Расследование блокчейн-транзакций и трейсинг похищенной криптовалюты
Девяносто процентов ценности расследования лежит в первых четырёх-двенадцати часах после кражи. Дальше каждый следующий час стоит дороже предыдущего: адреса дробятся, мосты добавляют новый слой, и в какой-то момент граф перестаёт быть восстановимым вообще. Ronin Bridge подтвердил это в марте 2022 на 600 миллионах долларов, Bybit повторил в феврале 2025 на 1,4 миллиарда, и оба раза один и тот же кластер атрибуции, Lazarus Group, раздробил половину суммы на сотни адресов за первые 48 часов. Это не исключение из правила, это и есть правило. Здесь не выдают риск-скор за 6-15 минут и не сверяются со списком в надежде на совпадение. Здесь строят граф на столько переходов вглубь, сколько требует конкретная схема: common-input-ownership для UTXO-адресов, анализ паттернов для account-based сетей, отдельная разметка каждого layering-паттерна, будь то peel chain, address poisoning или кросс-чейн переход, и сверка со списком OFAC SDN на каждом узле, а затем доводят цепочку до точки обналичивания на бирже с верификацией личности. Это расследование, а не проверка, и измеряется оно днями.
Когда разовой проверки уже недостаточно
Кража с биржи или личного кошелька не оставляет времени на раздумья. Спор о происхождении средств не закрывается фразой "мы всё проверили", потому что суду нужен тайминг с адресами. Разовая проверка отвечает на вопрос, опасен ли адрес прямо сейчас. Расследование отвечает: куда делись деньги. Если нужна именно быстрая проверка, для этого есть отдельная услуга: проверка криптокошельков и транзакций с результатом за 6-15 минут.
Как строится граф: common-input-ownership и layering в деле
Common-input-ownership опирается на наблюдение: если несколько адресов вместе подписывают один и тот же перевод, ими управляет один и тот же кошелёк. Для UTXO-сетей вроде Bitcoin это даёт кластер владения. Для account-based сетей вроде Ethereum и TRON общего входа не существует физически, кластер строится через анализ паттернов взаимодействия.
Peel chain почти никогда не бывает разовым действием: основной остаток стабильно уходит на новый кошелёк, мелкий хвост отслаивается на сторону. Address poisoning размечается отдельной категорией: пылевая транзакция с похожего адреса. Кросс-чейн мост не обрывает граф, а продолжает его.
Методология строится на одиннадцати годах практики в блокчейн-форензике. Полная история опыта: о команде AML Trace.
Какие сети берём в работу
Bitcoin, Ethereum и TRON с USDT на TRC-20. Bitcoin разбирается через кластеризацию UTXO-адресов. Ethereum и TRON через анализ паттернов взаимодействия.
Расследование против разовой проверки
| Критерий | Разовая проверка | Расследование |
|---|---|---|
| Глубина графа | До первого идентифицированного узла | До полной цепочки обналичивания |
| Кросс-чейн мосты | Фиксируется факт пересечения | Прослеживается вторая сторона моста |
| Layering-паттерны | Помечаются общей категорией | Разбираются по каждому хопу отдельно |
| Срок | 6-15 минут | От нескольких дней |
| Стоимость | От 2 500 рублей | Индивидуальная |
Практика, не витрина
Биржа теряет часть горячего кошелька при взломе: граф показывает средства через один кросс-чейн мост, дробление через peel chain, возврат через второй мост. Если бирже после расследования нужен постоянный процесс, для этого есть комплаенс для бирж и обменников.
Вопросы без реверансов
- Как отследить транзакции биткоина?
- Через кластеризацию UTXO-адресов по common-input-ownership.
- Сколько времени занимает расследование?
- Дни, а не минуты. Простая схема разбирается за один-два дня, сложная с мостами занимает неделю.
- Можно ли найти транзакцию по номеру кошелька?
- Да, граф строится от него в обе стороны.
- Годится ли отчёт для суда или полиции?
- Да, тайминг каждого перехода, суммы и адреса на каждом шаге.
- Что теряется, если начать расследование не сразу?
- Каждый час добавляет хопов между вами и деньгами.