Ончейн-расследования и блокчейн-форензика: полное руководство по отслеживанию криптовалютных средств

Когда средства перемещаются в блокчейне и возникают вопросы, кто на них отвечает? Это руководство даёт полную картину: что такое ончейн-форензика, как распределяется работа между мониторингом и расследованием, как пошагово отслеживать средства и как это применяется в разных бизнес-сценариях. Если вы только начинаете, прочитайте «Что такое ончейн-форензика?»; далее каждый уровень рассматривается последовательно.

Что на самом деле делает программное обеспечение для форензики

ПО для форензики решает в расследованиях три основные задачи: восстанавливает маршруты средств переход за переходом, выясняет, кто в действительности стоит за участвующими адресами, и оформляет выводы в доказательства, выдерживающие проверку. Уровни инструментов различаются прежде всего качеством атрибуции и глубиной охвата разных блокчейнов: средства регулярно переходят через мосты, а инструменты для одной сети останавливаются на её границе. Ни один уровень не заменяет аналитика: инструмент устанавливает связи и предлагает версии, но решение остаётся за командой расследования. Основной вопрос этой области — можно ли вообще проследить публичный реестр — делится на часть о самом реестре и часть об установлении личности.

Где заканчивается мониторинг и начинается расследование

Мониторинг и расследование — разные задачи на одних данных. Мониторинг наблюдает за текущими потоками и выявляет риск в реальном времени; форензика восстанавливает и объясняет события постфактум. В расследовании мониторинг служит источником сигналов: отслеживание в реальном времени, обновление меток, направления поиска из уведомлений. Самому расследованию — восстановлению маршрутов, объединению адресов одного владельца и оформлению доказательств — нужна глубина форензики, которой мониторинг не предоставляет. Команды, покупающие мониторинг в расчёте на форензику, сталкиваются с ограничением именно тогда, когда дело усложняется. Полное разделение описано в статье «Подходят ли инструменты мониторинга блокчейна для ончейн-расследований», а граница с обычными обозревателями — в «Инструмент крипторасследований и обозреватель блокчейна». Платёжные команды, выбирающие уровень наблюдения, могут начать с «Лучшие бесплатные программы мониторинга кошельков для криптоплатежей».

Как отслеживать криптовалютные средства: рабочий метод

Трассировка следует воспроизводимому методу: начните с опорной точки, раскройте исходящий маршрут переход за переходом, изучите метки и сигналы кластеризации и отметьте выходы, где средства покидают доступную для отслеживания область. Интерпретационный слой — метки на сотнях миллионов адресов — превращает лабиринт необработанных переводов в понятную карту. Для тупиков существуют стандартные подходы: использование миксеров документируют, а отслеживание продолжают на выходе, мосты требуют продолжения в другой сети, а приватные монеты честно признаются вне области видимости. На границе миксера по-прежнему работают статистические методы. Сопоставление сумм, анализ временных окон и повторного использования выходов по отдельности сужают возможные пары пополнений и выводов, а вместе превращают саму структуру объединения средств миксера в доказательства. Полный метод работы на этой границе описан в «Как отследить похищенную криптовалюту через миксер». Пошаговый разбор на уровне адреса — в «Как отследить адрес криптокошелька». Продолжение межсетевой техники — в «Как отследить похищенные криптовалютные средства между блокчейнами». Схемы отмывания и методы установления стоящих за ними субъектов рассмотрены в «Трассировка и атрибуция межсетевого отмывания криптовалюты».

После взлома: первые 48 часов

В реагировании на кражу средств скорость вознаграждается. Доля, которую удастся вернуть, почти целиком определяется первыми 48 часами. Защитите оставшиеся активы и установите, что похищено. Проследите средства между блокчейнами, пока маршруты ещё читаются. Пока окно возможностей открыто, работайте с точками выхода: запросами на заморозку средств на биржах, правоохранительными органами и юристами. Похищенные средства следуют известной схеме — сбор, сокрытие, переход через мосты и выход — и каждый этап сужает возможности трассировки. Пошаговая временная последовательность реагирования приведена в «Как отследить похищенную криптовалюту после взлома: первые 48 часов». Прямой ответ на первый вопрос каждого пострадавшего — в «Можно ли действительно отследить похищенную криптовалюту?». Когда первоначальный след затихает, статья «Как мониторить похищенные криптовалютные средства в реальном времени» помогает сохранить возможность возврата в неактивных делах.

