Blockchain (łańcuch bloków) to nic innego jak wielka, jawna księga rachunkowa. Wyobraźmy sobie ogromny zeszyt, w którym zapisywana jest każda operacja: kto, komu i ile przesłał. Ten zeszyt jest publiczny – każdy może do niego zajrzeć przez Internet. Co ważne, raz zapisanej strony nie da się wymazać ani podmienić. Dlatego mówimy, że blockchain jest „niezmienialny”.

Różne łańcuchy to jak różne kraje z własną walutą

Tu dochodzimy do sedna. Nie istnieje jeden, jedyny blockchain. Jest ich wiele i działają niezależnie od siebie. Najbardziej znane to Bitcoin oraz Ethereum. Są też inne, na przykład BNB Chain, Tron, Solana czy Polygon.

Każdy z tych łańcuchów to osobny świat. Można je porównać do różnych krajów, z których każdy ma własną walutę i własny system bankowy. W Polsce płacimy złotówkami, w Czechach koronami, a w strefie euro – euro. I co istotne to to, że złotówki nie wydamy bezpośrednio w czeskim sklepie. Najpierw trzeba ją wymienić.

Tak samo jest z łańcuchami. Środki, które „żyją” w sieci Ethereum, nie zadziałają same z siebie w sieci Solana. Łańcuchy się nie znają i nie rozmawiają ze sobą. Każdy prowadzi własną, oddzielną księgę. I właśnie tę lukę sprawcy wykorzystują do mylenia tropów.

Po co komu most?

Skoro łańcuchy się nie znają, to jak przenieść środki z jednego do drugiego? Służy do tego właśnie most.

Most to program, a dokładniej tzw. inteligentny kontrakt, czyli automatyczny program działający na blockchainie, który łączy dwie różne sieci. Działa jak punkt wymiany albo jak firma kurierska, która odbiera paczkę w jednym kraju i wydaje ją w drugim.

Najważniejsze, żeby zrozumieć jedną rzecz – środki fizycznie NIE przechodzą z łańcucha na łańcuch. Tak naprawdę nic nigdzie nie przepływa w dosłownym sensie.

Jak działa most? Analogia ze skarbcem i kwitem

Wyobraźmy sobie, że mamy sztabkę złota i chcemy przenieść jej wartość za granicę, ale samego złota wywozić nie wolno. Co robimy?

1. Oddajemy sztabkę do skarbca (depozytu) w kraju A. Skarbiec ją zamyka i pilnuje.
2. W zamian dostajemy specjalny kwit – zaświadczenie, że nasze złoto leży bezpiecznie w skarbcu.
3. Ten kwit przewozimy do kraju B.
4. W kraju B kwit jest honorowany jak prawdziwe złoto – możemy nim płacić, bo wszyscy wiedzą, że pokrycie leży w skarbcu w kraju A.

Dokładnie tak działa najczęstszy typ mostu. W żargonie nazywa się to „zablokuj i wyemituj” (z ang. lock and mint).

Po kolei:

• Użytkownik wpłaca na przykład swoje monety z sieci Ethereum do mostu. Most je blokuje – zamyka w skarbcu.
• W tym samym momencie most tworzy (emituje) taką samą ilość nowych monet w drugiej sieci, na przykład w BNB Chain.
• Te nowe monety to tzw. token opakowany (z ang. wrapped token). To właśnie nasz „kwit”. Ma taką samą wartość jak pierwowzór, bo w skarbcu leży pełne pokrycie.

Gdy ktoś chce wrócić z powrotem, proces się odwraca, token opakowany zostaje zniszczony (ang. burn, czyli spalony), a oryginalne monety w pierwszej sieci zostają odblokowane.

Drugi popularny typ mostu działa jak dwa kantory. W sieci A ktoś wpłaca pieniądze do jednego „kantoru”, a w sieci B inny „kantor” wypłaca równowartość ze swojego zapasu. Taki zapas nazywa się pulą płynności (z ang. liquidity pool – po prostu zbiór środków gotowych do wymiany). Dla śledczego efekt jest podobny: po jednej stronie pieniądze wpływają, a po drugiej „wypływają” zupełnie inne monety.

