Краткий ответ: ончейн-криминалистика — это отслеживание средств после инцидента
Ончейн-криминалистика — это практика отслеживания средств между блокчейнами после того, как уже произошло нечто неблагоприятное. Это работа постфактум. Специалист начинает с интересующего адреса или транзакции и следует за деньгами по пути из нескольких переходов через мосты и протоколы. Цель — ответить на простой вопрос: куда ушли средства и у кого они в итоге оказались? Этот вопрос лежит в основе почти каждого расследования кражи, мошенничества или отмывания денег, связанного с публичным блокчейном.
Два определяющих признака — ретроспективность и несколько переходов. Ончейн-криминалистика не проверяет транзакцию до расчета и не служит постоянной мерой контроля внутри комплаенс-программы. Она начинается после инцидента, кражи или подозрительного события и восстанавливает произошедшее, проходя по графу транзакций вперед и назад, пока путь не приведет к идентифицируемому месту назначения.
Блокчейн-аналитика часто используется как общий термин для всего, что можно узнать из ончейн-данных. Ончейн-криминалистика — расследовательская часть этой области: та, которая отвечает на вопрос «что произошло и куда ушли деньги», а не «соответствует ли другая сторона требованиям». Эти вопросы пересекаются, но относятся к разным задачам. Команда, которая их смешивает, в итоге выбирает неподходящий инструмент для неподходящей задачи.
Ончейн-криминалистика, AML и мониторинг транзакций
Самый ясный способ понять ончейн-криминалистику — отделить ее от двух направлений, с которыми ее чаще всего путают. Ончейн-криминалистика — ретроспективная работа специалистов по расследованиям, выполняемая постфактум и охватывающая несколько переходов. AML — работа специалистов по комплаенсу, построенная вокруг системы обязанностей, а не одного расследования. Эта система начинается со стандартов FATF. Мониторинг транзакций, часто называемый KYT, — предварительный контроль в реальном времени, оценивающий транзакцию или адрес до перемещения стоимости. Три смежных уровня отвечают на три разных вопроса: криминалистика спрашивает, что произошло; AML — чего требуют правила; мониторинг — следует ли пропускать эту транзакцию. Криминалистический вопрос начинается с события, комплаенс-вопрос — с набора обязанностей, а вопрос мониторинга — с входящей транзакции.
У каждого уровня свои участник, момент и направление работы. Специалист по расследованиям смотрит назад, на уже произошедшее событие. Специалист по комплаенсу рассматривает постоянно действующую программу обязанностей. Система мониторинга смотрит вперед, на следующую транзакцию. Смешение этих трех направлений приводит к попыткам проводить расследование инструментом проверки или поддерживать комплаенс-программу инструментом отслеживания. Их разделение позволяет каждой команде выбрать правильный уровень для своей задачи.
Это различие не только концептуально. Криминалистика спрашивает, что произошло; AML — чего требуют правила; мониторинг — следует ли разрешать именно этот платеж. Поскольку вопросы различаются, граница реальна: представление о криминалистике как об одном из уголков комплаенса недооценивает ее роль.
Для чего используется ончейн-криминалистика
Ончейн-криминалистика решает небольшой набор конкретных задач, большинство из которых возникает после уже произошедшего события.
Самая распространенная — отслеживание украденных средств. Когда из DeFi-протокола, моста или кошелька выводят активы, специалист следует за ними через адреса злоумышленника, миксеры и депозитные адреса бирж, чтобы понять, где оказалась стоимость. Цель — установить участника, сервис или кошелек, получившие средства, чтобы результаты отслеживания могли поддержать возврат, заморозку или обращение в правоохранительные органы. Поскольку блокчейны публичны, специалист может изучать записи о перемещении стоимости, не запрашивая чьего-либо разрешения.
