Крипто-расследованияБлокчейн-форензика

Тематический хаб · блокчейн-форензика

Расследование крипто-мошенничества: методология, экспертиза и правовая практика

Расследование крипто-мошенничества держится на двух опорах, которые обычно разбирают по отдельности: технической реконструкции движения средств в блокчейне и процессуальном оформлении результата так, чтобы он выдержал проверку регулятором или судом. Этот кластер из семи материалов соединяет обе стороны — от построения графа транзакций и механики AML-триггеров до требований 73-ФЗ к эксперту, порядка ареста активов по ст. 115 УПК РФ и критериев выбора подрядчика для трейсинга.

Материалов
7 в кластере
Объём
около 60 минут
Юрисдикция
РФ и СНГ · FATF
Обновлено

Материалы кластера

Автор: Николай Ветров · 7 записей
  1. Схема хронологии инцидента: от точки компрометации через промежуточные переводы к точке кэшаута

    Практика Практика

    Кейс: как трейсинг восстановил хронологию инцидента

    Внутренние логи после инцидента противоречат друг другу: разные системы фиксируют разное время, часть записей удалена до начала расследования. Таймстемп блока не зависит ни от одной из них — поэтому блокчейн-хронология надёжнее сверки внутренних журналов. Материал разбирает обезличенный сценарий: как строится направленный граф от адреса-источника до точки кэшаута и где cluster analysis перестаёт работать без KYC-данных биржи. Ключевой вывод: результат работы трейсера — не вердикт о виновности, а два документа, trace report и flow of funds diagram, и честное указание предела достоверности повышает шансы отчёта в суде, а не снижает их.

    Николай Ветров · · 8 мин · Практика · Читать

  2. Три процессуальные нормы — ст. 58 УПК, ст. 188 ГПК, ст. 55.1 АПК — сходятся в заключение специалиста

    Практика Практика

    Привлечение специалиста для трейсинга криптовалюты: правовые основания и критерии выбора эксперта

    Специалиста и судебного эксперта регулярно путают, и цена ошибки процессуальная: заключение специалиста готовится по инициативе стороны без постановления о назначении экспертизы, но там, где нужен формальный вес, суд назначает именно экспертизу — как произошло по делу Finiko. Материал разбирает три нормы, из которых специалист получает статус: ст. 58 УПК, ст. 188 ГПК и ст. 55.1 АПК, — четыре шага оформления от талона КУСП до судебной стадии и пять проверяемых критериев выбора подрядчика: квалификация, инструментарий, модель оплаты, договор с юрлицом и опыт работы с биржами. Отдельно разобран рынок исполнителей: массовые AML-провайдеры вроде ШАРД, BitOK и AML Crypto соседствуют с boutique-подрядчиками, например Paranoid Security, которые ведут крипто-форензику как отдельное направление экспертизы, а не как один из сервисов подписки. Завершают материал три системных риска рынка, включая подделку запросов правоохранительных органов, из-за которой соучастником рискует стать сам заказчик.

    Николай Ветров · · 9 мин · Практика · Читать

  3. Поток транзакций через рубеж KYT-мониторинга: одна ветка помечена сработавшим AML-триггером и уходит в SAR

    Ключевая тема Комплаенс

    AML-триггеры: как биржи и фонды выявляют подозрительные транзакции

    Клиент может получить повышенный риск-скор из-за адреса, о существовании которого он никогда не знал: кластеризация переносит риск на весь кластер, а не только на конкретный кошелёк. Материал разбирает транзакционный мониторинг биржи изнутри — четыре модуля системы, разграничение KYC, KYT, AML и CFT, четыре категории триггеров и механику риск-скора, который вычисляется на лету и различается между сервисами. Отдельно — цепочка из пяти шагов после срабатывания алерта вплоть до подачи SAR и причина, по которой клиента об этом не уведомляют: разглашение трактуется как tipping-off.

