Как читать блокчейн

Добро пожаловать в профессиональный трек. Здесь мы переходим от «что делать» к «как это работает изнутри». Чтобы читать блокчейн как форензик, надо уверенно владеть базовыми сущностями и уметь смотреть на живые данные в эксплорере. Для многих первая часть покажется очевидной, но именно на нечётком понимании основ строятся все дальнейшие ошибки анализа, поэтому мы пройдём и теорию, и практику на реальном адресе из нашего корпуса заморозок.

Адрес, транзакция, TxID

Адрес это счёт в сети. Транзакция это запись о переводе между адресами. TxID это уникальный хеш конкретной транзакции, её неизменный паспорт. Когда вы даёте TxID, вы даёте ссылку на событие, которое может проверить кто угодно. В форензике TxID это основная единица доказательства: не «мне кажется, что пришли деньги», а конкретный хеш, который показывает сумму, время, отправителя и получателя. Приучите себя фиксировать TxID каждой значимой операции: спор, в котором у вас есть хеш, и спор, в котором у вас скриншот, это два разных спора.

Публичность и псевдонимность

Ключевое свойство, которое надо вложить в голову: блокчейн публичный, но псевдонимный. Каждая транзакция видима навсегда, но адрес сам по себе не содержит имени. Вся форензика это преодоление разрыва между псевдонимным адресом и осмысленным выводом о природе средств. Мы делаем это через паттерны поведения и публичные метки, честно останавливаясь там, где начинаются догадки. Метка это привязка адреса к сущности: биржа, миксер, сервис. Профессионал всегда помнит источник метки и её вес, потому что публичный тег биржевого кошелька и поведенческая догадка это разные по надёжности факты. Об уровнях уверенности будет отдельный урок.

Модель UTXO против модели аккаунтов

Bitcoin работает по модели UTXO, где кошелёк это набор непотраченных выходов, а Ethereum и TRON по модели аккаунтов, где у адреса есть баланс и счётчик операций. Для работы с USDT это важно: в TRON и Ethereum адрес это устойчивая сущность с историей, и именно поэтому паспорт адреса имеет смысл. Есть и ловушка, на которой ошибаются даже опытные: возраст адреса в TRON по полю создания это дата активации аккаунта, а токены могут упасть и на неактивированный аккаунт. То есть первый перевод USDT бывает раньше формальной даты создания. Мы в движке берём возраст по самому раннему событию, чтобы не выдавать транзитный кошелёк за более молодой, чем он есть. Когда смотрите эксплорер руками, помните об этом сами.

Практика: читаем адрес в эксплорере

1. Шаг 1. Откройте эксплорер сети. Для TRON это tronscan.org, для Ethereum подойдёт etherscan.io или blockscout.com. Вставьте адрес в поиск. Мы работаем keyless: читаем те же первоисточники, что доступны каждому, без посредников и чужого скоринга.
2. Шаг 2. Прочитайте шапку адреса. Баланс нативной монеты, число транзакций, дата первой активности, тег, если сообщество или эксплорер его присвоили. Уже здесь виден профиль: тысячи операций у сервиса, десяток у личного кошелька.
3. Шаг 3. Откройте токен-переводы. Для USDT смотрите вкладку переводов TRC-20 или ERC-20, а не общий список транзакций: нас интересует движение токена. Смотрите направление, суммы, повторяемость контрагентов, темп.
4. Шаг 4. Откройте одну транзакцию по TxID. Внутри: время в UTC, отправитель, получатель, сумма, статус выполнения. Это атом доказательства, всё остальное агрегаты.
5. Шаг 5. Проверьте контрактный статус. Вот чего шапка эксплорера не покажет: заморожен ли адрес эмитентом USDT. Это состояние хранится в самом контракте, функция isBlackListed. Наш чекер читает её напрямую из контрактов на TRON, Ethereum и проверяет заморозку на Solana, плюс санкционные списки и скам-базы.

Таблица: поле эксплорера и его подводный камень

Разбор на реальном адресе

Возьмите адрес из нашего корпуса событий: TS7zC3JefPmipGZ8nZqFbSnR2JThao4W6o. Это публичный факт, не наша оценка: 25 июля 2026 года по этому адресу в контракте USDT TRC-20 прошло событие добавления в блеклист, и оно навсегда записано в сети. Теперь главный урок: откройте этот адрес в Tronscan и посмотрите на шапку. Ничего кричащего вы там не увидите: обычный адрес, история переводов, возможно остаток USDT на балансе. Эксплорер показывает состояние счёта, но не выделяет контрактный статус заморозки. Владелец такого адреса может даже не знать, что его USDT уже не двигаются. Именно поэтому шаг пять процедуры обязателен: контрактный статус проверяется отдельным запросом к контракту, и наш чекер покажет и сам факт блеклиста, и дату события из корпуса. Кстати, о масштабе явления: в нашем корпусе больше 2 300 событий заморозки, и среди адресов, которые люди реально приносили в чекер, в блеклисте оказывались 57 процентов. Люди приходят проверять именно проблемные адреса.

Типичные ошибки чтения

• Баланс как вердикт. Остаток на адресе ничего не говорит ни о чистоте, ни о владельце.
• Адрес равен кошельку, кошелёк равен человеку. У одного человека десятки адресов, у одного сервиса миллионы. Выводы о владельце из одного адреса это категория ошибок, которую мы разберём в уроке об атрибуции.
• Возраст по дате активации. В TRON так можно занизить возраст транзитного адреса и сделать неверный вывод о свежести.
• Скриншот вместо TxID. Скриншот не проверяем, хеш проверяем. В любом споре и любом пакете документов работает только второе.
• Чтение без проверки контрактного статуса. Как показывает разбор выше, самое важное состояние адреса в шапке эксплорера не отображается.

Проверьте себя

• Задание. Откройте адрес TS7zC3JefPmipGZ8nZqFbSnR2JThao4W6o в Tronscan, пройдите шаги процедуры со второго по четвёртый и выпишите: дату первой активности, число USDT-переводов в видимом окне и TxID любого одного перевода.
• Как понять, что правильно. Все три значения у вас записаны, TxID открывается в эксплорере отдельной страницей с суммой и временем, и при этом в шапке адреса вы не нашли явного указания на заморозку.
• Задание. Теперь прогоните тот же адрес через наш чекер и сравните картину.
• Как понять, что правильно. Чекер показывает статус «в блеклисте» с июльской датой события 2026 года. Разница между тем, что видно в шапке эксплорера, и контрактным статусом это и есть главный вывод урока.