Почему биткоин не анонимен и как следователи находят владельца кошелька

Если преступник получил биткоины, перегнал их через двадцать новых адресов и спустя несколько лет вывел на биржу, след не исчез. В публичном блокчейне осталась цепочка переводов, которую можно анализировать задним числом. Сам Bitcoin почти никогда не пишет рядом с адресом имя человека, зато прекрасно сохраняет финансовые связи между адресами.

Поэтому я считаю формулировку «анонимная криптовалюта» применительно к Bitcoin просто неудачной. Точнее говорить о псевдонимности. Адрес вроде bc1q... сам по себе не раскрывает паспортные данные, но становится устойчивым техническим псевдонимом. Следователи сначала восстанавливают движение средств, затем ищут место, где псевдоним пересекся с реальным миром. Таким местом может оказаться криптобиржа, обменник, интернет-магазин, изъятый компьютер, электронная почта, IP-журнал или банковская операция.

Блокчейн видит деньги, но не видит паспорт

У Bitcoin есть необычное для платежной системы свойство. Подтвержденные транзакции базового блокчейна публичны. Можно увидеть входы, выходы, суммы, время включения транзакции в блок и последующее движение монет. Сам проект Bitcoin прямо предупреждает, что транзакции публичны и прослеживаемы, а адрес может потерять псевдонимность после связи с личностью.

Но из этого не следует, что любой адрес можно открыть в обозревателе блоков и увидеть фамилию владельца. Адрес вообще не равен кошельку. Кошелек управляет ключами и обычно создает множество адресов, причем современные программы стараются выдавать новый адрес для новых поступлений.

Движение средств в Bitcoin строится вокруг UTXO, неизрасходованных выходов предыдущих транзакций. Проще представить их как отдельные купюры. Если кошелек когда-то получил 0,2 BTC и отдельно 0,5 BTC, программа может располагать двумя UTXO, а не единой записью «баланс 0,7 BTC».

Пусть владелец хочет отправить 0,6 BTC. Кошелек может потратить оба выхода, сформировать платеж получателю, вычесть комиссию, а остаток отправить обратно владельцу как сдачу.

UTXO A ─┐
         ├─ новая транзакция ─→ получатель
 UTXO B ─┘                  └→ сдача владельцу

Для аналитика такая транзакция уже содержит информацию. Если несколько обычных входов расходуются совместно, возникает предположение, что необходимые ключи находились под общим контролем. Так работает одна из самых известных эвристик блокчейн-аналитики, которую обычно называют common-input ownership heuristic или эвристикой совместного расходования.

Следующий шаг состоит в поиске сдачи. Аналитическая система пытается определить, какой выход ушел получателю, а какой вернулся отправителю. Затем новые адреса связываются со старыми. Повторяя процедуру на тысячах транзакций, программа постепенно строит не список отдельных Bitcoin-адресов, а кластеры предполагаемого общего контроля.

Ключевое слово здесь «предполагаемого». Кластеризация не является математическим доказательством того, что все адреса принадлежат одному человеку. Один кластер вообще может соответствовать бирже, платежному сервису, организации или инфраструктуре, которой управляет множество людей.

Особенно осторожно нужно относиться к совместным транзакциям CoinJoin и PayJoin. В CoinJoin несколько независимых участников намеренно создают общую транзакцию. Механическое правило «несколько входов означают одного владельца» в таком случае способно объединить совершенно посторонних людей. PayJoin тоже специально нарушает привычное предположение о принадлежности всех входов одной стороне.

С адресами сдачи проблема похожая. Определить сдачу иногда довольно легко, но универсального признака нет. Ошибочная связь может расшириться на весь кластер и испортить дальнейший анализ. Поэтому серьезная блокчейн-криминалистика опирается не на одну эвристику, а на совокупность признаков и внешних подтверждений.

Материал посвящен легальному анализу блокчейна и устройству финансовых расследований. Законодательство своей страны, включая российское, нужно соблюдать. Подобные методы нельзя применять для несанкционированного доступа, слежки, взлома сервисов или сокрытия преступной деятельности.

Как из адреса получается фамилия

Самая важная часть расследования происходит не внутри блокчейна. Аналитик может часами строить прекрасный граф из пятисот адресов и все равно не знать, кто находится на другом конце цепочки. Настоящая деанонимизация начинается, когда один из узлов графа получает внешнюю метку.

