Блок III. Актив і доказовий пакет · заняття 6 із 6
Наскрізна методика і підсумковий контроль
Збирання курсу в один алгоритм і розширена перевірка за всім матеріалом.
Мета заняття
Це заняття не додає нового матеріалу. Після нього ви маєте один робочий алгоритм на всі попередні п'ять занять, перелік точок, у яких звіт найчастіше розсипається, і перевірений контрольний список того, що звіряється перед кожним використанням матеріалу в документі.
Сім питань до кожного кроку
Весь курс зводиться до однієї послідовності. Її треба ставити не в кінці роботи, а до кожної окремої дії — інакше вона перетворюється на самоперевірку постфактум, коли виправляти вже пізно.
- Що я безпосередньо спостерігаю? Не «що це означає», а що саме записано.
- З якого джерела це одержано і як збережено? Ресурс, час доступу, формат, контрольна сума.
- Яке правило або яку евристику я застосував? Названу, з відомою похибкою.
- Які альтернативні пояснення залишаються? Перелічені, а не відкинуті мовчки.
- Який незалежний доказ підтвердить висновок? Незалежний — значить з іншого каналу, а не з другого екрана того самого типу інструмента.
- Яка правова підстава наступної дії? Чинна норма, а не законопроєкт.
- Чи зможе інша компетентна особа повністю повторити мій результат? Якщо ні — у вас оперативна інформація.
Саме сьоме питання відрізняє blockchain intelligence від належно задокументованого доказу. Усе інше — умови, за яких на нього можна відповісти «так».
Наскрізний алгоритм провадження
Кожен етап відсилає до заняття, де він розібраний. Стовпець «типова втрата» — те, що зникає назавжди, якщо етап пропущено.
| Етап | Що робимо | Заняття | Типова втрата, якщо пропустити |
|---|---|---|---|
| 1. Первинна фіксація | Повні ідентифікатори, машинний експорт, контрольна сума, джерело й час | 1 | Результат неповторюваний; матеріал не можна перевірити |
| 2. Розділення тверджень | Чотири колонки: ончейн / off-chain / евристика й label / версія | 1, 2 | Припущення потрапляють у документ як факти |
| 3. Кваліфікація й роль активу | Предмет, засіб, дохід або об'єкт легалізації | 1 | Неправильно визначений предмет доказування |
| 4. Термінове збереження | Запити про збереження всім виявленим постачальникам | 3 | Логи входів, дані пристроїв, чати підтримки — видалено за регламентом |
| 5. Трасування | Маршрут із позначеною опорою кожного ребра; метод віднесення змішаних коштів | 2 | Граф падає від одного питання про одне ребро |
| 6. Робота з розривом | Опис типу розриву; шість каналів деанонімізації одночасно | 4 | Запис «слід втрачено» закриває напрям без потреби |
| 7. Витребування | Тимчасовий доступ або правова допомога; правильна юридична особа й юрисдикція | 3 | Відповіді немає або її не можна використати |
| 8. Доведення контролю | Сукупність ознак із різних груп | 5 | Ототожнення власника запису з організатором |
| 9. Забезпечення активу | Арешт з обґрунтуванням усіх застосовних цілей; оцінка на конкретний блок | 5 | Арешт скасовано через спірну підставу |
| 10. Обшук і носії доступу | Письмова процедура, контроль двох осіб, повний запис обробки секретів | 5 | Актив недосяжний назавжди |
| 11. Доля активу | Окреме обґрунтування способу управління; виконання через компетентний орган | 5 | Рішення залишається невиконаним |
| 12. Звіт | Вісім розділів, включно з альтернативами й межами висновку | 2 | Звіт визнають упередженим або неповним |
Де звіт розсипається на перехресній перевірці
Це перелік не теоретичний. Кожен пункт — питання, яке ставлять першим, бо на ньому найчастіше є що знайти.
«Покажіть, звідки взято це ребро»
Найпростіше й найдієвіше питання. Якщо на графі є ребро без
txid, без реквізитів відповіді постачальника або без названої евристики, воно
падає — і разом із ним довіра до сусідніх ребер, які були в порядку. Профілактика:
прохід по звіту з викресленням усього, під чим немає опори (заняття 2).
«На підставі чого ви об'єднали ці адреси?»
Питання про кластеризацію. Слабкі відповіді: «так показав інструмент», «це очевидно з графа». Сильна відповідь: названа евристика, її передумови, її похибка й перевірка іншим способом. Окрема пастка: перенесення евристик UTXO-моделі на мережі з обліком за балансом (заняття 2).
«Чому саме цей метод віднесення змішаних коштів?»
