# Блокчейн-аналитика и трассировка криптовалюты: как это работает — VeroTrace

> Что такое блокчейн-аналитика, как работают кластеризация, атрибуция и трассировка средств, где след теряется и какие задачи метод решает для СЭБ, юристов и комплаенса.



# Блокчейн-аналитика: как работает трассировка средств и что она может показать бизнесу

> Что дают кластеризация, атрибуция и трассировка и где след теряется


*Эксперт VeroTrace · 27.10.2026 · 5 мин чтения*


**Коротко.** Блокчейн хранит каждую транзакцию, но сам по себе это лишь огромная таблица переводов между безымянными адресами. Чтобы понять, какие адреса принадлежат биржам, куда ушли похищенные средства и связан ли контрагент с санкционным сервисом, нужна блокчейн-аналитика.


Блокчейн хранит каждую транзакцию, но сам по себе это лишь огромная таблица переводов между безымянными адресами. Чтобы понять, что за ней стоит — какие адреса принадлежат биржам, куда ушли похищенные средства, связан ли контрагент с санкционным сервисом, — нужна блокчейн-аналитика.

Разберем, как устроен анализ блокчейна: что такое кластеризация и атрибуция, как работает трассировка, где след теряется и какие задачи метод решает для служб безопасности, юристов и комплаенса.

## Что такое блокчейн-аналитика

Блокчейн-аналитика — это анализ транзакций в публичных блокчейнах с целью понять, кому принадлежат адреса и как между ними движутся средства. Она объединяет два типа данных:

- **Ончейн-данные** — сами транзакции: суммы, время, адреса, вызовы смарт-контрактов. Они публичны и одинаковы для всех;
- **Офчейн-данные** — сведения, которые позволяют подписать адреса: публичные адреса сервисов, тестовые транзакции аналитиков, данные из расследований и открытых источников.

Ончейн-данные доступны любому, а ценность аналитики определяется вторым слоем — качеством и полнотой разметки. Именно поэтому разные провайдеры по одному адресу могут давать разные выводы.

## Из чего строится анализ: кластеризация и атрибуция

### Кластеризация

Кластеризация — это объединение адресов, которые, вероятно, контролирует один владелец. Один пользователь или сервис может использовать тысячи адресов, и без кластеризации каждый из них выглядел бы отдельным участником.

Методы зависят от устройства блокчейна:

- **В Bitcoin и похожих сетях** используется модель UTXO. Если в одной транзакции тратятся средства с нескольких адресов, скорее всего, ключи от них у одного владельца. Сдача, возвращенная отправителю, тоже помогает связать адреса.
- **В Ethereum, TRON и других сетях со счетами** работают поведенческие признаки. Например, биржа выдает каждому клиенту адрес для депозита и регулярно переводит с него средства на свой основной кошелек. Такие повторяющиеся схемы позволяют распознать адреса площадки.

### Атрибуция

Атрибуция — это присвоение кластеру метки: «биржа», «обменник», «мошенническая схема», «санкционный сервис». Метки появляются из разных источников: публичных заявлений сервисов, тестовых депозитов, материалов расследований, санкционных списков.

После атрибуции анализ становится содержательным: вместо «адрес A перевел средства адресу B» видно, что средства пришли с известной биржи и ушли на адрес, связанный с мошеннической схемой.

**Комментарий эксперта VeroTrace**

*Эвристики кластеризации вероятностные, и у них есть цена ошибки. Если алгоритм ошибочно склеит два разных кластера, метка одного владельца распространится на тысячи чужих адресов. Именно это часто объясняет резкие расхождения между провайдерами: дело не в разных базах мошеннических адресов, а в разной логике объединения. Поэтому для решений с высокой ценой ошибки полезно сравнивать несколько источников и смотреть, на чем основана метка.*

## Трассировка: как отслеживают движение средств

Трассировка — это построение пути средств от одного адреса к другим. Различают два направления:

- **прямая трассировка** — куда ушли средства с адреса: например, куда переведены похищенные активы;
- **обратная трассировка** — откуда средства пришли на адрес: например, из каких источников сформирован депозит клиента.

Каждый переход между адресами называют шагом. Чем больше шагов отделяет проверяемый адрес от источника риска, тем слабее связь, поэтому в AML-отчетах различают прямые и косвенные связи.

Когда средства из разных источников смешиваются на одном адресе, аналитик должен решить, какая часть исходящего перевода «унаследовала» рискованное происхождение. Для этого используют разные модели.

**Модель****Как распределяет риск****Особенность**Отравление (poison)Любая примесь рискованных средств делает рискованным весь исходящий переводСамая строгая, дает много срабатыванийПропорциональная (haircut)Риск распределяется пропорционально доле рискованных средствСамая распространенная в AML-оценкахFIFOПервыми уходят средства, которые первыми пришлиБлизка к бухгалтерской логике

Выбор модели заметно влияет на итоговую оценку. Это еще одна причина, по которой два провайдера могут по-разному оценить один и тот же адрес.

