Блокчейн-трейсинг

Что такое блокчейн-трейсинг: следить за деньгами

Криптовалюта часто воспринимается как анонимный способ расчётов, недоступный для отслеживания. Это заблуждение обходится пострадавшим от краж дорогой ценой. На самом деле Bitcoin, Ethereum, USDT на сети TRC20 и большинство других популярных активов полностью прозрачны: каждая транзакция записана в публичный реестр — блокчейн, — где она хранится постоянно и навсегда.

Блокчейн-трейсинг — это систематическое применение аналитических методов к этому публичному реестру с целью восстановить полный путь средств: от момента кражи до конечного кошелька или биржи, на которой мошенник попытается вывести деньги в фиат. Именно в точке выхода в фиатную систему — на бирже, в обменнике — злоумышленник наиболее уязвим: здесь требуется KYC, здесь возможна блокировка и принятие правовых мер.

Термины «crypto tracer», «блокчейн-аналитика», «on-chain аналитика» и «blockchain tracing» используются как синонимы. Все они описывают один и тот же процесс: движение по графу транзакций с целью установления конечного получателя и сбора доказательной базы для правоохранительных органов или гражданского иска.

Важное уточнение: трейсинг не «взламывает» блокчейн и не нарушает его криптографию. Он использует данные, которые открыто доступны всем, — просто требует специализированных инструментов и аналитических компетенций для их правильной интерпретации.

Как работает трейсинг технически: UTXO, account model, граф транзакций

Чтобы понять, как аналитики следуют за деньгами, необходимо разобраться в двух принципиально разных архитектурных моделях блокчейнов.

UTXO-модель (Bitcoin, Litecoin, Bitcoin Cash)

В Bitcoin не существует «баланса» в привычном смысле. Вместо этого кошелёк хранит набор UTXO — Unspent Transaction Outputs, неизрасходованных выходов предыдущих транзакций. Когда вы отправляете Bitcoin, вы «расходуете» один или несколько UTXO и создаёте новые: один для получателя, один — «сдача» — обратно на ваш адрес (обычно на новый адрес в том же кошельке).

Именно эта структура и создаёт следовой след: каждый UTXO имеет чёткую родословную — его можно проследить через всю цепочку предыдущих транзакций вплоть до «монеты на выходе из майнера». Аналитик видит полное дерево транзакций: кто кому передавал средства, когда, в каком объёме.

Account-модель (Ethereum, BSC, TRC20)

Ethereum и сети на его основе работают иначе: здесь существуют адреса-счета с балансами, как в банке. Транзакция — это прямое уменьшение баланса отправителя и увеличение баланса получателя. Смарт-контракты при этом могут автоматически перемещать средства между множеством адресов в рамках одной транзакции, что усложняет анализ.

Для аналитиков это означает другую методологию: вместо отслеживания UTXO необходимо анализировать цепочки вызовов смарт-контрактов, события (events) в логах транзакций, и поведенческие паттерны адресов во времени.

Граф транзакций

Независимо от архитектурной модели, результатом трейсинга является граф транзакций — визуализация связей между адресами, где узлы — это адреса, а рёбра — транзакции. На таком графе аналитик видит, как средства дробились на множество малых сумм, перебрасывались через десятки промежуточных адресов, объединялись обратно и в итоге оказывались на конечном кошельке. Профессиональные инструменты вроде Chainalysis Reactor строят этот граф автоматически, выделяя подозрительные паттерны и известные сущности — биржи, миксеры, DeFi-протоколы.

Кластеризация адресов: как аналитики видят за тысячей адресов одного человека

Опытный мошенник знает, что использование одного адреса — верный путь к разоблачению. Поэтому типичная тактика — создание сотен или тысяч адресов для «перемешивания» следа. Именно здесь вступает в действие кластеризация адресов — один из ключевых методов блокчейн-аналитики.

