چرا یک تراکنش کافی نیست؟

فرض کنید یک آدرس تنها یک بار مقدار زیادی دارایی دریافت کرده است.

آیا این موضوع مشکوک است؟

لزوماً نه.

ممکن است:

1. انتقال شخصی باشد.
2. پرداخت تجاری باشد.
3. جابه‌جایی خزانه باشد.
4. انتقال میان کیف پول‌های یک مجموعه باشد.

اما اگر همین آدرس در مدت کوتاهی صدها انتقال مشابه انجام دهد، دارایی را مرتباً تقسیم کند و سپس به مقصدهای متعدد ارسال کند، تصویر متفاوتی شکل می‌گیرد.

بنابراین در تحلیل بلاکچین، الگو مهم‌تر از یک رویداد منفرد است.

پنج لایه اصلی تحلیل رفتار آدرس

برای بررسی حرفه‌ای یک آدرس می‌توان فعالیت آن را در چند لایه تحلیل کرد:

1. زمان
2. حجم
3. مقصد
4. نوع دارایی
5. ارتباطات

۱. تحلیل زمانی

اولین سؤال:

این آدرس چه زمانی فعال می‌شود؟

بررسی زمان می‌تواند به شناسایی الگوهای رفتاری کمک کند.

برای مثال:

1. فعالیت فشرده در چند ساعت
2. انتقال‌های منظم روزانه
3. فعالیت‌های پراکنده
4. انتقال سریع پس از دریافت دارایی

هرکدام می‌توانند در تحلیل ارزش متفاوتی داشته باشند.

البته هیچ‌کدام به‌تنهایی نشانه فعالیت غیرقانونی نیستند.

۲. تحلیل حجم

مقدار دارایی منتقل‌شده نیز اهمیت دارد.

برای مثال، آدرسی که روزانه چند تراکنش کوچک دارد، از نظر الگوی فعالیت با آدرسی که میلیون‌ها دلار را در چند مرحله منتقل می‌کند تفاوت دارد.

اما باز هم باید شرایط را در نظر گرفت.

حجم بالا به معنای فعالیت مشکوک نیست.

یک صرافی، شرکت یا پروتکل DeFi ممکن است حجم بسیار زیادی از دارایی را به شکل کاملاً قانونی مدیریت کند.

۳. تحلیل مقصدها

یکی از مهم‌ترین بخش‌های تحلیل، بررسی مقصدهای انتقال است.

اگر دارایی از آدرس A به B منتقل شود، تحلیلگر می‌تواند بررسی کند:

1. B چه نوع آدرسی است؟
2. آیا B تراکنش‌های زیادی دارد؟
3. آیا B با قرارداد خاصی تعامل می‌کند؟
4. آیا B با سرویس شناخته‌شده‌ای ارتباط دارد؟

این مرحله می‌تواند شبکه ارتباطی یک آدرس را مشخص‌تر کند.

۴. تحلیل نوع دارایی

همه تراکنش‌ها یکسان نیستند.

انتقال:

1. BTC
2. ETH
3. USDT
4. USDC
5. NFT
6. توکن‌های DeFi

می‌تواند رفتارهای کاملاً متفاوتی ایجاد کند.

برای مثال، استیبل‌کوین‌ها در بسیاری از فعالیت‌های تجاری و انتقال ارزش استفاده می‌شوند.

بنابراین صرف مشاهده انتقال یک نوع دارایی نباید باعث نتیجه‌گیری عجولانه شود.

۵. تحلیل تعامل با قراردادها

یک آدرس ممکن است فقط دارایی ارسال و دریافت نکند؛ بلکه با قراردادهای هوشمند نیز تعامل داشته باشد.

برای مثال:

Wallet → DEX

یا:

Wallet → Lending Protocol

یا:

Wallet → Bridge

شناخت نوع قرارداد می‌تواند به تحلیلگر کمک کند رفتار واقعی آدرس را بهتر درک کند.

مفهوم Transaction Velocity

یکی از شاخص‌های جالب در تحلیل رفتار، سرعت انتقال دارایی است.

فرض کنید:

10:00 → دریافت دارایی

10:03 → انتقال 80٪

10:07 → انتقال باقی‌مانده

این رفتار ممکن است ارزش بررسی داشته باشد.

اما باز هم باید تأکید کرد:

سرعت بالا به‌تنهایی اثبات‌کننده رفتار مشکوک نیست.

ممکن است یک سیستم خودکار یا سرویس پرداخت چنین رفتاری داشته باشد.

تحلیل ورودی و خروجی

یک روش مفید این است که فعالیت آدرس را به دو بخش تقسیم کنیم:

Inflow

دارایی‌هایی که وارد آدرس می‌شوند.

Outflow

دارایی‌هایی که از آدرس خارج می‌شوند.

با مقایسه این دو می‌توان فهمید آیا آدرس بیشتر:

1. دریافت‌کننده است،
2. توزیع‌کننده است،
3. نگهدارنده است،
4. یا صرفاً یک نقطه واسط در مسیر دارایی است.

ساختن Timeline

در پرونده‌های پیچیده، Timeline اهمیت زیادی دارد.