Вторая задача — установить, кто стоит за отмыванием денег. Понятное определение отмывания дает FinCEN. Когда незаконные средства проходят через слои адресов и сервисов, чтобы выглядеть законными, криминалистика восстанавливает эти слои и связывает конечного держателя с исходным источником. Третья задача — проверка перед инвестированием. До вложения в токен или проект команда отслеживает финансирование адреса развертывания и ликвидность, чтобы обнаружить rug pull или скрытую связь с высокорисковой стороной. Четвертая — отчетность и доказательства. Завершенное расследование превращается в схему, которой можно поделиться, и письменный след, доступный для рассмотрения биржей, регулятором или судом. Каждая из этих задач дает сохраняемый результат: сохраненную схему, названное место назначения и документальный след, который можно передать другой стороне.
Когда смешиваются чистые и незаконные средства: Poison, Haircut и FIFO
Самый сложный вопрос отслеживания — не поиск денег, а определение того, какие средства считать связанными с незаконным источником, когда чистые и незаконные средства находятся на одном адресе. Три метода дают разные ответы. Poison считает связанным с незаконным происхождением все, что соприкасалось с такими средствами, поэтому ставит отметки агрессивно и охватывает адреса, владельцы которых ничего не знали об источнике. Haircut распределяет такую долю пропорционально, и каждый переход уменьшает ее, пока остаток не опустится ниже любого порога. FIFO и LIFO рассматривают средства адреса как упорядоченную очередь: первыми расходуются поступившие первыми или последними; в прецеденте английского права Clayton's Case 1876 года применялся принцип «первым пришел — первым вышел». Выбранный метод определяет, какие адреса будут отмечены, сходится ли требование о возврате и выдержит ли вывод отслеживания проверку. Поэтому обоснованный отчет указывает примененный метод и причину его выбора. Инструмент, который не может показать свой метод определения связи средств с незаконным источником, отвечает не на тот вопрос, который задает регулятор.
Как MetaSleuth вписывается в криминалистический уровень
Эти задачи требуют инструмента, способного следовать по путям из нескольких переходов между блокчейнами, и здесь расследовательский уровень приобретает конкретную форму. MetaSleuth — платформа BlockSec для отслеживания криптовалюты и расследований, официально позиционируемая как платформа расследований с отслеживанием средств. Она прослеживает средства через несколько переходов и визуализирует движение токенов между адресами, поддерживая межсетевой анализ, когда путь покидает один блокчейн и переходит в другой.
MetaSleuth создан для людей, которые занимаются этой работой. Для корпоративных пользователей, отвечающих за реагирование на инциденты и отслеживание средств; для инвесторов, отслеживающих украденные средства после кражи; для регулирующих и правоохранительных органов, проводящих трансграничные комплаенс-расследования. По состоянию на 2026 год платформу используют более 100 правоохранительных и комплаенс-организаций по всему миру.
Смысл в том, что платформа отслеживания — это инструмент, с помощью которого специалист превращает криминалистический вопрос в конкретный ответ, а не замена профессиональной работе: граф, путь и место назначения. Именно такой инструмент MetaSleuth предоставляет на уровне расследований. На практике специалист открывает схему, последовательно раскрывает исходящие переводы и читает полученный путь как ответ, а не как гипотезу.
Что делать дальше
Если вы пытаетесь понять, куда на самом деле ведет путь средств, следующий шаг — открыть расследование, а не запустить очередную проверку. Выберите уже интересующий вас адрес, проследите его исходящие переводы по графу и посмотрите, приводит ли путь к установленному участнику или в тупик. Разница между этими исходами — установление принадлежности, а выяснение того, кто стоит за адресами, и составляет смысл работы.
Освойте ончейн-криминалистику с MetaSleuth и превратите абстрактную идею в конкретный путь, который можно увидеть, сохранить и передать другим.
Эта статья входит в руководство MetaSleuth по расследованиям и криминалистике, где последовательно рассматриваются методика отслеживания, работа с доказательствами и уровни инструментов.