OSINT и цифровая криминалистика в делах о хищении криптовалюты
Работа с цифровыми следами
Блокчейн показывает, куда ушли деньги. Цифровой след показывает, кто их увёл. Мы работаем с обоими: связываем адреса, аккаунты, домены и коммуникации в одну картину, пригодную для процессуального использования.
Даже осторожный преступник оставляет след
Хищение криптовалюты почти всегда сопровождается коммуникацией: переписка с потерпевшим, фейковый личный кабинет, «служба поддержки», инструкции по переводу. Всё это порождает цифровые артефакты.
Злоумышленник использует одноразовые аккаунты, анонимные сервисы и многоступенчатые схемы. Но схемы поставлены на поток, а поток даёт ошибки: переиспользованный никнейм, домен из общей пачки, шаблон, перенесённый из прошлой кампании.
Кто выполняет работу
Связка двух команд
Мы знакомы много лет и прошли вместе не один кейс: установление лиц, отслеживание похищенных активов, заключения для уголовных дел, содействие следствию в разных юрисдикциях.
Направления работы
Как строится работа
Имеющиеся артефакты
Многими игнорируются с мыслью, что злоумышленник сделал все анонимно
Развитие следа
Умеют делать профессионально - единицы
01
Анализ имеющихся следов
Разбираем, что уже есть в распоряжении потерпевшего: аккаунты в мессенджерах, сайт схемы, присланные документы и медиафайлы, реквизиты. Отделяем одноразовые артефакты от устойчивых идентификаторов, связывающих эпизоды между собой.
После каждого нового поступления данных: ответа биржи, сервиса — цикл повторяется: новые артефакты сопоставляются с уже собранными.
После каждого нового поступления данных: ответа биржи, сервиса — цикл повторяется: новые артефакты сопоставляются с уже собранными.
02
Развитие следа
Когда исходных данных мало, работа переходит к получению новых. Сценарий готовится под конкретного фигуранта и согласуется с доверителем, а по возбуждённому делу — со следствием, в пределах, допустимых для лицензированной детективной деятельности.
Что мы анализируем
Объекты анализа
-
МессенджерыНе только никнейм и ID аккаунта, но и контекст: часы активности, легенды, ссылки на сторонние ресурсы, связанные боты и группы, упоминания других контактов. Отдельно — речевой профиль: устойчивые обороты, приветствия, характерные ошибки и пунктуация. -
Связанные аккаунты и сервисыОт известного идентификатора — номера, ника, почты — к остальным площадкам, где он использовался: соцсети, форумы, маркетплейсы, доски объявлений, игровые и профессиональные платформы. -
Сайт и доменная инфраструктураФейковая биржа, псевдоброкерский кабинет, страница ввода seed-фразы редко существуют поодиночке. Смотрим историю домена, схожие домены, контактные данные при регистрации, хостинг и сетевую инфраструктуру, повторяющиеся технические шаблоны и следы одного администратора.
Так единичный эпизод становится частью серии, а вместе с ней появляются другие потерпевшие. -
Обеспечивающие сервисыРегистратор, хостинг-провайдер, CDN, почтовые и облачные решения, системы обработки заявок, онлайн-чаты.
Это не только понимание инфраструктуры, но и карта юрисдикций: где физически лежат релевантные данные и по какому каналу их можно истребовать в установленном порядке.
Схема цикла
От одного идентификатора к установленному лицу
1
Точка входа
Заявление потерпевшего, переписка, хеш транзакции, домен.
2
Первичный анализ
Отделяем одноразовые артефакты от устойчивых идентификаторов.
3
Расширение
Связанные аккаунты, домены, инфраструктура, серийные эпизоды.
4
Ответы площадок
По запросам следствия приходят технические идентификаторы сессий, привязанные контакты, связанные адреса, материалы верификации.
5
Повторная аналитика
Новые артефакты сопоставляются с прежними; связка замыкается.
Из практики
Обезличенные примеры
- Задержание спустя месяцы тишиныФигурант вернулся к активности спустя семь месяцев после того, как завершил отмывание похищенных средств. Формально событие было ничтожным: перевод около 5 долларов между адресами, которые он использовал раньше. Но именно эта ветка дала точку входа - при ее отработке всплыл ранее неизвестный аккаунт в мессенджере, засветившийся в упоминании на одном из профильных форумов. Через него установили личность фигуранта и его местонахождение в одной из стран Юго-Восточной Азии.
