Um Krypto-Geldflüsse zu visualisieren, verwandeln Sie die Transaktionsliste in einen navigierbaren Graphen aus Knoten und Kanten und führen dann wiederholte Übertragungen zwischen denselben zwei Adressen zu einer einzigen Kante zusammen. Ein roher Blockchain-Explorer liefert Ihnen eine Tabelle: eine Zeile pro Übertragung, Tausende von Zeilen und keine erkennbare Struktur. Ein Flussgraph liefert Ihnen eine Karte, auf der Adressen zu Knoten werden, Übertragungen zu Kanten werden und die Route von einer gestohlenen Wallet zu einer Börse zu etwas wird, dem Sie mit den Augen folgen können.
Das mentale Modell, das dies ermöglicht, ist einfach: Ein Flussgraph ist eine Karte, keine Tabelle. Eine Tabelle beantwortet, wie viel sich bewegt hat und wann. Eine Karte beantwortet, wohin der Wert geflossen ist und wen er auf dem Weg berührt hat. Das sind unterschiedliche Fragen, und Ermittlungen leben in der zweiten. Deshalb können dieselben On-Chain-Daten, als Graph dargestellt, eine Route offenbaren, die eine Tabelle verbirgt.
Warum Krypto-Geldflüsse schwer zu visualisieren sind
Der Grund, warum Geldflüsse schwer darzustellen sind, ist struktureller Natur, nicht nur eine Frage des Umfangs. Eine einzelne Ermittlung kann sich über Tausende von Adressen über mehrere Chains erstrecken, und dasselbe Adresspaar kann dasselbe Token Dutzende Male handeln. In einer flachen Transaktionsliste sieht jeder Sprung wie eine separate Zeile aus, sodass das Rauschen die Route verbirgt.
Drei Dinge erzeugen dieses Rauschen. Erstens Multi-Hop-Routing: Gelder bewegen sich durch eine Kette von Zwischen-Wallets, und jeder Sprung ist eine separate Transaktion, die von Hand zusammengefügt werden muss. Zweitens Adressenfluktuation: Ein Angreifer erstellt für jeden Schritt neue Adressen und verbirgt die Entität hinter einer Wand anonymer Knoten. Drittens Chain-übergreifende Sprünge: Eine Spur, die eine Bridge erreicht, endet dort nicht. Sie setzt sich auf einer anderen Chain fort, mit einem anderen Token und einer anderen Adressgruppe.
Betrachten Sie einen Bridge-Exploit. Die gestohlenen Gelder verlassen die Bridge, werden in Dutzende von Wallets aufgeteilt, werden über eine dezentrale Börse gehandelt und wechseln zu einer anderen Chain. Eine flache Explorer-Ansicht zeigt jeden dieser Schritte als unabhängige Zeilen. Der Ermittler muss die gesamte Route Schritt für Schritt im Kopf behalten, während die eigentliche Antwort, wo die Gelder schließlich landen, in der Liste vergraben bleibt.
Jedes dieser Probleme ist lösbar, aber keines wird durch eine längere Tabelle gelöst. Mehr Zeilen zu einer flachen Liste hinzuzufügen, fügt nur mehr Rauschen hinzu. Die Lösung besteht darin, die Darstellung selbst zu ändern, von einer Liste von Ereignissen zu einer Struktur von Beziehungen.
Wie man einen Geldfluss-Graphen liest und erstellt
Ein Geldfluss-Graph hat drei Elemente: Knoten, Kanten und Beschriftungen. Ein Knoten ist eine Adresse oder eine Wallet, der Ort, an dem Gelder liegen. Eine Kante ist eine Wertübertragung zwischen zwei Knoten. Eine Beschriftung ist der menschenlesbare Name, der einem Knoten oder einer Kante zugeordnet ist, wie eine Börse, eine Bridge oder ein Mixing-Dienst. Den Graphen zu lesen bedeutet, den Kanten von der Quelladresse zum Ziel zu folgen und zu beobachten, wo sich der Wert konzentriert und aufteilt. Viele dieser Spuren sind Geldwäsche-Routen. Geldwäsche bedeutet, wie FinCEN es definiert, die Verschleierung von Vermögenswerten, sodass sie verwendet werden können, ohne die illegale Tätigkeit zu erkennen, die sie hervorgebracht hat.
