Blockchain Tracing (блокчейн-трассировка)

Как работает блокчейн-трассировка

Blockchain tracing — это методология анализа публичных данных блокчейна для отслеживания движения криптовалюты между адресами. В отличие от традиционных банковских расследований, где следователи запрашивают записи у финансовых институтов, в блокчейне все транзакции публично доступны с момента записи — специалисту нужны лишь инструменты для их правильной интерпретации.

Трассировка начинается с исходного TxID или адреса и строит направленный граф транзакций: кто кому отправил, сколько, когда и через какие промежуточные адреса. Каждый «хоп» в графе — отдельная транзакция. Цель — найти конечный адрес, связанный с идентифицируемым субъектом: биржей, OTC-сервисом или конкретным лицом.

Пошаговый процесс трассировки

Шаг 1 — сбор исходных данных. Аналитик получает TxID первоначальной транзакции, адрес кошелька жертвы и адрес злоумышленника (если известен). Чем точнее исходные данные, тем быстрее строится граф.

Шаг 2 — построение графа транзакций. Профессиональный инструмент автоматически разворачивает цепочку переводов на несколько уровней вглубь. Хороший аналитик вручную проверяет каждый значимый узел, оценивая объем средств и сроки движения.

Шаг 3 — кластеризация и атрибуция. Инструмент сопоставляет адреса с базой данных известных сущностей: Binance Hot Wallet 1, OKX Deposit, Tornado Cash Input. Это позволяет понять, куда именно попали средства, не имея прямых KYC-данных.

Шаг 4 — подготовка отчета и юридического запроса. После идентификации криптобиржи аналитик оформляет AML-отчет с визуализацией графа транзакций и направляет юридический запрос на заморозку через официальные каналы compliance-отдела.

Инструменты профессиональной трассировки

Chainalysis Reactor — ведущий инструмент, используемый Интерполом, ФБР, FinCEN и крупнейшими биржами. Строит граф транзакций, кластеризует адреса по владельцам, идентифицирует связи с криптобиржами, миксерами, даркнет-рынками. Именно отчеты Chainalysis принимают Binance, Coinbase и Kraken как официальное основание для заморозки.

TRM Labs Forensics — конкурент Chainalysis с фокусом на DeFi и кросс-чейн транзакциях. Используется PayPal, Coinbase и крупными банками. Особенно силен в анализе NFT-мошенничества и DeFi-протоколов.

Elliptic Investigator — европейский игрок с сильными позициями в Великобритании и ЕС. Работает с широким набором блокчейнов, включая частичный анализ Monero.

Crystal Blockchain — продукт компании Bitfury, широко применяемый в СНГ. Используется российскими правоохранительными органами и рядом местных бирж.

UTXO-модель и account-модель: две архитектуры блокчейна

Методология трассировки зависит от архитектуры блокчейна. В Bitcoin нет «баланса» в привычном смысле: кошелёк хранит набор UTXO — неизрасходованных выходов предыдущих транзакций. Когда монеты отправляют, один или несколько UTXO «расходуются» и создаются новые: один для получателя, один — сдача обратно на адрес отправителя. Эта структура создаёт чёткий следовой след: у каждого UTXO есть родословная, которую можно проследить через всю цепочку.

Ethereum и сети на его основе (BSC, Polygon) работают иначе: там есть адреса-счета с балансами, как в банке. Транзакция — это прямое уменьшение баланса отправителя и увеличение баланса получателя, а смарт-контракты могут автоматически перемещать средства между множеством адресов в рамках одной операции. Для аналитика это означает другую работу: вместо UTXO нужно разбирать цепочки вызовов контрактов и события в логах транзакций.

Кластеризация адресов

Кластеризация — ключевая техника трассировки. Алгоритмы анализируют паттерны: если несколько адресов всегда участвуют как входы одной транзакции, они принадлежат одному владельцу. Так идентифицируются криптобиржи, миксеры, P2P-сервисы и индивидуальные кошельки. Используется несколько эвристик одновременно:

• Common input ownership — если два адреса встречаются как входы в одной транзакции, с высокой вероятностью они принадлежат одному кошельку. Самая мощная и часто применяемая эвристика.
• Адрес сдачи — в Bitcoin-транзакции один выход идёт получателю, второй возвращается отправителю как сдача. Алгоритмы определяют, какой из выходов сдача, по круглым суммам, порядку выходов и типу скрипта, и добавляют его в кластер отправителя.
• Временной анализ — адреса, активные в одном и том же временном окне или с жёстко скоррелированными по времени транзакциями, объединяются в один кластер.
• Анализ dust-атак — если адрес тратит «пыль», присланную на множество адресов, вместе со своими другими монетами, срабатывает эвристика общего входа, и кластер расширяется.

