От адреса к имени: как OSINT вскрывает блокчейн

Открытый реестр прозрачен: суммы, время транзакций и адреса всегда на виду. Однако личности тех, кто стоит за этими переводами, остаются скрытыми. Ранее ForkLog уже разбирал механику отслеживания монет на примере TXID и модели UTXO. Этот путь можно пройти вручную, изучая данные в любом блокчейн-обозревателе. Но у такого подхода есть предел. Цепочка блоков показывает лишь движение средств, а не инициатора перевода. Здесь на сцену выходит OSINT — разведка по открытым источникам. Именно она помогает связать анонимный адрес с реальным человеком. Разберемся, какие данные реестр открывает сам, а какие приходится добывать извне, как поэтапно строится расследование, на каких инструментах оно базируется и где проходит грань между аналитикой и слежкой. За пределами блокчейна Распределенный реестр ничего не скрывает. Каждый перевод и кластер кошельков виден любому наблюдателю. В этом заключается суть ончейн-анализа. Но у метода есть предел: цепочка отвечает на вопрос «куда», а не на вопрос «кто». Этот пробел восполняет OSINT — разведка по открытым источникам. Дисциплина старше криптоиндустрии: мониторинг общедоступных радиоэфиров наладили в Великобритании и США еще во время Второй мировой войны. Суть метода с тех пор не изменилась. Это анализ информации, которая находится в открытом доступе и собрана без взлома систем защиты. В блокчейн-сфере сюда попадает почти все: сообщения на форумах, сведения о регистрации доменов, старые скриншоты и утечки баз данных. Подобная связка работает благодаря псевдонимности. В отличие от абсолютной анонимности, в сети биткоина и большинстве других блокчейнов пользователь скрыт за буквенно-цифровым адресом, но все его действия навсегда остаются в реестре. «Личность не раскрыта напрямую, а вот след от нее заметен и неизменен», — объясняют в OSINT Industries. На практике ончейн-анализ и OSINT решают разные задачи. Первый восстанавливает маршрут монет: кто кому и сколько перевел, через какие адреса прошли средства.  Разведка по открытым источникам связывает адрес с внешними данными — аккаунтом на бирже, профилем в соцсети или доменной записью. Одной оплошности пользователя достаточно для его деанонимизации. Цепочка дает суммы и связи, офчейн — контекст; вместе они выводят на конкретного пользователя. Источник: ForkLog.  Зачем вообще «копать» За аббревиатурой OSINT стоят пять разных направлений. У каждого из них свои задачи и результаты. Первое — расследование краж и мошенничества. Независимые аналитики публикуют данные, которые помогают оперативно заморозить похищенные активы. Например, в деле о краже $243 млн у кредитора Genesis такое расследование позволило заблокировать более $9 млн. Второе — комплаенс и санкционный скрининг. Криптовалютные транзакции часто охватывают множество площадок и юрисдикций. В таких условиях важно не просто отследить перевод, а привязать его к реальному человеку. Третье — разведка угроз, или threat intelligence. С ее помощью отслеживают потоки средств, связанные с выплатами вымогателям и работой нелегальных площадок. Четвертое — рыночная аналитика. Многие крупные держатели и связанные с ними кошельки давно под пристальным наблюдением. Трейдеры воспринимают движение их средств как сигнал о готовящихся распродажах или накоплении активов. Пятое — журналистские расследования. Крах биржи FTX в 2022 году начался с публикации CoinDesk: издание сопоставило корпоративные документы с ончейн-данными и выяснило, что бизнес держался на неликвидном токене FTT. У всех пяти сценариев общая механика: от следа в реестре — к внешним данным, а от них — к конкретному имени. Пять сценариев применения OSINT в криптоиндустрии. Источник: ForkLog.  От адреса к имени Расследование редко начинается с готового имени. Чаще всего на старте есть лишь аномалия: взломанный контракт, адрес из жалобы пострадавшего или кошелек из сомнительной схемы. Сам процесс исследователи делят на четыре стадии: зацепка, сбор данных, привязка адреса и проверка. Строгого порядка действий нет, но логика неизменна — двигаться от цифрового следа в реестре к реальному человеку. Зацепка задает направление. Отправной точкой служит сам инцидент, конкретный адрес, тип кошелька (например, горячий, биржевой) или смарт-контракт. От этого зависит стратегия поиска. Сбор данных — OSINT в чистом виде. Аналитик ищет любую связь адреса с офчейном: доменные записи, профили в соцсетях, переписку на форумах и в Discord, утечки баз, старые скриншоты. Каждая находка становится связующим звеном между псевдонимом и личностью. Атрибуция сводит разрозненные факты воедино. Адреса группируют в кластеры по контрагентам, времени и суммам переводов, а затем привязывают к бирже, сервису или лицу. Нередко исход решает одна ошибка: публично засвеченный кошелек или депозит на платформу с KYC способны сразу раскрыть владельца. https://forklog.com/exclusive/bitkoin-tranzaktsiya-kak-ee-prochitat-i-otsledit Верификация оставляет последнее слово за аналитиком. На этом этапе перепроверяют связи, ищут противоречия и оценивают вероятность ошибки. В этом кроется главное ограничение метода. Атрибуция всегда носит вероятностный характер: она говорит не «это точно он», а «скорее всего, он». В наиболее сложных расследованиях ончейн-анализ дополняют исследованием устройств, оперативной памяти и сетевого трафика. Пропуск любого из этих слоев — повод усомниться в выводах. Для каждой из четырех стадий применяется свой набор инструментов — от блокчейн-обозревателей до систем визуализации связей. Четыре стадии расследования — от зацепки к проверке. Источник: ForkLog.  