Чтобы визуализировать потоки движения криптовалютных средств, превратите список транзакций в навигируемый граф из узлов и рёбер, а затем объедините повторяющиеся переводы между одними и теми же двумя адресами в одно ребро. Обычный блокчейн-эксплорер выдаёт вам таблицу: одна строка на перевод, тысячи строк и никакой видимой структуры. Граф потоков даёт вам карту, где адреса становятся узлами, переводы становятся рёбрами, а маршрут от украденного кошелька до биржи становится тем, что можно проследить взглядом.
Ментальная модель, которая делает это возможным, проста: граф потоков — это карта, а не таблица. Таблица отвечает на вопрос, сколько было перемещено и когда. Карта отвечает на вопрос, куда ушла ценность и кого она затронула по пути. Это разные вопросы, и расследования живут во втором из них. Именно поэтому одни и те же ончейн-данные, представленные в виде графа, могут раскрыть маршрут, который таблица скрывает.
Почему потоки криптовалютных средств сложно визуализировать
Причина, по которой потоки средств сложно представить наглядно, носит структурный характер, а не является просто вопросом масштаба. Одно расследование может охватывать тысячи адресов в нескольких блокчейнах, а одна и та же пара адресов может обмениваться одним и тем же токеном десятки раз. В плоском списке транзакций каждый шаг выглядит как отдельная строка, поэтому шум скрывает маршрут.
Этот шум создают три фактора. Во-первых, многоступенчатая маршрутизация: средства проходят через цепочку промежуточных кошельков, и каждый шаг — это отдельная транзакция, которую приходится вручную сшивать воедино. Во-вторых, ротация адресов: злоумышленник создаёт новый адрес для каждого шага, скрывая субъект за стеной анонимных узлов. В-третьих, межсетевые переходы: след, который доходит до моста, на этом не заканчивается. Он продолжается в другой сети, с другим токеном и другим набором адресов.
Рассмотрим взлом моста. Украденные средства покидают мост, распределяются по десяткам кошельков, проходят через децентрализованную биржу и переходят в другую сеть. В плоском представлении эксплорера каждый из этих шагов выглядит как несвязанные строки. Исследователю приходится держать весь маршрут в голове, шаг за шагом, пока сам ответ — куда в итоге попадают средства — остаётся погребённым в списке.
Каждая из этих проблем решаема, но ни одна из них не решается за счёт более длинной таблицы. Добавление новых строк в плоский список лишь добавляет шума. Решение состоит в том, чтобы изменить само представление — от списка событий к структуре взаимосвязей.
Как читать и строить граф потоков средств
Граф потоков средств состоит из трёх элементов: узлов, рёбер и меток. Узел — это адрес или кошелёк, место, где находятся средства. Ребро — это перевод ценности между двумя узлами. Метка — это понятное человеку название, присвоенное узлу или ребру, например, биржа, мост или сервис смешивания. Чтение графа означает следование по рёбрам от адреса-источника к пункту назначения и наблюдение за тем, где ценность концентрируется и разделяется. Многие из этих следов являются маршрутами отмывания денег. Отмывание денег, как это определяет FinCEN, означает сокрытие финансовых активов таким образом, чтобы ими можно было пользоваться без обнаружения незаконной деятельности, которая их породила.
Самая важная техника — объединение рёбер. Когда один и тот же токен перемещается между одними и теми же двумя адресами много раз, эти переводы не являются отдельными фактами. Это одна взаимосвязь. Сворачивание их в одно ребро превращает список транзакций из тысячи строк в небольшое число значимых связей, и это раскрывает структуру движения денег вместо его объёма. Это разница между тем, чтобы видеть, что адрес отправил средства на биржу, и тем, чтобы видеть, сколько отдельных переводов для этого потребовалось. Регуляторы тоже читают эту структуру. Индикаторы тревожных сигналов FATF называют паттерны транзакций, сигнализирующие об отмывании денег, и эти паттерны становятся видимыми после объединения повторяющихся переводов.
Межсетевое перемещение усложняет чтение графа, поэтому хорошая визуализация сохраняет связность представления. Когда средства пересекают мост, след должен продолжаться на другой стороне, а не останавливаться на границе. Остальную работу выполняют метки адресов, поскольку граф, полный необработанных хешей, остаётся нечитаемым, пока узлы не получат названия.
Построение графа следует тому же порядку, только в обратном направлении. Вы добавляете начальный адрес, разворачиваете его исходящие переводы, объединяете повторяющиеся и только потом отступаете назад, чтобы взглянуть на форму. Именно форма, а не количество транзакций, указывает на следующий адрес для расследования.
Как MetaSleuth делает визуализацию практически применимой
Именно здесь инструментарий перестаёт быть упражнением по рисованию и начинает делать работу за вас. MetaSleuth визуализирует потоки средств, строя граф агрегированного перемещения токенов между адресами, объединяя несколько транзакций одного и того же токена между каждой парой адресов в одно ребро. Это и есть логика объединения рёбер, лежащая в основе визуализации потоков MetaSleuth.
Ещё три функции делают карту практически применимой. MetaSleuth поддерживает отслеживание межсетевых транзакций, поэтому карта потоков может проводить одно расследование через несколько сетей, а не заканчиваться на мосту. Она также содержит более 600 миллионов меток адресов, и эти метки превращают необработанный адрес в именованный субъект на графе. Панель сохранённых диаграмм и общих ссылок (Saved Charts and Shared Links) в MetaSleuth позволяет исследователю сохранить диаграмму и поделиться результатом анализа с коллегой или внешним рецензентом.
Результат — карта, которую можно передать кому-то другому. MetaSleuth закрепляет каждое завершённое расследование на общедоступном онлайн-холсте, где читатель может заново открыть тот же граф потоков, построенный аналитиком. Аналитик может начать с подозрительного адреса, развернуть исходящие потоки, объединить повторяющиеся переводы и проследить за ценностью через сети, пока она не попадёт на биржу или в именованный сервис. Граф не заменяет суждение аналитика. Он устраняет механическую работу по сшиванию транзакций воедино, на которой расследования теряют больше всего времени. Для исследователя или команды правоохранительных органов именно этот переход от ручного сшивания к размеченной межсетевой карте делает визуализацию практически применимой, а не декоративной.
Если вы смотрите на плоский список транзакций и пытаетесь понять, куда ушли деньги, решение — придать данным форму. Начните с интересующего вас адреса, добавьте адреса с другой стороны в качестве узлов и объедините повторяющиеся переводы, чтобы проявились реальные взаимосвязи. Затем следуйте по рёбрам через сети и позвольте меткам назвать пункты назначения. Визуализируйте потоки с помощью MetaSleuth и превратите необработанный дамп транзакций в граф потоков средств, который вы действительно сможете прочитать. Полный метод трассировки, лежащий в основе этой карты, см. в статье Как отследить адрес криптокошелька.
