Як відстежити криптовалютні транзакції у розслідуванні

Найпоширеніша хиба у справах із криптовалютою — вважати її анонімною. Насправді біткоїн, Ethereum і більшість токенів на кшталт USDT псевдонімні: кожна транзакція назавжди зафіксована у публічному блокчейні, а завдання розслідування — пов’язати адресу гаманця з конкретною особою. У моїй експертній практиці ланцюг криптотранзакцій нерідко відтворюється навіть точніше, ніж рух коштів класичними банківськими каналами, — важливо лише розуміти, де проходить межа технічного відстеження і де починається робота з даними бірж.

Псевдонімна, а не анонімна: у чому різниця

Це ключова теза, з якої варто починати будь-яку роботу з криптоактивами.

• Публічні блокчейни (Bitcoin, Ethereum, а також токени на них — зокрема USDT у стандартах ERC-20 та TRC-20) — це відкриті бази даних. Кожен запис видно будь-кому й назавжди: реєстр не можна відредагувати чи видалити.
• Адреса гаманця — це псевдонім, а не ім’я. Поки адресу не прив’язано до особи, слідство бачить рух коштів, але не бачить власника.
• Деанонімізація — це встановлення зв’язку «адреса ↔ людина». Саме на це спрямований аналіз блокчейну (chain-аналіз).

Виняток становлять так звані privacy-коіни, які приховують дані на рівні самого протоколу:

Тип активу	Приклади	Простежуваність транзакцій
Прозорі блокчейни	BTC, ETH, USDT (ERC-20/TRC-20)	Висока — публічний незмінний реєстр
Privacy-коіни	Monero (XMR), Zcash у захищеному режимі	Низька — суми й адреси приховані протоколом

Тому перше практичне питання у справі — з яким активом ми маємо справу. Для біткоїна чи USDT відстеження технічно можливе майже завжди; для Monero — украй обмежене.

Що саме фіксує блокчейн і чому це доказ

Кожна транзакція має набір незмінних реквізитів, які й стають доказовими «якорями»:

• хеш транзакції — унікальний ідентифікатор конкретного переказу;
• адреси відправника та отримувача;
• сума й вид активу;
• часова мітка (час блоку) і номер блоку.

Ці дані незмінні: переписати запис у блокчейні неможливо. Тому у роботі критично важливо коректно зафіксувати хеші транзакцій, адреси й часові мітки — не скріншотом із сайту-оглядача, а з посиланням на конкретний блок і з можливістю незалежної перевірки будь-ким. Саме ця відтворюваність відрізняє доказ від припущення.

Методи chain-аналізу

Відстеження — це не «магія спецслужб», а сукупність логічних методів роботи з відкритими даними.

Кластеризація адрес

Один суб’єкт зазвичай користується не однією адресою, а багатьма. Кластеризація — це об’єднання адрес, які з високою ймовірністю належать одному власнику, у єдиний «гаманець». Так розрізнені перекази складаються в цілісну картину поведінки однієї особи чи сервісу.

Евристики

Кластеризація спирається на поведінкові припущення (евристики), зокрема:

• спільних входів (common-input-ownership) — якщо кілька адрес разом підписали одну транзакцію, вони, найпевніше, під єдиним контролем;
• адреси решти (change address) — виявлення адреси, на яку повертається «здача» після платежу;
• peel chain — характерне «відшаровування» невеликих сум від великого залишку через ланцюг переказів.

Важливо пам’ятати: евристики дають ймовірність, а не стовідсоткову тотожність. Відповідальний висновок завжди відображає цей рівень імовірності, а не видає припущення за факт.

Точки входу і виходу

Найнадійніший шлях деанонімізації — місця, де крипта стикається з реальним світом: біржі та обмінники з процедурою KYC (ідентифікації клієнта). Коли кошти заходять на біржу або виводяться з неї, платформа знає, хто стоїть за акаунтом. Тому мета трасування — довести ланцюг до такої точки входу/виходу, після чого встановлення особи стає питанням запиту до біржі.

Як отримати дані, що прив’язують адресу до людини

Сам блокчейн — публічний, але дані клієнта біржа зберігає приватно. Отримати їх можна лише у процесуальний спосіб. Спеціальне законодавче регулювання віртуальних активів в Україні перебуває у стадії становлення, тож на практиці розслідування спираються насамперед на загальні механізми Кримінального процесуального кодексу та на законодавство про фінансовий моніторинг.

Українські платформи та сервіси

• У кримінальному провадженні підставою є ухвала слідчого судді про тимчасовий доступ до речей і документів (глава 15 Кримінального процесуального кодексу, статті 159–166). Саме нею витребовують дані KYC, історію операцій та прив’язані реквізити.
• Постачальники послуг, пов’язаних з обігом віртуальних активів, належать до суб’єктів первинного фінансового моніторингу за законодавством про запобігання та протидію відмиванню коштів, а відповідну інформацію акумулює Держфінмоніторинг.

