Почему важен первый день
Отправка USDT в сети TRON обходится недорого, а расчёт занимает несколько минут, поэтому этот канал часто используют для перемещения доходов от мошенничества. В первые часы после кражи или после депозита на мошеннический сайт средства могут пройти через несколько промежуточных кошельков. То, что ещё можно заморозить, как правило, доступно лишь пока след свежий.
Фиксируйте транзакцию, а не снимок экрана
Для каждого перевода записывайте хеш транзакции, номер блока, временную метку блока, адреса отправителя и получателя, контракт токена и сумму. Снимок экрана обозревателя блоков — полезная подсказка, но сам по себе он не является доказательством. Заново получите каждую запись из узла, вычислите её хеш при сохранении и отметьте программное обеспечение узла и его версию, которые вы использовали.
Определите, где движение денег может остановиться
Средства становятся пригодными для действий, когда попадают в сервис, который знает своих клиентов, — на биржу, к платёжному процессору или в OTC-деск, отвечающий на законные запросы. Прослеживайте каждый хоп, пока средства не дойдут до такого депозитного адреса, и фиксируйте время их поступления. Именно этот депозитный адрес вместе с временной меткой и суммой необходим для запроса на заморозку или для сообщения в органы власти.
Ожидайте обычных обходных путей
К распространённым обходным путям относятся обмен на TRX или другие токены, мосты в другие блокчейны и цепочки «peel chain», которые дробят баланс на множество мелких переводов. Ни один из них сам по себе не прерывает трассировку, но каждый хоп требует такой же тщательности, как прямой перевод. Помечайте каждую предполагаемую связь как предполагаемую, с указанием уровня уверенности, и отделяйте её от того, что непосредственно показывает блокчейн.
Что передать в первый день
Лучше всего подходит краткий пакет: хронология инцидента, список транзакций с хешами, депозитные адреса, достигнутые на данный момент, и заявление о том, что наблюдалось и что предполагается. Продолжайте следить за оставшимися адресами: средства, которые в первый день остаются неподвижными, часто позже приходят в движение. Закономерности, описанные в этой заметке, представляют собой анонимизированные обобщённые примеры; ни один сервис, учреждение или счёт не названы.