Чтобы отследить адрес криптокошелька, сначала изучите входящие и исходящие потоки, затем раскрывайте исходящую сторону по одному переходу. На каждом шаге читайте метку адреса на другой стороне, объединяйте адреса, действующие как один участник, и повторяйте, пока средства не достигнут известной точки вывода — биржи, миксера или моста. Входящая сторона показывает, откуда поступили средства; исходящая — куда они ушли, и именно она приводит к человеку, сервису или бирже за адресом.
Отслеживайте исходящую сторону, а не только входящую
Деньги движутся вперед, и интересная часть истории почти всегда находится дальше по потоку. Один переход показывает один адрес на другом конце. Путь через несколько переходов рассказывает, где деньги оказались в итоге. Для расследования важен именно второй вопрос.
Воспринимайте адрес как развязку, а не как конечную точку. Большинство расследований терпит неудачу, останавливаясь на первом переходе. Взломщик, опустошивший кошелек, редко оставляет добычу на том же адресе: средства проходят через промежуточные кошельки, прежде чем попасть туда, где возможны действия. Записав только первый переход, вы фиксируете середину истории, а не ее конец. Миксер или мост посреди пути тоже не является ответом; это признак того, что стоящий за средствами человек пытается затруднить поиск ответа.
Что показывает и чего не показывает обозреватель блокчейна
Обозреватель блокчейна хорошо отвечает на один вопрос: что сделал этот адрес в отдельной транзакции. Адрес входа, адрес выхода, сумма и токен помещаются на одном экране. На этом картина заканчивается. Обозреватели показывают данные одного перехода, а не дальнейший путь: если средства уходят из кошелька и распределяются по нескольким адресам, обозреватель показывает только первый переход. Он не связывает следующие адреса в единый граф и не следует за цепочкой во времени или между сетями. Обозреватель одной сети теряет путь из виду на мосту, как только он пересекает границу сети.
Проблема не в данных: все данные находятся в блокчейне. Проблема в форме. Обозреватель дает подтверждения операций, инструмент отслеживания — карту. Когда карта служит основанием для комплаенс-решения, соответствующая обязанность восходит к стандартам FATF. Разница становится существенной, как только путь длиннее одного перехода.
Рабочий процесс отслеживания кошелька: четыре действия
Начните с опорного адреса. Изучите входящие и исходящие потоки, чтобы понять, что поступило и что ушло, затем раскрывайте исходящую сторону по одному переходу. Цикл состоит из четырех действий. Первое: прочитайте метку на другой стороне — адрес с названием известного сервиса уже является результатом, а не просто строкой. Второе: снова раскройте исходящую сторону и посмотрите, куда этот адрес отправляет средства. Третье: повторяйте, пока путь не зайдет в тупик, не замкнется или не приведет в узнаваемое место. Четвертое: определите точку выхода — большинство маршрутов заканчивается депозитом на бирже, миксером или мостом, где ончейн-след передается внешнему участнику.
Две схемы сохраняют читаемость растущего следа. Разветвление, когда один адрес распределяет средства между многими, часто указывает на распределение или последовательное дробление; схождение множества адресов к одному обычно отмечает точку консолидации или депозит сервиса. А когда несколько адресов действуют как один участник, рассмотрение их как единого целого поддерживает ясность и пути, и рассуждений.
Метки превращают механическое повторение в содержательную работу. Именно база размеченных адресов в масштабе сотен миллионов делает этот слой пригодным для реальных дел, а не только для единичных исследований. Переход к адресу, уже помеченному как биржа, миксер или известный участник, — момент, когда именование заменяет догадки.
Как понимать тупики: миксеры, мосты и реальные ограничения
Каждый специалист упирается в одни и те же три стены, и для каждой есть стандартный подход. Сервисы смешивания разбивают пути на статистически анонимные фрагменты. Проследите средства до входа в миксер, точно запишите увиденное и возобновите работу с выявленных выходов, не угадывая путь внутри пула. Полный метод работы на этих границах изложен в статье «Как отследить украденную криптовалюту через миксер». Межсетевые мосты переносят стоимость в адресное пространство другого блокчейна, завершая отслеживание в одной сети. Для продолжения нужны инструменты, следующие за стоимостью по основным маршрутам мостов; это разобрано в статье «Как отследить украденные криптовалютные средства между сетями». Приватные монеты полностью выходят за рамки этого процесса, и добросовестная практика отслеживания прямо это признает.
Все это объединяет привычка перепроверять. Существенные результаты заслуживают повторной проверки до принятия мер, а подтверждение времени и суммы ключевой транзакции в публичном обозревателе — бесплатный способ ее выполнить, зафиксировав также предмет проверки. В США отчетность по таким решениям относится к сфере FinCEN.
Как MetaSleuth делает отслеживание кошельков практически полезным
Вот что делает MetaSleuth при отслеживании кошелька. Вместо копирования адресов между вкладками обозревателя специалист раскрывает каждый переход в одном графе и наблюдает развертывание следа. Функция Expand Outgoing в MetaSleuth пошагово раскрывает исходящий поток средств адреса, а два решения сохраняют читаемость графа. Несколько транзакций одного токена между одной парой адресов объединяются в одно ребро. А более 600 миллионов меток адресов прямо называют сервисы, превращая анонимный адрес в именованную остановку на пути. В Solana MetaSleuth автоматически сопоставляет токен-аккаунт с владеющим им кошельком, поэтому путь читается как последовательность кошельков, а не разрозненных аккаунтов.
Реальные расследования показывают процесс в действии. При взломе кошелька Slope MetaSleuth отследил более 8 000 опустошенных кошельков Solana и убытки примерно на 5,2 миллиона долларов. Раскрытие исходящих транзакций четырех аккаунтов атакующих привело к адресам хранения средств. Спустя месяцы украденные USDT были объединены и переведены на централизованную биржу, где ончейн-след передали во внешнюю процедуру. При распродаже SHAR MetaSleuth проследил 14 контролируемых адресов, распределивших SHAR по 104 разрозненным адресам; через несколько минут все средства сошлись на одном адресе, который продал всю позицию. У двух дел одна форма: широкое распределение, период затишья, затем внезапная консолидация на одном узнаваемом адресе. Представление одного перехода упускает все это; развернутый граф превращает картину в сигнал, понятный человеку за секунды.
Что делать дальше
Отслеживание кошелька — навык, который улучшает одна привычка: всегда раскрывайте исходящую сторону, прежде чем объявить след остывшим. Начните с имеющегося адреса, пройдите каждый переход и продолжайте, пока средства не окажутся в узнаваемом месте. Быстрее всего практиковаться на реальном адресе: отследите кошелек с MetaSleuth и посмотрите, как исходящая сторона разворачивается в путь из нескольких переходов с именованными адресами на каждом шаге.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где подробно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.