Когда подвергаются атаке протокол либо биржа, останется ли хоть одна точка для заморозки украденных активов, решают именно действия в первые часы. И в этом материале не конкретные инциденты мы будет разбирать, а конкретную методологию действий. Рассмотрим, как строят графики движения средств forensics-команды, доводя до доказательной базы расследование, что подойдет для самой биржи и правоохранительных органов.
Коротко
С адреса получателя строится граф движения финансов следователями, далее идет кластеризация кошельков, затем их сверка с базами миксеров и бирж. После чего идет следование цепочкам, построенным через свопы и мосты, далее находится точка вывода финансов на платформу, что регулируется и, именно там можно потребовать заморозку.
Скорость решает все: или почему важно действовать в первые часы после взлома.
Если по факту проведенной атаки, биржа либо протокол теряют средства, то именно первые часы действий или бездействия станут ключевыми в том, удастся ли найти точку соприкосновения финансов с регулируемой структурой и вернуть их. у атакующих логика всегда понятная: раздробить средства максимально быстро и переместить их, да бы сложнее намного стало их атрибутировать. Поэтому мы ставим себе первоочередную задачу еще перед тем, как провести полный анализ, сделать снимок блокчейна на момент проведения атаки, зафиксировать данные о тайминге и суммах, а также информацию про задействованные контракты.
К примеру, биржа Байбит в феврале 2025 года пострадала от кражи криптовалюты в достаточно крупных масштабах. Общая сумма потери составила более 1,4 миллиарда долларов. средства выводились на Ethereum с холодного кошелька. Эту ситуацию масштабно обговаривали в средствах массовой информации, поскольку платформа имеет продвинутую и продуманную систему безопасности, но взломали даже ее. Технические детали этой ситуации мы сейчас оставим за кадром, но о данном кейсе рассказываем, как про ориентир того, что в подобных расследованиях очень высокие ставки.
Расследования, что были начаты в первый час после атаки и те, что начались примерно через сутки, разницу имеют просто колоссальную, как и результативность. Как правило, в первые часы злоумышленными не успевают финансы довести к конечной точке обналичивания, соответственно есть открытое окно, позволяющее биржам и мостам среагировать на запрос о заморозке финансов.
Постройка графа движения средств: как все происходит
Технически расследование начинается именно с самой транзакции и точно не с хакера. Специалистами проводится фиксация входной точки. Фиксируется адрес, на который сразу после атаки пошли финансы. также сохраняется для этой операции хеш. Далее идет итеративное построение графа, адрес за адресом и транзакция за транзакцией.
На этом этапе используется такой ключевой инструмент, как common-input-ownership heuristics или же эвристика общего владения. Если как входы в одной транзакции было использовано пару адресов сразу, то есть высокая вероятность, что контролирует их один и тот же субъект. Когда новый входной адрес создает транзакция, он получает от исходной суммы «сдачу», то он практически всегда принадлежит получателю платежа, но не его отправителю. Мы десятки и сотни разрозненных адресов группируем, комбинируя данные сигналы и, помещаем их в один кластер. Именно он де-факто и представляет кошелек одной группы или одного лица.
Такой процесс имеет название кластеризация. Он помогает хаотичный поток отдельных транзакций превратить в связанную карту. Это помогает выяснить, какую конкретно сумму контролируют атакующие, через какие транзакции проходят промежуточные адреса, а также с какой скоростью двигаются платежи.
Как формируются базы данных и атрибуция адресов
Движение финансов между анонимными адресами показывает именно такой инструмент, как граф транзакции. А вот атрибуция придает расследованию ценности. Она предполагает то, что адреса сопоставляются с реальными сущностями. Это могут быть миксеры ОТС-сервисы, известные в мошеннических схемах кошельки либо санкционные адреса.
Годами подобные базы данных складываются с нескольких источников и формируются. Партнерским платформам сами биржи передают часть этих данных, что предусмотрено рамками compliance-сотрудничества и это в их же интересах. Чем атрибуция будет точнее сделана, тем быстрее будет реакция не легитимные запросы о заморозке средств. Через открытые источники собирается еще часть информации. В эту категорию входят адреса кошельков публичные на известных платформах, метки с блокчейн-эксплореров, данные предыдущих расследований и отчеты правоохранительных органов. Поведенческий анализ также является отдельным источником данных. Он связан именно с теми адресами, что долгое время тысячам мелких вкладчиков предоставляют обслуживание, имеющим характерные паттерны вывода и депозитов. Такие мелкие вкладчики практически всегда крупными биржами имеют связь, даже если платформы не подтверждают этот факт.
Наши специалисты в работе используют пару независимых баз атрибуции. Одна платформа все адреса покрыть не сможет, а вот проведение перекрестной проверки помогает существенно снизить риск выводов, что будут ложно положительными.
