سه مفهوم مهم

ابتدا باید سه نوع آدرس را از هم جدا کنیم.

Deposit Address

آدرسی که صرافی برای دریافت دارایی از کاربران ایجاد می‌کند.

مثلاً:

User

↓

Deposit Address

Hot Wallet

کیف پول عملیاتی صرافی برای انتقال روزمره وجوه.

Deposit Addresses

↓

Hot Wallet

↓

Withdrawals

Cold Wallet

کیف پولی که معمولاً برای نگهداری بخش بزرگی از دارایی صرافی استفاده می‌شود و فعالیت کمتری دارد.

الگوی اول: تعداد زیاد ورودی

فرض کنیم یک آدرس روزانه صدها واریز دریافت می‌کند:

Wallet A → Address X

Wallet B → Address X

Wallet C → Address X

Wallet D → Address X

...

این رفتار می‌تواند با زیرساخت یک سرویس مالی سازگار باشد.

اما نمی‌توان فوراً گفت:

Address X قطعاً صرافی است.

ممکن است Payment Processor، Merchant یا سرویس دیگری باشد.

الگوی دوم: Consolidation

یکی از الگوهای رایج در زیرساخت صرافی‌ها تجمیع موجودی است.

مثلاً:

Deposit A ─┐

Deposit B ─┤

Deposit C ─┼→ Hot Wallet

Deposit D ─┤

Deposit E ─┘

این ساختار برای تحلیلگران بسیار مهم است.

اگر تعداد زیادی آدرس مرتباً موجودی خود را به یک Wallet مرکزی ارسال کنند، ممکن است نشان‌دهنده یک ساختار سرویس باشد.

الگوی سوم: Sweep

Sweep به انتقال دوره‌ای موجودی Deposit Address گفته می‌شود.

مثلاً:

12:05

User → Deposit Address

5,000 USDT

12:12

Deposit Address → Hot Wallet

4,998 USDT

Deposit Address ممکن است پس از آن تقریباً خالی شود.

اگر این رفتار بارها تکرار شود، ارزش تحلیلی بیشتری پیدا می‌کند.

رفتار Wallet شخصی چگونه است؟

کیف پول شخصی معمولاً الگوی متفاوتی دارد.

ممکن است کاربر:

1. دارایی نگه دارد
2. به چند فرد پرداخت کند
3. با DEX کار کند
4. NFT بخرد
5. Stake کند
6. Bridge استفاده کند

بنابراین رفتار می‌تواند متنوع باشد.

مثلاً:

Personal Wallet

├─ DEX

├─ Friend

├─ NFT Marketplace

├─ Bridge

└─ Exchange

در حالی که Deposit Address معمولاً عملکرد محدودتری دارد.

Balance Retention

یکی از معیارهای مهم مقدار زمانی است که موجودی در Wallet باقی می‌ماند.

فرض کنید Deposit Address همیشه:

Receive

↓

Wait 3–15 minutes

↓

Sweep

↓

Balance ≈ 0

دارد.

این الگو با Wallet شخصی که دارایی را ماه‌ها نگه می‌دارد تفاوت دارد.

تعداد Counterparty

Wallet صرافی ممکن است با تعداد بسیار زیادی آدرس تعامل داشته باشد.

برای مثال:

10,000+ unique counterparties

در حالی که یک Wallet شخصی ممکن است مجموعه محدودتری داشته باشد.

اما دوباره:

High Counterparty Count ≠ Exchange

یک Smart Contract نیز می‌تواند هزاران Counterparty داشته باشد.

نقش Smart Contract

گاهی Address مورد بررسی اصلاً Wallet معمولی نیست.

ممکن است:

DEX Router

Bridge Contract

Token Contract

Payment Contract

باشد.

قبل از هرگونه Entity Attribution باید مشخص شود آدرس:

EOA است یا Contract؟

Withdrawal Behaviour

Hot Wallet معمولاً فقط ورودی ندارد.

بلکه تعداد زیادی خروجی نیز دارد.

مثلاً:

Hot Wallet

├→ User A

├→ User B

├→ User C

├→ User D

└→ User E

اگر هزاران خروجی در بازه‌های منظم دیده شود، احتمال سرویس بودن آدرس افزایش می‌یابد.

تراکنش‌های Round Number

Walletهای صرافی گاهی مبالغ بسیار متنوعی منتقل می‌کنند:

127.83 USDT

4,891.12 USDT

62.44 USDT

18,771.91 USDT

زیرا هر خروجی ممکن است مربوط به درخواست Withdrawal متفاوتی باشد.