Кластеризация основана на эвристиках — наблюдаемых закономерностях, указывающих на то, что несколько адресов контролируются одним владельцем (одной сущностью, одним кошельком). Основные эвристики:

• Common Input Ownership (CIO) — общий ввод транзакции. В Bitcoin-транзакции могут использоваться несколько UTXO в качестве входов. По умолчанию кошельки объединяют в одну транзакцию только свои собственные монеты. Если два адреса встречаются как входы в одной транзакции — с высокой вероятностью они принадлежат одному кошельку. Это самая мощная и самая часто применяемая эвристика.
• Change address heuristic — эвристика адреса сдачи. В Bitcoin-транзакции один выход идёт получателю, второй («сдача») — обратно отправителю. Аналитические алгоритмы определяют, какой из выходов является сдачей, по ряду признаков: круглые/нечётные суммы, порядок выходов, скрипт-тип адреса. Адрес сдачи затем добавляется в кластер отправителя.
• Timing analysis — временно́й анализ. Адреса, проявляющие активность в одни и те же временны́е окна (например, только в рабочие часы определённого часового пояса), или адреса, транзакции которых жёстко скоррелированы по времени, могут быть объединены в один кластер.
• Dust attack analysis — анализ пылевых атак. Атака типа «пыль» (dust) предполагает отправку ничтожно малых сумм на множество адресов с последующим отслеживанием того, как получатели эту «пыль» тратят. Когда адрес тратит «пыль» вместе со своими другими монетами — срабатывает CIO-эвристика, и кластер расширяется.
• Graph topology — топология графа. Поведенческие паттерны на уровне всего графа: насколько часто адрес выступает промежуточным звеном, каков типичный размер транзакций, насколько быстро средства двигаются дальше после получения.

Результат кластеризации — «суперузел» в графе транзакций, представляющий все адреса, которые с высокой вероятностью принадлежат одному субъекту. Когда хотя бы один адрес кластера идентифицирован (например, он был использован при регистрации на бирже, или он находится в открытой базе данных), личность распространяется на весь кластер.

Инструменты блокчейн-аналитики: Chainalysis, TRM Labs, Crystal Blockchain, Elliptic

Профессиональный блокчейн-трейсинг опирается на специализированные программные платформы, которые автоматизируют построение графов транзакций, кластеризацию адресов и идентификацию известных сущностей. Четыре ведущих инструмента в индустрии:

Упомянутые инструменты — это не просто поисковики по блокчейну. Каждый из них ведёт собственную базу атрибуции: десятки миллионов адресов, которые были идентифицированы и помечены как принадлежащие конкретным биржам, сервисам, миксерам, даркнет-маркетам или преступным группировкам. Именно эта база атрибуции делает трейсинг практически значимым: когда след приводит к адресу, уже помеченному как «горячий кошелёк Binance», это даёт правовую основу для направления официального запроса на заморозку средств.

Как KarCrypto применяет трейсинг в расследованиях краж

Когда клиент обращается в KarCrypto с сообщением о краже криптовалюты, блокчейн-трейсинг становится первым и ключевым инструментом расследования. Вот как выглядит наш рабочий процесс:

Важно: трейсинг — это не гарантия возврата средств, это инструмент расследования. Его результаты создают доказательную базу, необходимую для правовых действий. Возможность фактического возврата зависит от того, успели ли мошенники вывести средства в фиат, и от юрисдикции, в которой находится биржа.

Что трейсинг может и чего не может: миксеры, DEX, кросс-чейн мосты

Честный ответ на вопрос «можно ли отследить любую транзакцию?» — нет, но диапазон «неотслеживаемого» значительно уже, чем принято думать. Рассмотрим основные технологии обфускации и реальный уровень их эффективности.

Миксеры (тумблеры)

Миксер принимает «грязные» монеты от множества пользователей, перемешивает пулы и выдаёт «чистые» монеты в иных суммах и на другие адреса. Самые известные: Tornado Cash (Ethereum, заблокирован OFAC в 2022 году), ChipMixer (Bitcoin, ликвидирован ФБР и Европолом в 2023 году), Wasabi Wallet с CoinJoin.