Трассировка кросс-чейн: свопы, мосты, wrapped-токены
Деньги в одной сети современные атакующие держат редко. Попытки размыть через несколько блокчейн подряд средства, как только активы эти под наблюдение попали мошенники предпринимают часто, они перемещают активы между экосистемами и проводят их конвертацию. Такие действия мошенников анализ существенно усложняют, но невозможным его не делают. Событие депозита фиксирует по сути каждый мост, как и факт выпуска токена в другой, соответственно можно сопоставить по времени эти события по внутренним идентификаторам моста и сумме.
В подобного формата кейсах прослеживаются на регулярном основании такие типичные приемы обфускации:
- дробление на массу мелких транзакций и небольшие суммы происходит максимально быстро, что усложняет проведение в ручном режиме анализа и снижает для отдельных переводов заметность;
- используется через кросс-чейн мосты многократный проход, когда последовательно актив перемещается между Ethereum, BSC, Tron либо другими сетями;
- происходит конвертация в wrapped-токены, а также обратно, что помогает привычный вид транзакции разорвать визуально, но при этом сохраняется экономическая связь;
- для серии мелких свопов используются децентрализованные биржи, вместо того, чтобы осуществить одну крупную сделку;
- часть средств отправляются через протоколы приватности или миксеры, чтобы вокруг основного потока создает шумовой фон.
Сами по себе эти приемы расследование не останавливают, но их использование добавляет часы к анализу или даже дни. Соответственно тут стоит понимать, почему важно действовать максимально активно в первые сутки и, как на итоговый результат это влияет.
Точка вывода на биржу с регуляцией или момент истины
Рано или поздно у украденных финансов наступает момент, когда их нужно превратить в фиат или актив, каким бы блинным ни был путь транзакций. Это будет именно тот актив, что доступен к использованию вне рамок блокчейна. А это говорит, что средства придется вывести через централизованную биржу, где обязательно проходит процедура KYC. Вот именно там и выстраивается четкая связь между личностью конкретного человека и анонимным адресом.
Именно тут появляется основной рычаг давления. Фиксация поступления финансов на аккаунт в рамках регулируемой биржи означает, что можно отправить официальный запрос в compliance-отдел платформы, приложить к нему запрос отчетом о происхождении финансов.
Как только на биржу подобные запросы поступают, она временно средства замораживает, что требуется на время проведения проверок внутри платформы. Далее уже решение про разблокировку будет приниматься с учетом соответственного обращения правоохранительных органов. Если этого этапа не будет проведено, то даже детальный граф транзакции останется простой картинкой. Только в той точке, где соприкасается блокчейн с регулируемой платформой, наступают реальные последствия.
Сбор для правоохранителей и compliance доказательной базы
Оформление всех документов и технических выводов – это в расследовании финальный этап. От может использоваться, как биржей, так и следствием. И тут важную роль играет не только полнота данных, но и процессуальная их корректность, о чем стоит помнить.
- Фиксация исходной информации. Нужно зафиксировать точную сумму транзакции, ее хеш, адрес отправителя и получателя, timestamp и заверить их в неизменном виде.
- Построить графу кластеров. Сгруппировать связанные адреса и указать эвристик, разъяснив, какое основание под собой имеет каждый вывод, чтобы это независимо мог проверить граф.
- Атрибуция для каждого узла. Источник атрибуции должен быть указан для каждого адреса, что является значимым, будь это ОТС, биржа, неопознанный кошелек, миксер, тут же указывается уровень достоверности.
- Реконструкция маршрута до точки, где происходит вывод. Составляется по перемещению финансов детальная хронология, от начала инцидента, до поступления финансов на платформу, что является легитимной, все промежуточные шаги также указываются.
- Оформление отчета итогового. Под конкретного адресата данный документ должен быть структурирован, к примеру, для подачи заявления в МВД или compliance-отдела криптовалютной биржи либо для обращения в Интерпол.
Когда стоит обращаться к специалистам за помощью
Наша работа включает в себя такие основные уровни:
01
Диагностика
Разбираем исходные данные для конкретного кейса бесплатно. Оцениваем перспективу успеха, потратив на это не более двух часов.
02
Трассировка
Строим детально граф и делаем атрибуцию. Проводим соответственные действия через Chainalysis / TRM Labs / Elliptic. От $800.
03
Доказательная база
Готовим для подачи в compliance-отдел криптовалютной биржи соответственный отчет. Также готовим пакет необходимых для МВД документов и даже документы в Интерпол.
04
Success fee
Если кейс крупный и сумма потери свыше 100 тысяч долларов, то работаем с кейсами с оплатой по факту успешной заморозки или возврата. Стоимость 10-20% от суммы.
Главное
Не является поиском хакера по имени или фамилии расследование взлома криптовалютной биржи. Такая работа является системной и касается напрямую публичных данных блокчейна. Производится атрибуция по независимых базах, кластеризация адресов, а также через свопы и мосты кросс-чейн трассировка. Далее фиксируется точка вывода средств на регулируемую платформу. Итоговый результат напрямую будет зависеть от того, насколько этот процесс запустят быстро, соответственно всегда нужно начинать действовать в первые часы после неприятной ситуации.
