Tornado Cash можно отследить, и два документально подтверждённых расследования показывают, как именно. В атаке на Li.Fi в 2024 году более 99 процентов из украденных 11,6 миллиона долларов были переведены в Tornado Cash через 114 транзакций за три месяца, и следователи составили карту всего маршрута. В инциденте с Nomad Bridge 190 миллионов долларов были распылены через микшер в результате хаотичной эксплойт-атаки, и трассировка всё равно сработала. Вот чему учат данные из этих случаев о том, как на самом деле работает форензика микшеров.
Что такое Tornado Cash и почему это важно
Tornado Cash — это некастодиальный микшер на Ethereum: пользователи вносят средства с одного адреса и выводят их на другой адрес. Конструкция пула делает прямую привязку конкретного депозита к конкретному выводу вычислительно сложной задачей. Он стал эталонным случаем для отмывания средств с помощью микшеров — настолько, что в 2022 году Управление по контролю за иностранными активами Минфина США (OFAC) ввело санкции против самого протокола, что стало первым подобным случаем в отношении смарт-контракта, согласно пресс-релизу Минфина о включении Tornado Cash в санкционный список. Федеральный апелляционный суд отменил это решение в конце 2024 года, OFAC официально исключило протокол из списка в марте 2025 года, а санкции против сооснователя Романа Семёнова и связанных с ним адресов остаются в силе — теперь в рамках программы OFAC по КНДР. Регуляторная история важна для комплаенс-команд, но история трассировки — это операционный вопрос. Стандарты FATF для виртуальных активов и VASP формируют обязательство по скринингу, которое касается взаимодействия с микшерами, независимо от того, как меняется статус санкций конкретного протокола.
Причина, по которой Tornado Cash важен для форензики, — его объём. Когда большая часть украденных средств в крупных инцидентах проходит через один микшер, именно граница микшера становится точкой концентрации расследований. И, как показывают два случая ниже, эта граница сложна, но не непреодолима.
Случай первый: Li.Fi, $11,6 млн через 114 транзакций
Атака на Li.Fi в июле 2024 года даёт необычайно полную картину дисциплины использования микшера. Злоумышленники украли примерно 11,6 миллиона долларов в криптовалюте и обменяли украденные стейблкоины на ETH через децентрализованные биржи. Затем средства были направлены в Tornado Cash в рамках устойчивой кампании — многомесячной серии депозитов, которая перевела в микшер почти всю сумму.
Трассировка, документально зафиксированная BlockSec с использованием MetaSleuth в кейс-стади о движении незаконных средств в атаке на Li.Fi, позволила составить карту структуры вокруг микшера даже там, где внутренняя часть оставалась непрозрачной. Ниже по цепочке от первоначальных адресов атаки 32 адреса-получателя разделили средства: 15 из них получили токенные суммы примерно по 0,1 ETH каждая, в то время как 17 адресов обработали почти всю стоимость. Самый длинный зафиксированный маршрут составил 20 переходов. Внутренняя схема дисциплины микшера была последовательной: злоумышленники использовали свежие, более глубокие адреса для каждой операции с Tornado Cash. Крупные суммы проходили через до 12 переходов перед входом в микшер; только небольшой остаток пошёл на биржу eXch для прямого вывода в наличные. Эта запись о границе является доказательством, и в случае Li.Fi показатели на стороне входа — 114 транзакций, три месяца, 99 процентов — составляют основу публичного анализа.
Урок касается формы, а не содержания. Микшер скрывает пары депозит-вывод, но всё, что происходит до входа и после выхода, остаётся публичным, и дисциплина оператора — это подлинная переменная.
Случай второй: Nomad Bridge, $190 млн в хаотичной эксплойт-атаке
Инцидент с Nomad Bridge в августе 2022 года представлял иную анатомию: ошибка конфигурации позволила сотням независимых подражателей вывести примерно 190 миллионов долларов в хаотичной эксплойт-атаке, без единой профессиональной группы отмывания. Tornado Cash снова фигурировал как пункт назначения, на этот раз через десятки независимых участников с разным уровнем навыков. Ошибка конфигурации, лежащая в основе инцидента, документально описана в анализе первопричины Nomad Bridge.
