КЕЙС 5: АНАЛИЗ КРИПТОВАЛЮТНЫХ ТРАНЗАКЦИЙ BLOCKCHAIN - РАССЛЕДОВАНИЕ ОТМЫВАНИЯ ДЕНЕГ 2026

<h2 id="sozdanie-bazy-dannyh-dlya-analiza">Создание базы данных для анализа</h2>

sqlite3 crypto_analysis.db << EOF

CREATE TABLE bitcoin_addresses (

    address TEXT PRIMARY KEY,

    balance REAL,

    first_seen INTEGER,

    last_seen INTEGER,

    transaction_count INTEGER

);



CREATE TABLE ethereum_addresses (

    address TEXT PRIMARY KEY,

    balance REAL,

    first_seen INTEGER,

    last_seen INTEGER,

    transaction_count INTEGER

);



CREATE TABLE transactions (

    tx_hash TEXT PRIMARY KEY,

    from_address TEXT,

    to_address TEXT,

    amount REAL,

    timestamp INTEGER,

    block_height INTEGER,

    currency TEXT

);

EOF

<h2 id="ustanovka-bitcoin-core-dlya-lokalnogo-analiza">Установка Bitcoin Core для локального анализа</h2>

bitcoin-cli -conf=bitcoin.conf getblockchaininfo



<h2 id="nastroyka-chainalysis-reactor">Настройка Chainalysis Reactor</h2>

reactor --config config.yaml --init



<h2 id="podklyuchenie-k-api-birzh">Подключение к API бирж</h2>

python3 -c "

import requests

import json



<h2 id="nastroyka-api-klyuchey-dlya-birzh">Настройка API ключей для бирж</h2>

exchanges = {

    'binance': 'API_KEY_BINANCE',

    'coinbase': 'API_KEY_COINBASE',

    'kraken': 'API_KEY_KRAKEN'

}

"

<h2 id="poisk-adresov-s-vysokoy-aktivnostyu">Поиск адресов с высокой активностью</h2>

bitcoin-cli listunspent | jq '.[] | select(.amount > 10) | .address'



<h2 id="analiz-tranzaktsiy-podozritelnogo-adresa">Анализ транзакций подозрительного адреса</h2>

bitcoin-cli getrawtransaction "tx_hash" true | jq '.vout[] | select(.value > 1)'



<h2 id="rezultat-pokazal-podozritelnye-adresa">Результат показал подозрительные адреса:</h2>

<h2 id="1a1zp1ep5qgefi2dmptftl5slmv7divfna-genesis-block">- 1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa (Genesis block)</h2>

<h2 id="3qjmv3qfvl9suyo34yihaf3srcw3qsinyc-podozritelnaya-aktivnost">- 3QJmV3qfvL9SuYo34YihAf3sRCW3qSinyC (подозрительная активность)</h2>

<h2 id="bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhxldwl-vysokaya-aktivnost">- bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhxldwl (высокая активность)</h2>

<h2 id="skript-dlya-otslezhivaniya-tsepochek-bitcoin">Скрипт для отслеживания цепочек Bitcoin</h2>

import requests

import json

import time



def trace_bitcoin_chain(start_address, max_depth=10):

    """Отслеживание цепочки Bitcoin транзакций"""

    visited = set()

    queue = [(start_address, 0)]

    chain_data = []

    

    while queue:

        address, depth = queue.pop(0)

        

        if depth > max_depth or address in visited:

            continue

            

        visited.add(address)

        

        # Получение транзакций адреса

        response = requests.get(f"https://blockstream.info/api/address/{address}/txs")

        transactions = response.json()

        

        for tx in transactions:

            tx_data = {

                'tx_hash': tx['txid'],

                'address': address,

                'depth': depth,

                'timestamp': tx['status']['block_time'],

                'amount': sum([out['value'] for out in tx['vout']])

            }

            chain_data.append(tx_data)

            

            # Добавление связанных адресов в очередь

            for vin in tx['vin']:

                if 'prevout' in vin:

                    prev_address = vin['prevout']['scriptpubkey_address']

                    if prev_address not in visited:

                        queue.append((prev_address, depth + 1))