Іноземні біржі

Більшість великих платформ зареєстровані за кордоном. Дані від них отримують через інститут міжнародної правової допомоги (взаємна правова допомога, MLAT) у порядку, передбаченому Кримінальним процесуальним кодексом щодо міжнародного співробітництва. На практиці це найдовший етап, тож запит варто ініціювати якомога раніше, щойно ланцюг доведено до конкретної біржі.

Дві експертизи: хто відстежує ланцюг, а хто рахує суми

Це питання, на якому найчастіше плутаються сторони. Криптовалютна справа зазвичай потребує знань із двох різних галузей, а отже — двох експертних напрямів.

Експертиза	Клас спеціальностей	Що встановлює
Комп’ютерно-технічна	10-й клас	Відстежує ланцюг транзакцій, перевіряє хеші, адреси, належність гаманця, технічні обставини переказів
Економічна	11-й клас (11.1–11.3)	Обчислює суми, розмір збитків, зіставляє рух активів з обліком і документами

Судово-експертна діяльність в Україні провадиться відповідно до Закону України «Про судову експертизу», а перелік видів експертиз і експертних спеціальностей визначає Інструкція про призначення та проведення судових експертиз, затверджена наказом Міністерства юстиції України № 53/5. Саме за цим переліком комп’ютерно-технічні дослідження віднесено до 10-го класу спеціальностей, а економічні — до 11-го.

Комп’ютерно-технічна експертиза відповідає на питання «як технічно рухалися активи», економічна — «скільки це у грошовому вимірі та який економічний результат». Тому у складніших справах призначають комплексну експертизу, де фахівці різних спеціальностей працюють над спільним висновком. Правова підстава для призначення — норма Кримінального процесуального кодексу про залучення експерта, коли для з’ясування обставин потрібні спеціальні знання; аналогічні механізми передбачають Господарський процесуальний кодекс, Цивільний процесуальний кодекс і Кодекс адміністративного судочинства, а податковий контроль здійснюється в межах Податкового кодексу.

У межах своєї компетенції з такими справами працюють БЕБ, ДПС, Держфінмоніторинг та НАЗК, а знеособлені судові рішення з подібними експертизами доступні в Єдиному державному реєстрі судових рішень.

Межі методу: де ланцюг «губиться»

Чесний фахівець завжди окреслює обмеження. Простежуваність крипти не безмежна — існують інструменти, що ускладнюють або обривають аналіз:

• міксери й тумблери (зокрема CoinJoin) — навмисно перемішують кошти багатьох користувачів, руйнуючи прямий зв’язок «звідки–куди»;
• крос-чейн мости — переносять активи між різними блокчейнами, тож слід доводиться відновлювати вже в іншому реєстрі;
• децентралізовані біржі (DEX) — працюють без KYC, тому не мають даних про особу клієнта;
• privacy-коіни — приховують суми й адреси на рівні протоколу.

Проте навіть ці інструменти рідко дають повну анонімність. Кошти зрештою мусять десь «вийти» у фіат, а входи й виходи, часові збіги (timing-аналіз), характерні суми та зіставлення з даними поза блокчейном часто дозволяють відновити картину. Обрив ланцюга — це не тупик, а сигнал змістити акцент з чистого chain-аналізу на інші джерела доказів.

Типові помилки, яких варто уникати

• Здатися завчасно, повіривши в «анонімність». Псевдонімний актив у більшості випадків відстежуваний — відмова від аналізу коштує втрачених доказів.
• Переоцінити результат. Належність адреси конкретній особі не можна стверджувати лише з кластеризації — потрібне підтвердження з точки входу/виходу чи з інших матеріалів.
• Ототожнити контроль над гаманцем із власністю. Той, хто підписує транзакції, не завжди є вигодонабувачем — це різні питання.
• Неналежно зафіксувати докази. Скріншот без хеша, адреси й посилання на блок легко оскаржити; фіксувати треба перевірювані реквізити.
• Плутати компетенції. Технічне відстеження ланцюга і розрахунок збитків — різні експертизи; помилка у виборі напряму затягує справу.

Криптовалютні транзакції відстежувані значно частіше, ніж прийнято думати, — але якість результату залежить від правильного вибору методу, законності отримання даних і грамотної фіксації доказів. Якщо ви як адвокат, слідчий чи керівник бізнесу стикаєтеся з рухом віртуальних активів у своїй справі, доцільно залучити судового експерта на ранньому етапі. Буду рада допомогти розібратися у вашій ситуації в межах закону та підготувати обґрунтований експертний висновок.