Для форензики этот случай демонстрирует работу микшера в масштабе целой популяции. Неопытные участники допускали операционные ошибки, которые опытные группы избегают: повторное использование адресов, поспешные тайминги, выводы на прослеживаемые сервисы. Трассировка последствий эксплуатировала человеческий фактор вокруг криптографии, а не саму криптографию. Расследование Li.Fi документально оформлено с помощью публичного аналитического холста, поэтому маршруты, переходы и точки выхода можно проверить, а не принимать на веру.
Два случая рядом друг с другом показывают, что меняется от дисциплины оператора, а что остаётся неизменным:
| Параметр | Li.Fi 2024 | Nomad Bridge 2022 | Вывод для комплаенса |
|---|---|---|---|
| Размер потерь | $11,6 млн | $190 млн | Значимость микшера сохраняется во всех масштабах |
| Участники | Одна дисциплинированная группа | Сотни независимых подражателей | Дисциплина, а не навык, определяет прослеживаемость |
| Использование микшера | 114 транзакций за 3 месяца, более 99% средств | Десятки участников, разные схемы | Записи о границах масштабируются вместе с объёмом |
| Самый длинный маршрут | 20 переходов | Различается по участникам | Многоэтапная трассировка — стандартное требование |
| Что сохранила трассировка | Полная структура от входа до границы микшера | Ошибки на стороне выхода, повторное использование адресов | Вход и выход остаются публичными доказательствами |
Как на самом деле работает трассировка микшеров
Метод в обоих случаях последователен, и он обобщается. Трассируйте до границы микшера и документируйте её точно: какие адреса внесли депозиты, сколько, когда, за сколько транзакций. Затем проработайте выходы: адреса на стороне вывода кластеризуются, сопоставляются по времени с депозитами и сверяются с биржевыми списками и последующим движением средств. Прямое сопоставление депозита и вывода внутри пула остаётся сложным, но выходы наследуют поведение, свежие адреса всё равно контактируют с сервисами, а сервисы можно маркировать.
Наконец, наблюдайте, а не гадайте. Украденные средства лежат и двигаются по временным шкалам; вывод средств в наличные в случае Li.Fi произошёл спустя месяцы после кражи. Непрерывный мониторинг граничных адресов с оповещением о движении — это то, что превращает бездействующее дело в прослеженное. По данным BlockSec, MetaSleuth обеспечивает именно такой цикл: многоэтапную трассировку с сохранёнными аналитическими холстами и мониторинг движения украденных средств в реальном времени по всем цепочкам. Более подробную методологию работы с границами микшеров см. в статье How to Trace Stolen Crypto Through a Mixer. Забронируйте демонстрацию Phalcon Compliance для скрининга адресов контрагентов на предмет связи с микшерами, или откройте MetaSleuth и проведите трассировку самостоятельно.
Часто задаваемые вопросы: трассировка Tornado Cash
Можно ли отследить средства, отправленные через Tornado Cash? Микшер скрывает прямые пары депозит-вывод. Всё, что происходит до входа и после выхода, остаётся публичным, и кластеризация вместе с аналитикой на стороне выхода регулярно позволяет восстановить цепочку, как показывают оба документированных случая.
Находится ли Tornado Cash до сих пор под санкциями? Федеральный апелляционный суд отменил санкционное решение на уровне протокола в ноябре 2024 года, а OFAC официально исключило Tornado Cash из санкционного списка в марте 2025 года. Санкции, связанные с сооснователем Романом Семёновым и его адресами, остаются в силе — теперь в рамках программы OFAC по КНДР; скрининг по текущим спискам остаётся действующей практикой.
Почему злоумышленники всё ещё используют микшеры, если трассировка работает? Микшеры увеличивают стоимость и задержку, а не обеспечивают невидимость. Группа Li.Fi проявляла дисциплину на протяжении трёх месяцев, но всё равно была прослежена от входа до границы микшера.
Что должна делать комплаенс-команда при выявлении связи с микшером? Проводить скрининг на риск взаимодействия с микшером, рассматривать связанную с микшером экспозицию как повышенный риск и документировать факты о границе. Системы оценки риска, которые помечают метки микшеров у контрагентов, делают этот процесс систематическим.
