Как анализ блокчейна помогает находить людей
Как анализ блокчейна помогает находить людей
В 2016 году воры украли 119 754 BTC с Bitfinex. Власти смогли вернуть значительную часть украденных средств даже спустя пять лет: в феврале 2022 года они арестовали Илью Лихтенштейна и Хизер Морган и конфисковали примерно 94 000 BTC.
Новый адрес кошелька — это не чистый лист. Это ещё один псевдоним в реестре, который ничего не забывает. Privacy coins могут особенно хорошо скрывать середину пути транзакции; именно на фиатных границах обычные пользователи часто снова становятся идентифицируемыми.
Люди продолжают считать новый адрес аварийным выходом. Такое объяснение ошибочно уже на первом шаге. В этом руководстве рассматривается путь от публичных адресов к вероятным сущностям кошельков, графам транзакций, биржевым записям и установлению личности. Затем разбираются миксеры, privacy coins, регулирование и более безопасные привычки при swap.
В этой статье
- Отслеживание криптовалюты начинается с постоянной публичной записи
- Дело Bitfinex показывает, почему старые транзакции по-прежнему важны
- Кластер превращает отдельные адреса в вероятную сущность
- Граф показывает, что кошелёк делает дальше
- Именно на бирже псевдоним часто встречается с именем
- Миксеры повышают неопределённость, но не гарантируют приватность
- Privacy coins скрывают большую часть графа, но не каждую связь с реальным миром
- Ограничения меняют доступ, не всегда запрещая владение
- Привычки при использовании кошелька по-прежнему важнее громких заявлений о приватности
- Приватность — это спектр, а стандарты отслеживания всё ещё развиваются
Отслеживание криптовалюты начинается с постоянной публичной записи
Прозрачный блокчейн записывает адреса, суммы, временные метки, входы, выходы и связи между транзакциями. Любой может изучить эту историю. Аналитики ищут в ней закономерности.
Полезная отправная точка — принцип «псевдонимность — это не анонимность». Адрес обычно выступает скорее в роли метки, чем юридической личности, но эта метка может накапливать узнаваемую историю: повторяющиеся транзакции, общие входы, депозиты на известные сервисы и связи с ранее атрибутированными кошельками.
В существующем руководстве SwapCherry по аналитике рассматривается базовая идея о том, что блокчейны сохраняют записи транзакций. Далее следователи превращают эти записи в дело.
Chainalysis сообщает о незаконной криптовалютной активности на сумму $40,9 млрд в 2024 году и прогнозирует более $51 млрд на 2025 год. В отдельном вторичном отчёте за 2024 год указано $24,2 млрд, поскольку в отчётах используются разные масштабы измерения. Эти цифры являются оценками, а не полной переписью.
Анализ блокчейна не раскрывает имя человека каким-то магическим образом. Он формирует дело на основе публичных моделей транзакций, кластеризации, баз данных атрибуции, биржевых записей, запросов о предоставлении данных и иногда данных с устройств.
Дело Bitfinex показывает, почему старые транзакции по-прежнему важны
Дело Bitfinex полезно тем, что задержка была огромной. Средства, украденные в 2016 году, оставались актуальными даже после того, как долгое время не двигались или проходили по сложному маршруту.
Согласно описанию дела, средства перемещались через тысячи переходов, AlphaBay, конвертацию в Monero и последующую активность на биржах, связанных с KYC. В феврале 2022 года власти арестовали Лихтенштейна и Морган и конфисковали примерно 94 000 BTC.
Публичный реестр предоставил историческую запись. Биржевые записи и другие доказательства помогли связать конечные точки с людьми.
Дело показывает, что время и сложность увеличивают объём следственной работы, но не обязательно устраняют доказательства. Длинная цепочка транзакций — это более масштабная исследовательская задача. Но это всё ещё цепочка.