Продвинутая кластеризация также учитывает поведенческие паттерны: время суток активности, характерные суммы, комиссионные предпочтения. Chainalysis утверждает о базе из более миллиарда размеченных адресов — каждый привязан к конкретной организации или категории риска. Важно понимать: кластеризация работает на основе вероятностных эвристик, а не математически строгих доказательств, поэтому в юридически значимом отчёте для каждой связи указывается степень уверенности.

Кросс-чейн трассировка

Современные злоумышленники активно используют кросс-чейн мосты (Multichain, Stargate, Across) для переноса средств между сетями: Ethereum → BSC → Tron → Solana. Каждый мост создает потенциальный разрыв в цепочке — новый адрес в другой сети технически не связан со старым напрямую.

Профессиональные инструменты преодолевают это ограничение. TRM Labs отслеживает транзакции через мосты, сопоставляя суммы, временны́е метки и контракты. Взлом Axie Infinity Ronin Bridge ($625 млн) был полностью трассирован, несмотря на использование нескольких кросс-чейн переходов.

Ограничения трассировки

Монеты конфиденциальности (Monero, Zcash с экранированными адресами) значительно усложняют трассировку за счет криптографического сокрытия сумм и адресов. Миксеры (Tornado Cash, ChipMixer) и кросс-чейн свопы через DEX разрывают автоматическую цепочку и требуют ручной работы аналитика.

Тем не менее большинство украденных средств рано или поздно попадают на централизованную биржу: только там их можно конвертировать в фиат. Этот момент — точка пересечения трассировки с KYC-данными — и есть финальная цель расследования.

Почему это важно для безопасности

Blockchain tracing — основной инструмент возврата украденных средств. Именно она позволяет установить, на какой криптобирже находятся активы, и подготовить юридически обоснованный запрос на заморозку. Без трассировки невозможно определить, куда обращаться.

KarCrypto использует Chainalysis и TRM Labs в каждом расследовании. Стандартный процесс: TxID → граф транзакций → идентификация конечного адреса → установление биржи → направление запроса на заморозку с приложением AML-отчета.

Как работает трейсинг технически: UTXO, account model, граф транзакций

Чтобы понять, как аналитики следуют за деньгами, необходимо разобраться в двух принципиально разных архитектурных моделях блокчейнов.

UTXO-модель (Bitcoin, Litecoin, Bitcoin Cash)

В Bitcoin не существует «баланса» в привычном смысле. Вместо этого кошелёк хранит набор UTXO - Unspent Transaction Outputs, неизрасходованных выходов предыдущих транзакций. Когда вы отправляете Bitcoin, вы «расходуете» один или несколько UTXO и создаёте новые: один для получателя, один - «сдача» - обратно на ваш адрес (обычно на новый адрес в том же кошельке).

Именно эта структура и создаёт следовой след: каждый UTXO имеет чёткую родословную - его можно проследить через всю цепочку предыдущих транзакций вплоть до «монеты на выходе из майнера». Аналитик видит полное дерево транзакций: кто кому передавал средства, когда, в каком объёме.

Account-модель (Ethereum, BSC, TRC20)

Ethereum и сети на его основе работают иначе: здесь существуют адреса-счета с балансами, как в банке. Транзакция - это прямое уменьшение баланса отправителя и увеличение баланса получателя. Смарт-контракты при этом могут автоматически перемещать средства между множеством адресов в рамках одной транзакции, что усложняет анализ.

Для аналитиков это означает другую методологию: вместо отслеживания UTXO необходимо анализировать цепочки вызовов смарт-контрактов, события (events) в логах транзакций, и поведенческие паттерны адресов во времени.

Граф транзакций

Независимо от архитектурной модели, результатом трейсинга является граф транзакций - визуализация связей между адресами, где узлы - это адреса, а рёбра - транзакции. На таком графе аналитик видит, как средства дробились на множество малых сумм, перебрасывались через десятки промежуточных адресов, объединялись обратно и в итоге оказывались на конечном кошельке. Профессиональные инструменты вроде Chainalysis Reactor строят этот граф автоматически, выделяя подозрительные паттерны и известные сущности - биржи, миксеры, DeFi-протоколы.

