Блокчейн-данные как доказательство: как компании правильно зафиксировать кражу для полиции и суда

Публичность блокчейна - его главное преимущество и главная ловушка для юристов. То, что транзакцию видит любой, не означает, что она процессуально пригодна. У следователя и суда другой вопрос: кто получил эти данные, когда, каким методом, сохранена ли целостность, можно ли проверить выводы.

Поэтому доказательственный пакет стоит рассматривать как три слоя, и суд оценивает их в совокупности.

Без любого из слоёв картина остаётся версией. Ончейн-данные без атрибуции - «какие-то переводы». Атрибуция без офчейн-подтверждения - «чьё-то мнение». А без подтверждения собственности кража остаётся «чьей-то».

Адреса, TXID, сеть, токены, суммы и время фиксируются текстом и в экспортах, со ссылками на обозреватели. Скриншот - иллюстрация для следователя; текст - материал, который можно скопировать, сверить и приобщить к делу. Переписывать 64 символа хэша с картинки - развлечение не для слабонервных, и в процессе этим не должен заниматься никто.

Начинать фиксацию нужно в первые часы, а не «когда завершим расследование». Логи перезаписываются, почта чистится, устройства сбрасываются, биржи удаляют данные по срокам хранения - о том, как и когда просить площадку сохранить данные, мы писали в статье о заморозке на бирже. Через неделю часть картины просто не существует - и это не паранойя, а обычный жизненный цикл корпоративных ИТ-систем.

Это первый вопрос, который зададут и следователь, и биржа, - и место, где корпоративные жертвы удивительно часто не готовы. Компании предстоит подтвердить, что кошелёк, с которого ушли средства, - её: корпоративные документы, бухгалтерские данные, биржевые выписки, реестры multisig, подтверждения приобретения, история пополнений.

Без этого слоя вся конструкция рассыпается: требовать возврата того, что не доказано как своё, невозможно. В российской практике криптовалюта признаётся имуществом - это открывает путь и к уголовному преследованию, и к гражданскому иску, например о неосновательном обогащении. Но статус имущества работает тогда, когда у него есть документированный владелец.

Цепочка хранения (chain of custody) - это протокол жизни каждого материала: кто получил, когда, откуда извлёк, где хранится, кто имел доступ, какие действия выполнял, каковы контрольные хэш-суммы. Звучит бюрократически, но именно это отделяет доказательство от «файлов, которые нам принесли на флешке».

Логика стандартов (NIST SP 800-86, рекомендации CISA) проста: сначала идентифицировать и защитить данные, затем анализировать, а каждый шаг - в журнал. На практике это форензик-образы устройств до любого анализа, рабочие копии вместо оригиналов, хэш-суммы по каждому значимому файлу, журнал доступа и действий.

Полезный тест: представьте, что оппонент в суде спрашивает «кто трогал этот файл за полгода и как мы знаем, что его не правили?». Если ответ - «он лежал на ноутбуке у безопасника», доказательственная ценность файла стремится к нулю.

Миф про нотариуса - самый живучий. Аналогия простая: нотариальное заверение фотографии парковки подтверждает, что фотография существовала в определённую дату, но не то, что автомобиль ваш и что его угнали. С эксплорером так же: протокол фиксирует экран, а не истинность того, что на нём.

Отчёт блокчейн-аналитика описывает маршрут, методику, степень уверенности и роль каждого адреса, раздельно фиксируя факты, аналитику и гипотезы. Процессуальный статус у него скромный, но важный: это документ специалиста, на основе которого принимаются процессуальные решения - от возбуждения дела до запросов биржам. Суд при необходимости назначит экспертизу, но без отчёта экспертизе будет не на что опираться.

Именно раздельные слои придают отчёту вес: что подтверждено блокчейном напрямую; что установлено аналитически с указанием степени уверенности; что остаётся версией. Смешать в одном абзаце «средства ушли на биржу» и «мы полагаем, что аккаунт на бирже принадлежит Иванову» - подарок оппоненту.

В своих расследованиях мы используем собственный граф-инструмент Bholder, OSINT-базы и кластерный анализ, но для дела важны не названия инструментов, а воспроизводимая методика: любой вывод должен проверяться из самого отчёта.

Следователь и судья не обязаны разбираться в UTXO-модели - и не должны. Минимальный набор, который делает пакет читаемым: краткое описание инцидента, временная шкала, таблица ключевых транзакций, пояснение роли каждого адреса, глоссарий.

Ещё одна аналогия: в суд не приносят коробку снимков томографа без заключения врача. С блокчейном так же: сырые данные - «снимки», отчёт - «заключение». А офчейн-слой - журналы авторизации, фишинговые письма, история доступов - связывает блокчейн-операцию с конкретным событием и конкретным человеком. Процесс сбора этих материалов - часть внутреннего расследования (в том числе когда угроза исходит изнутри), но в пакете для суда они обязательны.

Тикеты и переписку с биржами, эмитентами стейблкоинов, банками и правоохранительными органами часто воспринимают как рутину, а это часть доказательственной картины: они фиксируют хронологию и добросовестность компании - когда узнала о краже, когда запросила заморозку, что получила в ответ.

Тот же принцип работает для пакета в целом: это живой документ. Новые перемещения средств, ответы бирж и дополнительные данные добавляются с датой и номером версии, и история изменений сама подтверждает последовательность компании. Пакет, собранный «за один вечер спустя полгода», выглядит в деле совсем иначе, чем пакет, который вели с первого дня.

Процессуальный статус блокчейн-данных зависит от юрисдикции и конкретной практики. В России криптовалюта признаётся имуществом, электронные документы принимаются как доказательства, но решения различаются по судам и категориям дел. В трансграничных делах добавляются переводы, апостиль и передача документов через процедуру взаимной правовой помощи (MLAT) - ту самую, о которой мы писали в статье о заморозке на бирже.

Поэтому правило такое: категоричные юридические выводы в пакете заменяются проверяемыми фактами, а квалификация остаётся юристу конкретной юрисдикции. Факты путешествуют через границы лучше, чем интерпретации.