Кластер превращает отдельные адреса в вероятную сущность
Рассмотрим транзакцию Bitcoin со входами с адресов A и B и выходами на C и D. Аналитики задаются вопросом, кто мог авторизовать входы, а затем — какой выход может представлять остаток средств.
В обычных транзакциях Bitcoin расходование нескольких входов обычно требует авторизации для каждого входа. Поэтому аналитики часто считают, что входы контролируются одной сущностью. Это эвристика совместного расходования.
Этот вывод носит вероятностный характер. Он описывает вероятный контроль над входами, а не имя человека, стоящего за ними.
Аналитики также могут считать новый выход вероятной сдачей в распространённых структурах транзакций, особенно когда другой выход направляется на уже известный адрес назначения. Программное обеспечение кошельков и структура транзакций различаются, поэтому это ещё одна подсказка, а не доказательство.
Упрощённо это выглядит так:
A and B are inputs. C is the payment output, and D may be change.
Если последующая транзакция расходует D вместе с другим адресом, уже связанным с кластером, связь становится сильнее. Повторяющиеся сигналы в большом реестре могут создавать кластеры, приблизительно соответствующие кошелькам, компаниям или другим сущностям.
В объяснениях блокчейна это часто называют «доказательством». Но это не так. Кластер кошельков показывает вероятный общий контроль. Он не устанавливает личность человека.
CoinJoin — это намеренное усложнение. Несколько независимых пользователей совместно создают транзакцию, ослабляя предположение о том, что общие входы принадлежат одному контролирующему лицу. Кластеризация остаётся полезной, но аналитик должен учитывать структуру транзакции.
Граф показывает, что кошелёк делает дальше
После кластеризации аналитики могут представить каждый кластер как узел, а каждую транзакцию — как ребро. Вопрос становится следующим: какая вероятная сущность получила средства и что произошло потом?
Типичное расследование может проходить так:
- Определить транзакцию, связанную с кражей, мошенничеством или другим известным событием.
- Отслеживать выходы вперёд, чтобы увидеть, куда перемещались средства.
- Отслеживать входы назад, чтобы изучить их источник.
- Сравнивать суммы, время и структуры транзакций в разных сетях и сервисах.
- Отмечать точки, где средства объединяются, разделяются или достигают известной сущности.
Отслеживание вперёд следует за поступлениями наружу. Обратное отслеживание движется к источнику. Первое полезно, когда следователи начинают с украденных средств; второе помогает установить, как стоимость достигла подозрительного кошелька.
В деле Bitfinex сообщавшееся перемещение из Bitcoin в Monero и обратно изменило данные, которые следователям приходилось сопоставлять. Это повысило стоимость анализа, но оставило идентифицируемую активность вокруг точек конвертации.
Аналитики также могут использовать демиксинг — анализ времени и сумм для оценки связей между входами и выходами миксера. Когда несколько источников объединяются в одном кошельке, пропорциональная атрибуция может распределить доли последующих выходов между предыдущими входами, в том числе для расчётов при конфискации активов.
Что устанавливает граф? Он показывает отношения контроля и движение средств. Для атрибуции требуется больше.
Именно на бирже псевдоним часто встречается с именем
Граница биржи менее эффектна, чем теория графов, и гораздо важнее для обычного пользователя. Многие люди, конвертирующие криптовалюту в фиат, сталкиваются с сервисом, который собирает идентификационную информацию.
Распространённый рабочий процесс расследования состоит из трёх этапов:
Во-первых, определить адрес депозита. Следователи могут использовать базы данных атрибуции, связывающие адреса с биржами и другими сервисами.
Во-вторых, сохранить доказательства из блокчейна. Историю транзакций, связи кошельков, временные метки и относящийся к делу анализ необходимо задокументировать до запроса информации об аккаунте.