Дальнейшая работа позволила вывести его на личную встречу. - Лицо в кадре и адрес в логахФигурант не скрывался: продолжал выходить на связь, не прятал лицо, спокойно вёл переписку. Он находился в другой стране и считал, что этого достаточно. По кейсу был проведен комплекс мероприятий, который дал уточнённую локацию и связку с конкретным IP-адресом. Материал перестал быть историей о неустановленном лице за рубежом: появилась привязка к территории, а с ней - основание обращаться в инстанции той юрисдикции. Разбирательство было инициировано по месту нахождения фигуранта.
Открытость, на которую он шел сознательно, дала часть материала против него. - От точки на карте к конкретному человекуКомплекс мероприятий дал приблизительную локацию неустановленного фигуранта - отель за пределами РФ. Но локация не отвечает на главный вопрос: кто именно из находящихся там людей нужен. Дистанционно этот шаг не закрывается. Перечень лиц для проверки формировался уже на локации: круг кандидатов очерчивался по обстановке и последовательно сужался по совокупности известных нам признаков.
Цифровой след дал версию – выезд её углубил.
Прорыв редко случается сразу. Обычно решает не самый заметный след, а один дополнительный идентификатор, появившийся вовремя и связавший разрозненные данные в систему.
Что это даёт
Зачем это потерпевшему
Цели потерпевшего и государства совпадают не полностью. Для следствия приоритет - установить подозреваемого, собрать доказательства и направить дело в суд. Для потерпевшего практический вопрос один: вернуть деньги. Наша работа закрывает обе задачи.
-
Доказательственное значениеМатериал приходит следователю в виде, где по каждому сведению видно происхождение и способ получения. Вопрос «как это приобщить» не возникает. Прилагаются проекты запросов на площадки с корректным перечнем истребуемых данных. -
Прикладное значениеРезультаты используются для блокировки активов на централизованных площадках, а в ряде случаев — для их последующего изъятия в установленном порядке. Там, где появляется информация, способная привести к деанонимизации, у потерпевшего появляется предметная позиция в диалоге с противоположной стороной.
Границы работы
Как мы работаем в правовом поле
-
Детективная составляющая выполняется нашим партнёром, детективным агентством «Пантера», на основании лицензии. При заключении договора детектив уведомляет дознавателя, следователя или суд, в производстве которого находится дело (ст. 3 закона РФ от 11.03.1992 № 2487-1).
-
Мы не подменяем полномочия следователя и не вмешиваемся в процессуальную деятельность. Запрос, приобщение материала и решение по установленному лицу — за следствием.
-
Мы не работаем с данными, происхождение которых нельзя раскрыть. Материал с непроверяемым источником к делу не приобщается и способен испортить его перспективу.
-
Блокчейн-аналитика оформляется как заключение специалиста; при процессуальном привлечении специалист предупреждается об ответственности по ст. 307 УК РФ.
FAQ
Частые вопросы
Разве по одному никнейму можно кого-то установить?
Сам по себе никнейм — слабая зацепка. Ценность появляется при пересечении: тот же ник на другой площадке, тот же номер в объявлении, тот же шаблон сайта в прошлой кампании. Установление даёт не отдельный артефакт, а совокупность.
Прошло много времени, следы уже удалены. Есть смысл?
Есть, хотя чем раньше, тем лучше. Часть данных сохраняется в архивах, кэше и у сторонних сервисов, часть восстанавливается через инфраструктуру, которая живёт дольше конкретного аккаунта. Отдельные дела получали развитие спустя месяцы.
Чем это отличается от того, что сделает следователь сам?
Ничем по сути и всем по ресурсу. Разбор транзакций, выгрузок, доменов и активности в мессенджерах — десятки часов, которых у следователя с тремя десятками дел в производстве физически нет. У нас по вашему делу одна задача.
Вы даёте гарантию установления лица?
Нет, и никто честно не даст. Мы гарантируем объём и методику работы, а также то, что каждый результат будет пригоден для процессуального использования. Оценку перспектив по конкретному кейсу даём до заключения договора.
контакты
Расскажите о вашем случае
Первичная оценка перспектив — бесплатно. Достаточно описать схему, приложить переписку, реквизиты и хеши транзакций, если они есть.
ООО «АМЛ Крипто», резидент «Сколково». Btrace зарегистрирован в реестре ФИПС. Детективное сопровождение — совместно с агентством «Пантера», detective-pantera.ru.
