Bir kripto dolandırıcılığında fonlar çalındığında, para nadiren yerinde kalır. Dakikalar içinde ara cüzdanlar arasında hareket eder, adreslere bölünür ve bir borsaya ulaşır. Bunu takip etmek isteyen araştırmacılar, her adımda temel bir soruyla yüzleşir: çalınan fonlar aynı cüzdandaki meşru fonlarla karıştığında, çıkan paranın ne kadarı hâlâ "kirli"dir?
Bulaşma analizi bu sorunun yanıtıdır. Blokzincir fon takibinin temel tekniklerinden biridir ve bunu anlamak hem modern araştırma araçlarının neler yapabileceğini hem de nerede sınıra ulaştıklarını açıklar.
Bu kılavuz, bulaşma analizinin ne olduğunu, araştırmacıların kullandığı üç yöntemi ve her yöntemin tam olarak nasıl davrandığını görebileceğiniz Ethereum üzerinde çalışılmış bir örneği açıklamaktadır.
Bulaşma analizi nedir?
Bulaşma analizi, bir cüzdanın bakiyesinin ne kadarının bilinen yasadışı bir kaynaktan geldiğini tahmin eder, ardından fonlar hareket ettikçe bu payı takip eder.
Bu fikir basit bir etiketlemeye dayanır. Bir hırsızlık, dolandırıcılık veya yaptırım uygulanan adresle bağlantılı coinler kirlidir; böyle bir bağlantısı olmayanlar ise temizdir. Tek bir cüzdan neredeyse her zaman her ikisini de barındırdığından, tekniğin giden transferleri kirli ve temiz kısımlarına ayırmak için bir kurala ihtiyacı vardır.
Kirli ve temiz fonlar
Bir adresin bir dolandırıcılık kurbanından çalınan 3.000 USDT ve ayrı olarak olağan işlemlerden 7.000 USDT aldığını hayal edin. Cüzdan artık 10.000 USDT tutuyor, bunun 3.000'i kirli. Bu adres daha sonra bir borsaya 9.000 USDT gönderdiğinde, bir araştırmacının giden 9.000'in ne kadarının kirli sayıldığına karar vermesi gerekir. Farklı kurallar farklı yanıtlar verir ve bu seçim aşağıdaki üç yöntemi birbirinden ayıran şeydir.
Neden önemlidir
Araştırmacılar bunu önceliklendirmek için kullanır. Bir işlem zincirinin tamamını donduramayacakları için, hangi aşağı akış adreslerinin çalınan değeri tuttuğuna ve ne kadar tuttuğuna dair savunulabilir bir tahmine ihtiyaç duyarlar. Bu tahmin, bir borsanın uyum ekibiyle paylaşılan veya kolluk kuvvetlerine yapılan bir rapora dahil edilen şeydir.
Bulaşma analizi neden vardır
Güçlük, blokzincirlerin fonları birleştirme biçiminden kaynaklanır. Ethereum gibi hesap tabanlı bir zincirde, bir cüzdanın bakiyesi tek bir havuzlanmış sayıdır; dolayısıyla kirli ve temiz fonlar aynı adrese düştüğünde finansal olarak birbirinden ayırt edilemez hâle gelir. Ham işlem kaydında "bu 9.000 USDT transferi temiz parayı değil, kirli parayı harcadı" yazan hiçbir şey yoktur.
Bulaşma analizi bu boşluğu açık bir muhasebe kuralıyla doldurur. Araştırmacılar, Poison (Zehir), Haircut (Kesim) ve FIFO (İlk Giren İlk Çıkar) adlı üç standart bulaşma yöntemini kataloglamıştır. Kurallar, Ethereum ve çoğu token hırsızlığının gerçekleştiği diğer EVM ağları gibi hesap tabanlı zincirler de dahil olmak üzere işlemleri açıkça kaydeden tüm genel blokzincirlere uygulanır.
Çalışılmış bir örnek ile üç yöntem
Üç yöntem şunlardır: Poison, Haircut ve FIFO. Poison, kirli bir işlemin her çıktısını tamamen kirli olarak işaretler; Haircut, bulaşmayı çıktılar arasında orantılı biçimde böler; FIFO ise bulaşmayı para yatırma işlemlerinin kronolojik sırasına göre atar.
Daha önceki cüzdanı ele alalım: Ethereum'da 10.000 USDT tutuyor, bunun 3.000'i kirli (bir kurbanadan) ve 7.000'i temiz. Bir borsa para yatırma adresine 9.000 USDT gönderiyor. Her yöntemin bu giden 9.000'i nasıl etiketlediği aşağıda açıklanmaktadır.
Poison: dokunduğu her şeyi kirlet
Poison yöntemi, herhangi bir kirli girdi içeren bir işlemin her çıktısını tamamen kirli olarak kabul eder. Kirli kısmın ne kadar küçük olduğu önemli değildir.
