區塊鏈鑑識軟體是做什麼的?它能重建資金路徑,並將地址歸屬到現實世界的實體以供調查。
此處所指的鑑識軟體,是建立在已標記鏈上情報之上的調查工具,而非一般的安全掃描器。它涵蓋三項核心工作:追蹤跨節點的資金流向、解析地址背後的群集,以及將調查結果整理成能經得起審查的證據。這個類別已經足夠成熟,因此期望應該要精確,本指南正是為此設定標準:工具必須做到什麼、哪些能力區分出領先者,以及沒有任何工具能取代什麼。這些工具所服務的義務,正是 AML program 義務。
三項核心工作
路徑重建是第一項工作:給定一個起始地址或交易,展開資金去向,經過拆分、合併、跳轉與跨鏈橋接,形成一條人類可以閱讀並據以行動的軌跡。實體歸屬是第二項工作:判定一組地址屬於同一個行為者——交易所、混幣服務、詐騙操作——並以可辯護的方式承載這種歸屬,而不是憑經驗之談。證據整理是第三項工作:調查的產出是這條軌跡的記錄,而不是螢幕上的軌跡本身。這份記錄承載了檢查過什麼、發現了什麼、依據為何,以一種審查員、保險公司或法院能夠接受的形式呈現。
這些調查所服務的監管框架見於 FinCEN 與 the FATF Recommendations;而軟體則是其下的篩查層。
歸屬品質區分工具高下
歸屬品質將線索與結論區分開來,因為建立在大型已標記地址資料庫之上的鑑識工具,能自動解析更多的圖譜,並解釋每一項歸屬判斷。底層的數字很重要:根據 BlockSec 的資料,Phalcon Compliance 運用涵蓋超過 6 億個地址的已標記地址情報,並持續更新。正是這種深度,將滿螢幕的匿名雜湊值轉變為部分具名的圖譜。沒有解釋的深度本身就是一個陷阱;調查人員無法解釋的歸屬,就是調查人員無法辯護的歸屬,這也是為什麼可解釋的信號必須與產生這些信號的資料庫並列。
| 能力維度 | 領先者的區別所在 | 為何重要 |
|---|---|---|
| 歸屬深度 | 自動解析更多圖譜,每項歸屬皆有解釋 | 無法解釋的群集是無法辯護的線索 |
| 跨鏈覆蓋 | 追蹤涵蓋主要跨鏈橋路徑,而非單一網路 | 資金預設會跨越橋接 |
| 證據可解釋性 | 將發現整理成審查員、保險公司或法院能接受的記錄 | 產出是記錄,而非螢幕畫面 |
維度的選擇是工作量的問題。核心工作循環是篩查與監控、在事件發生時提取調查證據的團隊,在追求工具廣度之前,更需要歸屬深度與可匯出的證據。運行專職調查單位的團隊則需要三個維度都達到完整深度。對於當今選擇鑑識工具的團隊而言,跨鏈覆蓋範圍是變化最快的差異化因素,因為資金預設會透過跨鏈橋跳轉,而單鏈工具在邊界就停止了。
跨鏈覆蓋範圍,以及沒有任何層級能取代的事物
一項在跨鏈橋處中斷的調查,就是在資金持續前進之處停下的調查。追蹤涵蓋主要跨鏈橋路徑的能力,正是讓軌跡在資金實際使用的各條鏈上保持連續的關鍵。這些證據所服務的 AML program,決定了究竟什麼才算是一項發現。
每項工具都存在兩個共同的限制。鑑識是一項事後學科:它負責解釋並支援追討,並不能防止損失,若團隊為了預防而購買它,買的就是錯誤的層級。而分析人員始終是這項工具的操作者:工具能解析並提出建議,但「這個群集就是那個行為者」的判斷,以及據此行動的責任,始終留在調查團隊手中。若需要同時承載監控與調查證據的情報層,請預約演示 Phalcon Compliance。若想了解實務中完整的路徑,LI.FI illicit fund flow case study 逐跳重建了一次漏洞攻擊資金的去向。Tracing stolen crypto through a mixer 則逐步走過同樣的方法論。
常見問題:區塊鏈鑑識軟體
鑑識與監控有何不同? 監控即時觀察資金流並實時揭示風險;鑑識則是在事後重建並解釋,從軌跡中建立證據。
鑑識軟體能將地址歸屬到具體的人嗎? 它會以陳述的信賴程度將地址歸屬到實體與群集;個人身分識別則需要身分層,這是另一項獨立的學科。
為什麼跨鏈覆蓋範圍現在如此重要? 因為資金預設會跨越跨鏈橋流動;一個在橋接處止步的工具,恰恰在資金繼續前進之處止步。
小型團隊應該優先考慮什麼? 在任何案件管理功能之前,先考慮在其實際使用的鏈上具備可解釋證據的歸屬深度。在你真正使用的鏈上具備深度,勝過你永遠不會用到的廣度。
