Украденную криптовалюту можно отследить после взлома, и решающее окно — первые 48 часов. Возможность возврата определяют три действия: заморозить то, что еще можно заморозить, проследить пути, пока они еще читаемы, и связаться с точками вывода до того, как средства рассеются и станут недоступны.
Почему первые 48 часов определяют, что удастся вернуть
Движение украденных средств подчиняется схеме, в которой скорость дает преимущество. Обычно стоимость переходит из транзакции атаки в кошелек для сбора средств. Затем она дробится и проходит этапы сокрытия — сервисы смешивания, цепочки последовательного дробления и межсетевые мосты, — прежде чем сойтись в точках вывода, где ее конвертируют в фиат или другие активы. Каждый этап сужает возможности отслеживания. На этапе сбора картина полностью читаема: один кошелек, полная видимость. После миксера отдельные пути становятся статистически фрагментированными. После моста отслеживание в одной сети заканчивается, если инструмент не умеет прослеживать стоимость между сетями.
Команды, пережившие такую ситуацию, описывают более глубокую проблему: средства исчезли, а причина неясна — какой процесс дал сбой, какая транзакция была атакой. Реагирование начинается с установления фактов, поскольку запросам о возврате, направляемым биржам, нужна конкретика, а запрос о заморозке без хеша транзакции и пути средств остается в очереди.
Шаг первый: защитите остаток и установите, что похищено
Прежде чем отслеживать, остановите потери. Приостановите работу атакованного контракта, если это возможно. Усильте защиту административных ключей и требования к кворуму мультиподписи: повторные атаки на команду, занятую реагированием, — известная схема. Затем установите фактическую основу: какая транзакция была атакой, какую уязвимость она использовала, какие активы ушли, в каких объемах и на какие адреса. Каждый последующий шаг опирается на эти факты, и они нужны для каждого внешнего запроса — бирже, правоохранительным органам, страховщикам. В США вопросы подозрительной активности регулируются законами и нормативными актами FinCEN.
В этот момент также нужно сохранить уже имеющиеся материалы. Экспортируйте состояние мониторинга, историю оповещений и все результаты проверок до инцидента. Реагирование с четко установленными фактами и сохраненными записями впоследствии становится доказательственной базой; реагирование по памяти — нет.
Шаг второй: проследите средства через сети и миксеры
После установления фактов отслеживание начинается с адресов, получивших средства в транзакции атаки. Раскрывайте исходящие пути переход за переходом: где стоимость сосредоточилась, где разделилась, какие промежуточные адреса действовали как один участник. Следите за разветвлением, указывающим на распределение, и схождением потоков, означающим консолидацию или внесение средств в сервис. Межсетевые мосты заслуживают особого внимания, поскольку переход через мосты — обычный маршрут средств. Отслеживание, остановившееся на мосту, заканчивается ровно там, где деньги продолжили путь; охват основных маршрутов мостов позволяет сохранить непрерывный след.
Миксеры — самый сложный участок. Практический подход состоит в том, чтобы проследить средства до входа в миксер, точно это задокументировать и возобновить отслеживание в установленных точках выхода, не пытаясь угадывать путь внутри фрагментированного потока. По данным BlockSec, MetaSleuth — платформа отслеживания средств и расследований — прослеживает пути через несколько переходов в 12 сетях, поддерживает межсетевой анализ и мониторинг движения украденных средств в реальном времени: настроенное наблюдение оповещает команду, когда отслеживаемые адреса переводят средства. Об участке с миксером подробнее рассказано в статье «Как отследить украденную криптовалюту через миксер».
Шаг третий: свяжитесь с точками вывода и скоординируйте реагирование
Результаты отслеживания переходят в этап взаимодействия с точками вывода, где стоимость еще можно перехватить. Депозитные адреса бирж дают наибольшие возможности, поскольку запрос о заморозке с хешем транзакции, архивом пути и временной меткой может поступить, пока средства еще находятся на депозитном адресе. Взаимодействие с правоохранительными органами подчиняется той же логике: сообщение с задокументированным следом позволяет действовать; сообщение без него означает начало с нуля. Обязанности, лежащие в основе таких сообщений, восходят к стандартам FATF. В трансграничных делах важно разделение труда, и полезно знать одну четкую модель: команда отслеживания устанавливает ончейн-участников и дает технические объяснения, а юристы ведут процедуры, соответствующие конкретной юрисдикции. Страхование и коммуникации замыкают процесс, и каждое направление использует те же записи.
Реагирование не заканчивается, когда первоначальный след затихает. Украденные средства могут лежать месяцами, прежде чем прийти в движение, и именно непрерывный мониторинг связанных адресов с оповещениями о переводах превращает неактивное дело в дело с возможностью возврата. По данным BlockSec, Phalcon Compliance поддерживает непрерывно обновляемую базу размеченных адресов именно для такого наблюдения. Честный вывод о возврате таков: первые 48 часов определяют почти всю долю, которую можно вернуть, и часть похищенного действительно возвращается.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где подробно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.