Örneğimizde, 9.000 USDT transferinin tamamı kirli olarak işaretlenir ve borsa para yatırma adresi çalınan fonları aldığı gerekçesiyle işaretlenir. Sorun açıktır: temiz fonlar kirli olarak yeniden etiketlenir ve "kirli" coin havuzu yeni bir cüzdana her dokunduğunda büyür. Poison en az hassas yöntemdir ve araştırmacılar onu çoğunlukla çalışan bir tahmin olarak değil, kaba bir temel çizgi olarak kullanır.
Haircut: orantılı biçimde kirlet
Haircut yöntemi de her çıktıyı bulaşma taşıyor olarak kabul eder, ancak her birine tam tutar yerine orantılı bir pay atar. Cüzdanın kirli kısmı 10.000 üzerinden 3.000, yani %30'du; dolayısıyla giden transferin %30'u kirli olarak sayılır.
Bu, 9.000'in 2.700 USDT'sinin kirli, 6.300'ünün ise temiz olarak etiketlendiği anlamına gelir. Haircut, kirli para miktarını şişirmek yerine koruduğu için Poison'dan daha gerçekçidir. Zayıflığı ise çok sayıda adrese az miktarda bulaşma yaymasıdır; bu da uzun izleri gürültülü hâle getirir.
FIFO: sırayla kirlet
FIFO (ilk giren ilk çıkar) yöntemi oranları görmezden gelir ve bunun yerine sıraya bakar. Fonlar cüzdanı, geldikleri sırayla terk eder: ilk yatırılan ilk harcanan olur.
Örneğimizde, temiz 7.000 USDT kirli 3.000'den önce geldi. FIFO'ya göre, giden transferin ilk 7.000 USDT'si temizdir ve yalnızca sonraki 2.000 kirlidir. Kirli fonların kalan 1.000'i cüzdanda kalır. FIFO en hassas ve en az gürültülü izi üretir; bu yüzden amaç savunulabilir bir kara liste veya delil niteliğinde bir rapor olduğunda en sık kullanılan yöntemdir.
| Yöntem | Kural | Giden 9.000 USDT | Hassasiyet |
|---|---|---|---|
| Poison | Herhangi bir bulaşma tüm çıktıyı kirli yapar | 9.000 kirli | En düşük — kirli havuzu şişirir |
| Haircut | Orantılı bulaşma payı | 2.700 kirli | Orta — uzun izlerde gürültülü |
| FIFO | Sıraya göre ilk giren ilk çıkar | 2.000 kirli | En yüksek — en temiz iz |
Üç bulaşma analizi yönteminin aynı 9.000 USDT'lik giden transferi etiketlemesi. FIFO (vurgulanan) en az gürültülü izi üretir.
Bulaşma analizinin yapabilecekleri ve yapamayacakları
Bulaşma analizi güçlüdür, ancak bir kesinlik değil tahmindir ve dürüst raporlama sınırlarını bilmeye bağlıdır.
Fonlar sıradan transferler ve takas işlemleri yoluyla hareket ettiğinde iyi çalışır. Üç durumda zorlanır. Mikserleri kasıtlı olarak para yatırma ve çekme işlemleri arasındaki bağlantıyı kırar, bu nedenle bulaşmanın doğrudan izleme yerine istatistiksel yöntemlerle yeniden oluşturulması gerekir. Yüksek işlem hacmi bulaşmayı çok sayıda adrese yayar ve Haircut tarzı tahminler anlamsız hâle gelir. Zincirler arası köprüler ise değeri defterler arasında taşır, dolayısıyla bir izin diğer tarafta yeniden birleştirilmesi gerekir.
Bulaşma analizinin üç yaygın senaryoda nasıl davrandığı. Sıradan transferler temiz bir şekilde izlenir; mikserlerin ve köprülerin her biri, bulaşma analizinin üzerine ek bir teknik gerektirir.
Bunların hiçbiri izlemeyi tamamen engellemez, ancak her biri bir aracın kullandığı yöntemin ve ne kadar dikkatli uygulandığının yanıtı değiştirdiği bir noktadır.
Bulaşma analizi ile tam fon izlemesi
Bulaşma analizi ve tam fon izlemesi birbiriyle ilişkilidir ancak özdeş değildir. Bulaşma analizi muhasebe kuralıdır; tam fon izlemesi ise uçtan uca soruşturmadır.
Bulaşma analizi, her adımda dar bir soruyu yanıtlar: kirli fonlar alan bir cüzdan göz önüne alındığında, giden transferin ne kadarı kirlidir? Bu, tekrar tekrar uygulanan tek bir kuraldır.
Tam fon izlemesi ise tüm soruşturmadır: hırsızlık işlemini tespit etmek, her adımda bir dağıtım kuralı uygulamak (bu, kitabî bir Poison / Haircut / FIFO kuralı olabilir ya da olmayabilir), grafiği dolaşmak, adresleri gerçek varlıklara (borsalar, mikserleri, köprüler) atfetmek ve birisinin üzerine hareket edebileceği bir rapor üretmek. Bulaşma analizi, adres etiketleme, küme analizi ve zincirler arası eşleştirmenin yanı sıra bu çalışmanın içindeki kavramsal merceklerden biridir.
