Kripto alanında kirlilik analizi nedir? Kirlilik analizi, hırsızlık gelirleri, yaptırım maruziyeti veya dolandırıcılık akışı gibi "kirli" olarak nitelendirilen unsurları, işlemler ve takaslar aracılığıyla hareket ettikçe belirli zincir içi bakiye birimlerine atfetme pratiğidir. Araştırmacılar, bir cüzdanın hem temiz hem de kirli fonları bir arada tutması durumunda her giden transferin ardından hangi birimlerin kirli sayılacağına karar vermek için üç standart kuraldan (Poison, Haircut, FIFO) birini kullanır. Kural seçimi, izin ulaşacağı sonucu belirler.
Kripto dolandırıcılığında fonlar çalındığında, para nadiren olduğu yerde durur. Dakikalar içinde aracı cüzdanlar üzerinden hareket eder, adreslere bölünür ve bir borsaya ulaşır. Bunu takip etmek isteyen araştırmacılar her adımda tek bir temel soruyla karşı karşıya kalır: çalınan fonlar aynı cüzdandaki meşru fonlarla karıştığında, çıkan paranın ne kadarı hâlâ "kirli" sayılır?
Kirlilik analizi bu sorunun yanıtıdır. Blok zinciri fon takibinin temel tekniklerinden biridir ve onu anlamak hem modern soruşturma araçlarının neler yapabildiğini hem de nerede sınıra ulaştığını açıklar.
Bu kılavuz, kirlilik analizinin ne olduğunu, araştırmacıların kullandığı üç yöntemi ve her yöntemin nasıl davrandığını tam olarak görebilmeniz için Ethereum üzerinde hazırlanmış bir çalışma örneğini ele almaktadır.
Kirlilik analizi nedir?
Kirlilik analizi, bir cüzdanın bakiyesinin bilinen yasadışı bir kaynaktan ne kadarının geldiğini tahmin eder, ardından fonlar hareket ettikçe bu payı takip eder.
Fikir, basit bir etiketlemeye dayanır. Bir hırsızlık, dolandırıcılık veya yaptırım uygulanan adresle bağlantılı coinler kirli; böyle bir bağlantısı olmayanlar ise temiz olarak sınıflandırılır. Tek bir cüzdan neredeyse her zaman her ikisinin karışımını tuttuğundan, tekniğin giden transferleri kirli ve temiz bölümlerine ayırmak için bir kurala ihtiyacı vardır.
Kirli ve temiz fonlar
Bir adresin, dolandırıcılık mağdurundan çalınan 3.000 USDT ile ayrı olarak olağan işlemlerden gelen 7.000 USDT aldığını hayal edin. Cüzdan artık 10.000 USDT tutmakta olup bunun 3.000'i kirlidir. Bu adres daha sonra bir borsaya 9.000 USDT gönderdiğinde, araştırmacının giden 9.000'in ne kadarının kirli sayılacağına karar vermesi gerekir. Farklı kurallar farklı yanıtlar verir ve bu seçim aşağıdaki üç yöntemi birbirinden ayıran şeydir.
Neden önemlidir?
Araştırmacılar bunu önceliklendirme amacıyla kullanır. İşlemler zincirinin tamamını donduramazlar; bu nedenle hangi alt adresin ne kadar çalıntı değer taşıdığına dair savunulabilir bir tahmine ihtiyaç duyarlar. Bu tahmin, bir borsanın uyum ekibiyle paylaşılan veya kolluk kuvvetlerine sunulan rapora dahil edilen şeydir.
Kirlilik analizi neden mevcuttur?
Güçlük, blok zincirlerinin fonları birleştirme biçiminden kaynaklanmaktadır. Ethereum gibi hesap tabanlı bir zincirde bir cüzdanın bakiyesi tek bir havuzlanmış sayıdır; dolayısıyla kirli ve temiz fonlar aynı adrese girdiğinde finansal açıdan birbirinden ayırt edilemez hale gelir. Ham işlem kaydında "bu 9.000 USDT transferi kirli parayı harcadı, temiz parayı değil" yazan hiçbir şey yoktur.