    

    return chain_data



<h2 id="analiz-podozritelnogo-adresa">Анализ подозрительного адреса</h2>

suspicious_address = "3QJmV3qfvL9SuYo34YihAf3sRCW3qSinyC"

chain_data = trace_bitcoin_chain(suspicious_address)

<h2 id="poisk-tranzaktsiy-cherez-izvestnye-miksery">Поиск транзакций через известные миксеры</h2>

grep -r "mixer\|tumbler\|coinjoin" bitcoin_transactions.json



<h2 id="obnaruzheny-podozritelnye-servisy">Обнаружены подозрительные сервисы:</h2>

<h2 id="wasabi-wallet-coinjoin">- Wasabi Wallet (CoinJoin)</h2>

<h2 id="samourai-wallet-whirlpool">- Samourai Wallet (Whirlpool)</h2>

<h2 id="joinmarket">- JoinMarket</h2>

<h2 id="chipmixer">- ChipMixer</h2>

<h2 id="skript-dlya-analiza-ethereum-tranzaktsiy">Скрипт для анализа Ethereum транзакций</h2>

from web3 import Web3

import json



<h2 id="podklyuchenie-k-ethereum">Подключение к Ethereum</h2>

w3 = Web3(Web3.HTTPProvider('https://mainnet.infura.io/v3/YOUR_API_KEY'))



def analyze_ethereum_address(address):

    """Анализ Ethereum адреса"""

    balance = w3.eth.get_balance(address)

    

    # Получение транзакций

    transactions = []

    block_number = w3.eth.block_number

    

    # Анализ последних 1000 блоков

    for i in range(block_number - 1000, block_number):

        block = w3.eth.get_block(i, full_transactions=True)

        

        for tx in block.transactions:

            if tx['from'] == address or tx['to'] == address:

                transactions.append({

                    'hash': tx['hash'].hex(),

                    'from': tx['from'],

                    'to': tx['to'],

                    'value': tx['value'],

                    'gas': tx['gas'],

                    'block_number': i

                })

    

    return {

        'address': address,

        'balance': balance,

        'transactions': transactions

    }



<h2 id="analiz-podozritelnogo-ethereum-adresa">Анализ подозрительного Ethereum адреса</h2>

suspicious_eth_address = "0x742d35Cc6634C0532925a3b8D4C9db96C4b4d8b6"

eth_data = analyze_ethereum_address(suspicious_eth_address)

<h2 id="poisk-vzaimodeystviy-s-defi-protokolami">Поиск взаимодействий с DeFi протоколами</h2>

grep -E "(Uniswap|Compound|Aave|MakerDAO)" ethereum_transactions.json



<h2 id="obnaruzheny-vzaimodeystviya">Обнаружены взаимодействия:</h2>

<h2 id="uniswap-v3-47-tranzaktsiy">- Uniswap V3: 47 транзакций</h2>

<h2 id="compound-23-tranzaktsii">- Compound: 23 транзакции</h2>

<h2 id="aave-15-tranzaktsiy">- Aave: 15 транзакций</h2>

<h2 id="makerdao-8-tranzaktsiy">- MakerDAO: 8 транзакций</h2>

<h2 id="ispolzovanie-monero-blockchain-explorer">Использование Monero Blockchain Explorer</h2>

monero-cli --daemon-address node.xmr.to:18081 get_transactions



<h2 id="analiz-podozritelnyh-tranzaktsiy-monero">Анализ подозрительных транзакций Monero</h2>

monero-cli --daemon-address node.xmr.to:18081 get_transaction "tx_hash"



<h2 id="rezultat-pokazal">Результат показал:</h2>

<h2 id="ispolzovanie-ring-signatures">- Использование Ring Signatures</h2>

<h2 id="stealth-addresses">- Stealth Addresses</h2>

<h2 id="ring-confidential-transactions">- Ring Confidential Transactions</h2>

<h2 id="analiz-vremennyh-patternov-monero-tranzaktsiy">Анализ временных паттернов Monero транзакций</h2>

import pandas as pd

from datetime import datetime



def analyze_monero_timing(transactions):

    """Анализ временных паттернов Monero транзакций"""

    df = pd.DataFrame(transactions)

    df['timestamp'] = pd.to_datetime(df['timestamp'], unit='s')

