ИИ ускоряет расследование кражи с Bitget

Chainalysis внедряет собственный ИИ для ускорения расследования Bitget

• После кражи $387 млн с Bitget 24 сентября следователи Chainalysis работали совместно с биржей и правоохранительными органами для отслеживания украденных активов в четырех блокчейн-сетях.
• Индивидуальная автоматизация, построенная на базе собственного ИИ, сократила сверку бриджей с более чем 20 часов до менее чем 10 минут, что позволило быстро выявлять маршруты отмывания и перемещения между сетями.
• На долю лиц, атрибутируемых КНДР, теперь приходится более $1 млрд украденных в 2026 году; продолжающийся мониторинг и маркировка адресов поддержат усилия по перехвату в ближайшие недели.

Кража, о которой Bitget сообщила на прошлой неделе, запустила круглосуточную реакцию внутри Chainalysis. Следователи понимали, что лица, атрибутируемые КНДР, быстро рассредоточат $387 млн, поэтому команда Customer Outcomes обратилась к собственному ИИ для создания индивидуальной автоматизации, соответствующей такой скорости. Ручная сверка бридж-транзакций — работа, которая обычно занимает более 20 часов — была сокращена до менее чем 10 минут, что позволило аналитикам сосредоточиться на интерпретации сложных потоков и направлении следующего этапа отслеживания.

На протяжении всей операции Chainalysis поддерживала постоянную связь с Bitget и правоохранительными партнерами, делясь информацией, полученной из меняющейся ончейн-картины. Уже проведены сотни переводов, средства перемещались между Ethereum, XRP, Zcash, Tron и в итоге Bitcoin. Граф транзакций показывает разветвленную сеть перемещений между протоколами, при этом каждая операция требует сверки для сохранения нити расследования.

Индивидуальные инструменты на агентской платформе

Использованная автоматизация не была универсальным помощником по построению графов. Следователи Chainalysis применяли агентскую платформу, которая анализирует как внутренние, так и внешние источники данных, что позволяет быстро разрабатывать решения, адаптированные к особенностям конкретного случая. Эксперты сохраняли полный контроль: они определяли логику сверки, проверяли каждый результат и принимали все стратегические решения о дальнейших направлениях анализа. Главное отличие — избавление от повторяющихся ручных задач, которые замедляли бы процесс обнаружения.

Скорость критически важна, поскольку продвинутые злоумышленники — особенно связанные с КНДР — теперь используют собственную автоматизацию для фрагментации и сокрытия украденных средств на разных сетях и протоколах. Чтобы не отставать, нужны инструменты, ускоряющие механическую работу без потери аналитического контроля над неоднозначными ончейн-шаблонами. Уже через несколько минут после выявления скомпрометированных адресов в платформе Chainalysis появлялись актуальные метки, предоставляя комплаенс-командам и правоохранителям рабочую информацию.

Картирование начальной дисперсии и дальнейшего отмывания

В первые три часа после атаки 23 перевода переместили все $387 млн на четыре блокчейна. Ethereum получил 49,7%, XRP — 40,8%, Zcash — 7,6%, Tron — 1,8%. С этих точек входа следователи выявили широкий спектр методов сокрытия: кроссчейновые протоколы ликвидности, сервисы мгновенного обмена и связи с устоявшейся инфраструктурой отмывания.

Часть, проходившая через XRP, стала особенно показательным вызовом. Вместо вывода на биржу злоумышленники провели средства через кроссчейновый протокол ликвидности и вывели Bitcoin на другой стороне. Такие протоколы позволяют пользователю внести один актив на одной сети и получить другой актив на другой, при этом аккаунты не связаны между собой. Однако каждая операция оставляет след, и следователи Chainalysis сопоставили входящие депозиты с соответствующими исходящими выплатами, воссоздав бридж, который злоумышленники считали разорванным для отслеживания.

