Блок II. Трасування і деанонімізація · заняття 4 із 6 · поглиблене

Обхід сліду: міксери, мости, DEX, privacy coins, P2P і дропи

Поглиблене заняття. Розрив ончейн-сліду майже ніколи не буває повним — питання в тому, де саме він відновлюється.

Мета заняття

Після цього заняття ви зможете розпізнати кожну основну техніку приховування за її слідом; сказати про кожну, що саме вона ламає і що саме після неї залишається; і скласти багатоканальний план деанонімізації замість запису «слід втрачено» — включно з реалістичною оцінкою можливостей щодо Monero.

Головна теза заняття

Формулювання «слід втрачено» майже завжди означає не факт, а межу застосованого методу. Жодна з технік приховування не є повною: кожна ламає одну конкретну властивість сліду й залишає інші недоторканими. Тому робота після розриву будується не як пошук обхідного шляху в блокчейні, а як перелік паралельних каналів, кожен із яких перевіряється незалежно.

Друга теза, менш очевидна: сама наявність техніки приховування є доказовим фактом. Використання міксера не доводить злочину, але воно доводить дію, спрямовану на приховування походження, — а це елемент складу легалізації. Тому розрив у ланцюзі документується так само ретельно, як і самі перекази.

Правило формулювання

Замість «кошти надійшли до міксера, подальший рух простежити неможливо» пишіть: «кошти внесено до сервісу такого-то типу, транзакція внесення зафіксована ончейн; зв'язок між внесенням і подальшими виведеннями ончейн-методами не встановлюється; перелік каналів перевірки — додаток такий-то». Перша редакція закриває напрям, друга його відкриває.

Карта технік

Основна таблиця заняття. Читати по рядках: що зникає — що залишається — куди йти далі.

Техніка	Що ламає	Що залишається	Канал відновлення
Міксер із пулом	Зв'язок конкретного внесення з конкретним виведенням	Факт і час внесення; сума; адреса-джерело; сума виведення	Кореляція сум і часу; дані сервісу, якщо він кастодіальний; вилучені пристрої
Спільна транзакція кількох учасників	Евристику спільного витрачання входів	Набір учасників раунду; розміри часток; вхідні адреси	Аналіз конкретного раунду; дані координатора, якщо він є
Дроблення на дрібні суми	Порогові спрацювання, зручність візуалізації	Усі транзакції повністю; спільне джерело комісії	Автоматизований аналіз; джерело оплати комісії
Перехід між мережами через міст	Безперервність графа в одній мережі	Транзакція внесення й транзакція випуску, час, сума, реквізити мосту	Зіставлення двох сторін мосту; журнали контракту; дані оператора
Обмін на децентралізованій платформі	Зміну активу, іноді мережі	Повний журнал обміну в контракті; та сама адреса до і після	Читання подій контракту: адреса зазвичай не змінюється
Обмінник без ідентифікації	Прив'язку до особи на цьому кроці	Адреси входу й виходу сервісу; час; курс	Юрисдикція сервісу; його банківський контур; попередні провадження
Монета з приховуванням за побудовою	Публічну читаність суми, сторін і зв'язків	Точки конвертації в неї та з неї; час; поведінка користувача	Точки входу й виходу на біржах; пристрої; помилки в порядку дій
Угода між особами напряму	Централізований журнал операції	Оголошення, чат, номер угоди, платіжні реквізити, відгуки	Дані платформи; банківський слід; листування
Готівковий обмін	Електронний слід на останньому кроці	Місце, час, особи, записи відеоспостереження, транспорт	Звичайні оперативні методи; свідки; відеозаписи
Підставні особи	Прив'язку облікового запису до вигодонабувача	Мережа збігів: пристрої, реквізити, час дій, спільні контрагенти	Аналіз пов'язаних записів у біржі; допити; платіжні системи
Вбудований сервіс усередині біржі	Видимість сервісу для зовнішнього спостерігача	Аномальна структура облікового запису: багато контрагентів, обіг	Прямий запит до біржі саме про характер діяльності клієнта
Ринок у закритій частині мережі	Прямий зв'язок платежу з товаром	Адреси депозитів ринку; час; сума; дані сервера в разі вилучення	Дані вилученої інфраструктури; журнали платежів; біржі виведення

Міксери: що залишається після пулу

Логіка пулу проста: багато учасників вносять однакові за розміром частки, потім кожен виводить таку саму частку на іншу адресу, а зв'язок між внесенням і виведенням не публікується. Саме тому кореляція «одна сума увійшла — одна вийшла» тут не працює безпосередньо.

