлов, и инстинкт велит идти по каждой ветке. Именно этот инстинкт и делает трассировку невозможной на вид.
Опытные следователи поступают наоборот: агрессивно отсекают. Следуйте за стоимостью, а не за транзакциями. Ветка, несущая 0,4% украденной суммы, — шум; ветка с 60% — это и есть дело. Идите по ней, пока она не упрётся в сервис, а остальное игнорируйте, пока не дойдёте.
Смотрите и на форму. Дробление средств на множество равных сумм — намеренное запутывание. Средства, неподвижные неделями, а затем ушедшие одним переводом, обычно означают, что вор ждал, пока внимание спадёт. Ни один из паттернов сам по себе ничего не доказывает, но оба подсказывают, куда смотреть.
Что добавляет атрибуция сущностей
Сырой анализ графа показывает адреса. Атрибуция говорит, чем эти адреса являются, — и это разница между схемой и зацепкой.
Аналитики кластеризуют адреса, доказуемо принадлежащие одному актору, с помощью он-чейн эвристик — совместное владение входами, паттерны сдачи, временные корреляции — а затем размечают кластеры офчейн-доказательствами: судебными материалами, раскрытиями бирж, изъятой инфраструктурой, отчётами о скамах. Поэтому база из 7 миллионов размеченных сущностей важнее списка адресов.
В трассировке атрибуция превращает «средства ушли на этот адрес» в «средства достигли депозитного адреса на конкретной бирже», а действовать правоохранители могут именно по второму утверждению.
Как задокументировать трассировку, чтобы ею можно было пользоваться
Трассировка, живущая только во вкладках браузера аналитика, доказательством не является. Если она должна подкрепить обращение в правоохранительные органы, страховое требование или гражданский иск, её должен быть в состоянии воспроизвести кто-то другой.
Зафиксируйте стартовый адрес и точные хеши транзакций на каждом хопе с метками времени. Отметьте долю стоимости по каждой пройденной ветке и, что не менее важно, почему вы отбросили остальные. Выгрузите отчёты скрининга по ключевым адресам, чтобы риск-выводы были датированы, а не просто заявлены.
Каждая проверка в Arya Crypto формирует скачиваемый PDF с баллом, разбивкой по категориям, сработавшими источниками и контрагентами — именно это делает трассировку защитимой спустя месяцы, а не только убедительной сегодня.
Реалистичные ожидания по возврату
Трассировка и возврат — не одно и то же, и смешение этих понятий приводит к массе потраченных усилий и ложных надежд.
Трассировка технична и обычно удаётся: блокчейн — постоянная публичная запись, поэтому при достаточном терпении вы, как правило, можете проследить стоимость до места, где она осела. Возврат же — вопрос юридический и юрисдикционный. Он зависит от того, попали ли средства в сервис, реагирующий на законные запросы, находится ли этот сервис в сотрудничающей юрисдикции и оправдывает ли сумма издержки преследования.
Честная позиция такова: хорошая трассировка существенно повышает шансы и является предпосылкой любого возврата, но не гарантирует его. Всякий, кто обещает гарантированный возврат за предоплату, проводит вторую аферу над жертвой первой — схема достаточно распространённая, чтобы её стоило назвать вслух.
Предотвращение следующего инцидента
Больше всего трассировку усложняет время. Чем дольше средства движутся незамеченными, тем больше накапливается хопов и тем через большее число сервисов они проходят. Поэтому самое ценное применение этой технологии — не расследование постфактум, а более раннее обнаружение.
Поставьте казначейские и расчётные адреса под непрерывный KYT-мониторинг, чтобы неожиданный отток или новый высокорисковый контрагент вызывали оповещение в течение часов, а не обнаруживались при месячной сверке. Проверяйте адреса назначения выводов до отправки средств — это полностью перекрывает исходящую часть многих краж.
И поддерживайте верификацию личности в актуальном состоянии для аккаунтов, способных двигать деньги: трассировка, заканчивающаяся на вашей же платформе, полезна только если вы знаете, кто стоял за счётом.
Отследите адрес в 43 сетях — Тарифы · Услуги · KYT · KYC · KYB · Exchange · Prop