    

    # Анализ по часам

    hourly_pattern = df.groupby(df['timestamp'].dt.hour).size()

    

    # Анализ по дням недели

    daily_pattern = df.groupby(df['timestamp'].dt.dayofweek).size()

    

    # Поиск аномалий

    anomalies = df[df['amount'] > df['amount'].quantile(0.95)]

    

    return {

        'hourly_pattern': hourly_pattern,

        'daily_pattern': daily_pattern,

        'anomalies': anomalies

    }

<h2 id="skript-dlya-analiza-birzhevyh-operatsiy">Скрипт для анализа биржевых операций</h2>

import requests

import json



def analyze_exchange_flows(exchange_name, api_key):

    """Анализ потоков криптовалют через биржи"""

    

    # Получение данных о депозитах

    deposits_url = f"https://api.{exchange_name}.com/v1/deposits"

    headers = {'Authorization': f'Bearer {api_key}'}

    

    deposits_response = requests.get(deposits_url, headers=headers)

    deposits = deposits_response.json()

    

    # Получение данных о выводах

    withdrawals_url = f"https://api.{exchange_name}.com/v1/withdrawals"

    withdrawals_response = requests.get(withdrawals_url, headers=headers)

    withdrawals = withdrawals_response.json()

    

    # Анализ подозрительных операций

    suspicious_operations = []

    

    for deposit in deposits:

        if deposit['amount'] > 10000:  # Большие депозиты

            suspicious_operations.append({

                'type': 'large_deposit',

                'amount': deposit['amount'],

                'currency': deposit['currency'],

                'timestamp': deposit['timestamp']

            })

    

    return {

        'deposits': deposits,

        'withdrawals': withdrawals,

        'suspicious_operations': suspicious_operations

    }



<h2 id="analiz-operatsiy-na-binance">Анализ операций на Binance</h2>

binance_data = analyze_exchange_flows('binance', 'BINANCE_API_KEY')

<h2 id="poisk-svyazey-mezhdu-birzhami-i-podozrevaemymi">Поиск связей между биржами и подозреваемыми</h2>

grep -E "(KYC|AML|verification)" exchange_data.json



<h2 id="obnaruzheny-svyazi">Обнаружены связи:</h2>

<h2 id="binance-3-podozrevaemyh-proshli-verifikatsiyu">- Binance: 3 подозреваемых прошли верификацию</h2>

<h2 id="coinbase-2-podozrevaemyh-proshli-verifikatsiyu">- Coinbase: 2 подозреваемых прошли верификацию</h2>

<h2 id="kraken-1-podozrevaemyy-proshel-verifikatsiyu">- Kraken: 1 подозреваемый прошел верификацию</h2>

<h2 id="sozdanie-grafa-svyazey-mezhdu-adresami">Создание графа связей между адресами</h2>

import networkx as nx

import matplotlib.pyplot as plt



def create_crypto_graph(transactions):

    """Создание графа связей криптовалютных адресов"""

    G = nx.DiGraph()

    

    for tx in transactions:

        G.add_edge(tx['from'], tx['to'], 

                  weight=tx['amount'], 

                  currency=tx['currency'],

                  timestamp=tx['timestamp'])

    

    # Анализ центральности

    centrality = nx.betweenness_centrality(G)

    

    # Поиск ключевых узлов

    key_nodes = sorted(centrality.items(), key=lambda x: x[1], reverse=True)[:10]

    

    return G, key_nodes



<h2 id="sozdanie-grafa-dlya-vseh-kriptovalyut">Создание графа для всех криптовалют</h2>

all_transactions = bitcoin_transactions + ethereum_transactions + monero_transactions

crypto_graph, key_nodes = create_crypto_graph(all_transactions)

<h2 id="analiz-vremennyh-korrelyatsiy-mezhdu-kriptovalyutami">Анализ временных корреляций между криптовалютами</h2>

import numpy as np

from scipy import stats



def analyze_temporal_correlations(transactions_by_currency):

    """Анализ временных корреляций между криптовалютами"""

    correlations = {}

    

    currencies = list(transactions_by_currency.keys())

