Peel Chain چیست؟
آموزش شناسایی و تحلیل زنجیره لایه‌برداری در Blockchain Forensics
Peel Chain چیست؟ فرض کنید یک Wallet مقدار قابل توجهی Bitcoin در اختیار دارد و مالک آن نمی‌خواهد تمام موجودی را در یک تراکنش منتقل کند. در عوض چنین الگویی ایجاد می‌شود: Wallet A │ 10 BTC ↓ Wallet B ───→ 0.5 BTC │ 9.5 BTC ↓ Wallet C ───→ 0.7 BTC │ 8.8 BTC ↓ Wallet D ───→ 1 BTC │ 7.8 BTC ↓ Wallet E در هر مرحله مقدار کوچکی از موجودی جدا یا اصطلاحاً Peel می‌شود و بخش عمده به مرحله بعد می‌رود. به این ساختار Peel Chain گفته می‌شود.
اما از دید یک تحلیلگر Blockchain Forensics، سؤال اصلی این نیست که فقط این الگو را پیدا کند؛ سؤال مهم‌تر این است:
کدام خروجی ادامه زنجیره است و کدام خروجی واقعاً از مسیر اصلی خارج شده است؟
چرا Peel Chain در تحقیقات مهم است؟
در یک Transaction Graph ساده ممکن است هر تراکنش یک انشعاب جدید به نظر برسد.
برای مثال:
A
├── B
├── C
├── D
├── E
└── F
اما با تحلیل دقیق‌تر ممکن است مشخص شود ساختار واقعی چنین بوده:
A → B → C → D → E
↓ ↓↓ ↓
X YZ Exchange
یعنی B، C، D و E بخش اصلی یک زنجیره هستند و X، Y و Z خروجی‌های کوچک‌تر آن محسوب می‌شوند.
تشخیص این تفاوت می‌تواند مسیر Investigation را کاملاً تغییر دهد.
مفهوم UTXO را ابتدا درک کنیم
Peel Chain بیش از همه در تحلیل بلاکچین‌های مبتنی بر UTXO مانند Bitcoin اهمیت دارد.
فرض کنید Wallet دارای یک UTXO به مقدار:
10 BTC
است و قصد دارد 1 BTC ارسال کند.
تراکنش ممکن است به شکل زیر باشد:
Input
10 BTC
↓
Transaction
├── 1 BTC → Recipient
└── 8.999 BTC → Change
مقداری نیز به‌عنوان Fee مصرف می‌شود.
خروجی دوم ممکن است Change Output باشد.
در تراکنش بعدی همین Change دوباره خرج می‌شود.
اینجاست که Peel Chain شکل می‌گیرد.
مرحله اول: ورودی را مشخص کنید
تحلیل را از UTXO یا تراکنش مرتبط با پرونده آغاز کنید.
برای مثال:
TX1
Input:
15 BTC
Outputs:
0.8 BTC
14.19 BTC
در این مرحله هنوز نباید فوراً نتیجه گرفت که خروجی بزرگ‌تر Change است.
این فقط یک فرضیه تحلیلی است.
مرحله دوم: خروجی بزرگ‌تر را دنبال کنید
فرض کنیم 14.19 BTC در تراکنش بعدی خرج شود:
14.19 BTC
↓
TX2
├── 1.2 BTC
└── 12.98 BTC
و دوباره:
12.98 BTC
↓
TX3
├── 0.5 BTC
└── 12.47 BTC
حالا یک Pattern در حال شکل‌گیری است.
مرحله سوم: Pattern را به جای یک تراکنش بررسی کنید
یک تراکنش برای تشخیص Peel Chain کافی نیست.
اما وقتی بارها ساختار زیر مشاهده شود:
Large Input
↓
Small Output
+
Large Change
↓
Next Transaction
فرضیه Peel Chain قوی‌تر می‌شود.
Timing چه کمکی می‌کند؟
زمان تراکنش‌ها نیز مهم است.
مثلاً:
10:01 → TX1
10:06 → TX2
10:11 → TX3
10:17 → TX4
10:23 → TX5
فاصله‌های زمانی منظم یا نسبتاً نزدیک می‌توانند اطلاعات بیشتری درباره رفتار انتقال ارائه کنند.
اما:
Timing Similarity ≠ Common Ownership
زمان فقط یکی از شواهد است.