Кластеризация адресов: как аналитики видят за тысячей адресов одного человека

Опытный мошенник знает, что использование одного адреса - верный путь к разоблачению. Поэтому типичная тактика - создание сотен или тысяч адресов для «перемешивания» следа. Именно здесь вступает в действие кластеризация адресов - один из ключевых методов блокчейн-аналитики.

Кластеризация основана на эвристиках - наблюдаемых закономерностях, указывающих на то, что несколько адресов контролируются одним владельцем (одной сущностью, одним кошельком). Основные эвристики:

• Common Input Ownership (CIO) - общий ввод транзакции. В Bitcoin-транзакции могут использоваться несколько UTXO в качестве входов. По умолчанию кошельки объединяют в одну транзакцию только свои собственные монеты. Если два адреса встречаются как входы в одной транзакции - с высокой вероятностью они принадлежат одному кошельку. Это самая мощная и самая часто применяемая эвристика.
• Change address heuristic - эвристика адреса сдачи. В Bitcoin-транзакции один выход идёт получателю, второй («сдача») - обратно отправителю. Аналитические алгоритмы определяют, какой из выходов является сдачей, по ряду признаков: круглые/нечётные суммы, порядок выходов, скрипт-тип адреса. Адрес сдачи затем добавляется в кластер отправителя.
• Timing analysis - временно́й анализ. Адреса, проявляющие активность в одни и те же временны́е окна (например, только в рабочие часы определённого часового пояса), или адреса, транзакции которых жёстко скоррелированы по времени, могут быть объединены в один кластер.
• Dust attack analysis - анализ пылевых атак. Атака типа «пыль» (dust) предполагает отправку ничтожно малых сумм на множество адресов с последующим отслеживанием того, как получатели эту «пыль» тратят. Когда адрес тратит «пыль» вместе со своими другими монетами - срабатывает CIO-эвристика, и кластер расширяется.
• Graph topology - топология графа. Поведенческие паттерны на уровне всего графа: насколько часто адрес выступает промежуточным звеном, каков типичный размер транзакций, насколько быстро средства двигаются дальше после получения.

Результат кластеризации - «суперузел» в графе транзакций, представляющий все адреса, которые с высокой вероятностью принадлежат одному субъекту. Когда хотя бы один адрес кластера идентифицирован (например, он был использован при регистрации на бирже, или он находится в открытой базе данных), личность распространяется на весь кластер.

Инструменты блокчейн-аналитики: Chainalysis, TRM Labs, Crystal Blockchain, Elliptic

Профессиональный блокчейн-трейсинг опирается на специализированные программные платформы, которые автоматизируют построение графов транзакций, кластеризацию адресов и идентификацию известных сущностей. Четыре ведущих инструмента в индустрии:

Упомянутые инструменты - это не просто поисковики по блокчейну. Каждый из них ведёт собственную базу атрибуции: десятки миллионов адресов, которые были идентифицированы и помечены как принадлежащие конкретным биржам, сервисам, миксерам, даркнет-маркетам или преступным группировкам. Именно эта база атрибуции делает трейсинг практически значимым: когда след приводит к адресу, уже помеченному как «горячий кошелёк Binance», это даёт правовую основу для направления официального запроса на заморозку средств.

Как KarCrypto применяет трейсинг в расследованиях краж

Когда клиент обращается в KarCrypto с сообщением о краже криптовалюты, блокчейн-трейсинг становится первым и ключевым инструментом расследования. Вот как выглядит наш рабочий процесс:

Важно: трейсинг - это не гарантия возврата средств, это инструмент расследования. Его результаты создают доказательную базу, необходимую для правовых действий. Возможность фактического возврата зависит от того, успели ли мошенники вывести средства в фиат, и от юрисдикции, в которой находится биржа.

Что трейсинг может и чего не может: миксеры, DEX, кросс-чейн мосты

Честный ответ на вопрос «можно ли отследить любую транзакцию?» - нет, но диапазон «неотслеживаемого» значительно уже, чем принято думать. Рассмотрим основные технологии обфускации и реальный уровень их эффективности.