مثلاً:

09:10

دریافت دارایی

09:14

انتقال به Wallet B

09:18

تبدیل بخشی از دارایی

09:21

انتقال به Wallet C

09:35

انتقال بین‌زنجیره‌ای

این خط زمانی به تحلیلگر کمک می‌کند رابطه میان رویدادها را بهتر ببیند.

تحلیل الگو به جای تحلیل یک تراکنش

فرض کنید در یک آدرس، یک انتقال بزرگ مشاهده شده است.

نتیجه‌گیری:

«این آدرس مشکوک است.»

تحلیل حرفه‌ای‌تر می‌گوید:

«در تاریخ مشخص، انتقالی با حجم X به آدرس Y انجام شده است. بررسی سوابق نشان می‌دهد این آدرس در بازه موردنظر، الگوی مشابهی را در چند تراکنش دیگر نیز داشته است.»

تفاوت این دو جمله بسیار مهم است.

دومی بر داده و الگو تکیه دارد.

چه چیزی یک آدرس را واقعاً جالب می‌کند؟

معمولاً ترکیبی از چند عامل.

برای مثال:

1. فعالیت غیرعادی نسبت به سابقه قبلی
2. تغییر ناگهانی در حجم تراکنش
3. ارتباط جدید با چندین آدرس
4. انتقال سریع دارایی
5. تغییر نوع دارایی
6. استفاده از چند سرویس مختلف

هرکدام به‌تنهایی ممکن است کاملاً عادی باشند.

اما ترکیب آن‌ها می‌تواند ارزش بررسی بیشتری داشته باشد.

سناریوی فرضی

فرض کنید آدرسی طی شش ماه تنها چند تراکنش داشته است.

ناگهان در یک روز:

1. مقدار زیادی استیبل‌کوین دریافت می‌کند.
2. آن را به پنج آدرس تقسیم می‌کند.
3. بخشی را به یک DEX منتقل می‌کند.
4. بخشی را به شبکه دیگری می‌فرستد.
5. و چند ساعت بعد دوباره دارایی دریافت می‌کند.

این رفتار لزوماً جرم یا پول‌شویی را ثابت نمی‌کند.

اما از نظر تحلیلی، یک رفتار جدید و غیرمعمول ایجاد شده که ارزش بررسی بیشتر دارد.

اشتباه مهم: برچسب‌گذاری عجولانه

در گزارش‌های تحلیلی بهتر است از عباراتی مانند:

1. «مشکوک به نظر می‌رسد»
2. «نیازمند بررسی بیشتر است»
3. «الگوی غیرمعمول مشاهده شد»
4. «ارتباط احتمالی مشاهده شده است»

استفاده شود.

به‌جای اینکه بدون شواهد کافی گفته شود:

«این آدرس متعلق به مجرم است.»

تحلیل خوب باید میان داده و تفسیر داده فاصله مشخصی حفظ کند.

چارچوب پیشنهادی گزارش

یک گزارش حرفه‌ای می‌تواند این ساختار را داشته باشد:

بخش اول: اطلاعات پایه

آدرس، شبکه و بازه زمانی.

بخش دوم: فعالیت تراکنشی

تعداد، حجم و نوع تراکنش‌ها.

بخش سوم: ورودی‌ها

منابع دریافت دارایی.

بخش چهارم: خروجی‌ها

مقصدهای انتقال.

بخش پنجم: ارتباطات

قراردادها، سرویس‌ها و آدرس‌های مرتبط.

بخش ششم: Timeline

ترتیب زمانی رویدادهای مهم.

بخش هفتم: نتیجه‌گیری

مشاهدات، فرضیات و محدودیت‌ها.

FAQ

آیا رفتار غیرمعمول یعنی آدرس مجرمانه است؟

خیر. رفتار غیرمعمول تنها می‌تواند دلیل مناسبی برای بررسی بیشتر باشد.

آیا می‌توان مالک یک آدرس را از روی رفتار آن پیدا کرد؟

رفتار آنچین می‌تواند سرنخ ایجاد کند، اما شناسایی هویت واقعی معمولاً به اطلاعات دیگری نیز نیاز دارد.

آیا حجم تراکنش شاخص مناسبی است؟

بله، اما فقط در کنار سایر عوامل. حجم بالا به‌تنهایی نشانه تخلف نیست.

آیا تحلیل رفتار آدرس در AML کاربرد دارد؟

بله. تحلیل الگوهای تراکنشی یکی از بخش‌های مهم بررسی ریسک و جریان دارایی در بسیاری از فرآیندهای AML است.

جمع‌بندی

تحلیل رفتار یک آدرس بلاکچینی بیشتر شبیه خواندن یک داستان است تا نگاه کردن به یک جمله.

یک تراکنش فقط یک رویداد است.

اما وقتی زمان، حجم، مقصد، نوع دارایی و ارتباطات را کنار هم قرار می‌دهیم، الگو شکل می‌گیرد.

و دقیقاً همین الگوها هستند که می‌توانند به تحلیلگران کمک کنند جریان دارایی را بهتر درک و نقاط نیازمند بررسی بیشتر را شناسایی کنند.