Якщо метод не названий, вважайте, що ви його приховали. Якщо названий — треба пояснити вибір і показати результат перевірки другим методом. Найгірша відповідь: «стандартний» (стандартного немає).
«Що означає ця мітка і хто її поставив?»
Питання про атрибуцію. Потрібні: інструмент, версія, дата одержання атрибуції, чи оновлювалася вона. Твердження «пов'язана з протиправною діяльністю» замість «інструмент присвоїв категорію» — готова прогалина.
«Чи є у вас первинні дані, чи тільки зображення екрана?»
Без машинного експорту й контрольної суми файла звіт спирається на інтерпретацію сторонньої програми невідомої версії. Зображення екрана додається, а не замінює (заняття 1).
«На якій підставі одержано дані від іноземної компанії?»
Питання про канал. Добровільне надання за листом і відповідь на запит про правову допомогу мають різний статус, і це треба вміти пояснити без ніяковості (заняття 3).
«Хто контролював адресу в момент операції?»
Якщо відповідь спирається на одну ознаку — вона впаде. Потрібні три незалежні ознаки з різних груп, і потрібно заздалегідь знати, як кожна з них спростовується (заняття 5).
«Які версії ви перевірили й відкинули?»
Відсутність розділу про альтернативи читається як упередженість. Наявність — навпаки, підвищує довіру до решти. Це найдешевший спосіб укріпити звіт, і його пропускають найчастіше.
«Що саме ви не встановили?»
Якщо ви не назвали межі висновку самі, їх назве інша сторона — і вже як ваше упущення. Розділ про межі захищає вас особисто.
Що звіряти перед кожним використанням
Нормативна база
- Чинні редакції КК і КПК — насамперед статті 98, 100, 159–166, 170–175.
- Статус Закону № 2074-IX і законопроєкту № 10225-д: чи введено в дію, чи прийнято.
- Чинна редакція Закону № 361-IX і закону про АРМА № 772-VIII.
- Наявність підзаконного порядку реалізації віртуальних активів і методики їх оцінки.
Судова практика з курсу
- Чи не скасовані, не змінені й не оскаржені всі наведені рішення — і українські, і іноземні.
- Чи з'явилася позиція касаційного суду щодо статусу віртуального активу як речового доказу.
- Стан провадження щодо Tornado Cash у США: повторний розгляд орієнтовно планувався на жовтень 2026 року.
Міжнародні механізми
- Кількість ратифікацій Другого додаткового протоколу до Будапештської конвенції (потрібно п'ять; на квітень 2026 року — чотири) і чи ратифікувала його Україна.
- Чинність і дати застосування актів ЄС, релевантних для конкретної справи.
- Ратифікаційний стан договорів між Україною та державою виконання запиту.
Постачальники послуг
- Юридична особа, юрисдикція, чинність авторизації в реєстрі — окремо для кожної справи. Після 1 липня 2026 року частина сервісів згорнула діяльність у ЄС.
- Актуальний канал для запитів правоохоронних органів і контакт для невідкладних випадків: адреси змінюються, збережені контакти застарівають.
- Політика зберігання даних щодо категорій із коротким строком.
Інструменти й методика
- Версія аналітичної платформи й дата, на яку одержано атрибуцію.
- Чи не змінилася методика кластеризації між вашим аналізом і поданням звіту.
- Актуальні реквізити контрактів мостів і протоколів, які згадуються в справі.
- Власна процедура вилучення й зберігання носіїв доступу.
Практичний висновок: три речення, які варто пам'ятати
- Блокчейн майже ніколи не каже, хто. Він каже, що і коли. Особа з'являється тільки з off-chain даних, одержаних на законній підставі.
- Мітка інструмента — це факт про висновок інструмента, а не про адресу. Фіксуйте її саме так, і вона працюватиме на вас, а не проти.
- Звіт готовий не тоді, коли ви впевнені у висновку, а тоді, коли інша компетентна особа може повторити ваш шлях без вашої участі.
Підсумковий контроль
Вісім питань за всім курсом. Оберіть варіант — відкриється розбір усіх варіантів. Питання йдуть у логіці провадження, а не за порядком занять.
Питання 1 · фіксація
Потерпілий надав скриншот застосунку біржі й перші вісім символів txid. Перша дія?
Правильно — другий. Фрагмент хеша не є ідентифікатором: за ним неможливо ані перевірити транзакцію, ані підтвердити мережу. Робота починається з відновлення повного ідентифікатора й машинного експорту.
Перший будує все подальше на матеріалі, який не можна перевірити. Третій правильний як паралельна дія, але не як перша: ончейн-частина доступна вам одразу, і запит без точних ідентифікаторів буде або відхилений, або виконаний формально. Четвертий — помилка заняття 1: формат адреси спільний для кількох мереж.