Що залишається доступним:

Транзакція внесення — повноцінний факт ончейн з адресою джерела, сумою й часом.
Розмір частки. Пули працюють фіксованими номіналами; якщо внесено суму, що складається з трьох часток одного номіналу, це звужує пошук виведень.
Часове вікно. Чим менш завантажений пул у конкретний період, тим менше кандидатів на виведення. Це евристика з обчислюваною похибкою — і саме її треба обчислити, а не просто заявити.
Поведінка після виведення. Виведені кошти зазвичай рухаються далі, і цей рух знову публічний. Часто помилка робиться не в міксері, а через два переходи після нього.
Пристрої. Історія браузера, збережені посилання на виведення, локальні файли — усе це здобувається обшуком (заняття 5), і в багатьох справах саме воно замикає ланцюг.

Tornado Cash: два провадження, різні висновки, обидва незавершені

Нідерланди: Rechtbank Oost-Brabant, рішення від 14 травня 2024 року у справі щодо Олексія Перцева. Суд визнав його винним і призначив покарання у 64 місяці позбавлення волі. Предмет дослідження: чи є діяльність із створення й підтримання протоколу приховуванням і чи існував контроль над ним.
США: Присяжні 6 серпня 2025 року визнали Романа Сторма винним за одним пунктом — змова щодо ведення неліцензованої діяльності з переказу коштів. За двома тяжчими пунктами — змова щодо легалізації та порушення санкційного режиму — присяжні не дійшли одностайності. У березні 2026 року прокуратура заявила клопотання про повторний розгляд цих двох пунктів, орієнтовно у жовтні 2026 року. Захист подав клопотання про виправдання за пунктом, за яким винесено вердикт.
Окрема лінія — санкції: У листопаді 2024 року апеляційний суд у справі Van Loon дійшов висновку, що незмінні смартконтракти не є власністю особи, оскільки ніхто над ними не має контролю; у березні 2025 року протокол вилучено зі санкційного списку.
Чому кейс показовий саме для нас: Він демонструє, що правова оцінка інструмента приховування не є усталеною навіть у державах із розвиненою практикою. Питання про наявність контролю над протоколом вирішувалося по-різному, а найтяжчі пункти обвинувачення досі не вирішені. Тому будувати український документ на тезі «використання міксера саме собою є злочином» не можна: доводити треба умисел і обізнаність, а не факт використання.

Процесуальний стан: у Нідерландах — вирок першої інстанції; у США — вердикт за одним пунктом, два пункти не вирішені, очікується повторний розгляд. Стан на дату курсу; перевіряти перед використанням.

Мости і перехід між мережами

Міст переносить вартість між мережами. Технічно він майже завжди робить дві речі: приймає актив у першій мережі й випускає відповідний актив у другій. Це означає, що розриву як такого немає — є два записи в двох різних реєстрах, які потрібно зіставити.

Зіставлення робиться за сукупністю: час — випуск відбувається за секунди або хвилини після внесення; сума — з поправкою на комісію мосту, яка зазвичай передбачувана; адреса призначення — часто вказується прямо в даних транзакції внесення; журнал подій контракту мосту — містить ідентифікатор переходу.

Практично важлива відмінність: якщо міст децентралізований і його контракти публічні, зіставлення є фактом ончейн, який ви перевіряєте самостійно. Якщо міст працює як сервіс із власним обліком, зіставлення є евристикою, доки не підтверджене даними оператора off-chain. Ця різниця має бути в звіті, бо від неї залежить, чи можна заперечити ребро.

Розрив — не кінець маршруту, а точка розгалуження плану. П'ять каналів перевіряються одночасно, і кожен має власну доказову опору.

Монети з приховуванням за побудовою: реалістична оцінка

Тут особливо шкідливі обидві крайності. Твердження «Monero простежити неможливо» так само неправильне, як і «Monero зламали». Точний стан справ такий.

Мережа приховує суму, сторони й зв'язки на рівні протоколу. Прямий аналіз графа, який працює в Bitcoin, тут не застосовується. Водночас у практиці є задокументовані результати. Фінське національне бюро розслідувань у справі про злам медичної установи вийшло на особу через точки конвертації між Bitcoin і Monero. Норвезька служба Kripos повідомила про розроблені у 2025 році методи відстеження та про операцію в червні 2026 року, у результаті якої в семи державах затримано 28 осіб, які використовували Monero для оплати доступу до матеріалів із насильством щодо дітей; вилучено понад 460 предметів, зокрема пристрої й гаманці off-chain.

