Як читати блокчейн: практика на експлорері
Ласкаво просимо у професійний трек. Тут ми переходимо від «що робити» до «як це працює зсередини». Щоб читати блокчейн як форензик, треба впевнено володіти базовими сутностями і мати руки, які самі відкривають експлорер. У цьому уроці і те, і інше: спочатку основи, потім робоча процедура читання адреси, потім практика на реальній адресі з нашого корпусу заморозок.
Адреса, транзакція, TxID
Адреса це рахунок у мережі. Транзакція це запис про переказ між адресами. TxID це унікальний хеш конкретної транзакції, її незмінний паспорт. Коли ви даєте TxID, ви даєте посилання на подію, яку може перевірити будь-хто у світі: суму, час, відправника, отримувача. У форензиці TxID це основна одиниця доказу: не «мені здається, що прийшли гроші», а конкретний хеш. Привчіть себе ніколи не описувати переказ словами там, де можна дати хеш.
Публічність і псевдонімність
Ключова властивість, яку треба вкласти в голову: блокчейн публічний, але псевдонімний. Кожна транзакція видима назавжди, але адреса сама по собі не містить імені. Уся форензика це подолання цього розриву: як від псевдонімної адреси дійти до осмисленого висновку про природу коштів. Ми робимо це через патерни поведінки і публічні мітки, чесно зупиняючись там, де починаються здогади.
USDT це контракт, і в цьому вся механіка заморозок
USDT не «монета мережі», а токен, який живе всередині смарт-контракту. Переказ USDT це запис у книзі контракту. Блекліст це теж стан контракту: функція isBlackListed відповідає так або ні для будь-якої адреси, і відповідь може перевірити кожен. Заморозка, розморозка і знищення коштів це публічні події того самого контракту. Наш корпус зібраний саме з цих подій: 2 312 заморозок, з них 1 414 на TRON і 898 на Ethereum, 278 розморозок, знищено приблизно 564 мільйони доларів. Жодна з цих цифр не «дані з чиїхось слів»: кожна подія лежить у публічному журналі контракту, і ви можете прочитати її самі.
Процедура: як прочитати адресу в експлорері
Для TRON робочий інструмент це tronscan.org, для Ethereum це etherscan.io або blockscout.com. Порядок однаковий:
- Вставте адресу в пошук експлорера.
- Вік і активність: дата найранішого переказу. Нюанс TRON: дата створення акаунта може бути пізнішою за перший вхідний токен-переказ, бо токени падають і на неактивовані акаунти, тому вік чесно рахуйте за найранішим переказом, а не за створенням.
- Баланс: окремо нативний токен мережі, окремо USDT. Це різні речі, і плутати їх груба помилка.
- Вкладка переказів токенів з фільтром по USDT: хто шле, хто отримує, які суми, яка регулярність.
- Тег адреси, якщо є: біржові гарячі гаманці зазвичай підписані публічними мітками.
- Структура вхідних: багато дрібних переказів від різних відправників це патерн збірки, fan-in.
- Затримка коштів: якщо все, що заходить, майже одразу виходить, а баланс близький до нуля, це транзитний профіль.
Що дивитись: таблиця
| Що дивитись | Де в експлорері | Про що каже |
|---|---|---|
| Вік адреси | найраніший переказ | свіжі адреси значно частіше фігурують у скам-схемах |
| Баланс проти обігу | баланс і сума переказів | великий обіг при нульовому балансі це транзит |
| Унікальні відправники | список вхідних переказів | десятки відправників це збірка, профіль дропа чи каси |
| Тег | шапка сторінки адреси | публічна мітка сервісу, з якою працюємо обережно |
| Останній рух | дата останнього переказу | жива адреса чи покинута |
Мітки і їхня вага
Мітка це привʼязка адреси до сутності: біржа, міксер, сервіс. Без міток граф це просто хеші, з мітками він оживає. Але професіонал завжди памʼятає джерело мітки і її надійність: мітка з публічного тегу і мітка з поведінкової здогадки це різні за вагою факти. Рівням впевненості присвячено окремий урок fx-attribution, тут достатньо правила: побачили мітку, спитайте себе, звідки вона.
Що автоматизує наш чекер
Все описане вище можна робити руками, і ви маєте вміти це руками. Наш чекер автоматизує рутину: контрактний виклик isBlackListed напряму, санкційний скрин, скам-бази, скарги спільноти і паспорт фактів адреси. Показова цифра з нашої статистики: 57 відсотків адрес, які люди реально перевіряли через чекер, виявились у блеклісті, 74 зі 128. Люди приходять перевіряти вже проблемні адреси, тобто після угоди. Професійна звичка протилежна: перевіряти до.
Практика на реальній адресі
Адреса TS7zC3JefPmipGZ8nZqFbSnR2JThao4W6o заморожена емітентом, це публічний факт, зафіксований у нашому корпусі подій контракту. Це безпечна навчальна вправа: дивитися можна скільки завгодно, взаємодіяти з адресою не потрібно. Прогоніть її через чекер і подивіться, як виглядає вердикт блекліста з датою заморозки з корпусу. Потім відкрийте ту саму адресу в Tronscan і подивіться перекази до дати заморозки: як виглядала активність адреси, яку контракт зрештою заморозив.
Типові помилки
- Плутати баланс нативного токена і баланс USDT.
- Судити за балансом, а не за потоком: нуль на рахунку нічого не каже про обіг.
- Рахувати вік TRON-адреси за датою створення акаунта.
- Вірити тегу без питання про його джерело.
- Робити висновок з одного сигналу: читання адреси це завжди сукупність.
Перевірте себе
- Завдання. Перевірте адресу TS7zC3JefPmipGZ8nZqFbSnR2JThao4W6o у нашому чекері.
- Як зрозуміти, що правильно. Ви бачите статус блекліста, підтверджений станом контракту, і дату заморозки з нашого корпусу подій.
- Завдання. Відкрийте ту саму адресу в Tronscan, знайдіть перекази USDT і визначте вік адреси за найранішим переказом.
- Як зрозуміти, що правильно. Ви можете назвати вік, приблизний обіг і сказати, чи був у адреси транзитний профіль, спираючись на конкретні перекази, а не на враження.
Безкоштовна попередня оцінка кейса
Опишіть ситуацію, і ми повернемось із чесною оцінкою: що реально можливо, скільки триватиме і скільки коштує. «Гарантій розблокування» не буває: рішення ухвалює compliance.