Новини криптоміра

Публічний реєстр біткоїна — це не просто база даних, а потужний інструмент для аналізу. Кожна транзакція залишає незгладимий слід, і за належної вправності будь-який переказ можна відстежити від відправника до отримувача. На цьому побудована ціла індустрія: трейдери стежать за рухом китів, експерти з блокчейн-форензики повертають вкрадені кошти, а комплаєнс-відділи відсіюють «брудні» монети. У цьому матеріалі я розберу, як самостійно аналізувати транзакції, автоматизувати процес і де лежать межі навіть найпросунутішого трейсингу.

Частина 1. Ручний аналіз транзакцій

Крок 1. Пошук транзакції за TXID

У кожного переказу в блокчейні є унікальний ідентифікатор — TXID, або хеш транзакції. Це 64-символьний рядок, згенерований алгоритмом SHA-256 на основі всіх даних переказу: входів, виходів, сум і підписів. Підробити такий хеш практично неможливо — найменша зміна даних дає зовсім інший результат. По суті, це «номер чека», за яким будь-який вузол мережі може знайти та перевірити операцію.

Як отримати TXID? Якщо переказ уже здійснено, відкрийте історію гаманця або біржі — поруч з операцією зазвичай є посилання «Переглянути в оглядачі». Якщо у вас є лише адреса відправника або отримувача, вставте її в рядок пошуку будь-якого блокчейн-експлорера. Відкриється історія адреси, де потрібну транзакцію можна впізнати за сумою та датою, а її хеш — знайти на сторінці самої операції.

Крок 2. Розбираємо будову транзакції: входи, виходи та решта

На відміну від банківського рахунку, біткоїн не зберігає баланс єдиним числом. Мережа працює за моделлю UTXO (Unspent Transaction Output): кошти існують як окремі «купюри» різного номіналу. Витратити «купюру» частково не можна — під час оплати вона йде цілком, а натомість мережа створює два нових виходи: один отримувачу, другий — решту назад відправнику на нову адресу.

Приклад: у Аліси є вихід на 5 BTC, і вона переказує Бобу 0,01 BTC. У блокчейні з'являються вхід на 5 BTC, платіж 0,01 BTC та решта ~4,99 BTC (за вирахуванням комісії). Будь-який спостерігач може побачити цю операцію через експлорер — «круглий» платіж легко відрізнити від «дробової» решти. Саме за цією ознакою будується визначення адреси решти в блокчейн-форензиці.

Крок 3. Перевіряємо підтвердження та мемпул

Відправлена транзакція потрапляє в блокчейн не миттєво. Спочатку вона опиняється в мемпулі — спільній черзі операцій, що очікують на включення в блок. Майнери надають пріоритет операціям з вищою комісією, тому за надто низької комісії переказ може надовго застрягти. Як тільки операція потрапляє в блок, у неї з'являється перше підтвердження. З кожним наступним блоком рівень надійності зростає, а ймовірність скасування стає все нижчою. Для невеликих сум зазвичай достатньо одного-двох підтверджень, для великих — шести.

За хешем за цим зручно стежити в реальному часі: експлорер покаже, чи висить переказ у черзі, в який блок потрапив, скільки набрав підтверджень і яку комісію заплатив відправник.

Крок 4. Прослідковуємо шлях монети

Кожен вхід нової операції посилається на конкретний вихід однієї з попередніх — за її хешем. Тому перекази складаються не в один ланцюжок, а в розгалужену мережу. Рух коштів можна прослідкувати в обидва боки: вперед до нових адрес і назад, аж до coinbase-транзакції, де монети вперше з'явилися як винагорода за видобутий блок. На практиці аналітик йде за адресами виходу і дивиться, куди кошти пішли далі, крок за кроком, поки не складеться повний ланцюжок. Так на блокчейні проявляються характерні маршрути: переказ на біржу, дроблення великої суми або виведення викраденого через кілька проміжних гаманців.

Частина 2. Автоматизація аналізу

Ручний розбір хороший для однієї-двох транзакцій, але реєстр поповнюється щосекунди. Тут на допомогу приходить автоматика: програми самі запитують дані з мережі, рахують показники та надсилають сповіщення. Розберемо три рівні автоматизації.

Крок 5. Підключаємося до даних через API

Перший рівень — програмний доступ до блокчейну через API нод та експлорерів. Наприклад, у сервісу mempool.space є REST API для разових запитів і WebSocket API для постійного з'єднання, який сам надсилає оновлення. Для масових перевірок підійдуть Blockchair і Bitquery — вони віддають дані одразу за багатьма адресами та підтримують вебхуки.

Крок 6. Автоматизуємо аналітику

Другий рівень — платформи, що дозволяють написати запит один раз і отримувати готову панель. На Dune дані блокчейну запитують мовою SQL і виводять на графіки; звіт за біржовими потоками або активністю китів оновлюється сам. Схожим чином влаштований Flipside з безкоштовним Python-SDK. Ключова відмінність від ручного методу: запит пишеться один раз, а працює постійно.

Крок 7. Налаштовуємо моніторинг та алерти

Третій рівень — сповіщення замість ручного оновлення сторінки. Зв'язка «API плюс бот» стежить за потрібними адресами та надсилає сигнал, щойно кошти приходять або йдуть. Платформи на кшталт Arkham пропонують готові оповіщення про перекази та активність китів. Для власної логіки обробки підійдуть вебхуки.

Частина 3. Трейсинг та його межі

Крок 8. Як працює блокчейн-форензик

Вершина автоматизації — трейсинг викрадених монет. Форензик-движки повторюють логіку ручного аналізу, але в масштабі всієї мережі. В основі — кластеризація адрес за евристиками. Дві ключові: «спільний вхід» (якщо в одній транзакції витрачаються кілька UTXO, їх з високою ймовірністю контролює один власник) і «визначення адреси решти». Поверх кластеризації додають розпізнавання типових схем відмивання, таких як дроблення сум або «пілінг». Далі йде оцінка ризику та атрибуція — прив'язка кластерів до реальних бірж, сервісів або осіб.

Крок 9. Чи можна довіряти автоматиці

У автоматичного аналізу є принципове обмеження. Кластеризація дає ймовірність, а не факт. Евристики помиляються: наприклад, технологія CoinJoin спеціально об'єднує в одній транзакції UTXO різних користувачів, через що правило спільного входу дає осічку. Біткоїн забезпечує не анонімність, а псевдонімність — слабшу властивість, яку наполегливий аналіз часто «пробиває», але не завжди. Результат залишається оцінкою, хай і добре обґрунтованою. Як підкреслюють у Chainalysis, евристики атрибуції дають імовірнісний результат, а не визначеність. Тому варто розрізняти автоматичне групування адрес і перевірену людиною атрибуцію: перша — гіпотеза, друга — висновок.

Відкритий реєстр робить кожен біткоїн-переказ відстежуваним. Для ручної роботи достатньо бази: знати TXID, розуміти модель UTXO та механіку решти, читати входи, виходи та підтвердження в експлорері. Автоматика масштабує цю роботу, а форензик з кластеризацією дає гіпотези, а не докази. Моя порада: освоюйте тему знизу вгору — спочатку експлорер, потім API та панелі, і лише потім спеціалізовані інструменти. Чим глибший трейсинг, тим важливіше відрізняти ймовірне від доведеного.