Die wichtigste einzelne Technik ist das Zusammenführen von Kanten. Wenn sich dasselbe Token viele Male zwischen denselben zwei Adressen bewegt, sind diese Übertragungen keine separaten Fakten. Sie sind eine Beziehung. Sie zu einer einzigen Kante zusammenzufassen, verwandelt eine Transaktionsliste mit tausend Zeilen in eine kleine Anzahl bedeutungsvoller Verbindungen, und es offenbart die Struktur der Geldbewegung anstelle ihres Volumens. Das ist der Unterschied zwischen der Erkenntnis, dass eine Adresse Gelder an eine Börse gesendet hat, und der Erkenntnis, wie viele einzelne Übertragungen dafür nötig waren. Auch Regulierungsbehörden lesen diese Struktur. Die FATF-Warnindikatoren benennen die Transaktionsmuster, die auf Geldwäsche hindeuten, und diese Muster werden sichtbar, sobald wiederholte Übertragungen zusammengeführt werden.
Chain-übergreifende Bewegungen machen den Graphen schwerer lesbar, daher hält eine gute Visualisierung die Ansicht verbunden. Wenn Gelder eine Bridge überqueren, sollte die Spur auf der anderen Seite fortgesetzt werden, anstatt an der Grenze zu enden. Adressbeschriftungen erledigen den Rest der Arbeit, denn ein Graph voller roher Hashes bleibt unlesbar, bis die Knoten Namen tragen.
Der Aufbau eines Graphen folgt derselben Reihenfolge in umgekehrter Richtung. Sie fügen die Ausgangsadresse hinzu, erweitern ihre ausgehenden Übertragungen, führen die wiederholten zusammen und treten erst dann zurück, um die Struktur zu betrachten. Die Struktur, nicht die Transaktionsanzahl, weist auf die nächste zu untersuchende Adresse hin.
Wie MetaSleuth die Visualisierung umsetzbar macht
An dieser Stelle hört das Werkzeug auf, eine reine Zeichenübung zu sein, und beginnt, die Arbeit für Sie zu erledigen. MetaSleuth visualisiert Geldflüsse, indem es die aggregierte Bewegung von Token zwischen Adressen graphisch darstellt und mehrere Transaktionen desselben Tokens zwischen jedem Adresspaar zu einer einzigen Kante zusammenführt. Das ist die Merge-Edge-Logik im Zentrum der Flussvisualisierung von MetaSleuth.
Drei weitere Funktionen machen die Karte umsetzbar. MetaSleuth unterstützt die Chain-übergreifende Transaktionsverfolgung, sodass eine Flusskarte eine einzelne Ermittlung über Chains hinweg führen kann, anstatt an einer Bridge zu enden. Es umfasst zudem mehr als 600 Millionen Adressbeschriftungen, und diese Beschriftungen verwandeln eine rohe Adresse in eine benannte Entität auf dem Graphen. Das Panel „Saved Charts and Shared Links“ in MetaSleuth ermöglicht es einem Ermittler, ein Diagramm zu speichern und das Analyseergebnis mit einem Teammitglied oder einem externen Prüfer zu teilen.
Das Ergebnis ist eine Karte, die Sie jemand anderem übergeben können. MetaSleuth verankert jede abgeschlossene Ermittlung auf einer teilbaren Online-Leinwand, auf der ein Leser dieselbe Flusskarte erneut öffnen kann, die der Analyst erstellt hat. Ein Analyst kann von einer verdächtigen Adresse ausgehen, die ausgehenden Flüsse erweitern, die wiederholten Übertragungen zusammenführen und dem Wert über Chains hinweg folgen, bis er bei einer Börse oder einem benannten Dienst landet. Der Graph ersetzt nicht das Urteilsvermögen des Analysten. Er entfernt die mechanische Arbeit des Zusammenfügens von Transaktionen, wo Ermittlungen die meiste Zeit verlieren. Für einen Ermittler oder ein Strafverfolgungsteam ist genau dieser Wandel vom manuellen Zusammenfügen zu einer beschrifteten, Chain-übergreifenden Karte das, was die Visualisierung umsetzbar statt nur dekorativ macht.
Wenn Sie vor einer flachen Transaktionsliste sitzen und versuchen zu beantworten, wohin das Geld geflossen ist, besteht die Lösung darin, den Daten eine Struktur zu geben. Beginnen Sie mit der Adresse, die Sie interessiert, fügen Sie die Adressen auf der anderen Seite als Knoten hinzu und führen Sie die wiederholten Übertragungen zusammen, damit die tatsächlichen Beziehungen sichtbar werden. Folgen Sie dann den Kanten über Chains hinweg und lassen Sie die Beschriftungen die Ziele benennen. Visualisieren Sie Flüsse mit MetaSleuth und verwandeln Sie einen rohen Transaktions-Dump in einen Geldfluss-Graphen, den Sie tatsächlich lesen können. Für die vollständige Tracing-Methode hinter der Karte siehe How to Trace a Crypto Wallet Address.