Питання 2 · черговість Ви щойно встановили, що кошти надійшли на біржу. До кінця робочого дня три години. Що робити саме зараз?
Правильно — другий. Логіка черговості визначається не важливістю, а швидкістю зникнення. Запит про збереження зазвичай не потребує розкриття змісту й виконується швидко, тому він іде першим — ще до того, як визначено остаточний обсяг витребування.
Перший витрачає єдиний незворотний ресурс — час — на роботу, яка не зникне. Третій правильний за суттю і надто повільний як перша дія: за місяці дані з коротким строком зберігання буде видалено. Четвертий доречний, коли актив лежить на адресі й треба зберегти вартість, а не коли треба зберегти дані.
Питання 3 · трасування Аналітик подав граф із дванадцяти переходів, усі стрілки однакові. Що з ним не так?
Правильно — другий. Ребра бувають різні за природою: факт, дані постачальника, евристика, чужа мітка. Однакові стрілки змушують читача припустити однакову силу — і саме цим користується інша сторона.
Перший хибний уже тому, що частина ребер у типовому графі принципово не перевіряється в блокчейні: кластеризація й атрибуція там не записані. Третій плутає довжину з міцністю: короткий обґрунтований маршрут кращий за довгий необґрунтований. Четвертий занадто категоричний: граф корисний як ілюстрація до таблиці переходів, просто не замінює її.
Питання 4 · розрив Кошти зайшли в пул міксера. Що написати в довідці?
Правильно — другий. Розрив ламає одну конкретну властивість сліду й залишає інші. Крім того, застосування засобу приховування має самостійне значення для складу легалізації — його треба зафіксувати як обставину.
Перший закриває напрям без потреби і фактично неправдивий: канали залишаються. Третій робить готовий висновок про суб'єктивну сторону; провадження щодо Tornado Cash у двох державах показали, наскільки складно доводиться обізнаність і мета. Четвертий підміняє власний висновок чужою міткою.
Питання 5 · контроль Установлено: адреса поповнення видана обліковому запису, запис верифікований на конкретну особу, мітка інструмента підтверджує біржу. Чи достатньо для висновку про контроль над коштами?
Правильно — другий. Три ознаки з однієї групи не сильніші за одну: усі вони спростовуються тією самою версією — про підставну особу або сторонній доступ. Сила виникає від незалежності ознак, а не від їхньої кількості.
Перший — саме та помилка, через яку підставну особу називають організатором. Третій правильно оцінює мітку, але робить хибний висновок: питання не в кількості ознак, а в їхній однорідності. Четвертий перекладає тягар доказування на іншу сторону — цього робити не можна.
Питання 6 · забезпечення Слідчий суддя відмовив в арешті, зазначивши, що криптовалюта не відповідає ознакам речового доказу. Ваші дії?
Правильно — другий. Практика розійшлася саме щодо статусу речового доказу, і сподіватися виграти спір саме на цьому полі — ризиковано. Правильна тактика — перенести обґрунтування на цілі, у яких цього спору немає.
Перший сам собою слабкий: посилання на суперечливу практику рівною мірою доступне іншій стороні. Третій хибний: частина 10 статті 170 КПК прямо називає віртуальні активи. Четвертий — не правова дія, а прохання: блокування залежить від волі компанії й не замінює арешту.
Питання 7 · виконання Ухвала про арешт активів на іноземній біржі набрала законної сили. Ви надіслали її на біржу, відповіді немає. Що це означає?
Правильно — другий. Тут проходить межа між тим, що працює на практиці, і тим, що має юридичну силу. Добровільне співробітництво швидке й корисне, але може припинитися будь-коли, і саме це стане аргументом іншої сторони.
Перший помилково припускає екстериторіальну дію рішення. Третій може бути корисним технічно, але не змінює природи проблеми. Четвертий плутає технічний захід із виконанням: блокування емітентом не є процесуальним заходом і правових наслідків для власності не створює.
Питання 8 · звіт Звіт готовий, висновок обґрунтований, маршрут повний. Чого найчастіше не вистачає?
Правильно — другий. Ці два розділи найдешевші у виконанні й пропускаються найчастіше. Вони не послаблюють звіт, а роблять його захищеним: те, що ви назвали самі, вже не можна подати як ваше упущення.
Перший вирішує не ту проблему: детальніший граф без опори ребер лише збільшує площу для заперечень. Третій створює хибне відчуття перевірки, якщо обидва інструменти спираються на перетинні джерела атрибуції. Четвертий — рівно навпаки: категоричність без опори є найшвидшим способом втратити весь звіт, включно з бездоганною його частиною.