Механізм цих результатів важливо зрозуміти правильно: криптографію не зламано. Працює інше — точки конвертації, помилки в порядку дій користувача, кореляція часу, вилучені пристрої й кооперація постачальників послуг. Тобто не ончейн-аналіз.

Практичний висновок для плану: у справі з монетою приховування ончейн-напрям не є основним. Основними стають точки входу й виходу — де саме особа купувала цю монету і де конвертувала назад, — а також усе, що стосується пристроїв. Додатковий фактор на вашу користь: такі монети вилучено з обігу на багатьох великих біржах, тому кількість легальних точок конвертації обмежена, і кожна з них є суб'єктом, до якого можна звернутися.

Український контур: P2P, обмінники, дропи

Це найпоширеніший практичний сюжет, і він майже завжди фіатний на початку і в кінці.

Типова конструкція така. Кошти потерпілого надходять на банківські картки підставних осіб, далі через P2P-платформу перетворюються в стейблкоїн, далі рухаються ончейн і врешті виводяться через обмінник або знову через P2P. Кожна ланка залишає свій слід, і найслабша — перша.

Кіберполіція публічно описує вербування підставних осіб як масову практику: пропозиції простої віддаленої роботи за 5–10 тисяч гривень на місяць за приймання коштів на власну картку з подальшим переказом далі off-chain. Це важливо для кваліфікації: підставна особа — не організатор, і автоматичне ототожнення власника картки або верифікованого облікового запису з організатором схеми є однією з найтяжчих помилок у цій області.

Обмінна інфраструктура також дає слід. У липні 2026 року правоохоронці повідомили про викриття мережі шахрайських криптообмінників: понад 20 обшуків у семи регіонах, вилучено готівку на суму понад 20 мільйонів гривень; за повідомленням, мережа працювала без відповідних ліцензій off-chain. У липні 2026 року також повідомлено про викриття організації, яка під виглядом навчання інвестуванню в криптовалюту завдала збитків майже тисячі осіб на понад 1,1 мільйона доларів. В обох випадках це офіційні повідомлення органу на початковій стадії, а не встановлені судом обставини.

Формула, яку варто відпрацювати до автоматизму

Хибно: «власник верифікованого облікового запису вивів 1,2 мільйона гривень злочинних коштів».

Правильно: «на облікові записи, зареєстровані на встановлену особу, зараховано кошти в сумі… off-chain; факт зарахування підтверджено внутрішнім реєстром постачальника послуг; питання про обізнаність цієї особи щодо походження коштів і про її роль у схемі на цей момент не вирішене версія».

План деанонімізації після розриву

Канал 1. Довкола розриву — ончейн

Зафіксувати транзакцію внесення повністю; визначити тип сервісу за реквізитами контракту або адреси.
Якщо це міст — знайти другу сторону: зіставити час, суму з поправкою на комісію, ідентифікатор переходу в журналі подій.
Якщо це пул — визначити номінал частки й завантаженість пулу у вікні; оцінити кількість кандидатів кількісно.
Перевірити адресу-джерело на попередню й наступну активність: часто вона використовувалася й раніше.
Перевірити, хто оплачував комісію: у мережах з обліком за балансом це часто окрема адреса, спільна для групи.

Канал 2. Постачальники послуг на обох кінцях

Постачальник, через якого актив зайшов у систему, — до розриву.
Усі постачальники, у яких зафіксовано надходження суми, порівнянної за розміром і часом, — після розриву.
Оператор самого сервісу, якщо він має юридичну особу.
Емітент токена — і щодо блокування, і щодо відомостей про адреси.
По кожному — спершу збереження, потім витребування (заняття 3).

Канал 3. Фіатний контур

Як придбано актив: банківська операція, картка, платіжний провайдер.
Куди виведено: рахунки, картки, готівкові точки.
Підставні особи: збіги за реквізитами, пристроями, часом і контрагентами.
Фінансова розвідка: підозрілі операції, пов'язані профілі.

Канал 4. Пристрої й носії

Застосунки гаманців, файли ключів, історія браузера, збережені посилання.
Паперові носії seed-фрази, апаратні гаманці, резервні копії.
Застосунки двофакторної автентифікації — часто прямо вказують на перелік бірж.
Планування — на занятті 5.

