DefCrypt — Как расследуют взлом биржи или криптопротокола

44 words

defcrypt.com

Взлом централизованной биржи и взлом DeFi-протокола в блокчейне выглядят похоже: крупный исходящий перевод (или серия) с известного адреса протокола / холодного кошелька на адрес, который дальше дробится. Расследование начинается не с «хакера», а с факта: сеть, контракт, TXID, сумма, время блока, From / To. Пока снимок не сохранён, легко спорить о другой транзакции из той же минуты.

Дальше строят граф: каждый исходящий хоп, внутренние переводы через контракты, свопы на DEX, переход в другую сеть. Цель — не «разоблачить личность в эксплорере», а найти точку давления: депозит на регулируемой площадке, пока средства ещё на её счёте. Как читать поля страницы транзакции — в как читать блокчейн-эксплорер. Узкий маршрут «чей это кошелёк» на 1–3 хопах — в как отследить кошелёк мошенника.

Скорость здесь про окно удержания, не про киношный таймер. После вывода с депозита биржи, прохода через миксер или длинного кросс-чейн маршрута точка давления часто исчезает. Запрос на удержание — отдельный процесс площадки: см. заморозка украденных средств на бирже. Карта хопов его не заменяет и ничего не гарантирует.

Кластеризация — группировка адресов, которые скорее всего контролирует один субъект. Классическая эвристика для UTXO (Bitcoin и аналоги): если несколько входов собраны в одну транзакцию, их часто считают общим владением. Для «сдачи» смотрят change-выход, который возвращается отправителю. На аккаунтных сетях (Ethereum и аналоги) опираются на другие паттерны: серия адресов, которые финансируются с одного источника и синхронно опустошаются; депозитный паттерн биржи (много входящих разных сумм → быстрый sweep на хот-кошелёк).

Атрибуция — следующий слой: сопоставить кластер с типом сущности. Метка Exchange в эксплорере, публичный адрес моста, известный контракт миксера, OTC-паттерн. Метки неполны и устаревают: отсутствие тега не значит «не биржа», наличие тега не приговор. Перекрёстная проверка нескольких источников снижает ложные выводы, но не даёт юридического имени владельца.

Сигнал

Что из него делают

Где ломается

Общие входы UTXO

Кластер «один контроль»

CoinJoin и совместные платежи дают ложное объединение

Sweep на крупный хот-адрес

Гипотеза депозита биржи

Хот-кошелёк моста / OTC выглядит похоже

Публичная метка сервиса

Атрибуция площадки

Тег устарел или поставлен ошибочно

Совпадение суммы и времени на мосту

Связка двух сетей

Задержка, комиссия и batched-выпуски путают пару

После крупного взлома типичен уход в другую сеть: lock-and-mint или burn-and-release на мосту, wrapped-токен, своп на DEX, иногда миксер. След не «пропадает»: в исходной сети видно депозит в контракт моста, в целевой — выпуск или разблокировку. Сопоставление идёт по сумме (минус комиссия), времени и идентификаторам сообщения моста, если они публичны. Это трудоёмко, но не магия.

Пределы честные. Миксер и протокол с нулевым разглашением рвут прямую связь A→B: дальше вероятностные эвристики (время, сумма, повторные паттерны), не киношная «раскрытие личности». Ложная кластеризация склеивает чужие адреса. Длинная цепочка мелких выходов растягивает ручной разбор. Неверная сеть в эксплорере даёт пустую картину. Публичный граф не равен отчёту для compliance: площадке нужны воспроизводимые TXID, а не скрин «стрелочек».

Имеет смысл передать разбор в блокчейн-аналитику, когда нужны атрибуция сервисов, несколько сетей и пакет для площадки или юристов. Коммерческий отчёт — карта и материал для следующих шагов, не обещание заморозки. Если речь уже о сопровождении кейса — модель оплаты на success-fee.

  1. Сохраните исходный TXID взлома (или ваш исходящий, если вы жертва, а не протокол), сеть, контракт токена, From / To, сумму и время UTC.
  2. Откройте эксплорер той сети; для токенов смотрите token transfers, не только Value в нативной монете.
  3. Зафиксируйте 1–3 следующих исходящих, пока сумма не дробится, не уходит в мост / миксер или на адрес с паттерном депозита.
  4. Если виден контракт моста — откройте целевую сеть и ищите выпуск / unlock той же величины, не смешивая сети в одном поиске.
  5. Скрин URL, хеша и адресов; не вставляйте seed в «трейсеры» из рекламы.
  6. Остановитесь, когда есть снимок и гипотеза точки давления — или явный тупик.

Самостоятельный эксплорер закрывает первичную картину. Кластеризация на сотнях адресов, кросс-чейн и отчёт для площадки — уже не страница транзакции. Тогда контур блокчейн-аналитики: вы приносите хеши, получаете карту без гарантии, что кастодиан успеет и захочет удержать депозит.