Самый очевидный пример дает централизованная криптобиржа. Во многих юрисдикциях регулируемые поставщики криптовалютных услуг должны идентифицировать клиентов, хранить записи и выполнять антиотмывочные требования. Международные стандарты FATF также предусматривают проверку клиентов и передачу определенной информации об отправителях и получателях между регулируемыми поставщиками. При этом глобальное внедрение правил остается неполным, поэтому утверждать, что любая биржа обязательно знает паспорт каждого пользователя, нельзя.

Представим, что следователь проследил похищенные BTC до адреса, который аналитическая система уверенно относит к крупной бирже. Из блокчейна нельзя сделать вывод, что конкретный биржевой адрес принадлежит Ивану Иванову. Многие площадки используют общие горячие кошельки и собственную внутреннюю бухгалтерию.

Дальше начинает работать обычное финансовое расследование. Правоохранительный орган при наличии необходимых юридических оснований запрашивает записи сервиса. Биржа может сопоставить конкретный депозит со счетом клиента и предоставить имеющиеся регистрационные сведения, историю операций, адреса ввода и вывода, журналы входов и другие данные, которые хранит площадка.

Получается двухэтапная схема. Блокчейн отвечает на вопрос «куда пришли деньги», а внешние записи помогают ответить на вопрос «кто пользовался этим счетом».

известный преступный адрес
         ↓
 цепочка транзакций
         ↓
 кластер адресов
         ↓
 известная биржа
         ↓
 внутренний депозит
         ↓
 учетная запись клиента
         ↓
 внешние данные и другие доказательства

Иногда биржа вообще не нужна. Владелец мог однажды опубликовать адрес на сайте для пожертвований, отправить его собеседнику по электронной почте, указать в сообщении на форуме или использовать при покупке товара с доставкой. Следователь может найти адрес на изъятом компьютере или телефоне вместе с программой кошелька и ключевым материалом.

Хорошо показывает принцип дело Джеймса Чжуна. Более 50 тысяч BTC, похищенных у Silk Road еще в 2012 году, оставались скрыты почти десятилетие. Следователи сочетали криптовалютную трассировку с обычной оперативной работой. При обыске значительную часть активов нашли на устройствах в доме Чжуна, причем одноплатный компьютер с биткоинами лежал под одеялами внутри банки из-под попкорна в шкафу ванной комнаты. Цифровой след привел к физическому носителю.

Еще показательнее история AudiA6. Международная операция против сервиса прошла летом 2026 года. Американские следователи заявили, что с момента запуска через связанные кошельки прошло около 10 333 BTC стоимостью примерно $389 млн на момент соответствующих операций. Европейские органы использовали другую оценку и период наблюдений, сообщив более чем о €336 млн предполагаемого отмывания с 2022 по 2025 год. Цифры нельзя механически сравнивать, поскольку американская статистика описывает объем поступивших BTC за более широкий период, а европейская оценка относится к предполагаемому отмыванию. Для расследования использовались одновременно блокчейн-анализ и финансовые записи.

Российская практика движется в том же направлении. Росфинмониторинг использует систему «Прозрачный блокчейн». По данным ведомства, в 2025 году сервис применялся в 120 финансовых расследованиях и более чем 40 уголовных делах об отмывании преступных доходов. В августе 2026 года Росфинмониторинг сообщил еще об одном показательном эпизоде, когда анализ криптовалютных транзакций помог установить связь фигурантов дела с иностранной криптобиржей.

Почему двадцать переводов не обязательно запутывают след

Один из самых живучих мифов выглядит так. Я переведу BTC с адреса A на B, затем на C, D, E и еще десяток новых адресов, после чего происхождение монет станет невозможно определить.

Для обычного человека цепочка действительно начинает выглядеть страшно. Для программы графового анализа добавились лишь новые узлы и ребра. Если каждое перемещение представляет собой простой перевод без смешивания средств с независимыми участниками, путь может остаться совершенно очевидным.

Поэтому количество адресов само по себе не дает анонимности. Гораздо важнее структура операций.