Канал 5. Комунікації й відкриті джерела

Оголошення, чати, номери угод, відгуки на P2P-платформах.
Повторне використання адреси в публічних джерелах: форуми, оголошення, донати.
Псевдоніми й контактні дані, що збігаються в різних сервісах.
Обов'язково фіксувати з часом доступу й збереженою копією: публічний вміст змінюється.

Канал 6. Взаємодія з іншими провадженнями

Та сама адреса або той самий сервіс майже завжди фігурує в кількох справах одночасно.
Перевірити внутрішні обліки, звернутися до підрозділів, які працювали з тим самим сервісом.
Міжнародна координація: сервіс, що обслуговує тисячі клієнтів, цікавить кілька держав одразу — і це найшвидший шлях до даних оператора.

Практичний висновок: що робити в момент розриву

Не пишіть «слід втрачено». Опишіть тип розриву й зафіксуйте останній факт до нього.
Задокументуйте сам факт застосування техніки приховування як окрему обставину: він має самостійне значення для кваліфікації за статтею 209 КК.
Розкладіть розрив на елементи: що зникло, що залишилося, яка похибка в кожної евристики.
Відкрийте всі шість каналів одночасно, а не по черзі. Строки зберігання даних не чекають.
Для монет із приховуванням за побудовою перенесіть основне навантаження на точки конвертації й пристрої: ончейн-напрям тут допоміжний.
Позначте в звіті, які канали перевірено й з яким результатом, включно з негативним. Задокументована безрезультатна перевірка — це теж робота, і вона захищає від докору в неповноті.

Самоперевірка

Оберіть варіант — відкриється розбір усіх варіантів.

Питання 1 Кошти пішли через міст із Ethereum у BNB Chain. Захист заявляє, що ланцюг обірвано. Ваша позиція?

Правильно — другий. Міст приймає актив в одній мережі й випускає в іншій, тобто обидві сторони записані публічно. Питання лише в тому, чим підтверджується їх зв'язок: даними контракту (факт) або зіставленням часу й суми (евристика). Саме це розмежування і є відповіддю захисту.

Перший віддає позицію без потреби. Третій перекладає відповідальність на інструмент: автоматичне зіставлення — це чужа евристика, яку ви маєте вміти пояснити самі. Четвертий замінює доказування риторикою; використання мосту є законною операцією і само собою умислу не доводить.

Питання 2 Особа конвертувала кошти в Monero. Що записати в план?

Правильно — другий. Задокументовані результати в цій області досягнуті не аналізом графа, а через точки конвертації, помилки в порядку дій користувача, кореляцію часу й вилучені пристрої. Кількість легальних точок конвертації обмежена, і кожна з них — це суб'єкт, до якого можна звернутися.

Перший обіцяє те, чого протокол не дозволяє: приховування суми, сторін і зв'язків вбудоване в мережу. Третій — передчасна відмова, яка суперечить фактам: у 2026 році є задокументовані міжнародні операції з результатом. Четвертий небезпечний тим, що будує план на припущенні про наявність технології, яку публічно не підтверджено: криптографію не зламано, працює операційна робота.

Питання 3 Установлено особу, на яку зареєстровано верифікований обліковий запис, куди надійшли кошти потерпілих. Що можна написати?

Правильно — третій. Формулювання розділяє встановлене (зарахування, підтверджене реєстром) і невстановлене (обізнаність і роль). Саме така конструкція витримує перевірку.

Перший — найтяжча помилка цієї області: володіння записом не дорівнює організації схеми, а масове вербування підставних осіб є задокументованою практикою. Другий робить протилежну помилку: підставна особа має значення — вона ланка, свідок і джерело даних про організаторів. Четвертий звучить обережно, але призводить до того, що встановлений факт не фіксується вчасно; фіксувати треба одразу, просто у правильному статусі.

Питання 4 Ви встановили, що кошти проходили через міксер. Яке доказове значення має цей факт?

Правильно — другий. Факт цінний і його треба фіксувати, але він не самодостатній. Провадження щодо Tornado Cash у двох державах показали, що саме питання контролю, обізнаності й мети є найскладнішим: у США за двома тяжчими пунктами присяжні не дійшли одностайності.

Перший робить зі способу дії готовий висновок про суб'єктивну сторону. Третій недооцінює: спрямованість дії на приховування походження — саме те, що описує стаття 209 КК, тому факт має значення. Четвертий — характеристика особи замість доказування обставин; у документі такого бути не може.