Чтобы визуализировать потоки движения криптовалютных средств, превратите список транзакций в навигируемый граф узлов и рёбер, а затем объедините повторяющиеся переводы между одной и той же парой адресов в одно ребро. Обычный блокчейн-эксплорер выдаёт вам таблицу: одна строка на перевод, тысячи строк и никакой видимой структуры. Граф потоков даёт вам карту, где адреса становятся узлами, переводы — рёбрами, а маршрут от украденного кошелька до биржи превращается в то, что можно проследить глазами.
Ментальная модель, которая делает это возможным, проста: граф потоков — это карта, а не таблица. Таблица отвечает на вопрос, сколько было перемещено и когда. Карта отвечает на вопрос, куда ушла ценность и кого она затронула по пути. Это разные вопросы, и расследования существуют во втором из них. Именно поэтому одни и те же ончейн-данные, представленные в виде графа, способны раскрыть маршрут, который таблица скрывает.
Почему потоки криптовалютных средств трудно визуализировать
Причина, по которой потоки средств трудно представить наглядно, структурная, а не просто вопрос масштаба. Одно расследование может охватывать тысячи адресов в нескольких блокчейнах, и одна и та же пара адресов может обмениваться одним и тем же токеном десятки раз. В плоском списке транзакций каждый переход выглядит как отдельная строка, поэтому шум скрывает маршрут.
Три фактора создают этот шум. Во-первых, многошаговая маршрутизация: средства проходят через цепочку промежуточных кошельков, и каждый переход — это отдельная транзакция, которую приходится вручную сшивать воедино. Во-вторых, ротация адресов: злоумышленник создаёт новый адрес для каждого шага, скрывая субъект за стеной анонимных узлов. В-третьих, межсетевые переходы: след, дошедший до моста, на этом не заканчивается. Он продолжается в другой сети, с другим токеном и другим набором адресов.
Рассмотрим взлом моста. Украденные средства покидают мост, дробятся на десятки кошельков, обмениваются через децентрализованную биржу и переходят в другую сеть. В плоском представлении эксплорера каждый из этих шагов выглядит как несвязанные строки. Следователю приходится удерживать весь маршрут в голове, переход за переходом, пока настоящий ответ — куда в итоге попали средства — остаётся погребённым в списке.
Каждая из этих проблем решаема, но ни одна не решается за счёт более длинной таблицы. Добавление новых строк в плоский список лишь добавляет шума. Решение состоит в том, чтобы изменить само представление данных — от списка событий к структуре взаимосвязей.
Как читать и строить граф движения денежных средств
Граф движения денежных средств состоит из трёх элементов: узлов, рёбер и меток. Узел — это адрес или кошелёк, место, где находятся средства. Ребро — это перевод ценности между двумя узлами. Метка — это понятное человеку имя, присвоенное узлу или ребру, например, биржа, мост или сервис микширования. Чтение графа заключается в том, чтобы следовать по рёбрам от адреса-источника к адресу назначения и наблюдать, где ценность концентрируется, а где расходится. Многие из этих следов — маршруты отмывания денег. Отмывание денег, согласно определению FinCEN, означает маскировку финансовых активов так, чтобы их можно было использовать без обнаружения незаконной деятельности, которая их произвела.
Самая важная техника — объединение рёбер. Когда один и тот же токен перемещается между одними и теми же двумя адресами много раз, эти переводы — не отдельные факты. Это одна взаимосвязь. Сворачивание их в одно ребро превращает список из тысячи строк в небольшое число значимых связей и раскрывает структуру движения денег, а не его объём. Это разница между тем, чтобы увидеть, что адрес отправил средства на биржу, и тем, чтобы увидеть, сколько отдельных переводов для этого потребовалось. Регуляторы тоже читают эту структуру. Индикаторы тревожных признаков FATF называют паттерны транзакций, сигнализирующие об отмывании денег, и эти паттерны становятся видимыми после объединения повторяющихся переводов.
Межсетевое перемещение затрудняет чтение графа, поэтому качественная визуализация сохраняет связность представления. Когда средства пересекают мост, след должен продолжаться на другой стороне, а не обрываться на границе. Метки адресов делают остальную работу, потому что граф, полный необработанных хешей, остаётся нечитаемым, пока узлы не получат имена.
Построение графа следует тому же порядку, но в обратном направлении. Вы добавляете исходный адрес, разворачиваете его исходящие переводы, объединяете повторяющиеся и только затем отступаете назад, чтобы взглянуть на общую форму. Именно форма, а не количество транзакций, указывает на следующий адрес для исследования.
Как MetaSleuth делает визуализацию практически применимой
Именно здесь инструмент перестаёт быть просто упражнением по рисованию и начинает выполнять работу за вас. MetaSleuth визуализирует потоки средств, строя граф совокупного движения токенов между адресами, объединяя несколько транзакций одного и того же токена между каждой парой адресов в одно ребро. Именно эта логика объединения рёбер лежит в основе визуализации потоков в MetaSleuth.
Ещё три функции делают карту практически применимой. MetaSleuth поддерживает отслеживание транзакций между сетями, поэтому карта потоков может провести одно расследование через несколько сетей, вместо того чтобы обрываться на мосту. Она также содержит более 600 миллионов меток адресов, и эти метки превращают необработанный адрес в именованный субъект на графе. Панель Saved Charts and Shared Links в MetaSleuth позволяет следователю сохранить график и поделиться результатом анализа с коллегой или внешним рецензентом.
Результат — карта, которую можно передать кому-то ещё. MetaSleuth закрепляет каждое завершённое расследование на доступном для совместного использования онлайн-холсте, где читатель может заново открыть тот же граф потоков, который построил аналитик. Аналитик может начать с подозрительного адреса, развернуть исходящие потоки, объединить повторяющиеся переводы и проследить за ценностью через сети, пока она не окажется на бирже или в именованном сервисе. Граф не заменяет суждение аналитика. Он избавляет от механической работы по сшиванию транзакций воедино, а именно на этом расследования теряют больше всего времени. Для следователя или команды правоохранительных органов именно этот переход от ручного сшивания к размеченной межсетевой карте делает визуализацию практически применимой, а не просто декоративной.
Если вы смотрите на плоский список транзакций и пытаетесь понять, куда ушли деньги, решение состоит в том, чтобы придать данным форму. Начните с адреса, который вас интересует, добавьте адреса на другой стороне как узлы и объедините повторяющиеся переводы, чтобы проявились реальные взаимосвязи. Затем следуйте по рёбрам через сети и позвольте меткам назвать пункты назначения. Визуализируйте потоки с помощью MetaSleuth и превратите необработанный дамп транзакций в граф движения денежных средств, который действительно можно прочитать. Полный метод трассировки, лежащий в основе этой карты, см. в статье Как отследить адрес криптовалютного кошелька.