Peel Amount را بررسی کنید
فرض کنید:
20 BTC
↓
19.5 BTC + 0.49 BTC
19.5 BTC
↓
18.8 BTC + 0.69 BTC
18.8 BTC
↓
17.7 BTC + 1.09 BTC
در هر مرحله بخش کوچکی جدا شده است.
حالا سؤال مهم این است:
این خروجی‌های کوچک به کجا رفته‌اند؟
ممکن است بعضی از آن‌ها به:
- Exchange
- Merchant
- Wallet دیگر
- Service
- Bridge
- یا آدرس ناشناس
برسند.
همین خروجی‌ها گاهی نقاط بسیار مهم Investigation هستند.
اشتباه رایج: فقط دنبال‌کردن خروجی بزرگ
تحلیلگر ممکن است همیشه بزرگ‌ترین خروجی را دنبال کند.
اما فرض کنید:
Peel Chain
↓
0.8 BTC
↓
Exchange Deposit
همان خروجی کوچک ممکن است اولین نقطه اتصال جریان مورد بررسی به یک سرویس شناخته‌شده باشد.
بنابراین باید همزمان دو مسیر بررسی شود:
Main Chain
و
Peeled Outputs
یک جدول مناسب برای تحلیل
مرحله
Input
Peel Output
ادامه احتمالی
زمان
TX1
15 BTC
0.5 BTC
14.49 BTC
10:01
TX2
14.49 BTC
1 BTC
13.48 BTC
10:08
TX3
13.48 BTC
0.7 BTC
12.77 BTC
10:15
TX4
12.77 BTC
2 BTC
10.76 BTC
10:21
این جدول در کنار Transaction Graph بسیار خواناتر از ارائه تعداد زیادی TXID است.
Peel Chain الزاماً پولشویی نیست
این نکته بسیار مهم است.
وجود Peel Chain به‌تنهایی اثبات نمی‌کند که فرد در حال مخفی‌کردن منشأ وجوه است.
Wallet Management، پرداخت‌های دوره‌ای، سرویس‌های Custodial و ساختارهای عملیاتی نیز ممکن است رفتارهای مشابه ایجاد کنند.
بنابراین در گزارش حرفه‌ای بهتر است بنویسیم:
«توالی تراکنش‌ها الگویی سازگار با ساختار Peel Chain نشان می‌دهد.»
نه اینکه صرفاً براساس این Pattern نتیجه مجرمانه بگیریم.
چه شواهدی تحلیل را قوی‌تر می‌کند؟
Peel Chain را همراه با این عوامل بررسی کنید:
UTXO Structure
+
Amount Pattern
+
Change Behaviour
+
Timing
+
Destination Analysis
+
Address Clustering
ترکیب این داده‌ها بسیار ارزشمندتر از یک Heuristic منفرد است.
Peel Chain در گزارش قضایی
برای مخاطب غیرتخصصی لازم نیست وارد تمام جزئیات UTXO شوید.
می‌توان نوشت:
«بررسی تراکنش‌ها نشان می‌دهد بخش عمده موجودی در چند مرحله متوالی به آدرس بعدی منتقل شده و در هر مرحله بخشی از آن به آدرس دیگری جدا شده است.»
سپس نمودار:
A → B → C → D → E
↓ ↓ ↓
X Y Z
ارائه شود.
نتیجه‌گیری
Peel Chain نمونه خوبی از این واقعیت است که Blockchain Forensics صرفاً دنبال‌کردن فلش میان آدرس‌ها نیست.
تحلیلگر باید ساختار تراکنش را درک کند و تشخیص دهد:
- کدام خروجی Change احتمالی است؟
- کدام خروجی از زنجیره جدا شده؟
- زنجیره در کجا ادامه دارد؟
- خروجی‌های جداشده در نهایت به کجا می‌رسند؟
و مهم‌تر از همه، Heuristic را نباید با اثبات مالکیت اشتباه گرفت.
