Деанонимизациия криптовалютных кошельков
С юридической точки зрения, криптовалюту можно определить как имущество в электронной форме, созданное с использованием криптографических средств, и учитываемое в распределенном реестре цифровых транзакций в соответствии с установленными правилами его ведения.
С технической точки зрения, криптовалюта представляет собой распределённую, основанную на математических принципах пиринговую виртуальную валюту с открытым исходным кодом, при использовании которой отсутствует централизованный администратор, а также соответствующие контроль и надзор со стороны государственных органов или иных третьих лиц.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/4ae/356/837/4ae3568378494b8c713f024d430dffc3.jpg")
Криптовалюты имеют существенные отличия от привычных финансовых транзакций. Они не требуют централизованного регулятора или эмитента. При этом все транзакции криптовалюты публичны и отражаются в специальном реестре — блокчейне. При этом в блокчейне отсутствуют данные о фактическом владельце того или иного криптовалютного кошелька. Он анонимен, а еще имеет фактически возможность создавать неограниченное число уникальных адресов к кошельку.
Существующая методология деанонимизации транзакций криптовалюты предполагает отслеживание всей цепочки их совершения от момента проведения изучаемого платежа и до предполагаемого обмена криптовалюты на "фиатные деньги" через криптовалютные биржи, в обменнике или банкомате.
Для сбора данных о криптокошельках и отслеживания их транзакций можно использовать штатные обозреватели блокчейна:
- btc.com
- etherscan.io
- xrpcharts.ripple.com/#/graph
- explorer.bitcoin.com/bch
- litecoinblockexplorer.net
- steexp.com
А также универсальные обозреватели:
- blockchair.com
- tokenview.com
- blockchain.com
- bitaps.com
- live.blockcypher.com
Последние дают возможность проводить более тщательный анализ и изучать несколько криптовалют в одном сервисе. В обозревателях хранится следующая информация о совершенных транзакциях:
- дата и время совершения транзакции
- адреса криптовалютных кошельков отправителя и получателя
- количество переводимой криптовалюты
- гонорар за осуществление транзакции и хэш (служащий доказательством транзакции и используется для её проверки)
К недостаткам таких обозревателей относятся: отсутствие встроенных систем визуального представления и анализа транзакций, невозможность постановки криптокошелька на контроль (отслеживание), а также невозможность автоматического отнесения изучаемых криптокошельков к известным сущностям (лицам, проектам, биржам, миксерам и т.п.).
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/e2f/42f/002/e2f42f002d1dba79fc8b0adfa9cb2437.jpg")
Частично эти недостатки можно нивелировать за счет использование бесплатного программного обеспечения. Так визуальное представление криптовалютных транзакций можно организовать при помощи сервисов:
- sicp.ueba.su
- graphsense.info
- blockpath.com
- c‑hound.ai
- oxt.me
- репозиторий github.com/s0md3v/Orbit
Также для подобных исследований подойдет программный комплекс "Maltego", используемый в нашей компании. Отслеживание активности криптокошельков возможно при использовании таких решений, как: cryptocurrencyalerting.com/wallet‑watch.html или cryptotxalert.com.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/08f/f4f/069/08ff4f06912960406c72a4548bc3b4f4.png")
Теперь, когда мы умеем раскладывать транзакции в виртуальной среде, необходимо перейти к изучению вопроса отнесения каждого конкретного криптокошелька к известным сущностям.
Первое, что приходит тут в голову — это использование штатных поисковых возможностей Google. Доказательством, подтверждающим факт владения криптокошельком, может являться указание адреса криптовалютного кошелька в качестве платежной системы на веб-сайте, в социальной сети, мессенджере, блоге или форуме. Подобные данные могут быть обнаружены поисковыми механизмами Google.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/f4e/f5c/1e4/f4ef5c1e45bd66928dc0f534d8589cbe.png")
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/9de/fd8/87b/9defd887b77196ef2ea030c4e3676538.png")
Особый интерес вызывает использование Google Dorks.
Например, поисковый запрос [адрес_криптокошелька -block] позволяет почистить выдачу, исключив из нее большинство обозревателей блокчейна.
Запрос [site:bitcointalk.org адрес_криптокошелька] позволяет осуществлять поиск сведений о криптокошельке на выбранном сайте.
Запрос [site:https://docs.google.com/spreadsheets Bounty intext:"@gmail.com"] дает возможность находить списки идентифицированных криптокошельков, задействованных в программах Bug Bounty.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/cf2/2d5/5a8/cf22d55a83ce07cb307574839f6c459c.png")
Использование поисковых механизмов позволяет нам обнаружить связку адреса криптовалютного кошелька с другими идентификаторами, которые могут быть нам полезны для идентификации его пользователя.
К числу таких идентификаторов можно отнести:
- имя или никнейм
- адрес электронной почты
- номер телефона
- идентификатор пользователя в социальной сети или мессенджере
- фотография
- адрес сайта
- иные цифровые активы и т.д
Поиск совпадений по имени возможен в сервисе go.mail.ru/search_social, по никнейму в: t.me/maigret_osint_bot или whatsmyname.app.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/5a9/805/0b4/5a98050b4200183d40ff40f0479a0205.png")
Отождествление фотографии пользователя можно проводить по ссылкам:
- findclone.ru
- search4faces.com
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/c09/b31/d57/c09b31d572d9a67c03574ea19542214d.jpg")
Идентификация контактов владельцев сайтов и доменных имен возможна при использовании таких сайтов, как:
- domainbigdata.com
- phonebook.cz
- mailshunt.com
- hunter.io
Данные WHOIS, в т.ч. архивные, доступны на ресурсах:
- whois.domaintools.com
- drs.whoisxmlapi.com/whois‑history
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/7dd/835/45a/7dd83545a50051592855f25fb891470d.png")
Анализ рекламных идентификаторов — при помощи сервисов:
- spiderfoot.net
- themarkup.org/blacklight
- urlscan.io
- spyonweb.com
- dnslytics.com/reverse‑analytics
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/80d/ce9/260/80dce92600cae0d8880a5315edb6555d.png")
Номер мобильного телефона и адрес электронной почты владельца криптоактива можно идентифицировать при помощи сервисов ТелПоиск, Инфосфера, NEO, Прима Информ, IDX, Spectrum Data и ряда других.
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/d5c/ac8/dd5/d5cac8dd5a96093ae5b5708a9f9caf7b.jpg")
Далее информацию о криптокошельках следует поискать на "отзовиках".
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/7dc/c89/b3d/7dcc89b3debcc520fc96b53a34c66dc4.jpeg")
Они интересны тем, что агрегируют данные об использовании кошельков в противоправной деятельности. К числу таких сервисов можно отнести:
- bitcoinabuse.com
- bitcoinwhoswho.com
- checkbitcoinaddress.com
- cryptscam.com
- scam‑alert.io
![]("https://habrastorage.org/r/w1560/getpro/habr/upload_files/927/ed8/7c9/927ed87c9425d4111475f618fcd211ad.jpg")
Отчасти к "отзовикам" мы можем отнести и сервис bitrankverified.com, позволяющий провести скоринговую оценку криптокошелька.
А отнести криптокошелек к бирже, обменнику или другой сущности можно проверить при помощи таких ресурсов, как:
- walletexplorer.com
- bitinfocharts.com
- oxt.me
Под конец стоит отметить, что обнаружение бирж и обменников в цепочках транзакций крайне важно, поскольку в рамках процедуры KYC/AML (в России ПОД/ФТ), криптобиржи взяли на себя обязательство идентифицировать своих пользователей и передавать сведения о них по мотивированному запросу правоохранительных органов или суда.