Trzeba też wiedzieć, że most mostowi nierówny. Niektóre mosty prowadzone są przez znane firmy, które przechowują „skarbiec” i za niego odpowiadają – to tzw. mosty scentralizowane (czyli zarządzane przez jeden, konkretny podmiot). Inne działają w pełni automatycznie, bez nadzoru jakiejkolwiek firmy – to tzw. mosty zdecentralizowane (czyli bez jednego właściciela, oparte wyłącznie na samodzielnie działającym programie). Z punktu widzenia śledztwa różnica jest istotna. Przy moście prowadzonym przez firmę można niekiedy zwrócić się do niej z oficjalnym zapytaniem, podobnie jak do giełdy. Przy moście w pełni automatycznym takiego adresata zwykle nie ma – wtedy pozostaje nam dokładna analiza zapisów w obu księgach.

Dlaczego to problem dla śledczego?

Wróćmy do analogii ze skarbcem. Z punktu widzenia osoby śledzącej ruchy na blockchainie wygląda to tak:

• W sieci Ethereum widzimy, że pieniądze ofiary trafiły na adres sprawcy, a stamtąd na adres mostu. I... trop się urywa. W tej księdze nic dalej się nie dzieje – środki weszły do skarbca.
• W zupełnie innej księdze, w sieci BNB Chain, w podobnym czasie pojawiają się „znikąd” nowe monety na jakimś adresie. To ten sam pieniądz, tylko w nowej postaci i w nowej sieci.

Problem polega na tym, że te dwa zdarzenia zapisane są w dwóch różnych, niepołączonych ze sobą księgach. Nie ma między nimi żadnego automatycznego odnośnika. To tak, jakby walizka z gotówką wjechała do tunelu w Warszawie, a podobna walizka wyjechała z innego tunelu w Pradze – ale nigdzie nie jest napisane, że to ta sama walizka.

Sprawcy często przechodzą przez kilka mostów i kilka sieci jeden po drugim, żeby maksymalnie zagmatwać drogę. Takie przeskakiwanie między łańcuchami nosi nawet swoją nazwę (z ang. chain hopping).

Jak mimo to śledzić przepływ? To jest możliwe

Dobra wiadomość: most nie czyni pieniędzy niewidzialnymi. Trop nie znika – on tylko przenosi się do innej księgi. Trzeba jedynie wiedzieć, gdzie i czego szukać. Oto najważniejsze metody.

1. Adresy mostów są znane. Mosty to popularne, publiczne usługi. Ich adresy – te „skarbce” – są powszechnie znane i opisane. Jeśli widzimy, że środki sprawcy trafiły na adres znanego mostu, od razu wiemy, że nastąpiło przejście do innej sieci. To nie ślepy zaułek, lecz drogowskaz wskazujący, gdzie szukać dalej.
2. Korelacja czasu i kwoty. To najważniejsze narzędzie. Skoro most po jednej stronie zablokował na przykład 10 000 monet, to po drugiej stronie w bardzo zbliżonym czasie pojawi się mniej więcej taka sama kwota (most pobiera tylko niewielką prowizję). Szukamy więc w drugiej sieci operacji o podobnej wartości i podobnym czasie. Jak w analogii z walizkami: jeśli walizka wjechała do tunelu o 14.00 i ważyła 8 kg, a z drugiego tunelu o 14.05 wyjechała walizka 8 kg – to bardzo prawdopodobnie ta sama.
3. Eksploratory łańcucha. To darmowe strony internetowe (tzw. przeglądarki blockchaina, z ang. explorer), na których można wpisać adres lub numer transakcji i zobaczyć wszystkie operacje. Dla każdej sieci jest osobny eksplorator. Wpisując numer transakcji (z ang. TXID, skrót od transaction identifier), zobaczymy szczegóły: kto, komu, ile i kiedy przesłał.
4. Token opakowany jako wskazówka. Jeśli w nowej sieci widzimy „token opakowany” – często jego nazwa zaczyna się od litery „W” (od wrapped) – to mocny sygnał, że środki przyszły tam właśnie przez most.
5. Profesjonalne narzędzia analityczne. Wyspecjalizowane firmy tworzą pro-gramy, które automatycznie łączą przepływy przechodzące przez mosty i wiele sieci. Policja oraz biegli często z nich korzystają, bo ułatwiają to, co ręcznie bywa bardzo żmudne.
6. Cel końcowy: giełda. To kluczowa sprawa. Prędzej czy później sprawca chce zamienić kryptowalutę na zwykłe pieniądze. Robi to najczęściej na giełdzie. A legalna giełda wymaga rejestracji i potwierdzenia tożsamości – jest to tzw. procedura KYC (z ang. know your customer, czyli „poznaj swojego klienta”). Dlatego nawet jeśli sprawca przeszedł przez pięć mostów, ale na końcu trafił na giełdę, to właśnie tam można ustalić jego dane – kierując do tej giełdy oficjalne zapytanie.