Миксеры существенно усложняют трейсинг, но не делают его невозможным. Аналитические системы используют: статистический анализ сумм (характерные деноминации Tornado Cash легко распознаются), временны́е корреляции (кто вошёл в пул и когда вышел), анализ поведения после выхода из миксера. Tornado Cash был частично деанонимизирован: Chainalysis идентифицировал связи для ряда транзакций. Более важно: сам факт использования миксера признаётся многими биржами и правоохранительными органами как отягчающее обстоятельство.

Децентрализованные биржи (DEX)

DEX (Uniswap, PancakeSwap, dYdX) не требуют KYC — это делает их привлекательным инструментом для отмывания. Однако все транзакции через DEX полностью прозрачны на уровне блокчейна: смарт-контракт DEX — это ещё один узел в графе транзакций, который легко атрибутируется. Трейсинг через DEX теоретически не сложнее, чем через обычный кошелёк — нет KYC-барьера, но нет и анонимности.

Кросс-чейн мосты

Мосты между блокчейнами (Multichain, Wormhole, Hop Protocol) переносят активы из одной сети в другую. Для аналитика это означает разрыв в едином графе транзакций: след из Bitcoin-цепочки переходит в Ethereum, где начинается новый граф. Современные инструменты (особенно TRM Labs и Elliptic) умеют связывать транзакции через известные мосты. Однако нативные мосты Monero или Zcash в защищённом режиме создают значительно более серьёзные препятствия.

Конфиденциальные монеты

Monero (XMR) использует кольцевые подписи, скрытые адреса и RingCT, делая трейсинг крайне затруднённым. Именно поэтому Monero не поддерживается большинством крупных бирж под давлением регуляторов, а сам факт конвертации средств в Monero рассматривается правоохранительными органами как признак умысла на сокрытие. Chainalysis официально признал, что не может выполнять полноценный трейсинг транзакций Monero.

Реальный кейс: как украденный USDT был отслежен через 5 хопов до биржи

Следующий пример основан на реальном кейсе KarCrypto (данные анонимизированы). Клиент — жительница Москвы, 34 года — потеряла 15 000 USDT (сеть TRC20) в результате фишинговой атаки через поддельный сайт «инвестиционной платформы».

Шаг 1 — Фиксация события. Клиент предоставила адрес своего кошелька и примерное время события. Мы идентифицировали исходящую транзакцию в сети TRON с нашего кошелька на адрес мошенника — 15 000 USDT переведены одной транзакцией. TXID зафиксирован как начало расследования.

Шаг 2 — Первый хоп. Мошеннический адрес через 14 минут отправил всю сумму на второй адрес — предположительно, это «горячий» адрес для первичного дробления. Сумма не изменилась — 15 000 USDT.

Шаг 3 — Дробление. Со второго адреса средства разделены на три части: 8 000, 4 500 и 2 500 USDT — и отправлены на три разных адреса в течение одного часа. Паттерн характерен для автоматического скрипта, а не ручной операции.

Шаг 4 — Консолидация. Два из трёх адресов через 6 часов отправили свои суммы на один новый адрес. Кластеризация показала, что все три «дочерних» адреса входят в один кластер с более чем 40 другими адресами — признак профессиональной mule-инфраструктуры.

Шаг 5 — Выход на биржу. Консолидированная сумма 12 500 USDT была переведена на адрес, атрибутированный Chainalysis как «депозитный адрес криптобиржи X» в юрисдикции ЮВА. Оставшиеся 2 500 USDT ушли в Tornado Cash (ETH-сеть через кросс-чейн мост).

Результат. KarCrypto направил официальный запрос в службу безопасности биржи с полным отчётом трейсинга. Биржа заморозила подозрительный аккаунт до выплаты. Параллельно был подготовлен пакет документов для подачи заявления в МВД и международного запроса через Интерпол. Из 15 000 USDT было возвращено 11 800 USDT — около 79% суммы. Средства в Tornado Cash к тому моменту уже не были доступны для возврата.

Этот кейс иллюстрирует ключевой принцип: 100% возврат возможен не всегда, но профессиональный трейсинг значительно увеличивает вероятность частичного или полного возврата — особенно если расследование начато в первые 24–72 часа после кражи.

Часто задаваемые вопросы

Связанные термины

Полезные материалы