Краткий ответ: мониторинг в реальном времени сокращает задержку реагирования
После кражи исход определяет вопрос о том, где средства сейчас, а не о том, что похищено. Ретроспективный анализ восстанавливает путь после того, как средства уже оказались в миксере, на мосту или бирже. Мониторинг в реальном времени переворачивает эту последовательность. Он наблюдает адрес с украденными средствами в момент движения, чтобы команда реагирования действовала, пока средства еще перемещаются.
Разница между подходами — задержка реагирования. При ретроспективном отслеживании разрыв между кражей и первой картиной, позволяющей действовать, может длиться от часов до дней. К тому времени, когда путь понятен, средства уже исчезли. При непрерывном отслеживании разрыв сжимается до времени появления следующего перехода. Ценность мониторинга в реальном времени в том, что он полностью устраняет ожидание следующей транзакции, а не просто ускоряет аналитика.
Это особенно важно для двух групп, которым приходится разбираться с кражей. Команде DeFi-протокола нужно приостановить контракт или связаться с биржей. Сотруднику правоохранительных органов нужен актуальный адрес для запроса о заморозке. В США подача соответствующей отчетности относится к сфере FinCEN. Обе группы действуют на основании одного вопроса: где средства сейчас? Историческая картина отвечает на вопрос, который уже утратил значение.
Почему украденные средства перемещаются быстро
Украденные средства движутся быстро, потому что злоумышленник спешит обменять, перевести через мост или смешать добычу до заморозки или перехвата. Вор знает: каждая секунда нахождения средств на адресе кражи — это секунда, когда биржа, протокол или правоохранительные органы могут действовать. Поэтому деньги не лежат на месте.
Последовательность ухода механистична. Злоумышленник меняет украденный актив на ликвидный базовый токен, затем переводит его через мост в другую сеть. После этого распределяет его по двенадцати новым адресам. Наконец, смешивает части или отправляет их на биржу со слабой проверкой личности либо без нее. Каждый переход увеличивает расстояние между средствами и их источником. Он также сокращает время, оставшееся наблюдателю для действий.
Некоторые злоумышленники даже не начинают двигаться сразу. В инциденте с кошельком Slope атакующий держал украденные средства месяцами, прежде чем начать их отмывание. Наблюдатель, следивший с самого начала, увидел первое движение в момент его начала. Тот, кто начал только после начала движения, уже отставал на месяцы.
В результате отслеживание, запущенное лишь постфактум, видит конец цепочки. Средства уже обменяли, провели через мост и смешали. Отслеживание в реальном времени видит формирование цепочки по одному переходу, пока каждый переход еще обратим. В этом разница между расследованием и вмешательством.
Рабочий процесс мониторинга в реальном времени
Мониторинг в реальном времени — рабочий процесс, а не один инструмент. Процесс таков: отметить адрес с украденными средствами, непрерывно следить за его активностью, заметить новый выход, вызвать оповещение, затем заморозить средства или подать сообщение. Отчетная часть отвечает стандартам FATF, лежащим в основе национальных правил. У каждого шага есть четкий ответственный и четкий триггер, а вся последовательность повторяется циклически до возврата или списания средств.
Сначала отметьте адрес кражи и известные последующие адреса сразу после подтверждения инцидента. Чем раньше это сделано, тем меньше переходов злоумышленник совершит незаметно. Затем непрерывно наблюдайте этот набор, чтобы каждый исходящий переход регистрировался при завершении, а не спустя часы. Третий шаг — заметить новый выход: обмен, мост, депозит в миксер или на биржу, способный вывести средства из досягаемости.
Четвертый шаг — оповестить того, кто может действовать. В команде протокола этот человек может приостановить контракт или уведомить партнерскую биржу. Для специалиста по расследованию то же оповещение означает запрос о заморозке или юридическое уведомление. Пятый шаг — заморозка или сообщение через применимый канал. Затем цикл начинается заново с нового адреса, куда только что перешли средства: злоумышленник продолжает перемещать их, пока за ним следует лишь наблюдение.
Порядок важен, поскольку каждый шаг зависит от скорости предыдущего. Процесс, который быстро отмечает адрес, но медленно наблюдает, все равно теряет средства. Если наблюдение быстрое, а оповещение медленное, решающие минуты уже упущены. Скорость одного шага не компенсирует медлительность последующего звена.
Как MetaSleuth обеспечивает отслеживание в реальном времени
MetaSleuth включает мониторинг транзакций в реальном времени, непрерывно наблюдающий движение украденных средств. После добавления адреса кражи на схему специалисту не нужно вручную запускать отслеживание после каждого блока. Платформа продолжает наблюдать движение и показывает следующий переход при его появлении.
Именно это делает MetaSleuth. Он превращает серию ручных запросов в непрерывное наблюдение, чтобы команда реагирования следовала за средствами, а не восстанавливала их путь. В инциденте Euler Finance MetaSleuth обеспечил отслеживание украденных средств почти в реальном времени. Эта формулировка взята из описания самого события: она характеризует темп, который команда могла наблюдать во время активного инцидента, а не гарантированный показатель скорости.
«Почти в реальном времени» означает обновление картины близко к моменту завершения транзакции, а не только после повторного запуска отслеживания аналитиком. Это практическая середина между историческим отчетом и прямым потоком каждого блока. Для команды реагирования это разница между знанием того, где средства были, и того, где они сейчас.
То же наблюдение сопровождало команду в деле Ronin Bridge, где за украденными средствами следили при прохождении длинной цепочки промежуточных адресов. Непрерывное наблюдение дает отсутствие разрыва между кражей и первой картиной направления средств, а не одно эффектное оповещение.
Практический результат в том, что аналитик переходит от вопроса «где были средства» к вопросу «где средства сейчас». На первый отвечает история. На второй — текущая картина. Только текущая картина дает команде реагирования шанс действовать до того, как средства покинут последний доступный ей адрес.
Что делать дальше
Если ваша команда по-прежнему отслеживает украденные средства, восстанавливая путь постфактум, следующий шаг — перенести наблюдение в начало инцидента. Выберите адрес кражи сразу после подтверждения потери, добавьте его в непрерывное наблюдение и направьте оповещения тому, кто может заморозить средства, приостановить работу или подать сообщение.
Следите за украденными средствами с MetaSleuth и с первой минуты превратите продолжающуюся кражу в непрерывно отслеживаемое дело.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где подробно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.