В-третьих, получить записи посредством юридической процедуры. Повестка или судебный приказ могут обязать биржу предоставить информацию об аккаунте и документы, удостоверяющие личность. Также может потребоваться предоставить записи о транзакциях и связанные данные. Крупные биржи в США, Европе, Великобритании и Азиатско-Тихоокеанском регионе часто имеют процедуры для ответа на действительные юридические запросы. В трансграничных делах может потребоваться взаимная правовая помощь.
В деле Bitfinex конечная точка на бирже обеспечила маршрут от активности в блокчейне к аккаунтам, прошедшим проверку личности. Этот маршрут возник не из одного адреса кошелька.
Самая слабая часть этой модели — атрибуция провайдера: обычные читатели обычно не могут проверить метки аналитической компании или частоту ошибок. Рассматривайте такие метки как зацепки, требующие подтверждения. Это не безошибочные ответы.
Следователи могут добавить компьютерную экспертизу устройств, разведку по открытым источникам и другие записи для проверки атрибуции. Блокчейн начинает расследование, но редко самостоятельно завершает вопрос об установлении личности.
Миксеры повышают неопределённость, но не гарантируют приватность
Миксер объединяет входы нескольких пользователей и возвращает эквивалентные суммы за вычетом комиссии. CoinJoin — это паттерн Bitcoin, при котором несколько участников совместно создают одну транзакцию.
Микширование меняет прямую визуальную связь между входом и последующим выходом. Транзакции по-прежнему доступны для анализа, включая время, суммы и активность, связанную с миксером.
Корреляции времени и объёма могут сузить круг возможностей. Миксер может образовать узнаваемый кластер. Если его инфраструктура будет изъята, следователи могут получить наборы адресов или операционные записи, которые изменят картину.
Микширование — не силовое поле приватности. Намеренное использование известного сервиса микширования также может служить доказательством намерения скрыть активность, даже если следователи не могут восстановить каждый переход. Это создаёт риски соблюдения требований и юридические риски независимо от того, можно ли восстановить каждый переход.
CoinJoin также меняет то, как аналитики интерпретируют эвристику совместного расходования. Транзакция может содержать входы, контролируемые несвязанными пользователями, поэтому механическое правило кластеризации даст неверный результат, если аналитик не распознает этот паттерн.
Не рассматривайте миксер как гарантию и не используйте его вместо понимания записей, создаваемых до и после транзакции.
Privacy coins скрывают большую часть графа, но не каждую связь с реальным миром
Privacy coins обеспечивают более сильную защиту на уровне реестра, чем прозрачные сети, но Monero и Zcash используют разные подходы.
| Актив | Основной механизм приватности | Практический компромисс |
|---|---|---|
| Monero | Кольцевые подписи смешивают реальный вход с приманками; stealth-адреса создают одноразовые адреса для получения | Приватность встроена в обычные транзакции, а поддержка биржами и конвертация в фиат различаются |
| Zcash | Shielded-транзакции используют zk-SNARKs для сокрытия отправителя, получателя и суммы | Приватность является опциональной, поскольку Zcash также поддерживает прозрачные транзакции |
Кольцевые подписи Monero затрудняют определение реального входа среди приманок. Stealth-адреса не позволяют публичному адресу выступать простой многоразовой меткой для входящих транзакций.
Shielded-транзакции Zcash скрывают отправителя, получателя и сумму с помощью zk-SNARKs. Прозрачный режим даёт пользователям выбор и может облегчать поддержку актива некоторыми платформами по сравнению с системой, которая требует private-транзакции каждый раз.
Защита протокола распространяется на те данные транзакции, которые он скрывает. Предыдущие и последующие записи остаются за пределами этой защиты. Практическую приватность также влияют реализация, поведение кошелька, биржевые записи и ошибки пользователя.
Пользователь, который переводит средства из прозрачного Bitcoin в Monero, а затем снова конвертирует их в Bitcoin, может создать идентифицируемые связи по времени и суммам вокруг этих переводов. Приватный средний участок повышает стоимость отслеживания; вход и выход из системы всё ещё могут связать активность с аккаунтом клиента.