Создание доказательств, выдерживающих судебную проверку

Качество расследования определяется качеством доказательств. Пригодная для суда доказательная цепочка состоит из четырёх видов записей, которые создаются по ходу работы: журнал проверок, архив маршрутов, включая тупики, записка о том, кто за чем стоит и на каком основании, и хронология событий и действий. Четыре критерия допустимости — воспроизводимость, актуальность, указанное основание каждой атрибуции и полнота цепочки. Типичные недостатки — восстановление постфактум, утверждения по одному источнику, непрозрачные выводы и расхождение версий — имеют известные способы устранения. Собранные для проверяющего, эти записи и составляют отчёт о форензическом расследовании. Практики работы с доказательствами и структура отчёта изложены в «Создание пригодной для суда доказательной цепочки по криптовалюте и отчёта о форензическом расследовании».

Расследования в разных бизнес-сценариях

Описанная работа по-разному применяется в разных бизнес-контекстах; серия статей по ролям рассматривает набор инструментов для каждого участника. «Подходит ли блокчейн-аналитика для институциональных операций с криптовалютой?» охватывает институциональные организации и кастодиальные подразделения: от первоначальной и повторной проверки до восстановления исходящих потоков, объяснимых выводов и журналов аудита. «Подходит ли блокчейн-аналитика для работы бирж?» рассматривает торговые подразделения и операции со стейблкоинами, проверку пополнений, наблюдение за обращением и поддержку заморозки. «Подходит ли блокчейн-аналитика для регуляторной отчётности?» охватывает сообщения регулятору и проверочную часть Travel Rule, чётко отделяя передачу сообщений. Трансграничным платежам нужен анализ обоих концов платёжного маршрута, встроенный в сам поток платежей; иначе проверка пропускает половину риска: «Анализ блокчейна для трансграничных платежей».

Роль MetaSleuth

MetaSleuth — платформа BlockSec для отслеживания средств и расследований; эта область составляет её основную специализацию. Она предоставляет многошаговую трассировку в 12 блокчейнах, межсетевой анализ, мониторинг движения похищенных средств в реальном времени и сохранённые схемы, фиксирующие маршруты. Использование более чем сотней правоохранительных и комплаенс-команд — значимое для расследований подтверждение: формат схем подходит аудитории, для которой создан. Командам, которым нужен цикл трассировки внутри собственных инструментов, статья «API отслеживания криптовалютных средств для расследователей» описывает программный путь. Для команд с ограниченным начальным бюджетом «Лучшие бесплатные инструменты отслеживания криптовалюты» показывает реальный объём бесплатного тарифа в этой категории. Та же тема со стороны комплаенс-ПО рассмотрена в «Лучшее бесплатное ПО для криптокомплаенса». Прежде чем выделять бюджет, стоит сопоставить четыре модели оплаты категории. Уровень наблюдения имеет собственную тарифную лестницу, которую по ступеням описывает «Сколько стоят инструменты мониторинга блокчейна? И что действительно бесплатно». Метод выбора, упорядочивающий эти вопросы — от покрытия сетей до формата доказательств и модели оплаты, — изложен в «Как выбрать ПО для блокчейн-аналитики». На уровне проверки и мониторинга, питающем расследования, Phalcon Compliance ведёт непрерывно обновляемую базу размеченных адресов, охватывающую, согласно техническим характеристикам BlockSec, более шестисот миллионов адресов. Вместе продукты закрывают полную цепочку: сигнал, трассировка, доказательства. Изучите MetaSleuth или Phalcon Compliance.