Примеры инцидентов кражи криптовалют в деталях и описание сервисов для отслеживания украденных средств

Расследование инцидентов, связанных с кражей или незаконным перемещением криптовалютных активов, представляет собой сложный процесс, требующий использования широкого набора инструментов и методологий. В отличие от традиционных финансовых систем, где движение средств отслеживается централизованно, в блокчейне информация является публичной, но анонимной — что одновременно облегчает и усложняет работу следователя.

Для эффективного анализа требуется понимать архитектуру блокчейнов, принципы построения транзакционных цепочек и использовать аналитические сервисы, способные связывать адреса между собой по различным признакам.

В представленных ниже примерах рассмотрены реальные сценарии расследований: от простых случаев перевода средств на централизованные биржи — до сложных схем с использованием мостов между сетями, peel chain-паттернов и миксеров. Каждый из инцидентов демонстрирует определённую технику анализа и подчёркивает, насколько важно комбинировать инструменты — от стандартных блокчейн-эксплореров (Etherscan, Tronscan, Polygonscan) до продвинутых решений вроде Arkham, Btrace, Metasleuth и Bholder.

Таким образом, цель данного раздела — показать, как различные сервисы помогают поэтапно восстанавливать движение средств и выявлять конечные точки вывода похищенных активов, а также продемонстрировать аналитический подход к работе с данными в блокчейне.

К сожалению, в рамках ограниченного времени и человеческих ресурсов, выделяемых на расследование, проведение ручного отслеживания по множеству мелких транзакций крайне затруднительно. При анализе подобных случаев применяются автоматизированные алгоритмы расследования, основанные на методах машинного обучения (ML).

Такие алгоритмы позволяют:

Таким образом, алгоритм не просто фиксирует последовательность транзакций, а вычисляет вероятностную модель движения средств, помогая следователям сосредоточиться на наиболее вероятных направлениях утечки. Это существенно сокращает время анализа и повышает точность идентификации конечных адресов, на которых могут оказаться похищенные активы.

В рамках расследования было принято решение продолжить отслеживание новых адресов, связанных с предполагаемым злоумышленником. Анализ показал, что все эти адреса демонстрировали одинаковый шаблон поведения.

Каждый из них получал средства из Tornado Cash, после чего переводил их в торговую пару с фиктивным токеном, предположительно созданным самим злоумышленником. В дальнейшем происходила следующая схема:

С технической точки зрения, после подобной операции источник средств становится крайне сложно определить. Для большинства аналитических инструментов кажется, что активы поступили из легитимного пула ликвидности (например, на платформе Uniswap), а не напрямую из Tornado Cash.

В результате злоумышленник получал криптовалюту, очищенную от явных признаков связи с первоначальной кражей, и переводил её на централизованную биржу OKX для последующей конвертации. Примечательно, что данный злоумышленник уже ранее фиксировался при попытках вывода средств через эту же площадку.

Визуализация схемы отмывания средств через сервис Tornado Cash: