Analiza przepływu kryptowalut
Nie znasz się na kryptowalutach? Nic nie szkodzi. Oto najważniejsze informacje.
kryptowalut i raport analityczny
Pomagam odtworzyć drogę środków, wskazać powiązane adresy i rozpoznać punkty kontaktu z giełdami lub innymi usługami. Wyniki porządkuję w czytelnym materiale, który można wykorzystać w dalszych czynnościach analitycznych, prawnych lub procesowych.
Analiza jest przydatna m.in. w sprawach dotyczących oszustw inwestycyjnych, kradzieży lub przejęcia portfela, wymuszeń, prania środków, sporów majątkowych oraz dokumentowania przepływów na potrzeby postępowań.
Odtworzenie kolejnych transakcji, także przy rozdzielaniu środków, zmianie sieci i korzystaniu z mostów międzysieciowych.
Wskazanie adresów oznaczonych jako giełdy, kantory, mosty, miksery lub inne podmioty — wraz z oceną pewności takiego oznaczenia.
Zestawienie adresów, hashy transakcji, dat, kwot, źródeł danych i eksportów pozwalających odtworzyć tok analizy.
Chronologia, mapa przepływu, wnioski, ograniczenia analizy oraz wskazanie miejsc, w których mogą być potrzebne dane od usługodawcy.
Dla organów prowadzących postępowania, kancelarii, firm oraz osób poszkodowanych, które dysponują adresem portfela, hashem transakcji albo potwierdzeniem wypłaty kryptowalut.
Adres kryptowalutowy to unikalny ciąg liter i cyfr, na który można wysyłać i z którego można odbierać kryptowaluty. Pełni dokładnie tę samą rolę, co numer konta bankowego – tyle że nie wymaga banku, który go wyda.
Wyobraź sobie numer IBAN. Możesz go komuś podać, żeby przelał Ci pieniądze. Nikt nie musi wiedzieć, jak masz na imię – wystarczy numer. Adres kryptowalutowy pełni podobną funkcję, ale w publicznych blockchainach przebieg transakcji jest zwykle widoczny dla każdego, kto zna adres lub hash transakcji. Zakres widocznych danych zależy jednak od konkretnej sieci.
Zaczyna się od bc1 lub 1 lub 3 – łatwo rozpoznać format.
Zawsze zaczyna się od 0x i ma 42 znaki.
Zaczyna się od litery T. Sieć Tron jest często używana do przesyłania USDT.
USDT (dolar kryptowalutowy) istnieje na wielu sieciach. Zawsze ustal, na której sieci doszło do transakcji.
Jeden podejrzany może posiadać dziesiątki lub setki adresów. Celem analizy jest powiązanie wielu adresów z jedną osobą lub organizacją.
Portfel kryptowalutowy to aplikacja lub urządzenie, które zarządza wieloma adresami jednocześnie. Działa podobnie jak aplikacja bankowości mobilnej – pozwala zobaczyć saldo, wysyłać i odbierać środki.
Jeśli adres to numer konta, to portfel to cała aplikacja bankowa – może obsługiwać wiele kont naraz. Jedna aplikacja, wiele numerów kont, jeden właściciel.
| Typ portfela | Gdzie działa | Znaczenie dla śledztwa |
|---|---|---|
| Aplikacja mobilna | Telefon (iOS/Android) | Możliwe zabezpieczenie przez przeszukanie urządzenia |
| Portfel desktopowy | Komputer | Pliki portfela możliwe do skopiowania przy przeszukaniu |
| Portfel sprzętowy | Urządzenie USB (np. Ledger, Trezor) | Małe urządzenie – szukaj przy przeszukaniu, zabezpiecz PIN |
| Portfel na giełdzie | Serwer giełdy (np. Binance, Coinbase) | Giełda zna tożsamość właściciela – można złożyć wniosek o dane |
| Portfel papierowy | Kartka/dokument | Portfel papierowy zapisany jako klucz odzyskiwania w formie 12 lub 24 angielskich słów |
Portfele na giełdach (tzw. custodial) – giełdy prowadzą weryfikację tożsamości (KYC) i mogą przekazać dane użytkownika na wniosek prawny. Portfele własne (non-custodial) – właściciel nie jest ujawniony bezpośrednio w blockchainie. Jego powiązanie z osobą wymaga analizy danych on-chain oraz innych legalnie dostępnych źródeł.
