Инструменты мониторинга блокчейна подходят для наблюдения в реальном времени, но не для проведения самого расследования.
Инструмент мониторинга отслеживает целевые адреса в реальном времени, показывает обновления меток сразу после изменения данных и превращает необработанную активность блокчейна в зацепки для специалиста. Само расследование — восстановление путей средств и формирование выводов, которые выдержат проверку, — требует глубины криминалистического анализа, которой у инструментов мониторинга нет.
Чего на самом деле требуют ончейн-расследования
Ончейн-расследования сводятся к четырем задачам: установить, кто стоит за адресом, восстановить путь средств, зафиксировать доказательства и подготовить отчетность. Каждая задача требует своего навыка. Во-первых, установить, кто стоит за адресом: связать его с интересующим человеком или сервисом. Во-вторых, восстановить путь средств: проследить стоимость через переходы, мосты и кластеры, чтобы увидеть, куда ушли средства. В-третьих, зафиксировать доказательства: записать то, что показал путь, в форме, выдерживающей тщательную проверку. В-четвертых, подготовить отчетность: превратить путь в материал, на основании которого могут действовать регулятор, комплаенс-команда биржи или суд. Сама обязанность предоставлять отчетность восходит к стандартам FATF, которые внедряют национальные регуляторы.
Независимые специалисты регулярно демонстрируют такую работу, а регуляторный контекст легко увидеть: с одной стороны — санкционные программы OFAC Министерства финансов, с другой — нормы Закона о банковской тайне, исполнение которых обеспечивает FinCEN. Когда схема социальной инженерии лишает жертв девятнадцати миллионов долларов, последующее отслеживание идет именно по этой цепочке: установить владельца кластера получателей, проследить переходы, зафиксировать доказательства, опубликовать путь. Это реальная, регулярная и по сути ручная работа, поэтому вопрос инструментов важен: специалисты хотят понимать, какие ее части способен взять на себя инструмент мониторинга, а какие — нет.
Где помогают инструменты мониторинга: наблюдение в реальном времени и оповещения
Мониторинг заслуживает места в расследованиях благодаря трем конкретным задачам. Наблюдение в реальном времени следит за уже определенными интересующими адресами, поэтому движение целевых средств обнаруживается в пределах цикла мониторинга, а не тогда, когда аналитик случайно решит перепроверить адрес. Обновления меток не менее важны: расследование идет на фоне постоянно меняющейся картины, и новая связь кошелька с подсанкционным субъектом или хакерской операцией меняет значение каждого затронутого им перехода. Инструменты мониторинга с сотнями миллионов размеченных адресов и круглосуточным обновлением поддерживают актуальность картины.
Третья задача — зацепки из оповещений. Хорошо настроенный уровень мониторинга отмечает ранее неизвестные отношения, взаимодействие адреса с расследуемым кластером, новую связь, появившуюся в ходе дела, и передает эти отметки специалисту как отправные точки. На практике именно здесь мониторинг особенно силен: он сокращает время между событием в блокчейне и моментом, когда о нем узнает специалист.
Где их возможности заканчиваются: пробел расследования, который мониторинг не закрывает
Пробел проявляется, когда работа переходит от наблюдения к доказыванию. Мониторинг сообщает, что нечто произошло; криминалистика устанавливает, что это означает. Восстановление путей через сервисы смешивания, цепочки последовательного дробления средств и межсетевые мосты требует глубины отслеживания, недоступной на экранах мониторинга. Вывод о том, что пять адресов принадлежат одному участнику, и возможность обосновать этот вывод относятся к криминалистической работе со своими стандартами доказательств. А конечный результат расследования — связное изложение, подкрепленное доказательствами, которого инструменты мониторинга не создают.
Это разделение соответствует уже признанным на рынке уровням инструментов. Корпоративные аналитические платформы включают глубокую криминалистику и назначают соответствующую цену. API-инструменты среднего сегмента, к которому относятся проверки и мониторинг, обеспечивают уровень сигналов. Ни один уровень не заменяет другой, и команда, купившая мониторинг в расчете на криминалистику, столкнется с пределом возможностей именно тогда, когда дело станет сложным.
Четыре задачи расследования и вклад двух уровней:
| Задача расследования | Вклад мониторинга | Что добавляет криминалистика |
|---|---|---|
| Установление того, кто стоит за адресом | Обновления меток, отмечающие новые связи с сущностями | Выводы, связывающие адреса с одним владельцем и обоснованные по стандартам доказательств |
| Восстановление пути средств | Оповещения о движении целевых средств | Отслеживание через миксеры, цепочки дробления и мосты |
| Фиксация доказательств | Актуальная картина данных | Зафиксированный путь в форме, выдерживающей тщательную проверку |
| Отчетность | Не обеспечивается мониторингом | Связное изложение, подкрепленное доказательствами |
Вывод: подходят для поддержки расследования, но не для самого расследования
Краткий ответ для ончейн-расследований: инструменты мониторинга подходят для уровня поддержки, а не для уровня доказывания. Поддержка — это наблюдение в реальном времени, свежие метки и зацепки из оповещений. Доказывание — это восстановление путей, связывание адресов с одним владельцем и пакеты доказательств, для чего нужна глубокая криминалистика. Серьезные программы используют оба уровня и намеренно разделяют их, а команды с большим объемом рисков перепроверяют критические выводы по разным источникам данных, не полагаясь на картину одного поставщика. Для уровня поддержки, снабжающего расследования актуальными сигналами, Phalcon Compliance предоставляет глубокие проверки в основных блокчейнах. Согласно техническим спецификациям BlockSec, ее непрерывно обновляемая база охватывает более шестисот миллионов размеченных адресов. Полный процесс работы на уровне доказывания описан в статье «Как отслеживать украденную криптовалюту между блокчейнами».
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где последовательно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.