    

    for i, curr1 in enumerate(currencies):

        for curr2 in currencies[i+1:]:

            # Создание временных рядов

            ts1 = create_time_series(transactions_by_currency[curr1])

            ts2 = create_time_series(transactions_by_currency[curr2])

            

            # Вычисление корреляции

            correlation = stats.pearsonr(ts1, ts2)[0]

            correlations[f"{curr1}-{curr2}"] = correlation

    

    return correlations



<h2 id="analiz-korrelyatsiy">Анализ корреляций</h2>

correlations = analyze_temporal_correlations({

    'BTC': bitcoin_transactions,

    'ETH': ethereum_transactions,

    'XMR': monero_transactions

})

<h2 id="analiz-patternov-povedeniya-podozrevaemyh">Анализ паттернов поведения подозреваемых</h2>

def analyze_behavior_patterns(addresses):

    """Анализ паттернов поведения криптовалютных адресов"""

    patterns = {}

    

    for address in addresses:

        # Анализ времени активности

        activity_hours = get_activity_hours(address)

        

        # Анализ сумм транзакций

        transaction_amounts = get_transaction_amounts(address)

        

        # Анализ частоты транзакций

        transaction_frequency = get_transaction_frequency(address)

        

        patterns[address] = {

            'activity_hours': activity_hours,

            'amount_patterns': transaction_amounts,

            'frequency_patterns': transaction_frequency

        }

    

    return patterns



<h2 id="analiz-patternov-podozrevaemyh">Анализ паттернов подозреваемых</h2>

suspect_patterns = analyze_behavior_patterns(suspect_addresses)

<h2 id="poisk-svyazey-mezhdu-adresami-i-realnymi-lichnostyami">Поиск связей между адресами и реальными личностями</h2>

grep -E "(email|phone|name)" kyc_data.json



<h2 id="obnaruzheny-svyazi">Обнаружены связи:</h2>

<h2 id="adres-1a1zp1ep5qgefi2dmptftl5slmv7divfna-ivan-petrov">- Адрес 1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa -&gt; Иван Петров</h2>

<h2 id="adres-3qjmv3qfvl9suyo34yihaf3srcw3qsinyc-mariya-sidorova">- Адрес 3QJmV3qfvL9SuYo34YihAf3sRCW3qSinyC -&gt; Мария Сидорова</h2>

<h2 id="adres-bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhxldwl-aleksey-kozlov">- Адрес bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhxldwl -&gt; Алексей Козлов</h2>

<h2 id="sozdanie-vremennoy-linii-kriptovalyutnyh-sobytiy">Создание временной линии криптовалютных событий</h2>

def create_crypto_timeline(transactions):

    """Создание временной линии криптовалютных событий"""

    timeline = []

    

    for tx in transactions:

        timeline.append({

            'timestamp': tx['timestamp'],

            'currency': tx['currency'],

            'amount': tx['amount'],

            'from_address': tx['from'],

            'to_address': tx['to'],

            'exchange': tx.get('exchange', 'unknown')

        })

    

    # Сортировка по времени

    timeline.sort(key=lambda x: x['timestamp'])

    

    return timeline



<h2 id="sozdanie-obschey-vremennoy-linii">Создание общей временной линии</h2>

crypto_timeline = create_crypto_timeline(all_transactions)

<h2 id="sozdanie-vremennoy-linii-sobytiy">Создание временной линии событий</h2>

cat > crypto_money_laundering_timeline.txt << EOF

ВРЕМЕННАЯ ЛИНИЯ ОТМЫВАНИЯ ДЕНЕГ ЧЕРЕЗ КРИПТОВАЛЮТЫ



2023-03-01 - Первые Bitcoin транзакции

2023-04-15 - Начало использования миксеров

2023-06-20 - Переход на Ethereum для DeFi операций

2023-08-10 - Использование Monero для анонимности

2023-10-05 - Массовые операции через биржи

2023-12-15 - Пик активности ($15.2 млн за месяц)

2024-02-20 - Использование новых миксеров

2024-05-10 - Переход на стабильные монеты (USDT)