Kirlilik analizi bu boşluğu açık bir muhasebe kuralıyla doldurur. Araştırmacılar, Poison, Haircut ve FIFO olarak adlandırılan üç standart kirlilik yöntemini kataloglamıştır. Kurallar, işlemleri açık biçimde kaydeden Ethereum ve token hırsızlığının büyük bölümünün gerçekleştiği diğer EVM ağları gibi hesap tabanlı zincirler dahil olmak üzere tüm halka açık blok zincirlerine uygulanabilir.
Üç yöntem ve bir çalışma örneği
Üç yöntem Poison, Haircut ve FIFO'dur. Poison, kirli bir işlemin her çıktısını tamamen kirli olarak işaretler; Haircut kirliliği çıktılar arasında orantılı biçimde böler; FIFO ise kirliliği yatırımların kronolojik sırasına göre atar.
Önceki örneğe dönelim: cüzdan Ethereum üzerinde 10.000 USDT tutmakta olup bunun 3.000'i kirli (bir mağdurdan), 7.000'i temizdir. Cüzdan bir borsa yatırım adresine 9.000 USDT göndermektedir. Her yöntemin giden 9.000'i nasıl etiketlediği aşağıda açıklanmaktadır.
Poison: dokunduğu her şeyi kirlet
Poison yöntemi, herhangi bir kirli girdi içeren bir işlemin her çıktısını tamamen kirli olarak ele alır. Kirli kısmın ne kadar küçük olduğunun önemi yoktur.
Örneğimizde 9.000 USDT transferinin tamamı kirli olarak işaretlenir ve borsa yatırım adresi çalıntı fon aldığı gerekçesiyle işaretlenir. Sorun açıktır: temiz fonlar kirli olarak yeniden etiketlenir ve "kirli" coinlerin havuzu yeni bir cüzdana her dokunduğunda büyür. Poison en az hassas yöntemdir ve araştırmacılar onu çoğunlukla çalışan bir tahmin yerine kaba bir başlangıç noktası olarak kullanır.
Haircut: orantılı kirlilik
Haircut yöntemi de her çıktıyı kirlilik taşıyor olarak ele alır; ancak tam miktarı değil, her birine orantılı bir pay atar. Cüzdanın kirli kısmı 10.000 üzerinden 3.000, yani %30'du; dolayısıyla giden transferin %30'u kirli sayılır.
Bu, 9.000'in 2.700 USDT'sinin kirli, 6.300'ünün ise temiz olarak etiketlendiği anlamına gelir. Haircut, Poison'a kıyasla daha gerçekçidir; çünkü kirli para miktarını şişirmek yerine korur. Zayıf yönü ise çok sayıda adrese az miktarda kirlilik yaymasıdır; bu da uzun izlerin gürültülü olmasına yol açar.
FIFO: sıraya göre kirlilik
FIFO (ilk giren, ilk çıkar) yöntemi oranları görmezden gelir ve bunun yerine sıraya bakar. Fonlar cüzdandan, geldikleri sırayla ayrılır: ilk yatırılan ilk harcanan olur.
Örneğimizde temiz 7.000 USDT, kirli 3.000'den önce gelmişti. FIFO'ya göre giden transferin ilk 7.000 USDT'si temiz, yalnızca sonraki 2.000'i kirlidir. Kalan 1.000 kirli fon cüzdanda kalır. FIFO en hassas ve en az gürültülü izi üretir; bu nedenle amaç savunulabilir bir kara liste veya delil niteliğinde bir rapor olduğunda en çok tercih edilen yöntemdir.
| Yöntem | Kural | Giden 9.000 USDT | Hassasiyet |
|---|---|---|---|
| Poison | Herhangi bir kirlilik tüm çıktıyı kirli yapar | 9.000 kirli | En düşük — kirli havuzu şişirir |
| Haircut | Kirliliğin orantılı payı | 2.700 kirli | Orta — uzun izlerde gürültülü |
| FIFO | Sıraya göre ilk giren ilk çıkar | 2.000 kirli | En yüksek — en temiz iz |
Üç kirlilik analizi yönteminin aynı 9.000 USDT giden transferi nasıl etiketlediği. FIFO (vurgulanmış) en az gürültülü izi üretir.
