Краткий ответ: установить участника — значит объединить адреса в сущности с помощью кластеризации
Отслеживание межсетевого отмывания криптовалют заканчивается одним вопросом: кто стоит за этим адресом? Ответ — сущность, а не еще один адрес; метод получения ответа — кластеризация адресов. Установление участника превращает цепочку адресов в определенную сущность, а кластеризация позволяет выполнить этот шаг. Далее статья объясняет, почему межсетевое отмывание затрудняет этот шаг, как поэтапно выглядит процесс атрибуции и как MetaSleuth делает весь процесс выполнимым.
Один участник почти никогда не отмывает средства через один адрес. Один и тот же человек контролирует десятки или сотни адресов, а графовый инструмент группирует их в кластер по общему финансированию, совпадающему времени действий или общим адресам на другой стороне. Когда кластеру присвоено имя, расследование переходит от отслеживания к атрибуции.
Сущностью может быть отдельный человек, группа, занимающаяся отмыванием, биржа, схема или организация под санкциями. Поведение, по которому адреса объединяют в кластеры, соответствует индикаторам подозрительной активности FATF для виртуальных активов. Для атрибуции не обязательно знать реальное имя с первого дня. Нужна устойчивая группировка, позволяющая ссылаться на одного и того же участника среди тысяч адресов; на этой основе строятся все дальнейшие шаги.
В этом разница между обнаружением и атрибуцией. Монитор транзакций отмечает подозрительный перевод. Атрибуция отвечает на более трудный вопрос о том, кто стоит за сигналом. Монитор говорит, что что-то произошло. Специалист говорит, кто это сделал.
В инциденте Nomad Bridge кластеризация свела 322 видимых адреса к не более чем 219 отдельным сущностям. Две из них контролировали почти половину похищенных средств — результат, невидимый при рассмотрении адресов по одному.
Почему межсетевое отмывание затрудняет атрибуцию
Установить участников отмывания становится сложнее, как только оно выходит за пределы одной сети. Путь стоимости через Ethereum, мост, BNB Chain, мгновенный обменник и затем Bitcoin разбивает граф одной сети на фрагменты. У каждой сети свои обозреватели, форматы адресов и пробелы, поэтому для атрибуции нужно снова связать эти фрагменты.
Межсетевые мосты добавляют еще один разрыв. При переходе через мост токен блокируется в одной сети и выпускается или высвобождается в другой, поэтому нет одной транзакции, которую специалист мог бы проследить насквозь. Путь приходится собирать из двух половин записей в двух разных реестрах.
Практики, описывающие дела межсетевого отмывания, возвращаются к одному требованию: маршрут через Ethereum, BNB Chain, Polygon, Avalanche и Bitcoin нужно отслеживать и атрибутировать во всех этих сетях, а не в одной.
Одно из повторяющихся направлений исследований требует именно этого: межсетевого отслеживания средств и перехвата API на уровне узлов, расширяющих атрибуцию за пределы одной сети.
Мгновенные обменники усугубляют проблему. Они позволяют обменять активы без учетной записи, разрывая связь между депозитом и выводом, которую сохранила бы биржа в одной сети. Восстановление этой связи — задача сопоставления, и именно здесь атрибуция обычно останавливается. Миксеры добавляют сверху второй слой сокрытия, поскольку превращают однозначный путь в общий пул.
Процесс атрибуции
Атрибуция следует повторяемому процессу из четырех этапов: кластеризация по общим депозитам, объединение кластеров, определение сущности и повторная межсетевая атрибуция.
Порядок важен, потому что каждый этап зависит от предыдущего. Нельзя объединить еще не найденные кластеры и нельзя определить еще не объединенную сущность. Процесс линеен, но при появлении новых адресов каждый этап может возвращаться назад.
Кластеризация по общим депозитам находит адреса, финансируемые из одного источника. Начав с двух адресов TRON, предоставленных жертвой, MetaSleuth использовал кластеризацию по общим депозитам, чтобы расширить анализ до полной сети средств. Исходные адреса привели к горячим кошелькам, затем к промежуточным адресам, каналам выхода и наконец депозитным адресам бирж.
Объединение кластеров собирает такие адреса в более крупные группы при общем последующем поведении. Два первоначально отдельных адреса могут оказаться в одном кластере, потому что оба платили в один канал выхода. Затем идентификация сущности определяет кластер как горячий кошелек биржи, схему Понци или подсанкционного субъекта. Лежащее в основе правонарушение — отмывание — прямо описано в обзоре FinCEN. Название сущности превращает кластер в объект практических действий: имя, юрисдикцию или кошелек, в отношении которого можно открыть дело.
Результат — именованная сущность, а не список. В деле Министерства юстиции США об отмывании анализ одного адреса в MetaSleuth проследил более 10 000 переводов и более 700 адресов на другой стороне. Этот масштаб значим лишь потому, что переводы сводятся к именам, по которым специалист может действовать.
Последний этап — повторная межсетевая атрибуция. Когда средства пересекают мост, кластер в сети назначения сопоставляется с кластером исходной сети, чтобы сущность сохраняла непрерывность при переходе.
Как MetaSleuth делает атрибуцию выполнимой
MetaSleuth делает атрибуцию выполнимой, сочетая большой граф размеченных адресов, межсетевой анализ и отслеживание через мгновенные обменники.
BlockSec описывала MetaSleuth как инструмент отслеживания почти в реальном времени при реагировании на инциденты, а платформу используют регуляторы и правоохранительные органы по всему миру. На практике специалист визуально следует за потоком. Каждый переход отображается ребром между адресами, а размеченные сущности — именованными узлами. Путь читается как история, а не как таблица хешей.
MetaSleuth содержит более 600 миллионов меток адресов, поэтому адресу в кластере часто можно сразу присвоить имя, не оставляя его анонимным идентификатором. Именно это дает специалисту граф адресов MetaSleuth.
MetaSleuth поддерживает 12 сетей, перечисленных в официальной документации, а межсетевое представление следует за средствами через мосты. Одно рабочее пространство показывает исходную сеть и сеть назначения вместе, чтобы специалисту не пришлось вручную восстанавливать граф.
Метод сопоставления операций мгновенных обменников, представленный BlockSec на ACM SIGMETRICS 2025, связывает депозиты с выводами с точностью более 80%; это опубликованный академический результат, а не продуктовый бенчмарк. Именно это сопоставление закрывает разрыв между депозитом и выводом, создаваемый мгновенными обменниками.
Метод не ограничивается теорией. И расследование VerilyHK, и дело Министерства юстиции США завершаются установлением сущностей, поскольку размеченный граф, межсетевое представление и метод сопоставления объединены в одном рабочем пространстве.
Что делать дальше
Выберите один след отмывания, который сейчас упирается в тупик, и пройдите процесс атрибуции. Начните с исходного адреса, выполните кластеризацию, объедините кластеры и определите сущность. Как только вы можете сказать, кто стоит за адресами, вместо их простого перечисления, расследование продвинулось вперед.
Установите участников с MetaSleuth и превратите межсетевой след в именованную сущность.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где подробно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.