За примерно 36 часов десятки миллионов долларов прошли через этот механизм. Следователи отследили полученные таким образом Bitcoin на адреса под контролем злоумышленников, затем продолжили отслеживание через следующие переходы с использованием дополнительных протоколов. Эта работа опиралась на более чем десятилетний массив данных по кроссчейновой атрибуции, который Chainalysis накапливала для соединения активности между сервисами, казавшимися несвязанными. Сжатая визуализация одного из фрагментов показывает, как средства быстро проходят через бриджи, миксеры и децентрализованные биржи.

Продолжающийся мониторинг и обмен информацией

Расследование продолжается. В ближайшие недели Chainalysis продолжит использовать индивидуальные инструменты для отслеживания движения средств, маркировки новых адресов и координации с биржами, эмитентами стейблкоинов и правоохранительными органами. Цель — поддержать усилия по заморозке или блокировке активов до того, как они будут выведены или станут недосягаемыми.

Метки, указывающие на украденные средства, теперь отображаются в платформе Chainalysis, предоставляя партнерам видимость любых взаимодействий со скомпрометированными адресами. Этот слой аналитики призван обеспечить возможность немедленного перехвата: комплаенс-команды могут проверять транзакции по обновленным меткам, а следователи быстро реагировать при появлении средств на отслеживаемом сервисе.

Кража с Bitget также подчеркивает более широкую тенденцию. На счету лиц, атрибутируемых КНДР, уже более $1 млрд украденной криптовалюты в 2026 году, и их темпы работы не снижаются. Злоумышленники продемонстрировали знание кроссчейновых протоколов и перевели средства через Ethereum, XRP, Zcash и Tron за считанные часы, а затем через бриджи ликвидности конвертировали XRP в Bitcoin без выхода на централизованную биржу. Каждый этап требовал от следователей сверки депозитов и выводов на разных реестрах — задача, которая была бы слишком медленной без автоматизации.

Человеческая экспертиза оставалась ключевой на всех этапах. Следователи определяли параметры сопоставления бридж-транзакций, проверяли результаты на аномалии и решали, какие зацепки прорабатывать. ИИ брал на себя рутинный анализ логов и формирование кандидатов на совпадения, а аналитики интерпретировали эти результаты и расширяли расследование на новые протоколы и кластеры адресов. Такое разделение труда позволило команде идти в ногу с противниками, которые сами использовали автоматизацию для фрагментации и рассредоточения украденных средств.

Данные по кроссчейновой атрибуции оказались незаменимыми. Chainalysis годами строила связующую инфраструктуру, позволяющую сопоставлять депозиты на одной цепочке с выводами на другой, даже если между ними нет прямого идентификатора. В этом случае именно эта инфраструктура позволила следователям проследить путь XRP через протокол ликвидности и возобновить нить расследования, когда на выходе появился Bitcoin. Без этого след бы оборвался на границе протоколов.

Расследование также подчеркнуло ценность маркировки в реальном времени. В течение нескольких минут после подтверждения, что адрес содержит украденные средства, Chainalysis добавляла метку, видимую всем пользователям платформы. Биржи, использующие системы мониторинга транзакций на данных Chainalysis, могли сразу пометить любой депозит или вывод с таких адресов, открывая возможности для заморозки активов или сбора дополнительных доказательств. Скорость маркировки напрямую влияет на окно для перехвата, и автоматизация сделала такую скорость возможной.

В дальнейшем инструменты, разработанные для этого случая, дают представление о развитии возможностей расследований. Возможность быстро создавать индивидуальную автоматизацию под конкретного злоумышленника или схему отмывания означает, что следователи могут быстро адаптироваться к смене тактики. Группы, атрибутируемые КНДР, уже проявляют готовность экспериментировать с новыми протоколами и цепочками; чтобы соответствовать такой гибкости, нужны как глубокие знания отрасли, так и инструменты, масштабируемые на несколько реестров без ручных узких мест.

Chainalysis продолжит совершенствовать автоматизацию и расширять охват отслеживаемых адресов по мере того, как средства Bitget проходят новые этапы перемещений. Сотрудничество с биржами и правоохранительными органами продолжается, и вся собранная информация будет передаваться соответствующим коллегам. Цель — сократить окно, в течение которого украденные средства могут быть обналичены, и построить более полную картину инфраструктуры, поддерживающей крупномасштабные кражи криптовалюты.