Миксеры и CoinJoin работают серьезнее. Они не удаляют уже существующие записи из блокчейна, но способны разрушить простое соответствие между входами и выходами. После правильно построенной совместной транзакции аналитик может видеть, какие монеты вошли в операцию и какие вышли, но не всегда способен надежно доказать, какой конкретно выход соответствует конкретному входу.

Здесь я бы не повторял популярный маркетинговый тезис компаний блокчейн-аналитики о том, что «в блокчейне можно отследить все». Нельзя. Часть связей детерминирована самим протоколом, часть выводится из статистических или поведенческих признаков, а часть может остаться неопределенной. Современные исследования кластеризации также показывают, что надежность результатов заметно зависит от типа сервиса, исходных данных и того, какую именно метрику считать успешной.

Другой миф работает в обратную сторону. Иногда любой цветной граф из аналитической программы воспринимают почти как доказательство личности. Но граф показывает технические связи и предполагаемую атрибуцию. В уголовном расследовании намного сильнее выглядит сочетание нескольких независимых слоев данных. Например, блокчейн привел к бирже, биржа дала учетную запись, провайдер подтвердил IP, а на изъятом устройстве обнаружились соответствующие ключи или история кошелька.

Сетевой уровень тоже может давать подсказки. Bitcoin использует одноранговую сеть, где узлы ретранслируют неподтвержденные транзакции. Наблюдатель способен собирать сетевую телеметрию и пытаться определить источник распространения. Но первый узел, приславший транзакцию, необязательно создал ее. Транзакция могла прийти от соседнего полного узла, через Tor или другую промежуточную инфраструктуру. Поэтому IP без подтверждающих данных нельзя автоматически превращать в личность владельца кошелька.

Есть важное исключение, о котором часто забывают

Фраза «все платежи Bitcoin видны всему миру» слишком широкая. Для обычных транзакций базового блокчейна смысл верный, но существует Lightning Network.

Lightning позволяет проводить множество платежей внутри платежных каналов без записи каждого отдельного платежа в основной блокчейн. В блокчейне можно увидеть операции, связанные с открытием и закрытием каналов, но внутреннее изменение балансов не публикуется как обычная последовательность Bitcoin-транзакций.

Это не превращает Lightning в гарантированно анонимную систему. Узлы маршрутизации получают часть информации, могут использоваться сетевые данные и статистический анализ, а кастодиальный Lightning-сервис способен вести собственные журналы. Но расследование Lightning-платежа принципиально отличается от прогулки по прозрачной цепочке обычных UTXO.

Есть еще одна особенность, которая делает блокчейн неприятным противником для человека, рассчитывающего спрятаться надолго. Следователю необязательно установить личность сегодня. Публичная история не исчезает после закрытия уголовного дела или смены аналитической программы.

Адрес может оставаться неизвестным годами, а затем получить имя после утечки базы сервиса, изъятия компьютера, получения документов биржи или новой транзакции владельца. После появления такой точки привязки старую историю можно анализировать заново.

Именно поэтому самые впечатляющие криптовалютные расследования нередко напоминают археологию. Следователи возвращаются к операциям многолетней давности уже с новыми данными и обнаруживают связь, которой раньше не существовало.

Для самостоятельного изучения механики полезно сначала посмотреть собственную транзакцию в публичном обозревателе и проследить входы и выходы вручную. На SecurityLab есть отдельный разбор инструментов для отслеживания криптотранзакций. Такой эксперимент быстро показывает разницу между «вижу движение денег» и «знаю владельца денег».

Главный вывод для меня простой. Bitcoin не раскрывает личность автоматически, но и не предоставляет анонимность по умолчанию. Базовый блокчейн создает чрезвычайно подробную публичную карту движения средств. Кластеризация помогает объединять адреса, внешняя разметка показывает известные сервисы, а биржевые записи, устройства и другие традиционные доказательства связывают цифровой псевдоним с человеком.

Поэтому Bitcoin лучше воспринимать не как цифровые наличные, а как систему публичных финансовых псевдонимов. Пока псевдоним нигде не пересекся с реальной личностью, приватность может сохраняться. Одного надежного пересечения иногда хватает, чтобы спустя годы заново прочитать значительную часть финансовой истории.

Вопросы об анонимности Bitcoin