Most a mikser – to nie to samo

Warto rozróżnić dwa pojęcia, które bywają mylone. Most służy do przeniesienia środków między sieciami i sam w sobie nie jest narzędziem przestępczym – korzystają z niego codziennie miliony zwykłych użytkowników. Czym innym jest mikser (z ang. mixer lub tumbler, czyli mieszarka). To usługa stworzona wprost po to, by celowo wymieszać środki wielu osób i zatrzeć powiązanie między wpłatą a wypłatą. Można to porównać do wrzucenia własnych banknotów do wspólnego worka z banknotami setek innych ludzi, a następnie wyjęcia „jakichś” banknotów o tej samej wartości – nikt już nie udowodni, które z nich były czyje.

Sprawcy nierzadko łączą jedno z drugim: najpierw mieszają środki w mikserze, a potem przeprowadzają je przez most do innej sieci. Dla śledczego oznacza to, że trzeba najpierw rozpoznać, z którym mechanizmem ma się do czynienia, ponieważ każdy zostawia inne ślady i wymaga innego podejścia. Most przenosi wartość i pozostawia czytelny punkt przejścia, który można odnaleźć w drugiej księdze. Mikser dodatkowo rozprasza środki, co utrudnia – choć nie zawsze uniemożliwia – ich połączenie.

Przykład krok po kroku

Prześledźmy fikcyjną, ale typową sprawę.

Pan Kowalski padł ofiarą fałszywej platformy inwestycyjnej i przelał równowartość 50 000 zł w kryptowalucie. Biegły zabezpiecza dane i ustala kolejne kroki.

Krok 1. W sieci Ethereum widać, że środki od pana Kowalskiego trafiły na adres sprawcy (nazwijmy go adresem A).

Krok 2. Z adresu A pieniądze idą na adres znanego mostu.

W eksploratorze sieci Ethereum widać, że to usługa przenosząca środki do sieci BNB Chain. W tym miejscu trop w księdze Ethereum się kończy.

Krok 3. Biegły przechodzi do eksploratora drugiej sieci – BNB Chain. Szuka operacji z tego samego dnia i o zbliżonej wartości. Znajduje informację, że kilka minut później na adresie B pojawia się równowartość około 49 700 zł (mniej o prowizję mostu). To z bardzo dużym prawdopodobieństwem te same środki.

Krok 4. Z adresu B pieniądze po kilku „przeskokach” między kolejnymi adresami trafiają w końcu na adres należący do dużej giełdy. Adresy giełd również są znane i opisane.

Krok 5. Biegły rekomenduje skierowanie do tej giełdy oficjalnego zapytania. Giełda, dysponując danymi rejestracyjnymi swoich klientów, może wskazać, kto jest właścicielem konta, na które wpłynęły środki.

W ten sposób mimo przejścia przez most i zmiany sieci droga środków została odtworzona od ofiary aż do punktu, w którym można ustalić konkretną osobę.