## Где след теряется

Трассировка не всесильна. Есть места, где связь становится вероятностной или прерывается:

- **Централизованные биржи.** После зачисления на биржу средства двигаются во внутреннем учете площадки, а не в блокчейне. Связать депозит одного клиента с выводом другого по ончейн-данным нельзя.
- **Мосты и кроссчейн-обмены.** Средства уходят в одной сети, а появляются в другой. Транзакции в обеих сетях сохраняются, сложность — связать их между собой. Способ зависит от протокола: у части мостов есть свои обозреватели и сопоставление почти однозначно, у других оно остается вероятностным.
- **Обменники и OTC-сделки.** Происходит то же, что на бирже: в блокчейне видны вход и выход сервиса, но не соответствие между ними.
- **Миксеры и протоколы смешивания.** Они специально созданы для того, чтобы разорвать связь между входом и выходом. Аналитики иногда восстанавливают связи по времени и суммам, но результат остается вероятностным. Сам факт взаимодействия с миксером — отдельная категория высокого риска.
- **Приватные монеты.** В сетях с закрытыми транзакциями ончейн-анализ ограничен.

Важно: точка, где след теряется, часто и есть главный результат. Если средства пришли на известную биржу, дальше работает не аналитика, а запрос к площадке через правоохранительные органы.

## Чем AML-скрининг отличается от расследования

**AML-скрининг****Расследование (трассировка)**ЗадачаБыстро оценить риск адреса или транзакцииВосстановить полную картину движения средствВремяСекундыОт нескольких часов до недельРезультатRisk score, категории, тип связиСхема потоков, ключевые адреса, суммы, точки выхода на сервисыКто делаетАвтоматически, через AML-провайдеровАналитик с помощью специализированных инструментовКогда нуженПеред каждой сделкой, при каждом депозитеВ инцидентах, спорах, при крупных и сложных кейсах

Скрининг — это фильтр на входе, расследование — работа с конкретным случаем. Обычно расследование начинается тогда, когда скрининг показал тревожный сигнал или произошел инцидент.

## Кому и когда нужна трассировка

- **Службы экономической безопасности.** Проверка контрагента перед крупной сделкой, разбор внутренних инцидентов, когда средства компании выведены на неизвестные адреса.
- **Информационная безопасность.** Взлом кошелька, атака вымогателей, компрометация ключей: нужно понять, куда ушли средства и можно ли еще успеть обратиться к площадкам.
- **Юристы.** Розыск активов в банкротстве, корпоративных и семейных спорах, подготовка позиции по делу с участием криптовалюты.
- **Комплаенс-службы.** Разбор депозитов и выводов с высоким риском, решение о продолжении отношений с клиентом.
- **Обменники и финтех-компании.** Спорные поступления, запросы банков-партнеров, проверка крупных клиентов.

**Комментарий эксперта VeroTrace**

*Чтобы расследование дало результат, заказчику стоит заранее собрать исходные данные: все известные адреса и хеши транзакций, сети, суммы, точное время событий и контекст — кто, кому и за что переводил. Ожидания тоже лучше выровнять сразу. Итогом будет не имя человека, а схема движения средств и точки, где они вышли на биржи или сервисы. Именно эти точки дают юристу и следствию адресатов для официальных запросов.*

## Что дает результат трассировки и где его границы

Качественный отчет по трассировке обычно включает:

- схему движения средств с суммами на каждом шаге;
- адреса, отнесенные к биржам, обменникам и другим сервисам;
- точки, где средства вышли из блокчейна во внутренний учет площадок;
- дату, на которую выполнен анализ, и использованные источники данных.

Границы метода тоже нужно понимать. Выводы трассировки вероятностные: они опираются на эвристики и разметку, которая постоянно обновляется. Аналитический отчет помогает принять решение и направить запросы, но не устанавливает личность и не заменяет судебную экспертизу.

## Как это устроено в VeroTrace

Первый уровень — скрининг. В VeroTrace адрес или транзакцию можно проверить через одного или сразу нескольких AML-провайдеров и увидеть, где их оценки расходятся. Это помогает отличить надежный сигнал от особенностей разметки конкретного источника. Почему такие расхождения возникают, мы подробно разбирали в статье [почему разные AML-сервисы показывают разный риск](https://verotrace.ru/journal/pochemu-raznye-aml-servisy-raznyy-risk/).

Для случаев, где автоматической проверки недостаточно, платформа развивает направление экспертной помощи и расследований — подробнее на странице [Эксперты](https://verotrace.ru/experts/).

## Подведем итог

Блокчейн-аналитика превращает публичные транзакции в понятную картину: кластеризация объединяет адреса одного владельца, атрибуция подписывает их, трассировка показывает путь средств. Метод хорошо отвечает на вопросы «откуда» и «куда», но теряет точность на биржах, мостах и миксерах и никогда не называет имен. Для бизнеса это значит простое разделение: скрининг — перед каждой операцией, расследование — когда сигнал или инцидент уже есть.




*Материал носит информационный характер и не является юридической консультацией. Решение о переводе средств принимайте самостоятельно.*



## Читайте также

- [Как проверить транзакцию криптовалюты по TXID и увидеть AML-риски](/journal/proverka-tranzakcii-kriptovalyuty-po-txid.md)
- [AML-проверка криптокошелька: что это и как проверить USDT перед переводом](/journal/aml-proverka-kriptokoshelka-usdt.md)






---

Source: https://dev.verotrace.online/journal/blokchein-analitika-i-trassirovka/