Kirlilik analizinin yapabilecekleri ve yapamadıkları
Kirlilik analizi güçlüdür; ancak bir kesinlik değil, bir tahmindir ve dürüst raporlama sınırlarının bilinmesine bağlıdır.
Fonlar olağan transferler ve takaslar aracılığıyla hareket ettiğinde iyi çalışır. Üç durumda zorlanır. Miksleyiciler yatırımlar ve çekimler arasındaki bağlantıyı kasıtlı olarak kırar; bu nedenle kirliliğin doğrudan izleme yerine istatistiksel yöntemlerle yeniden kurulması gerekir. Yüksek işlem hacmi kirliliği çok sayıda adrese yayarak Haircut tarzı tahminlerin anlamsızlaşmasına neden olur. Zincirler arası köprüler ise değeri defterler arasında taşır; bu nedenle izin karşı tarafta yeniden birleştirilmesi gerekir.
Kirlilik analizinin üç yaygın senaryoda nasıl davrandığı. Olağan transferler temiz biçimde izlenir; miksleyiciler ve köprülerin her biri kirlilik analizinin üzerine ek bir teknik gerektirir.
Bunların hiçbiri izlemeyi tamamen engellemez; ancak her biri, bir aracın kullandığı yöntemin ve ne kadar dikkatli uygulandığının sonucu değiştirdiği bir noktadır.
Kirlilik analizi ile tam fon takibi
Kirlilik analizi ve tam fon takibi birbiriyle ilişkilidir ancak özdeş değildir. Kirlilik analizi muhasebe kuralıdır; tam fon takibi ise uçtan uca soruşturmadır.
Kirlilik analizi, her adımda dar bir soruyu yanıtlar: kirli fon alan bir cüzdanda giden transferin ne kadarı kirlidir? Defalarca uygulanan tek bir kuraldır.
Tam fon takibi ise bütün soruşturmadır: hırsızlık işleminin belirlenmesi, her adımda bir dağılım kuralının uygulanması (bu kuralın klasik bir Poison / Haircut / FIFO kuralı olup olmadığına bakılmaksızın), grafiğin yürütülmesi, adreslerin gerçek varlıklara (borsalar, miksleyiciler, köprüler) atfedilmesi ve harekete geçilebilecek bir raporun üretilmesidir. Kirlilik analizi bu çalışmanın içindeki kavramsal bir mercektir; adres etiketleme, küme analizi ve zincirler arası eşleştirmeyle birlikte kullanılır.
Bir analist açıkça bir kirlilik yöntemi uyguladığında, delil niteliğinde raporlar için FIFO, birçok adres üzerindeki keşifsel analiz için Haircut tercih edilir; Poison ise nadiren kullanılır.
Bu düşünce yapısının modern araçlara yansıması
Binlerce işlem ve birkaç zincir genelinde adım adım muhasebe kuralını elle uygulamak gerçekçi değildir; bu nedenle araştırmacılar fon takibi araçlarına başvurur.
BlockSec'in MetaSleuth ürünü, bu çalışma için analist odaklı araçtır: fon akışlarını yeniden oluşturur; böylece araştırmacı grafiği adım adım yürütebilir, adresleri kümeleyebilir ve bunları gerçek varlıklara atfedebilir — nitekim LI.FI saldırısına ilişkin vaka çalışmasında olduğu gibi. Trace AI ise aynı soruşturma çalışmasını bir yapay zeka ajanıyla otomatize eder: kullanıcı bir hırsızlığı tanımlar, bir cüzdan adresi veya işlem hash'i sağlar; ajan desteklediği zincirler üzerinde fonları takip eder ve paranın ulaştığı varlıklarla birlikte bir fon akışı raporu üretir.
