Мошенники способны перемещать похищенные активы между различными блокчейнами, обменивать их на иные криптовалюты и распределять по множеству адресов, стремясь усложнить процесс отслеживания. Однако даже смена сети оставляет за собой цифровой след. Специалист по расследованиям AML/KYT-провайдера «Шард» Екатерина Белоцерковская рассказала IT Speaker, как восстановить путь средств, какие инструменты для этого применяются и как аналитики связывают операции в разных блокчейнах.
Блокчейн запоминает всё
Основное заблуждение заключается в том, что переход из одного блокчейна в другой делает средства «невидимыми» автоматически. Смена сети может затруднить расследование, но не всегда нарушает связь между транзакциями.
Каждый блокчейн оставляет открытый и хронологически зафиксированный след: адреса, суммы, время транзакций, направления переводов, взаимодействие с биржами, мостами и другими сервисами. Даже если злоумышленник пытается запутать маршрут – например, обменивая Ethereum на Bitcoin, – предыдущие операции не исчезают. Более того, каждый обмен и последующее движение средств добавляют новые данные для анализа.
Восстановление маршрута по частям
Первоначально специалисты восстанавливают движение активов в исходной сети: определяют адрес, на который были переведены украденные средства, анализируют входящие и исходящие транзакции, суммы, временные интервалы и дальнейшие направления переводов. Если на каком-то этапе средства переходят в другую блокчейн-сеть, необходимо установить, каким образом это произошло. Один из распространенных способов – использование блокчейн-мостов.
Практически для каждого моста существует собственный обозреватель, который позволяет отслеживать операции. Если известен хеш транзакции, по которой средства были отправлены на мост, можно определить целевую сеть, соответствующую транзакцию и адрес получателя уже в новой сети. После этого расследование продолжается с нового адреса – аналитики снова изучают транзакции и определяют дальнейший путь движения средств.
Сопоставление по времени и сумме
В кроссчейн-расследованиях одним из ключевых инструментов является анализ временных и суммовых взаимосвязей между операциями. Это помогает выявить признаки того, что движение средств в одной сети связано с их последующим появлением в другой. Например, из одной сети через мост или другой сервис выводится 10 000 USDT, а через несколько минут в другой сети фиксируется операция на близкую сумму. Само по себе такое совпадение ничего не доказывает, но если временной интервал и сумма совпадают с учетом возможного обмена одного актива на другой, вероятность связи между операциями значительно возрастает.
Яркий пример – взлом криптобиржи Bybit в феврале 2025 года. Тогда было похищено около $1,5 млрд в криптоактивах, преимущественно ETH. После атаки средства распределялись по различным адресам и криптовалютным платформам, включая централизованные биржи, обменные сервисы и децентрализованные протоколы.
MVNO на вырост: как выбрать модель без потолка
Для конвертации части похищенных ETH в BTC мошенники использовали THORChain – протокол для кроссчейн-обменов, который позволяет непосредственно обменивать активы из разных блокчейн-сетей через пулы ликвидности без участия централизованного посредника. С 22 февраля 2025 года через THORChain прошла часть украденных средств. После обмена ETH на биткоин и другие цифровые активы средства продолжили распределяться между множеством адресов в различных блокчейн-сетях.
Точка входа в реальный мир
Крупные криптобиржи могут стать важным элементом в расследовании. Мошенник часто пытается через них конвертировать или вывести похищенные активы. Если удается установить, что средства поступили на депозитный адрес биржи, это позволяет определить конкретное место, где криптовалюта попала в централизованную инфраструктуру.
При наличии законных оснований биржа может предоставить информацию о владельце соответствующего аккаунта и связанных с ним операциях. Поэтому для расследователя поступление средств на крупную биржу – не завершение маршрута, а, как правило, важная возможность перейти от анализа блокчейна к установлению конкретного пользователя.
Разные сети – разные правила
Основная особенность таких расследований – необходимость параллельно работать с различными блокчейнами, у каждого из которых свои технические характеристики, форматы транзакций и принципы функционирования. Дополнительные сложности возникают при использовании кроссчейн-мостов.
Не все аналитические платформы способны корректно отслеживать перемещение средств между сетями и связывать операцию в одной из них с соответствующей операцией в другой. Универсального инструмента, который позволял бы видеть все межсетевые перемещения в одном месте, на практике не существует. Поэтому часть переходов приходится проверять через различные блокчейн-обозреватели, анализировать логи и события смарт-контрактов, а затем вручную сопоставлять операции в исходной и целевой сетях.
Задача усложняется, если мошенник дробит средства, использует множество промежуточных адресов, меняет активы и несколько раз переходит между блокчейнами. В таком случае маршрут приходится восстанавливать из отдельных фрагментов, комбинируя автоматизированные инструменты с ручным анализом.
ИИ на подходе
ИИ уже может значительно ускорить кроссчейн-расследования – в первую очередь за счет обработки больших объемов данных. Он выявляет необычные транзакции, ищет связи между адресами, сопоставляет временные и суммовые характеристики операций и привлекает внимание аналитика к потенциально связанным движениям средств.
В то же время полностью передать расследование ИИ пока нельзя. Алгоритм может обнаружить вероятную связь между операциями, но оценить её контекст и определить, действительно ли они относятся к одной схеме, обязан специалист. Это особенно критично в сложных случаях, когда используются мосты, обменные сервисы, множество промежуточных адресов или несколько блокчейн-сетей. Поэтому на данный момент ИИ – это, прежде всего, инструмент, который сокращает время поиска и помогает аналитику не упустить важные взаимосвязи.
CRM без иллюзий: что бизнес хочет и куда идет рынок