Миксеры (тумблеры)

Миксер принимает «грязные» монеты от множества пользователей, перемешивает пулы и выдаёт «чистые» монеты в иных суммах и на другие адреса. Самые известные: Tornado Cash (Ethereum, заблокирован OFAC в 2022 году), ChipMixer (Bitcoin, ликвидирован ФБР и Европолом в 2023 году), Wasabi Wallet с CoinJoin.

Миксеры существенно усложняют трейсинг, но не делают его невозможным. Аналитические системы используют: статистический анализ сумм (характерные деноминации Tornado Cash легко распознаются), временны́е корреляции (кто вошёл в пул и когда вышел), анализ поведения после выхода из миксера. Tornado Cash был частично деанонимизирован: Chainalysis идентифицировал связи для ряда транзакций. Более важно: сам факт использования миксера признаётся многими биржами и правоохранительными органами как отягчающее обстоятельство.

Децентрализованные биржи (DEX)

DEX (Uniswap, PancakeSwap, dYdX) не требуют KYC - это делает их привлекательным инструментом для отмывания. Однако все транзакции через DEX полностью прозрачны на уровне блокчейна: смарт-контракт DEX - это ещё один узел в графе транзакций, который легко атрибутируется. Трейсинг через DEX теоретически не сложнее, чем через обычный кошелёк - нет KYC-барьера, но нет и анонимности.

Кросс-чейн мосты

Мосты между блокчейнами (Multichain, Wormhole, Hop Protocol) переносят активы из одной сети в другую. Для аналитика это означает разрыв в едином графе транзакций: след из Bitcoin-цепочки переходит в Ethereum, где начинается новый граф. Современные инструменты (особенно TRM Labs и Elliptic) умеют связывать транзакции через известные мосты. Однако нативные мосты Monero или Zcash в защищённом режиме создают значительно более серьёзные препятствия.

Конфиденциальные монеты

Monero (XMR) использует кольцевые подписи, скрытые адреса и RingCT, делая трейсинг крайне затруднённым. Именно поэтому Monero не поддерживается большинством крупных бирж под давлением регуляторов, а сам факт конвертации средств в Monero рассматривается правоохранительными органами как признак умысла на сокрытие. Chainalysis официально признал, что не может выполнять полноценный трейсинг транзакций Monero.

Реальный кейс: как украденный USDT был отслежен через 5 хопов до биржи

Пример основан на реальном кейсе KarCrypto, данные анонимизированы. Клиент потеряла 15 000 USDT (сеть TRC20) в результате фишинговой атаки через поддельный сайт инвестиционной платформы.

Шаг 1 — фиксация события. Клиент предоставила адрес своего кошелька и примерное время события. Мы идентифицировали исходящую транзакцию в сети TRON на адрес мошенника — 15 000 USDT одной транзакцией. TXID зафиксирован как начало расследования.

Шаг 2 — первый хоп. Мошеннический адрес через 14 минут отправил всю сумму на второй адрес — предположительно «горячий» адрес для первичного дробления. Сумма не изменилась.

Шаг 3 — дробление. Со второго адреса средства разделили на три части: 8000, 4500 и 2500 USDT — и отправили на три разных адреса в течение часа. Паттерн характерен для автоматического скрипта, а не ручной операции.

Шаг 4 — консолидация. Два из трёх адресов через 6 часов отправили свои суммы на один новый адрес. Кластеризация показала, что все три «дочерних» адреса входят в один кластер с более чем 40 другими адресами — признак mule-инфраструктуры.

Шаг 5 — выход на биржу. Консолидированная сумма 12 500 USDT ушла на адрес, атрибутированный Chainalysis как депозитный адрес криптобиржи в юрисдикции ЮВА. Оставшиеся 2500 USDT ушли в Tornado Cash через кросс-чейн мост.

Результат. KarCrypto направил официальный запрос в службу безопасности биржи с полным отчётом трассировки. Биржа заморозила подозрительный аккаунт до выплаты. Параллельно подготовили пакет документов для заявления в МВД и запроса через Интерпол. Из 15 000 USDT вернули 11 800 USDT — около 79% суммы. Средства в Tornado Cash к тому моменту уже не были доступны для возврата. Кейс показывает: 100% возврат возможен не всегда, но профессиональная трассировка заметно повышает шансы, особенно если расследование начато в первые 24–72 часа.

Часто задаваемые вопросы

Связанные термины

Полезные материалы