Większość popularnych blockchainów działa jak publiczny, odporny na modyfikację rejestr. Transakcje w danej sieci pozostawiają zapis obejmujący m.in. adresy, wartość, hash i dane czasowe. Zakres informacji oraz poziom prywatności zależą od konkretnego blockchaina.
Publiczny blockchain można porównać do księgi wieczystej: zapis jest trwały i możliwy do ponownego sprawdzenia. Nie oznacza to jednak automatycznego poznania tożsamości użytkownika. Kryptowaluty często pozostawiają trwalszy ślad transakcyjny niż gotówka.
- Adres nadawcy
- Adres odbiorcy
- Kwota i waluta
- Data i godzina (UTC)
- Unikalny numer transakcji (hash)
- Opłata transakcyjna
- Imię i nazwisko właściciela adresu
- Adres zamieszkania
- Numer telefonu
- Adres IP (w podstawowym widoku)
Te dane można uzyskać od giełd lub przez zaawansowaną analizę sieciową.
f4184fc596403b9d638783cf57adfe4c75c605f6356fbc91338530e9831e9e16
// To jest unikalny "numer dowodu" każdej transakcji – zawsze go zabezpiecz
Analiza money flow polega na śledzeniu drogi kryptowalut od adresu źródłowego aż do miejsca, gdzie zostały wypłacone lub zatrzymane.
Każdy zarejestrowany krok jest udokumentowany w blockchainie – z dokładną datą, godziną i kwotą. Dotarcie do adresu giełdy zwykle oznacza zmianę etapu analizy: dalsze ustalenia mogą wymagać danych od usługodawcy uzyskanych w odpowiednim trybie. Miksery, mosty i inne techniki zaciemniania zwiększają trudność oraz niepewność analizy, ale nie zawsze całkowicie przerywają ślad. Analiza może obejmować dziesiątki lub setki adresów pośrednich.
Rozdrabnianie środków (tzw. peeling chain) to technika utrudniania śledzenia – podejrzany dzieli dużą kwotę na wiele małych przelewów. Miksery (tumblers) to serwisy celowo mieszające środki wielu użytkowników, żeby utrudnić identyfikację. Mosty międzysieciowe (bridges) to usługi przenoszące środki między różnymi blockchainami — np. z Ethereum na Tron. Z reguły usługodawcy udostępniają publiczne eksploratory, gdzie można sprawdzić na jaką sieć i na jaki adres zostały przeniesione środki.
OKLink to wyszukiwarka transakcji kryptowalutowych. Działa jak wyszukiwarka Google, ale dla blockchaina – wpisujesz adres lub hash transakcji i widzisz całą historię powiązanych operacji.
Strona nie wymaga rejestracji. Wybierz sieć blockchainową (np. Bitcoin, Ethereum, Tron). Upewnij się, że wybrałeś właściwą sieć – adres Tron nie zadziała w eksploratorze Ethereum.
Wklej adres w pole wyszukiwania. Zobaczysz: całkowite saldo, liczbę transakcji, daty pierwszej i ostatniej aktywności oraz pełną listę wszystkich przelewów wchodzących i wychodzących.
Każda transakcja pokazuje: datę i godzinę, adres skąd przyszły środki lub dokąd poszły, kwotę. Kliknij w adres odbiorcy – przejdziesz do jego historii i możesz kontynuować śledzenie.
OKLink automatycznie oznacza znane adresy giełd i serwisów. Jeśli przy adresie pojawi się etykieta np. "Binance Hot Wallet" lub "Huobi" – to oznacza, że środki trafiły na tę giełdę. To potencjalnie ważny punkt: giełda może dysponować danymi klienta powiązanego z rachunkiem, ale ich uzyskanie wymaga właściwej podstawy i procedury.
OKLink umożliwia eksport historii transakcji do pliku CSV.