2024-07-25 - Использование кросс-чейн мостов

2024-09-30 - Попытка сокрытия следов

2024-12-20 - Последние транзакции

EOF

<h2 id="raschet-obschego-obema-otmytyh-sredstv">Расчет общего объема отмытых средств</h2>

def calculate_laundered_amounts(transactions):

    """Расчет общего объема отмытых средств"""

    total_by_currency = {}

    

    for tx in transactions:

        currency = tx['currency']

        amount = tx['amount']

        

        if currency not in total_by_currency:

            total_by_currency[currency] = 0

        

        total_by_currency[currency] += amount

    

    # Конвертация в USD (примерные курсы)

    usd_rates = {

        'BTC': 45000,

        'ETH': 3000,

        'XMR': 200,

        'LTC': 150,

        'USDT': 1

    }

    

    total_usd = 0

    for currency, amount in total_by_currency.items():

        if currency in usd_rates:

            total_usd += amount * usd_rates[currency]

    

    return total_by_currency, total_usd



<h2 id="raschet-otmytyh-sredstv">Расчет отмытых средств</h2>

currency_amounts, total_usd = calculate_laundered_amounts(all_transactions)

<h2 id="sozdanie-otcheta-o-denezhnyh-potokah">Создание отчета о денежных потоках</h2>

cat > money_flow_analysis.txt << EOF

АНАЛИЗ ДЕНЕЖНЫХ ПОТОКОВ ОТМЫВАНИЯ



ВХОДЯЩИЕ СРЕДСТВА:

- Bitcoin: 1,247 BTC ($56.1 млн)

- Ethereum: 8,456 ETH ($25.4 млн)

- Monero: 45,678 XMR ($9.1 млн)

- Litecoin: 12,345 LTC ($1.9 млн)

- Tether: 2,456,789 USDT ($2.5 млн)

ИТОГО: $95.0 млн



ОТМЫТЫЕ СРЕДСТВА:

- Через миксеры: $28.5 млн (30%)

- Через биржи: $45.8 млн (48%)

- Через DeFi: $12.7 млн (13%)

- Через кросс-чейн: $8.0 млн (9%)

ИТОГО: $95.0 млн



ЭФФЕКТИВНОСТЬ ОТМЫВАНИЯ: 100%

СРЕДНЯЯ ЦЕПОЧКА ТРАНЗАКЦИЙ: 7.3 шага

ВРЕМЯ ОТМЫВАНИЯ: 3-14 дней

EOF

<h2 id="sozdanie-itogovogo-otcheta">Создание итогового отчета</h2>

cat > crypto_money_laundering_report.txt << EOF

ОТЧЕТ О РАССЛЕДОВАНИИ ОТМЫВАНИЯ ДЕНЕГ ЧЕРЕЗ КРИПТОВАЛЮТЫ

Дата расследования: 20-31 декабря 2024

Подозреваемые: 5 человек (25-45 лет)

Тип преступления: Отмывание денег через криптовалюты



АНАЛИЗИРОВАННЫЕ КРИПТОВАЛЮТЫ:

1. Bitcoin (BTC) - основная валюта

2. Ethereum (ETH) - DeFi операции

3. Monero (XMR) - анонимные транзакции

4. Litecoin (LTC) - быстрые переводы

5. Tether (USDT) - стабильная валюта



ИЗВЛЕЧЕННЫЕ ДОКАЗАТЕЛЬСТВА:

- Криптовалютные адреса: 4,370 адресов

- Транзакции: 125,847 операций

- Использованные биржи: 23 биржи

- Миксеры: 8 сервисов смешивания

- DeFi протоколы: 12 протоколов



МЕТОДЫ ОТМЫВАНИЯ:

1. Использование миксеров и тумблеров

2. Множественные переводы через биржи

3. DeFi операции для обфускации

4. Кросс-чейн мосты

5. Использование стабильных монет



ОБЪЕМ ОТМЫТЫХ СРЕДСТВ: $95.0 млн

КОЛИЧЕСТВО ПОДОЗРЕВАЕМЫХ: 5 человек

ПЕРИОД ПРЕСТУПНОЙ ДЕЯТЕЛЬНОСТИ: 22 месяца

ДОКАЗАТЕЛЬНАЯ ЦЕННОСТЬ: 100%

EOF