Как читать ончейн-данные: базовый гайд для не-программистов

В феврале 2025 года хакеры вывели с биржи Bybit $1,4 млрд. Злоумышленники начали перемещать монеты через десятки промежуточных адресов. Однако следователи и аналитики в реальном времени отслеживали каждый их шаг — публично, прямо в блокчейне, без единого судебного ордера.

Всё это возможно благодаря ончейн-данным (on-chain data), и они доступны каждому, кто умеет их читать.

Вам не нужно быть программистом, знать SQL или платить тысячи долларов за аналитические терминалы. Базовые ончейн-метрики отображаются в виде обычных графиков — нужно лишь разобраться, что именно они означают.

Чтобы читать ончейн-данные, не нужно писать код. Для каждого блокчейна существуют бесплатные и публичные поисковики — блокчейн-эксплореры. Они работают как Google, но ищут только внутри распределенного реестра.

Самые популярные из них:

Всё, что вам нужно для старта — это скопировать адрес кошелька или хэш транзакции и вставить его в поисковую строку эксплорера.

Когда вы введете данные в поисковую строку, перед вами откроется страница с кучей цифр и английских терминов. Для базового анализа достаточно понимать всего три вещи:

1. Адрес кошелька (Address)

Это публичный номер счета. В эксплорере вы всегда можете увидеть:

2. Хэш транзакции (TxID / TxHash)

Это уникальный паспорт любого перевода. Если вы покупаете что-то за крипту или отправляете деньги другу, этот хэш — ваше главное доказательство. В нем критически важно проверять три строчки:

3. Комиссия сети (Transaction Fee / Gas)

Плата майнерам или валидаторам за обработку вашей операции. Из ончейн-данных по комиссиям можно понять, насколько сеть сейчас загружена. Если комиссия (Gas Price) аномально высокая, значит, в этот момент миллионы людей одновременно совершают сделки, и лучше переждать этот пик, чтобы не переплачивать.

1. Стартовая точка — адрес или TxID.

Даже простая визуализация позволяет увидеть один базовый факт: любая транзакция — это часть маршрута, а не самостоятельное событие. При открытии адреса пользователь видит его текущий баланс, последнюю активность и хронологию операций. Уже на этом уровне можно обнаружить первые подсказки: связи с крупными сервисами, необычные интервалы между транзакциями, характер распределения входов и выходов.

2. Дальше вступает в игру принцип «шаг вперед — шаг назад».

Если адрес ничего не раскрывает сам по себе, можно взглянуть на его окружение: откуда пришли средства, какие узлы встречаются чаще остальных, куда уходят активы после контакта с кошельком. Иногда одного перехода достаточно, чтобы обнаружить точку входа — например, депозит с Coinbase или централизованной биржи, который задает направление дальнейшего анализа. Иногда цепочка уходит в серию промежуточных адресов, явно созданных для запутывания следа.

При последовательном анализе можно увидеть не только «куда ушли деньги», но и узлы, на которых цепочка становится хрупкой. Иногда это адрес, через который проходят десятки связей подряд, иногда — кошелек, ведущий к сервису с повышенным риском, который часто используется в подобных схемах.

Для неспециалиста эти паттерны могут выглядеть как простые стрелки на графе, но именно они позволяют определить, стоит ли продолжать анализ или пора готовить материалы для биржи или правоохранителей.

Профессиональное расследование отличается не инструментами — а глубиной интерпретации. Там, где обычный пользователь видит «маршрут», AML-офицер КоинКит видит структуру: повторяемость действий, экономический мотив, совпадения по времени, характер распределения входов, возможное участие ботов, признаки скоординированной атаки или связи с известными криминальными кластерами.

Именно по таким признакам специалисты восстанавливают не только путь активов, но и модель поведения злоумышленника: каким сервисам он доверяет, как сокращает риск деанонимизации, какие узлы использует чаще других. Эти данные ложатся в основу обращений в CEX, международных запросов и материалов для следствия. Именно так профессионалы находят адреса участников схем, выходят на ключевые точки обналичивания и фиксируют цепочки, которые позже становятся доказательствами.

Чтобы понять, как такие разборы выглядят на практике, можно открыть несколько реальных расследований:

Каждая из этих визуализаций показывает, как из десятков фрагментов складывается цельная история движения украденных средств.

КоинКит (coinkyt.com) — инструмент, который переводит сырые ончейн-данные в понятный практический результат.

Вы вводите адрес кошелька или TxID. КоинКит:

Время проверки — 1–5 секунд. Доступно через веб-интерфейс, Telegram-бот и API.