O czym pamiętać w praktyce

Na koniec kilka praktycznych wskazówek dla osób prowadzących takie sprawy:

• Zabezpieczaj numery transakcji (TXID) i adresy. To podstawowe współrzędne, bez których nie da się niczego odtworzyć. Najlepiej w formie tekstu do skopiowania, a nie tylko zdjęcia ekranu.
• Notuj, o którą sieć chodzi. Ten sam adres albo podobna kwota mogą występować w wielu sieciach. Zawsze zapisuj nazwę łańcucha (Ethereum, BNB Chain itd.).
• Zwracaj uwagę na czas. Przy mostach to właśnie czas i kwota są kluczem łączącym dwie różne księgi.
• Działaj szybko. Środki na giełdzie można czasem zablokować, ale tylko zanim sprawca zdąży je wypłacić. Liczy się każda godzina.
• W skomplikowanych sprawach możesz skorzystać z usług biegłego lub policyjnych ekspertów. Ręczne śledzenie przez kilka mostów bywa bardzo pracochłonne. Biegły lub policyjny ekspert z odpowiednimi narzędziami zrobi to szybciej i pewniej.

Podsumowanie

Most międzyłańcuchowy to narzędzie, które przenosi wartość z jednej sieci kryptowalutowej do drugiej. Robi to, blokując środki w jednej księdze i tworząc ich odpowiednik – „kwit” – w drugiej. Dla sprawcy jest to sposób na zerwanie ciągłości tropu. Ale dla świadomego śledczego most nie jest ścianą nie do przejścia. To po prostu miejsce,

w którym trzeba przesiąść się z jednej księgi do drugiej, kierując się czasem, kwotą oraz znanymi adresami usług. A ponieważ na końcu drogi prawie zawsze stoi giełda wymagająca potwierdzenia tożsamości, cierpliwa i metodyczna analiza przepływów bardzo często prowadzi do ustalenia konkretnego człowieka.

Najpopularniejsze mosty międzyłańcuchowe

Poniżej krótko opisujemy pięć często spotykanych mostów. To tylko przykłady – rynek szybko się zmienia, a najważniejsze jest rozpoznanie samego mechanizmu, a nie konkretnych nazw.

• Wormhole – popularny most łączący różne sieci, w tym jedną z najczęściej używanych „przepraw” między sieciami Ethereum i Solana. Warto wiedzieć, że to także jeden z mostów, które w przeszłości padły ofiarą głośnego włamania – w 2022 r. skradziono z niego środki warte setki milionów dolarów. Pokazuje to, że same mosty bywają również celem przestępców, a nie tylko ich narzędziem.
• Across Protocol – most ceniony za szybkość, używany głównie do przenoszenia środków w obrębie ekosystemu Ethereum, w tym do tzw. sieci warstwy drugiej (czyli „nakładek” przyspieszających i obniżających koszty działania Ethereum, takich jak Arbitrum, Base czy Optimism). Często spotykany, gdy sprawca przenosi środki między blisko powiązanymi sieciami.
• Relay.link – most nastawiony na błyskawiczne przenoszenie środków i ich jednoczesną wymianę między kilkudziesięcioma sieciami (obejmuje także na przykład Bitcoin, Solana i Tron). Działa w modelu, w którym pośrednik – tzw. relayer – natychmiast „wykłada” środki po drugiej stronie, dzięki czemu cała operacja trwa zwykle kilka sekund. Tak duża szybkość sprawia, że pieniądze potrafią zmienić sieć w mgnieniu oka.
• Arbitrum Bridge – oficjalny most łączący sieć Ethereum z siecią Arbitrum (jedną z popularnych „nakładek” warstwy drugiej, obniżających koszty działania Ethereum). Działa klasycznie: blokuje środki po stronie Ethereum i wydaje ich odpowiednik po stronie Arbitrum. Co istotne dla analizy, powrót środków z Arbitrum z powrotem na Ethereum jest celowo opóźniony i trwa około siedmiu dni, co bywa widoczne w zapisie transakcji.
• Bridgers (bridgers.ai) – można potocznie nazwać mostem międzyłańcuchowym, choć dokładniej jest to narzędzie do swapów i transferów cross-chain, który automatycznie szuka najlepszej drogi przeniesienia środków i potrafi przy okazji zamienić jedną walutę cyfrową na inną. Łączy bardzo dużą liczbę sieci i walut, działając bez przechowywania pieniędzy użytkownika. Połączenie przeniesienia z wymianą oraz szeroki wybór walut mogą dodatkowo utrudniać śledzenie.

Damian dejewski,

Michał bielański,

asp. DANIEL MACHCZYŃSKI