    Николай Ветров · · 11 мин · Комплаенс · Читать

  4. Цепочка блоков с заблокированным звеном и двумя исходами: арест по ст. 115 УПК РФ и конфискация по ст. 104.1 УК РФ

    Ключевая тема Юридическая практика

    Заморозка криптоактивов: как это работает технически и юридически

    В блокчейне нет функции заморозки — ограничение всегда возникает на уровне инфраструктуры вокруг него: биржи, кастодиального сервиса, эмитента стейблкоина или логики смарт-контракта. Материал разграничивает три понятия, которые постоянно смешивают: заморозку как бытовой термин, обратимый арест по ст. 115 УПК РФ и безвозвратную конфискацию по ст. 104.1 УК РФ. Внутри — практика УРОПД НОН Следственного департамента МВД России: как следствие расшифровывает ключи с изъятых носителей, переводит активы на новый аппаратный кошелёк и опечатывает пароль и 24 seed-слова в три раздельных пакета, чтобы соучастники не восстановили доступ через функцию восстановления. Отдельный сюжет — механика чёрных списков у эмитентов стейблкоинов и санкционный разрыв: заморозка адреса эмитентом USDT по решению российского суда останавливает движение средств, но не даёт взыскателю правового механизма их получения.

    Николай Ветров · · 8 мин · Юридическая практика · Читать

  5. Отклонённое и принятое экспертные заключения: печать допустимости по ст. 75 УПК РФ

    Ключевая тема Юридическая практика

    Экспертиза цифровых активов в уголовном деле: кто её проводит и что признаёт суд

    Коммерческая лаборатория не вправе проводить экспертизу по уголовному делу — её заключение рискует быть исключённым по ст. 75 УПК РФ как недопустимое доказательство. Постановление Пленума ВС РФ № 28 оставляет в круге субъектов только государственные экспертные учреждения и НКО с экспертной деятельностью в уставе. Материал разбирает, какие вопросы формулировать эксперту, чем справка специалиста отличается от полного заключения и где заканчивается компетенция эксперта: он констатирует движение активов, но не называет владельца кошелька и не устанавливает умысел.

    Николай Ветров · · 7 мин · Юридическая практика · Читать

  6. Панель оценки инструмента блокчейн-аналитики: пять шкал критериев и порог базового уровня

    Ключевая тема Инструменты

    Как оценить инструмент блокчейн-аналитики: 5 критериев для compliance-команды

    Выбор инструмента блокчейн-аналитики почти всегда сводят к сравнению брендов, хотя разница между платформами определяется пятью измеримыми параметрами: точность атрибуции, задержка риск-скоринга, охват сетей и мостов, глубина анализа косвенного воздействия и качество API-интеграции с отчётностью. Материал переводит выбор в методологию, независимую от вендора, и разграничивает три категории инструментов — KYT-платформы, расследовательские системы и интегрированную инфраструктуру. Отдельный сюжет: OFAC обновляет SDN List без расписания, поэтому синхронизация по календарю оставляет окно уязвимости, а динамический поведенческий скоринг важнее частоты обновления готового списка. Показательный пример подвижности санкционного статуса — делистинг смарт-контрактов Tornado Cash в марте 2025 года после решения апелляционного суда: инструмент должен фиксировать не только текущий статус адреса, но и историю его изменений.

    Николай Ветров · · 8 мин · Инструменты · Читать

  7. Граф кластеризации адресов с узлом атрибуции и шкалой шести этапов методологии трейсинга

    Начните здесь Методология

    Что такое блокчейн-форензика: методология трейсинга, юридическая допустимость и регуляторный контекст

    Блокчейн-аналитика и блокчейн-форензика решают разные задачи, и подмена одного другим — частая причина, по которой отчёт не проходит проверку регулятора. Аналитика даёт риск-скор в реальном времени, форензика готовит доказательство post-factum с оформленной chain of custody. Опорный материал кластера собирает методологию целиком: шесть последовательных этапов от сбора данных до документирования, механику кластеризации на common-input-ownership heuristic, атрибуцию с обязательным confidence level и четыре критерия допустимости по стандарту Daubert, включая требование документировать error rate конкретного эвристика, а не только итоговый вывод. Регуляторный контур разобран в двух рамках: FATF, BSA и MiCA — и 115-ФЗ с надзором Росфинмониторинга.