Могут ли следователи отслеживать privacy coins? Их внутренние транзакции сопротивляются прямому чтению реестра. Окружающие сервисы и поведение пользователя могут предоставить недостающий контекст.
Privacy coins значительно приватнее прозрачных сетей. При этом они всё равно работают внутри экономики с кошельками, биржами, платёжными сервисами и юридическими записями.
Ограничения меняют доступ, не всегда запрещая владение
По данным WhySoGeek, по меньшей мере 10 стран вводят запреты или строгие ограничения на биржевые операции с privacy coins. Это вторичная оценка, основанная на неполных глобальных данных.
Платформа может удалить Monero из листинга, поскольку её команда по соблюдению требований считает private-транзакции сложными для мониторинга. Удаление из листинга может ограничить покупку и продажу через эту платформу, не делая владение активом незаконным.
Представьте, что биржа удаляет депозиты Zcash. Ваш доступ к этому рынку изменился. Само по себе это событие не устанавливает прямой юридический запрет на владение Zcash в каждой юрисдикции.
Правила остаются локальными и могут меняться. Gate.com сообщила, что подразделение Financial Intelligence Unit в Индии добавило Monero, Zcash и Dash в список ограниченных активов в январе 2026 года. Перед тем как полагаться на общее онлайн-резюме, проверьте правила, действующие там, где вы живёте.
Привычки при использовании кошелька по-прежнему важнее громких заявлений о приватности
Полезное решение в области приватности обычно довольно прозаично: знайте, что скрывает протокол, а затем не передавайте недостающий контекст сервису случайно.
- Проверяйте данные назначения. Перед подтверждением сопоставьте актив и сеть с инструкциями получателя. Токен Ethereum, отправленный через неправильную сеть, может потребовать поддержки восстановления, если восстановление вообще возможно.
- Ведите точные записи о транзакциях. Сохраняйте даты, активы, суммы и идентификаторы транзакций. Храните информацию о комиссиях и назначении каждого swap для налоговой отчётности и вопросов по аккаунту.
- Рассматривайте новые адреса как псевдонимы. Новый адрес может в некоторых ситуациях отделить активность, но не даёт универсальной гарантии анонимности.
- Проверяйте режим приватности. Дизайн Monero по умолчанию отличается от выбора между shielded- и прозрачными транзакциями в Zcash.
- Учитывайте важность границы биржи. Приватность внутри сети не отменяет проверку личности или записи на каждом входе в систему и выходе из неё.
- Тщательно подумайте перед использованием известного миксера. Он может усложнить отслеживание и привлечь юридическое внимание или внимание со стороны специалистов по соблюдению требований.
Для простого swap мы рекомендуем SwapCherry: быстрый сервис с низкой комиссией 0,5%, без KYC и регистрации.
Это удобство всё равно оставляет транзакции подчинёнными обычным записям блокчейна и записям на уровне сервиса. Вы по-прежнему отвечаете за проверку адреса назначения и сети, хранение своих записей и понимание свойств приватности используемых активов.
Приватность — это спектр, а стандарты отслеживания всё ещё развиваются
Приватность — это спектр, измеряемый на каждом переходе. Сначала изучите реестр и кошелёк. Затем проверьте биржу и окружающие записи. Аналитика продолжает совершенствовать анализ этих переходов; протоколы приватности усложняют чтение некоторых связей. Ни один из этих фактов не меняет практическое правило: перед подтверждением операции знайте, что раскрывает каждый шаг.
В июне 2026 года CoinDesk сообщил о предложении Chainalysis по созданию общей онтологии и стандартов отслеживания блокчейна.
Перед swap ответьте на три вопроса: что скрывает актив, какие данные записывает сервис и что вам потребуется задокументировать позже. Если вы не можете на них ответить, остановитесь перед подтверждением.