Bir analist açıkça bulaşma yöntemi uyguladığında, delil niteliğinde raporlar için FIFO, birçok adres üzerinde keşif analizleri için Haircut tercih edilir; Poison ise nadiren kullanılır.
Bu düşünce biçimi modern araçlarda nasıl karşımıza çıkar
Binlerce işlem ve birkaç zincir genelinde adım adım herhangi bir muhasebe kuralını elle uygulamak gerçekçi değildir, bu yüzden araştırmacılar fon izleme araçlarına güvenir.
BlockSec'in MetaSleuth'u, bu çalışma için analist odaklı araçtır: fon akışlarını yeniden yapılandırarak bir araştırmacının LI.FI saldırısına ilişkin vaka çalışmasında olduğu gibi grafiği adım adım dolaşmasına, adresleri kümelemesine ve bunları gerçek varlıklara atfetmesine olanak tanır. Trace AI ise aynı araştırma çalışmasını bir yapay zekâ ajanıyla otomatikleştirir: kullanıcı bir hırsızlığı tanımlar ve bir cüzdan adresi ya da işlem karması sağlar; ajan desteklediği zincirlerde fonları izler ve paranın ulaştığı varlıklarla birlikte bir fon akış raporu üretir.
Bunlar fon izleme araçlarıdır, bulaşma analizi uygulamaları değil. Yukarıda açıklanan bulaşma kuralları aynı temel soruyu paylaşır — çıkanın ne kadarı hâlâ kirli? — ancak üretim izleme araçları genellikle kitabî bir Poison / Haircut / FIFO kuralı yerine kendi grafik, kümeleme ve atıf yöntemlerini kullanır. Bulaşma analizini anlamak yine de faydalıdır, çünkü her izleme aracının her adımda vermek zorunda olduğu karar türünü netleştirir.
Sıkça sorulan sorular
Bulaşma analizi doğru mudur? Bulaşma analizi bir kesinlik değil, savunulabilir bir tahmin üretir. Doğruluğu kullanılan yönteme ve izin karmaşıklığına bağlıdır. FIFO, sıradan transferler için en temiz sonuçları verir; mikserleri ve çok yüksek işlem hacimleri güveni azaltır ve ek teknikler gerektirir.
Poison ve Haircut yöntemleri arasındaki fark nedir? Her ikisi de kirli bir işlemin her çıktısını bulaşma taşıyor olarak kabul eder, ancak Poison her çıktıyı tamamen kirli olarak işaretlerken Haircut her birine orantılı bir pay atar. Poison toplam kirli fon havuzunu şişirir; Haircut onu korur, bu da Haircut'ı daha pratik kılar.
Bulaşma analizi bir mikserin içinden geçen fonları takip edebilir mi? Doğrudan değil. Mikserleri para yatırma ve çekme işlemleri arasındaki bağlantıyı kesmek için tasarlanmıştır, bu nedenle basit bulaşma kuralları fonları doğrudan takip edemez. Araştırmacılar bağlantıyı istatistiksel ve davranışsal analiz kullanarak yeniden kurar; bu, sıradan bir transferi izlemekten daha zor ve daha az kesindir.
Kirli kripto tutmak yasadışı mıdır? Bir aracın kirli olarak etiketlediği fonları tutmak otomatik olarak yasadışı değildir ve bulaşma etiketleri yasal kararlar değil tahminlerdir. Bununla birlikte, borsalar hırsızlıkla bağlantılı para yatırma işlemlerini dondurabilir ve çalınan fonları bilerek işlemenin yasal riski vardır. Bulaşma analizi nereye bakılacağını işaretler; suçluluğa karar vermez.
Bulaşma analizi hangi blokzincirlerde çalışır? İlkeler, Ethereum ve çoğu token hırsızlığının gerçekleştiği diğer EVM ağları gibi hesap tabanlı zincirler de dahil olmak üzere işlemleri açıkça kaydeden tüm genel blokzincirlere uygulanır. Tam mekanikler işlem modelleri arasında farklılık gösterir, ancak kirli-temiz mantığı aynıdır.
İlgili okumalar
- Yasadışı fon akışı vaka çalışması: LI.FI saldırısı
- Çalınan fonları takip etmek için MetaSleuth nasıl kullanılır
- Trace AI: bir yapay zekâ ajanıyla çalınan kripto parayı takip edin
Yapay zekâ destekli soruşturmanın bunu zincirler genelinde nasıl uyguladığını görün. Trace AI'ın nasıl çalıştığını görün →
Yazar hakkında. Andy, BlockSec'te zincir üstü fon izleme ve MetaSleuth'un arkasındaki mekanikler üzerine odaklanan bir güvenlik araştırmacısıdır. Bu yazı, ekibinin EVM zincirleri genelinde gerçek hırsızlık vakalarına uyguladığı araştırma kalıplarından yararlanmaktadır.
Kaynaklar
- Tironsakkul, Maarek, Eross, Just — Kripto Para Hırsızlığının Gizemini Araştırmak: Bulaşma Analizi Yöntemlerine İlişkin Bir İnceleme, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