در مقابل، بعضی Walletهای عملیاتی انتقال‌های Round Number بیشتری دارند.

اما این معیار باید همراه سایر شواهد بررسی شود.

Gas Funding Pattern

در بعضی شبکه‌ها Deposit Address ممکن است برای انجام Sweep به Native Token نیاز داشته باشد.

در نتیجه الگویی مانند زیر دیده می‌شود:

Operational Wallet

↓

Small ETH / TRX

↓

Deposit Address

↓

Token Sweep

این رفتار در تحقیقات می‌تواند بسیار ارزشمند باشد.

مثال عملی

فرض کنید Address A:

1. 2,500 ورودی در یک هفته دارد.
2. 96٪ ورودی‌ها USDT هستند.
3. موجودی هر چند دقیقه Sweep می‌شود.
4. همه Sweepها به Address B می‌روند.
5. Address B هزاران Withdrawal دارد.

ساختار:

Users

↓

Address A / Deposit Addresses

↓

Address B

↓

Thousands of destinations

این الگو می‌تواند با معماری یک Exchange یا Custodial Service سازگار باشد.

اما برای نام‌گذاری Entity هنوز به شواهد Attribution نیاز داریم.

Clustering با Attribution فرق دارد

ممکن است تحلیل نشان دهد:

Address A

Address B

Address C

احتمالاً بخشی از یک زیرساخت واحد هستند.

اما این هنوز به معنی اثبات نام شرکت نیست.

دو مرحله وجود دارد:

مرحله اول

Behavioral Clustering

مرحله دوم

Entity Attribution

مرحله دوم به داده‌های تکمیلی نیاز دارد.

چه شواهدی Attribution را قوی‌تر می‌کند؟

برای نمونه:

1. Label معتبر از Blockchain Intelligence Platform
2. اعلام رسمی صرافی
3. آدرس منتشرشده توسط شرکت
4. Deposit Transaction تأییدشده
5. اطلاعات پرونده
6. پاسخ رسمی Compliance
7. داده‌های متعدد مستقل

هرچه تعداد منابع مستقل بیشتر باشد، Confidence بالاتر است.

اشتباه خطرناک: Deposit Address = Owner

فرض کنید دارایی سرقت‌شده به:

Exchange Deposit Address

رسیده است.

نباید نتیجه گرفت:

صاحب این Address همان مجرم است.

چرا؟

چون Deposit Address زیرساختی متعلق به صرافی است و کاربر پشت آن ممکن است شخص دیگری باشد.

در چنین مرحله‌ای اطلاعات Off-Chain اهمیت پیدا می‌کند.

On-Chain Evidence تا کجا می‌رود؟

Blockchain می‌تواند نشان دهد:

Wallet A

↓

Deposit Address X

اما معمولاً نمی‌تواند به‌تنهایی بگوید:

Account Owner:

John Doe

Passport:

...

IP Address:

...

این داده‌ها ممکن است نزد صرافی وجود داشته باشند.

به همین دلیل در پرونده‌های جدی:

On-Chain Investigation + Exchange Records

می‌توانند مکمل یکدیگر باشند.

Exchange Exposure چرا مهم است؟

رسیدن دارایی به یک Exchange می‌تواند نقطه مهمی در پرونده باشد.

زیرا ممکن است مسیر از فضای کاملاً On-Chain وارد زیرساخت Custodial شود.

برای مثال:

Stolen Funds

↓

Wallet A

↓

Wallet B

↓

Exchange Deposit

از این نقطه به بعد، دنبال کردن دارایی صرفاً از طریق Blockchain ممکن است تصویر کاملی ارائه نکند.

مدل ساده تحلیل

برای ارزیابی احتمال Exchange Wallet بودن یک آدرس می‌توان پنج بخش را بررسی کرد:

Transaction Volume

+

Counterparty Count

+

Sweep Behaviour

+

Consolidation Pattern

+

Withdrawal Pattern

سپس Attribution مستقل انجام شود.

نتیجه‌گیری

هیچ شاخص واحدی وجود ندارد که بگوید:

«این Address قطعاً متعلق به یک صرافی است.»

تحلیل حرفه‌ای بر ترکیب چند رفتار استوار است.

مواردی مانند:

1. تعداد زیاد ورودی‌ها
2. Sweep منظم
3. Consolidation
4. تعداد زیاد Counterparty
5. Withdrawalهای متعدد
6. Gas Funding
7. Balance Retention

می‌توانند احتمال سرویس بودن یک Address را افزایش دهند.

اما Behavioral Analysis نباید با Entity Attribution اشتباه گرفته شود.