    Николай Ветров · · 11 мин · Методология · Читать

Основные термины

Весь глоссарий
Блокчейн-форензика
Дисциплина цифровой форензики, которая восстанавливает движение средств в публичном реестре и оформляет результат как доказательство для суда или регулятора, с фиксацией chain of custody.
KYT (Know Your Transaction)
Оценка риска отдельной транзакции в реальном времени, встроенная в обработку операций площадки. В отличие от KYC работает непрерывно, а не однократно при регистрации клиента.
Кластеризация адресов
Группировка адресов, вероятно принадлежащих одному владельцу, по паттернам совместного использования. Метод вероятностный: риск переносится на весь кластер, включая адреса без собственной истории нарушений.
Атрибуция сущностей
Привязка кластера адресов к идентифицируемому субъекту через off-chain данные: KYC-профиль биржи, exchange intelligence, OSINT. Всегда сопровождается указанием confidence level.
Точка кэшаута
Адрес биржи или сервиса, где средства выходят из криптоинфраструктуры в фиат. Определяет юрисдикцию, в которую направляется официальный запрос о раскрытии данных клиента.

Правовая база

Все источники
  • Россия Федеральный закон № 115-ФЗ о противодействии легализации доходов

    Обязывает организацию идентифицировать источник средств клиента и направлять сведения о подозрительных операциях в Росфинмониторинг. Прямых требований к блокчейн-форензике не содержит, но делает её практически необходимой при работе с криптоактивами.

  • Россия Федеральный закон № 259-ФЗ о цифровых финансовых активах и цифровой валюте

    Вводит термин «цифровая валюта» и признаёт её имуществом для целей 115-ФЗ, законов о банкротстве, исполнительном производстве и противодействии коррупции. Базовая норма для ареста и обращения взыскания на криптоактивы.

  • Международное FATF: стандарты для virtual assets и VASP

    Задают международную рамку AML для поставщиков услуг виртуальных активов, включая Рекомендацию 16 (Travel Rule) о передаче данных отправителя и получателя. На них опираются национальные режимы США, ЕС и, исторически, России.

О проекте: частые вопросы

Вопросы об устройстве самого хаба, границах его применимости и порядке проверки материалов. Предметные вопросы по каждой теме разобраны в FAQ соответствующей статьи.

Какие задачи закрывает этот сайт?

Сайт разбирает методологию расследования крипто-инцидентов от технической стороны до процессуальной: как строится трейсинг, по каким признакам срабатывают AML-триггеры, кто вправе проводить экспертизу цифровых активов, как накладывается арест и чем он отличается от конфискации. Это не рейтинг компаний и не каталог услуг: материалы описывают метод и правовую рамку, а не сравнивают подрядчиков между собой.

Кто готовит материалы кластера?

Все семь материалов подготовлены Николаем Ветровым, независимым консультантом по блокчейн-комплаенсу. Специализация автора: построение AML-процедур для операторов криптоактивов, методология трейсинга и требования к судебной экспертизе цифровых активов. Порядок подготовки и проверки материалов описан в редакционной политике, методика верификации правовых и технических утверждений — в политике проверки фактов.

Применимы ли материалы к российской юрисдикции?

Да. Правовая часть построена на действующих российских нормах: 115-ФЗ и надзор Росфинмониторинга, 259-ФЗ о цифровой валюте, 73-ФЗ о судебно-экспертной деятельности, ст. 115 УПК РФ об аресте имущества и ст. 104.1 УК РФ о конфискации, а также Определение ВС РФ № 44-КГ20-17-К7. Международные рамки FATF, BSA и MiCA разбираются отдельно, потому что задают требования к площадкам, с которыми взаимодействует российский заявитель.

Чем сайт отличается от блога компании-разработчика блокчейн-аналитики?

Вендорский блог описывает возможности собственной платформы и умалчивает о её пределах. Здесь инструменты разбираются по методологии выбора, независимой от бренда, а ограничения метода названы прямо: миксеры, кросс-чейн мосты, privacy-коины и ошибки атрибуции по устаревшей базе меток. Указание границы достоверности вывода считается обязательной частью корректного отчёта, а не признаком слабой экспертизы.

Как проверяются юридические и технические утверждения в статьях?

Правовые утверждения сверяются с первоисточником нормы и её действующей редакцией, судебная практика — с текстом конкретного акта и его реквизитами. Технические утверждения подтверждаются как минимум двумя независимыми источниками, а данные с ограниченной проверяемостью помечаются в тексте вместе с датой и источником. Полная процедура описана на странице политики проверки фактов.