بلاگ‌ها و مقالات
مشاهده همه
آموزش تحلیل Transaction Logs و Event Logs در بلاکچین؛
تصور کنید در حال بررسی یک پرونده سرقت رمزارز هستید. قربانی اعلام کرده که ۵۰ هزار USDT از کیف پولش خارج شده و شناسه تراکنش را نیز در اختیار شما قرار داده است. وقتی TXID را در یک Blockchain Explorer وارد می‌کنید، با اطلاعاتی مانند فرستنده، گیرنده، زمان، کارمزد و وضعیت تراکنش مواجه می‌شوید. اما یک نکته وجود دارد: آنچه در نمای اولیه Explorer دیده می‌شود، لزوماً تمام اتفاقات داخل تراکنش نیست. یک تراکنش ممکن است با چند قرارداد هوشمند تعامل کند، چندین Token Transfer ایجاد کند و عملیات پیچیده‌ای مانند Swap یا انتقال دارایی به آدرس ثالث انجام دهد. برای بازسازی این رویدادها، تحلیلگر باید از مشاهده سطحی تراکنش عبور کند و وارد بررسی Transaction Receipt، Event Logs و Execution Trace شود.
چگونه تراکنش‌های DEX و Liquidity Pool را در تحقیقات Blockchain Forensics تحلیل کنیم؟
در یک پرونده ساده Blockchain Forensics ممکن است مسیر دارایی چنین باشد: Victim ↓ Wallet A ↓ Wallet B ↓ Exchange در چنین شرایطی دنبال‌کردن مسیر نسبتاً ساده است. اما کافی است Wallet B با یک صرافی غیرمتمرکز یا DEX تعامل کند. مسیر ناگهان به چیزی شبیه این تبدیل می‌شود: Wallet B ↓ DEX Router ↓ Liquidity Pool ↓ USDT → ETH ↓ Wallet B در این مرحله یکی از اشتباهات رایج این است که تحلیلگر تصور کند وجوه به آدرس Smart Contract منتقل شده و مسیر به پایان رسیده است. در حالی که در بسیاری از موارد، دارایی فقط تبدیل شده است. پژوهش‌های جدید حوزه Blockchain Forensics نیز نشان می‌دهند که گسترش DeFi، Bridgeها و تراکنش‌های پیچیده Smart Contract، ردگیری وجوه را از یک مسئله ساده دنبال‌کردن آدرس‌ها به تحلیل چندلایه جریان ارزش تبدیل کرده است. Doi
چگونه Timeline تراکنش‌های رمزارزی را برای یک پرونده Blockchain Forensics بسازیم؟
در بسیاری از پرونده‌های کلاهبرداری رمزارزی، اطلاعات زیادی وجود دارد اما مشکل اصلی جای دیگری است: رویدادها به ترتیب درست کنار یکدیگر قرار نگرفته‌اند. ممکن است پرونده شامل ده‌ها TXID، چند کیف پول، دو یا سه شبکه بلاکچینی، یک صرافی، یک DEX و تعداد زیادی آدرس واسط باشد. اگر این اطلاعات بدون ساختار ارائه شوند، حتی یک تحلیل فنی درست نیز می‌تواند برای مخاطب گیج‌کننده باشد. یکی از مؤثرترین روش‌ها برای حل این مشکل، ساخت Transaction Timeline است. Timeline به زبان ساده پاسخ می‌دهد: چه اتفاقی، در چه زمانی، برای چه مقدار دارایی و میان چه آدرس‌هایی رخ داده است؟
چگونه تراکنش‌های Cross-Chain و Bridge را در بلاکچین ردیابی کنیم؟
در گذشته، ردیابی یک تراکنش رمزارزی معمولاً با دنبال‌کردن مسیر یک آدرس در یک شبکه مشخص انجام می‌شد. برای مثال، اگر وجوه روی شبکه TRON جابه‌جا می‌شد، تحلیلگر می‌توانست از یک Explorer مانند TRONSCAN شروع کند و انتقال‌های بعدی را بررسی کند. اما امروز بسیاری از فعالیت‌های رمزارزی محدود به یک بلاکچین نیستند. یک دارایی ممکن است ابتدا روی Ethereum قرار داشته باشد، سپس از طریق یک Bridge به شبکه دیگری منتقل شود و در نهایت از یک صرافی غیرمتمرکز، کیف پول شخصی یا صرافی متمرکز عبور کند. اینجاست که Cross-Chain Tracing اهمیت پیدا می‌کند. تحقیقات منتشرشده در سال ۲۰۲۶ نیز نشان می‌دهد که تحلیل تراکنش‌های Cross-Chain از تحلیل تک‌زنجیره‌ای دشوارتر است، زیرا اطلاعات مربوط به یک انتقال ممکن است میان زنجیره مبدأ، زنجیره مقصد و حتی سیستم‌های خارج از زنجیره توزیع شده باشد.
