Как расследуют взлом биржи или криптопротокола

С чего начинается разбор после взлома

Взлом централизованной биржи и взлом DeFi-протокола в блокчейне выглядят похоже: крупный исходящий перевод (или серия) с известного адреса протокола / холодного кошелька на адрес, который дальше дробится. Расследование начинается не с «хакера», а с факта: сеть, контракт, TXID, сумма, время блока, From / To. Пока снимок не сохранён, легко спорить о другой транзакции из той же минуты.

Дальше строят граф: каждый исходящий хоп, внутренние переводы через контракты, свопы на DEX, переход в другую сеть. Цель — не «разоблачить личность в эксплорере», а найти точку давления: депозит на регулируемой площадке, пока средства ещё на её счёте. Как читать поля страницы транзакции — в как читать блокчейн-эксплорер. Узкий маршрут «чей это кошелёк» на 1–3 хопах — в как отследить кошелёк мошенника.

Скорость здесь про окно удержания, не про киношный таймер. После вывода с депозита биржи, прохода через миксер или длинного кросс-чейн маршрута точка давления часто исчезает. Запрос на удержание — отдельный процесс площадки: см. заморозка украденных средств на бирже. Карта хопов его не заменяет и ничего не гарантирует.

Кластеризация адресов: как из кучи 0x… делают один кошелёк

Кластеризация — группировка адресов, которые скорее всего контролирует один субъект. Классическая эвристика для UTXO (Bitcoin и аналоги): если несколько входов собраны в одну транзакцию, их часто считают общим владением. Для «сдачи» смотрят change-выход, который возвращается отправителю. На аккаунтных сетях (Ethereum и аналоги) опираются на другие паттерны: серия адресов, которые финансируются с одного источника и синхронно опустошаются; депозитный паттерн биржи (много входящих разных сумм → быстрый sweep на хот-кошелёк).

Атрибуция — следующий слой: сопоставить кластер с типом сущности. Метка Exchange в эксплорере, публичный адрес моста, известный контракт миксера, OTC-паттерн. Метки неполны и устаревают: отсутствие тега не значит «не биржа», наличие тега не приговор. Перекрёстная проверка нескольких источников снижает ложные выводы, но не даёт юридического имени владельца.

Кросс-чейн и реалистичные пределы карты

После крупного взлома типичен уход в другую сеть: lock-and-mint или burn-and-release на мосту, wrapped-токен, своп на DEX, иногда миксер. След не «пропадает»: в исходной сети видно депозит в контракт моста, в целевой — выпуск или разблокировку. Сопоставление идёт по сумме (минус комиссия), времени и идентификаторам сообщения моста, если они публичны. Это трудоёмко, но не магия.

Пределы честные. Миксер и протокол с нулевым разглашением рвут прямую связь A→B: дальше вероятностные эвристики (время, сумма, повторные паттерны), не киношная «раскрытие личности». Ложная кластеризация склеивает чужие адреса. Длинная цепочка мелких выходов растягивает ручной разбор. Неверная сеть в эксплорере даёт пустую картину. Публичный граф не равен отчёту для compliance: площадке нужны воспроизводимые TXID, а не скрин «стрелочек».

Имеет смысл передать разбор в блокчейн-аналитику, когда нужны атрибуция сервисов, несколько сетей и пакет для площадки или юристов. Коммерческий отчёт — карта и материал для следующих шагов, не обещание заморозки. Если речь уже о сопровождении кейса — модель оплаты на success-fee.

Первые шаги фиксации — и где DIY заканчивается

1. Сохраните исходный TXID взлома (или ваш исходящий, если вы жертва, а не протокол), сеть, контракт токена, From / To, сумму и время UTC.
2. Откройте эксплорер той сети; для токенов смотрите token transfers, не только Value в нативной монете.
3. Зафиксируйте 1–3 следующих исходящих, пока сумма не дробится, не уходит в мост / миксер или на адрес с паттерном депозита.
4. Если виден контракт моста — откройте целевую сеть и ищите выпуск / unlock той же величины, не смешивая сети в одном поиске.
5. Скрин URL, хеша и адресов; не вставляйте seed в «трейсеры» из рекламы.
6. Остановитесь, когда есть снимок и гипотеза точки давления — или явный тупик.

• Не обещайте себе ФИО по балансу адреса.
• Не считайте метку Exchange достаточным доказательством для суда или биржи без перепроверки.
• Не запускайте повторные «ускоряющие» транзакции в контракт моста без понимания статуса.
• Не платите предоплату «вернём всё после взлома протокола» за доступ к кошельку.

Самостоятельный эксплорер закрывает первичную картину. Кластеризация на сотнях адресов, кросс-чейн и отчёт для площадки — уже не страница транзакции. Тогда контур блокчейн-аналитики: вы приносите хеши, получаете карту без гарантии, что кастодиан успеет и захочет удержать депозит.