Содержание статьи
Дальше я опишу методы, которые помогут тебе отслеживать простые трансферы и трансферы токенов, объясню механизмы cross-chain-переводов и дам тебе набор инструментов для определения владельцев конкретных адресов и визуализации данных блокчейна.
Основы финансовых расследований
Основная цель в финансовых расследованиях — определить финальную точку назначения средств и источник их происхождения. Эксперты по крипте придерживаются тех же правил, так как криптовалюта — это хоть цифровые, но все равно деньги.
Как источник, так и финальная точка назначения средств используются для последующего анализа. Например, если хакер получил деньги с централизованной биржи, возможна дальнейшая юридическая работа с ее владельцами, а если отправил средства на кросс‑чейн‑мост, можно будет дальше отслеживать транзакции уже на другом блокчейне.
При обсуждении источника средств важный термин — funding address, то есть тот адрес, от которого изучаемый адрес в первый раз получил средства. Источник подсвечивается во многих блокчейн‑обозревателях, например в Blockscan, о котором мы поговорим дальше.
При отмывании крипты злоумышленники используют методы, хорошо известные благодаря аналогичным офлайновым преступлениям. Это placement, layering и integration. Крипта устроена так, что злоумышленники могут пропускать один или несколько этапов, но мы все равно разберем их все по отдельности.
Placement — размещение грязных средств в реальных бизнесах. Так происходит смешивание грязных и чистых средств, что открывает возможность дальнейшего вывода как реальной выручки, так и выручки, полученной преступным путем.
Layering — создание сложных сетей переводов между компаниями и физлицами. В разрезе криптовалюты это может быть, например, перевод криптовалют между несколькими блокчейнами или обмен одной криптовалюты на другую для сокрытия следов. Зачастую в крипте злоумышленники начинают именно с этого этапа.
Integration — финальный этап отмывания, когда уже отмытые средства попадают к преступнику в руки и используются для инвестиций или приобретения каких‑либо активов (недвижимости, автомобилей и прочего).
При анализе транзакций нам придется работать в основном с layering, так как placement редко используется из‑за наличия AML-проверок во многих крупных обменниках и биржах, а этапом Integration в основном занимаются правоохранительные органы, имеющие доступ к полицейским запросам и другим подобным инструментам.
Транзакции и адреса
Адрес на блокчейне — уникальный идентификатор участника операций. Лучше всего адрес можно сравнить с номером банковской карты — зная адрес, можно отправлять на него средства и взаимодействовать с ним, а также смотреть историю транзакций данного адреса.
В разных блокчейнах адреса выглядят по‑разному. В блокчейнах Ethereum Virtual Machine они выглядят примерно так:
В BTC они могут начинаться с цифры 1, 3 или с bc1q, а в блокчейне Solana они выглядят как хеш Base58 от 32 до 44 символов. Если не можешь определить адрес, который попался в твоем кейсе, советую просто спросить LLM. Но со временем твоя насмотренность вырастет, и ты сможешь отличать адреса самостоятельно.
Адреса, как пользовательские (их часто сокращают как EOA — externally owned account), так и смарт‑контракты, общаются между собой транзакциями. У каждой транзакции есть хеш — уникальный идентификатор, а также отправитель и получатель. Еще у транзакции будет timestamp — время ее выполнения (подтверждения блокчейном).
При этом транзакции могут иметь как data payload, то есть передавать данные, так и финансовый payload, то есть передавать нативную криптовалюту.
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
9990 рублей 5000 р.
950 р.
LDAP-запросы лежат в основе разведки Active Directory: от Kerberoasting в Impacket до сбор…