Блокчейн-аналитика: как работает трассировка средств и что она может показать бизнесу

Блокчейн хранит каждую транзакцию, но сам по себе это лишь огромная таблица переводов между безымянными адресами. Чтобы понять, что за ней стоит — какие адреса принадлежат биржам, куда ушли похищенные средства, связан ли контрагент с санкционным сервисом, — нужна блокчейн-аналитика.

Разберем, как устроен анализ блокчейна: что такое кластеризация и атрибуция, как работает трассировка, где след теряется и какие задачи метод решает для служб безопасности, юристов и комплаенса.

Что такое блокчейн-аналитика

Блокчейн-аналитика — это анализ транзакций в публичных блокчейнах с целью понять, кому принадлежат адреса и как между ними движутся средства. Она объединяет два типа данных:

• Ончейн-данные — сами транзакции: суммы, время, адреса, вызовы смарт-контрактов. Они публичны и одинаковы для всех;
• Офчейн-данные — сведения, которые позволяют подписать адреса: публичные адреса сервисов, тестовые транзакции аналитиков, данные из расследований и открытых источников.

Ончейн-данные доступны любому, а ценность аналитики определяется вторым слоем — качеством и полнотой разметки. Именно поэтому разные провайдеры по одному адресу могут давать разные выводы.

Из чего строится анализ: кластеризация и атрибуция

Кластеризация

Кластеризация — это объединение адресов, которые, вероятно, контролирует один владелец. Один пользователь или сервис может использовать тысячи адресов, и без кластеризации каждый из них выглядел бы отдельным участником.

Методы зависят от устройства блокчейна:

• В Bitcoin и похожих сетях используется модель UTXO. Если в одной транзакции тратятся средства с нескольких адресов, скорее всего, ключи от них у одного владельца. Сдача, возвращенная отправителю, тоже помогает связать адреса.
• В Ethereum, TRON и других сетях со счетами работают поведенческие признаки. Например, биржа выдает каждому клиенту адрес для депозита и регулярно переводит с него средства на свой основной кошелек. Такие повторяющиеся схемы позволяют распознать адреса площадки.

Атрибуция

Атрибуция — это присвоение кластеру метки: «биржа», «обменник», «мошенническая схема», «санкционный сервис». Метки появляются из разных источников: публичных заявлений сервисов, тестовых депозитов, материалов расследований, санкционных списков.

После атрибуции анализ становится содержательным: вместо «адрес A перевел средства адресу B» видно, что средства пришли с известной биржи и ушли на адрес, связанный с мошеннической схемой.

Трассировка: как отслеживают движение средств

Трассировка — это построение пути средств от одного адреса к другим. Различают два направления:

• прямая трассировка — куда ушли средства с адреса: например, куда переведены похищенные активы;
• обратная трассировка — откуда средства пришли на адрес: например, из каких источников сформирован депозит клиента.

Каждый переход между адресами называют шагом. Чем больше шагов отделяет проверяемый адрес от источника риска, тем слабее связь, поэтому в AML-отчетах различают прямые и косвенные связи.

Когда средства из разных источников смешиваются на одном адресе, аналитик должен решить, какая часть исходящего перевода «унаследовала» рискованное происхождение. Для этого используют разные модели.

Выбор модели заметно влияет на итоговую оценку. Это еще одна причина, по которой два провайдера могут по-разному оценить один и тот же адрес.

Где след теряется

Трассировка не всесильна. Есть места, где связь становится вероятностной или прерывается:

• Централизованные биржи. После зачисления на биржу средства двигаются во внутреннем учете площадки, а не в блокчейне. Связать депозит одного клиента с выводом другого по ончейн-данным нельзя.
• Мосты и кроссчейн-обмены. Средства уходят в одной сети, а появляются в другой. Транзакции в обеих сетях сохраняются, сложность — связать их между собой. Способ зависит от протокола: у части мостов есть свои обозреватели и сопоставление почти однозначно, у других оно остается вероятностным.
• Обменники и OTC-сделки. Происходит то же, что на бирже: в блокчейне видны вход и выход сервиса, но не соответствие между ними.
• Миксеры и протоколы смешивания. Они специально созданы для того, чтобы разорвать связь между входом и выходом. Аналитики иногда восстанавливают связи по времени и суммам, но результат остается вероятностным. Сам факт взаимодействия с миксером — отдельная категория высокого риска.
• Приватные монеты. В сетях с закрытыми транзакциями ончейн-анализ ограничен.

Важно: точка, где след теряется, часто и есть главный результат. Если средства пришли на известную биржу, дальше работает не аналитика, а запрос к площадке через правоохранительные органы.

Чем AML-скрининг отличается от расследования

Скрининг — это фильтр на входе, расследование — работа с конкретным случаем. Обычно расследование начинается тогда, когда скрининг показал тревожный сигнал или произошел инцидент.

Кому и когда нужна трассировка

• Службы экономической безопасности. Проверка контрагента перед крупной сделкой, разбор внутренних инцидентов, когда средства компании выведены на неизвестные адреса.
• Информационная безопасность. Взлом кошелька, атака вымогателей, компрометация ключей: нужно понять, куда ушли средства и можно ли еще успеть обратиться к площадкам.
• Юристы. Розыск активов в банкротстве, корпоративных и семейных спорах, подготовка позиции по делу с участием криптовалюты.
• Комплаенс-службы. Разбор депозитов и выводов с высоким риском, решение о продолжении отношений с клиентом.
• Обменники и финтех-компании. Спорные поступления, запросы банков-партнеров, проверка крупных клиентов.

Что дает результат трассировки и где его границы

Качественный отчет по трассировке обычно включает:

• схему движения средств с суммами на каждом шаге;
• адреса, отнесенные к биржам, обменникам и другим сервисам;
• точки, где средства вышли из блокчейна во внутренний учет площадок;
• дату, на которую выполнен анализ, и использованные источники данных.

Границы метода тоже нужно понимать. Выводы трассировки вероятностные: они опираются на эвристики и разметку, которая постоянно обновляется. Аналитический отчет помогает принять решение и направить запросы, но не устанавливает личность и не заменяет судебную экспертизу.

Как это устроено в VeroTrace

Первый уровень — скрининг. В VeroTrace адрес или транзакцию можно проверить через одного или сразу нескольких AML-провайдеров и увидеть, где их оценки расходятся. Это помогает отличить надежный сигнал от особенностей разметки конкретного источника. Почему такие расхождения возникают, мы подробно разбирали в статье почему разные AML-сервисы показывают разный риск.

Для случаев, где автоматической проверки недостаточно, платформа развивает направление экспертной помощи и расследований — подробнее на странице Эксперты.

Подведем итог

Блокчейн-аналитика превращает публичные транзакции в понятную картину: кластеризация объединяет адреса одного владельца, атрибуция подписывает их, трассировка показывает путь средств. Метод хорошо отвечает на вопросы «откуда» и «куда», но теряет точность на биржах, мостах и миксерах и никогда не называет имен. Для бизнеса это значит простое разделение: скрининг — перед каждой операцией, расследование — когда сигнал или инцидент уже есть.