Bunlar fon takibi araçlarıdır, kirlilik analizi uygulamaları değil. Yukarıda açıklanan kirlilik kuralları aynı temel soruyu paylaşır — çıkanın ne kadarı hâlâ kirlidir? — ancak üretim amaçlı takip araçları genellikle klasik bir Poison / Haircut / FIFO kuralı yerine kendi grafik, kümeleme ve atıf yöntemlerini kullanır. Yine de kirlilik analizini anlamak faydalıdır; çünkü her takip aracının her adımda vermek zorunda olduğu kararın türünü netleştirir.
Sıkça sorulan sorular
Kirlilik analizi ne kadar doğrudur? Kirlilik analizi bir kesinlik değil, savunulabilir bir tahmin üretir. Doğruluğu, kullanılan yönteme ve izin karmaşıklığına bağlıdır. FIFO olağan transferler için en temiz sonuçları verirken, miksleyiciler ve çok yüksek işlem hacimleri güveni azaltır ve ek teknikler gerektirir.
Poison ve Haircut yöntemleri arasındaki fark nedir? Her ikisi de kirli bir işlemin her çıktısını kirlilik taşıyor olarak ele alır; ancak Poison her çıktıyı tamamen kirli olarak işaretlerken, Haircut her birine orantılı bir pay atar. Poison kirli fonların toplam havuzunu şişirir; Haircut ise korur; bu da Haircut'ı daha pratik kılar.
Kirlilik analizi, bir miksleyici aracılığıyla fonları takip edebilir mi? Doğrudan yapamaz. Miksleyiciler, yatırımlar ve çekimler arasındaki bağlantıyı kesmek için tasarlanmıştır; bu nedenle basit kirlilik kuralları fonları olduğu gibi takip edemez. Araştırmacılar bağlantıyı istatistiksel ve davranışsal analizle yeniden kurar; bu yöntem olağan bir transferi izlemekten daha zor ve daha az kesindir.
Kirli kripto para tutmak yasadışı mıdır? Bir aracın kirli olarak etiketlediği fonları tutmak otomatik olarak yasadışı değildir ve kirlilik etiketleri yasal kararlar değil, tahminlerdir. Bununla birlikte, borsalar hırsızlıkla bağlantılı yatırımları dondurabilir ve çalıntı fonları bilerek işlemek yasal risk taşır. Kirlilik analizi nereye bakılacağını işaret eder; suçluluğa karar vermez.
Kirlilik analizi hangi blok zincirlerinde çalışır? Prensipler, işlemleri açık biçimde kaydeden Ethereum ve token hırsızlığının büyük bölümünün gerçekleştiği diğer EVM ağları gibi hesap tabanlı zincirler dahil olmak üzere tüm halka açık blok zincirlerine uygulanabilir. İşlem modelleri arasındaki teknik mekanikler farklılık gösterse de kirli-temiz mantığı aynıdır.
İlgili okumalar
- Yasadışı fon akışı vaka çalışması: LI.FI saldırısı
- Çalınan fonları takip etmek için MetaSleuth nasıl kullanılır
- Trace AI: çalınan kriptoyu yapay zeka ajanıyla takip edin
Yapay zeka destekli soruşturmanın bunu zincirler genelinde nasıl uyguladığını görün. Trace AI'ın nasıl çalıştığını görün →
Yazar hakkında. Andy, BlockSec'te güvenlik araştırmacısıdır; zincir içi fon takibi ve MetaSleuth'un arkasındaki mekanikler üzerine çalışmaktadır. Bu yazı, ekibinin EVM zincirleri genelindeki gerçek hırsızlık vakalarına uyguladığı soruşturma kalıplarından yararlanmaktadır.
Kaynaklar
- Tironsakkul, Maarek, Eross, Just — Kripto Para Hırsızlığı Gizemini Araştırmak: Kirlilik Analizi Yöntemleri Üzerine Bir Soruşturma, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
