Межі keyless-форензики: що ви не маєте права стверджувати

Цей урок про професійну чесність, і він практичніший, ніж здається. Висновок, у якому немає жодного твердження, яке не можна перевірити, витримує будь-яку перевірку. Висновок, у якому факт змішаний зі здогадом, розсипається від одного грамотного питання, і разом з ним розсипається довіра до всієї вашої роботи. Навчитись бачити цю межу важливіше, ніж знати ще пʼять патернів.

Три рівні тверджень

Що ми можемо стверджувати як факт

• Стан блеклісту смарт-контракту USDT на момент перевірки. Це бінарне значення у самому контракті.
• Дату події блокування, коли вона є у нашому корпусі подій контракту. Наш корпус налічує 2312 заморозок, 1414 на TRON і 898 на Ethereum, плюс 278 розморозок і приблизно 564 мільйони доларів знищеного обсягу.
• Збіг зі списком OFAC і з он-чейн санкційним оракулом, з переліком мереж, у яких перевірка проводилась.
• Наявність адреси у зовнішній базі скам і фішинг-адрес.
• Фактові параметри адреси: вік за першою активністю, баланс, кількість унікальних відправників, співвідношення входу і виходу, конкретні перекази з їхніми хешами.

Що ми даємо як обґрунтовану думку

• Поведінкові патерни з попереднього уроку і те, що вони нагадують.
• Виведену атрибуцію депозитних адрес за домінантою потоку.
• Кластеризацію за спільним фінансуванням газу.
• Ознаку хабу за високим степенем у нашому власному індексі. Це сигнал степеня, а не назва сутності.
• Оцінку exposure: яка частка обігу торкалась ризикових категорій і на якій відстані в хопах.

У кожному з цих випадків формулювання містить підставу. Не «це депозитна адреса Binance», а «профіль відповідає депозитній адресі, оскільки понад 80 відсотків вихідного потоку йде на її помічений гаманець, атрибуція виведена». Читач має бачити, звідки взявся висновок, і мати можливість з ним не погодитись.

Чого ми не стверджуємо взагалі

• Особу власника адреси. Блокчейн псевдонімний. Привʼязка до людини робиться не он-чейн, а через дані сервісу, і робить її не аналітик, а процедура.
• Намір. Дані показують рух коштів, а не мету людини. Слово «відмивання» це юридична кваліфікація, і форензик її не виносить.
• Гарантію чистоти. Про це нижче окремо, бо просять саме це.
• Тотожність адрес у різних мережах без окремого підтвердження.
• Повний склад кластера. На keyless-даних ми не бачимо пропрієтарних кластерів комерційних систем і не вдаємо, що бачимо.

Різниця з пропрієтарними системами

Тут потрібна пряма мова, бо на цьому будується довіра. Топові комерційні платформи роками збирали власні кластери, які привʼязують мільйони адрес до названих сутностей. Ці бази закриті, і саме вони дають глибину, якої на публічних даних досягти неможливо. У нас цього немає.

Що є натомість. Ми читаємо першоджерело без посередників: стан контракту, санкційні джерела, публічні мітки, історію переказів. Усе, що ми стверджуємо, ви можете перевірити самі, і в цьому сила: наш висновок відтворюваний. Плюс у нас є дані, яких немає в чужих базах: власний корпус подій блеклісту USDT з датами, краудсорс скарг на P2P-скамерів у СНД і власний граф, який росте з кожною перевіркою. Ми не глибші за пропрієтарні системи. Ми прозоріші і ближчі до реального регіонального потоку.

Наша практична глибина це два достовірні хопи плюс трасування за домінантним потоком, а не пʼять вигаданих. Коли слід губиться, ми пишемо, що він губиться. Ця фраза у звіті коштує дорожче, ніж красива схема з невідомим ступенем достовірності.

Як відповідати на прохання гарантувати чистоту

Це питання ви почуєте від кожного другого клієнта і від кожного контрагента, який хоче перекласти на вас ризик. Відповідь має бути готова.

1. Назвіть, що саме перевірено: контракт, санкційні джерела, скам-бази, патерни, з датою.
2. Назвіть результат простими словами: маркерів ризику не виявлено нашими джерелами на цю дату.
3. Назвіть межу одним реченням: відсутність маркерів це не гарантія чистоти, свіжий скам ще не потрапив у бази, а частина міток нам недоступна.
4. Запропонуйте те, що реально знижує ризик: датований сертифікат перевірки, повний звіт, повторний скрин перед великою угодою.

Людині, яка наполягає на слові «гарантія», варто сказати прямо: гарантію чистоти не дає жоден інструмент у світі, включно з найдорожчими, і той, хто її дає, або не розуміє предмет, або продає вам ілюзію. Досвід показує, що після такої відповіді довіри стає більше, а не менше.

Формулювання, які варто вивчити

Типові помилки

• Підвищувати впевненість під тиском клієнта. Клієнт хоче почути «чисто», і спокуса реальна. Один такий висновок, спростований потім, коштує репутації більше, ніж усі чесні висновки до нього.
• Ховати межу в кінці документа дрібним текстом. Межа має стояти поруч із висновком, а не в примітках.
• Плутати відсутність даних із доведеною чистотою. Це різні речі, і саме тому ми маємо окрему сіру зону для адрес, про які просто мало відомо.
• Називати виведену атрибуцію підтвердженою. Одне слово «виведена» відрізняє коректний звіт від вразливого.

Перевірте себе

• Завдання. Візьміть свій попередній висновок по будь-якій адресі і промаркуйте кожне речення однією з трьох міток: факт, обґрунтована думка, здогад.
• Як зрозуміти, що правильно. Здогадів у фінальному тексті бути не повинно взагалі, а кожна обґрунтована думка має містити слово «оскільки» або еквівалент з названою підставою. Якщо підстави немає, це здогад у кращому одязі.
• Завдання. Напишіть свою відповідь на питання «ви гарантуєте, що ця адреса чиста» у чотири речення за схемою вище.
• Як зрозуміти, що правильно. У відповіді має бути дата, перелік перевіреного, чесна межа і конкретна пропозиція наступного кроку. Якщо в ній є слово «гарантую», перепишіть.