Куда уходят украденные деньги

Когда кошелёк дрейнят, деньги не исчезают — они двигаются по блокчейну, и каждый шаг виден. Проблема не в том, что след пропадает, а в том, что атакующий пытается его запутать: дробит суммы, гоняет через миксеры и мосты, чтобы к моменту вывода на биржу связь с кражей было труднее доказать. Разберём типичный путь на конкретном графе.

01Путь денег: от жертвы до биржи

Вот как выглядит движение средств после типичного дренажа на $480 000. Каждый узел — адрес, каждая стрелка — реальный перевод с суммой и «загрязнённостью» (taint):

Обрати внимание: граф не обрывается на атакующем. Видно и дробление, и уход в миксер, и переход через мост в другую сеть, и финальные депозиты на биржи. Именно эту картину строят аналитики — и именно её ты можешь увидеть для любого адреса.

02Разбор по шагам: что видно на каждом адресе

А теперь пройдём тот же граф глазами аналитика — не «в общем», а по конкретным адресам. На каждом шаге видны свои сигналы, и вместе они складываются в вердикт.

ШАГ 1Адрес атакующего

Первым проверяют адрес, на который ушёл дренаж. Вот его карточка — то, что реально возвращает проверка:

Вывод шага: высокий скор собран не из воздуха — прямая метка дрейнера + аномальный вход. А вот санкций нет: это нормально, санкции — лишь один из источников консенсуса.

ШАГ 2Дробление на peel-адреса

$480k разбили на $300k и $180k и увели на два «чистых» с виду адреса. Кажется, связь потеряна? Нет — экспозиция (taint) тянется за деньгами:

ШАГ 3Санкционный миксер

Ветка на $300k уходит в миксер под санкциями. Вот тут срабатывает самый жёсткий сигнал — и сразу два независимых источника подтверждают его:

Вывод шага: вот зачем нужен консенсус источников. Одна база могла бы промолчать — но пересечение трёх не оставляет сомнений.

ШАГ 4Мост и биржа: где след снова становится именем

Вторая ветка ($180k) уходит через мост в другую сеть и оседает на депозите биржи B. А часть средств из миксера позже всплывает на бирже A — и этот депозит уже заморожен по запросу. Биржа — точка с KYC: здесь криптоаноним встречается с паспортными данными. Поэтому финал схемы так часто «светится» именно на бирже, даже после миксера и моста.

03Зачем дробят: «пилинг»

Первое, что делает атакующий — разбивает сумму на части и прогоняет через цепочку промежуточных адресов (peel chain). Цель — размыть связь: чем больше переходов, тем «дальше» финальный адрес от места кражи по простому счёту хопов.

04Миксеры и мосты: где реально теряется след

Две главные точки запутывания:

• Миксер смешивает средства многих пользователей — на выходе прямую связь «вход→выход» доказать сложно. Но: крупные миксеры (например, санкционные) сами помечены — сам факт «деньги пошли в санкционный миксер» уже красный флаг, который ловит on-chain oracle Chainalysis и списки OFAC.
• Мост переносит средства в другую сеть. След не пропадает, но анализ усложняется: нужно «переключиться» на другой блокчейн и продолжить там.

05Почему это касается и тебя

Ты можешь не быть жертвой взлома — и всё равно получить «грязные» входящие: сдача с P2P-сделки, выплата за фриланс, airdrop с сомнительного адреса. А дальше биржа видит экспозицию к скам-кластеру на твоём депозите — и морозит счёт до выяснения.

06Как применить это на практике

• Проверяй входящий адрес до релиза по P2P — если у плательщика высокая экспозиция к скаму, лучше отказаться от сделки, чем ловить заморозку.
• Смотри не только «санкции да/нет», а экспозицию — процент и через сколько хопов. Прямая связь (1–2 хопа) с миксером/дрейнером важнее дальнего шума.
• Если тебя дрейнули — сразу пробей адрес назначения и следующие переходы. Связь с конкретной биржей = быстрый и предметный запрос на заморозку. Первые часы решают.
• Не плати «за возврат» предоплату — путь средств ты можешь проследить сам, бесплатно, по on-chain.

Пример на графе — иллюстративная реконструкция типовой схемы, адреса и суммы условны. AMLConsensus — инструмент снижения риска, а не гарантия; свежесозданный адрес без истории не пометит ни один инструмент. Названия сервисов — товарные знаки их владельцев; AMLConsensus не аффилирован с ними.