Арсенал аналитика Когда говорят об инструментах форензики, обычно вспоминают пару известных платформ. Но реальный арсенал аналитика гораздо шире и по большей части бесплатен. Базовый уровень — блокчейн-обозреватели. Это Etherscan для Ethereum, Blockchair и WalletExplorer для биткоина, Solscan и TronScan для Solana и TRON соответственно. Они показывают транзакции, балансы, историю адресов. Следующий слой — системы визуализации. Они отображают потоки средств в виде графа. К этой категории относятся Arkham, Breadcrumbs и OXT. С их помощью аналитик отслеживает движение активов и быстрее замечает связанные кластеры. Отдельный пласт — коммерческие форензик-платформы вроде Chainalysis, TRM Labs, Elliptic и Scorechain. Их используют биржи, банки и правоохранительные органы для комплаенса и оценки рисков. Доступ к ним обычно платный и предоставляется корпоративным клиентам. За поиск офчейн-данных отвечает классический OSINT. Maltego строит графы связей между людьми и аккаунтами, SpiderFoot автоматизирует сбор информации из сотен источников, а IntelligenceX ищет данные по архивам и утечкам, включая биткоин-адреса. В этот же набор входит геолокация по IP через MaxMind и Google-дорки — специальные поисковые операторы для сужения выдачи. Например, запрос с параметром site: находит упоминания кошелька на конкретном сайте. Ориентироваться в многообразии софта помогают каталоги. OSINT Framework представляет собой дерево категорий с инструментами под любую задачу. Также существуют открытые подборки на GitHub, собранные специально для блокчейн-расследований. Порог входа в профессию низкий, так как большинство сервисов открыто для всех. Именно поэтому вокруг OSINT не стихают споры о том, где заканчивается законное расследование и начинается вторжение в приватность. Инструменты OSINT- и ончейн-аналитика. Источник: ForkLog.  Легально, но не бесспорно OSINT легален по своей природе. Он работает с открытыми данными и не обходит системы защиты. Проблемы возникают не на этапе поиска, а при использовании результатов. Первая сложность — правовая. Согласно статье 6 регламента GDPR, для обработки персональных данных нужны законные основания, даже если эти сведения находятся в открытом доступе. Вторая сложность — цена ошибки. Ошибочная атрибуция адреса создает риски для реальных людей: инструмент для поиска злоумышленников может указать на невиновного. При этом опубликованное обвинение годами остается в поисковой выдаче и веб-архивах. У OSINT есть принципиальные противники. Часть индустрии считает финансовую тайну неотъемлемым правом, а не лазейкой для преступников. Эту логику отражают приватные монеты: Monero по умолчанию скрывает суммы и адреса, а Zcash предлагает экранированные транзакции на выбор пользователя. Для сторонников такого подхода OSINT — не способ борьбы с преступностью, а инструмент тотального надзора. Однозначного победителя в этом споре нет. Прозрачность реестра работает в обе стороны: она помогает аналитикам, но также упрощает слежку. Сыщики-самоучки У многих известных ончейн-детективов нет ни профильного диплома, ни служебного удостоверения. Исследователь под ником ZachXBT пришел в криптоиндустрию на волне ICO-лихорадки 2017 года как обычный розничный инвестор. Потеряв деньги на скам-проектах, он самостоятельно изучил блокчейн-форензику. Спустя годы его расследование помогло раскрыть кражу $243 млн. Исполнителей он вычислил по офчейн-следам: случайно раскрытому имени, повторяющимся адресам и геометкам в соцсетях. В итоге Минюст США предъявил обвинения двоим фигурантам. Другой пример — Coffeezilla (Стивен Финдайзен). Инженер-химик по образованию занялся разоблачениями после того, как его мать обманули продавцы «чудо-лекарств». Свою аудиторию он собрал на YouTube. Одной из самых заметных работ стало интервью, где он добился признания от Хэйдена Дэвиса — ключевой фигуры скандала вокруг токена LIBRA. Тот публично назвал сумму собственной прибыли, которая составила около $113 млн. ZachXBT и Coffeezilla объединяет не технический арсенал, а подход: упорство и грамотная работа с базовыми данными. Порог входа в эту сферу гораздо ниже, чем принято считать. Открытый реестр превратил деанонимизацию в ремесло. Задачи, которые раньше были прерогативой спецслужб и комплаенс-отделов, теперь по силам энтузиасту с ноутбуком. У доступности инструментов есть оборотная сторона. Чем нагляднее алгоритм рисует связи, тем выше соблазн поверить ему вслепую. Но совпадение адресов — лишь гипотеза, а не приговор. Инструмент показывает данные, окончательный вывод делает человек.