Arkham to bardziej zaawansowane narzędzie. Jego główna przewaga nad OKLink to baza powiązań adresów z podmiotami – giełdami i firmami.
Rejestracja jest bezpłatna.
System automatycznie sprawdzi, czy adres jest powiązany z jakimś podmiotem w bazie Arkhama. Jeśli tak – zobaczysz etykietę np. "Binance User" lub nazwę konkretnej firmy czy giełdy.
To kluczowa funkcja Arkhama. Kliknij "Visualizer" i zobaczysz graficzną mapę przepływu środków – adresy jako węzły, transakcje jako strzałki między nimi. Możesz rozwijać kolejne węzły jednym kliknięciem, śledząc środki krok po kroku.
Jeśli analiza dotyczy konkretnej transakcji, zawęź widok do odpowiedniego zakresu dat. Unikasz wtedy przesiewania setek niezwiązanych operacji.
Arkham pozwala eksportować dane i zapisywać widok mapy jako raport. Rób zrzuty ekranu z pełnym adresem URL – to pozwoli innemu analitykowi odtworzyć dokładnie ten sam widok.
Kiedy w aktach sprawy pojawia się adres kryptowalutowy lub hash transakcji – oto minimalna sekwencja działań:
Na podstawie formatu adresu ustal, czy to Bitcoin, Ethereum/ERC-20, Tron/TRC-20 czy inna sieć. Od tego zależy, którego explorera użyć.
Wejdź na oklink.com, wybierz właściwą sieć, wklej adres. Zabezpiecz pełną historię transakcji (eksport CSV). Zanotuj wszystkie adresy odbiorców.
Wklej adres w Arkham Intelligence. Użyj Visualizera do mapowania przepływu. Zapisz zrzuty ekranu z URL.
Śledź przepływ do znanej usługi, giełdy albo miejsca, w którym dalsza droga nie jest widoczna. Oznaczenie giełdy wskazuje potencjalny punkt kontaktu z usługodawcą, lecz samo w sobie nie przesądza o tożsamości osoby.
Jeżeli działasz jako uprawniony organ lub pełnomocnik, wykorzystaj zebraną dokumentację do przygotowania wniosku do usługodawcy we właściwym trybie. Giełdy zwykle udostępniają kanały law enforcement request, jednak wymagania i zakres możliwych danych różnią się zależnie od podmiotu oraz jurysdykcji.
Czas ma znaczenie. Im szybciej zostanie złożony wniosek do giełdy, tym mniejsza szansa, że podejrzany zdążył wypłacić środki lub przenieść je dalej. Niektórzy usługodawcy mogą zabezpieczyć dane lub czasowo ograniczyć rachunek po otrzymaniu prawidłowego wniosku — zależnie od prawa, własnych procedur i okoliczności sprawy.
Zakres opracowania jest dopasowany do materiału wejściowego i celu analizy. Raport może obejmować:
- adresy i hashe transakcji
- daty, kwoty, tokeny i sieci
- źródła oraz eksporty danych
- kolejne adresy i rozgałęzienia
- przejścia przez mosty i usługi
- oznaczone giełdy oraz podmioty
- potwierdzone fakty i hipotezy
- znaczenie etykiet narzędziowych
- luki i ograniczenia materiału
- punkty wymagające weryfikacji
- podmioty mogące posiadać dane
- materiał potrzebny do dalszych czynności
Analiza blockchain nie przesądza sama o tożsamości użytkownika i nie gwarantuje odzyskania środków. Etykiety narzędzi mogą być niepełne lub błędne, a dane identyfikacyjne pozostające u giełd i innych usługodawców mogą być udostępnione wyłącznie w odpowiednim trybie.
W wiadomości podaj znaną sieć, adres portfela lub hash transakcji, orientacyjną datę zdarzenia oraz cel analizy. Na tej podstawie można wstępnie określić możliwy zakres pracy.
Interfejsy oraz możliwości narzędzi blockchainowych zmieniają się. Opisy OKLink i Arkham mają charakter praktycznego wprowadzenia i przed użyciem należy zweryfikować ich aktualne funkcje.