Peel chain: очистка луковицы

Peel chain («цепочка очистки», буквально «снятие кожуры луковицы») — одна из самых старых и по-прежнему рабочих техник отмывания в UTXO-сетях, прежде всего в Bitcoin. Её суть проста: крупную «грязную» сумму не выводят разом, а прогоняют через длинную вереницу адресов, на каждом шаге «отщипывая» небольшую порцию на кэшаут, а основной остаток отправляя дальше на свежий адрес. Разберём механику по косточкам, научимся видеть эту фигуру на графе и отличать её от невинной активности кошелька.

▶ Видеоурок: типологии на графе (озвучка на русском).

Откуда взялось название и в чём идея

Представьте луковицу: чтобы добраться до сердцевины, вы снимаете слой за слоем. В peel chain «сердцевина» — это основная масса похищенных или криминальных средств, а каждый «слой» — это маленький отвод (peel), который на конкретном хопе уходит в сторону: на биржу, в обменник, в OTC-сделку, на оплату товара. Атакующий не пытается спрятать всю сумму одним прыжком — он растягивает её во времени и пространстве так, чтобы ни одна отдельная транзакция не выглядела крупной и подозрительной.

Ключевая деталь механики связана с моделью UTXO (Unspent Transaction Output). В Bitcoin, когда вы тратите монеты, вход транзакции целиком «сгорает», а на выходе создаётся два (или больше) новых выхода: один — получателю (peel), второй — «сдача» (change), которая возвращается под контроль отправителя, но уже на новый адрес. Именно этот механизм сдачи делает peel chain естественной для Bitcoin: кошелёк и так плодит change-адреса при каждой трате, и злоумышленнику остаётся лишь сознательно вытянуть эту цепочку в длину и придать ей нужный ритм.

Классический peel chain: основной поток (толстая линия) идёт по цепочке change-адресов, на каждом хопе отщипывается небольшой отвод (peel) на кэшаут.

Пошаговая механика

1. Стартовый «толстый» UTXO. На старте есть один или несколько крупных выходов — результат взлома, скам-сбора, вывода с даркнет-площадки.Это исходная «луковица» целиком.
2. Первая трата с раздвоением. Создаётся транзакция: небольшой выход (peel) уходит на «точку выхода» — депозитный адрес биржи, обменника, миксера, а крупная «сдача» падает на свежий, ранее не использованный адрес того же владельца.Внешне это выглядит как обычная покупка со сдачей.
3. Повтор на новом адресе. Со свежего change-адреса снова тратят: снова маленький peel в сторону, снова крупная сдача дальше. И так десятки, иногда сотни раз.Каждый хоп удлиняет цепочку и «состаривает» происхождение.
4. Кэшаут отводов. Мелкие peel-суммы аккумулируются на разных биржах и в обменниках, часто с разных IP и на разные аккаунты (нередко дропов), где превращаются в фиат или уходят в другую сеть.Каждый отдельный вывод мал и не превышает порогов усиленного контроля.

Как распознать peel chain на графе

На визуальном графе транзакций peel chain выглядит очень характерно — как «гребёнка» или «хребет рыбы»: длинная прямая магистраль основного потока, от которой в одну сторону через равные промежутки отходят короткие «рёбра»-отводы. Вот на что смотреть предметно:

• Линейная топология без ветвления назадОсновной поток идёт «в одну сторону»: каждый адрес имеет ровно один значимый вход и один крупный выход дальше плюс маленький отвод. Нет схождения множества источников — это отличает peel chain от консолидации.
• Постоянно убывающий баланс магистралиСумма на «хребте» монотонно и понемногу уменьшается от хопа к хопу — ровно на величину отщипнутых peel и комиссий. Это ключевой числовой признак.
• Свежие одноразовые change-адресаКаждый адрес магистрали используется один раз: получил — потратил — забыт. Нулевой конечный баланс, отсутствие повторного использования.
• Ритмичность и равные отводыОтводы часто близки по размеру и идут с похожим интервалом — признак автоматизации скриптом, а не живого человека, тратящего по потребности.
• Отводы сходятся к точкам кэшаутаЕсли проследить peel-выходы, они кластеризуются на депозитных адресах бирж/обменников — то есть отщипывают не «на жизнь», а на обналичивание.

Как отличить от обычной активности

Опасность неопытного аналитика — увидеть peel chain там, где её нет. Обычные кошельки тоже плодят change-адреса и делают траты со сдачей. Разница — в системности и намерении, и её надо уметь аргументировать.

• Живой кошелёк ветвится, а не тянется в струнуРеальный пользователь получает средства из нескольких источников (зарплата, продажи, переводы) и тратит нерегулярно. Возникает «куст», а не одномерная гребёнка на десятки хопов.
• Нерегулярность сумм и времениЖивые траты разного размера и в разное время суток. Ровные отводы через ровные интервалы — маркер скрипта.
• Природа отводовУ обычного человека «отвод» — это оплата реальному мерчанту или перевод знакомому. В peel chain отводы почти всегда упираются в ликвидность: биржи, обменники, мосты, миксеры.
• Происхождение корняPeel chain по определению начинается с «плохого» источника. Если корень цепочки чист (зарплатная биржа, майнинг-пул), длинная последовательность трат — просто активный кошелёк, а не отмывание.

Итог: peel chain — это не какая-то экзотика, а рабочая лошадка отмывания в Bitcoin, эксплуатирующая штатную механику сдачи UTXO. Узнаётся по линейной «гребёнке», монотонно убывающей магистрали, одноразовым change-адресам и ритмичным отводам к точкам кэшаута. Отличить её от обычной жизни кошелька позволяет анализ ветвления, регулярности и, главное, происхождения корня. В следующем уроке разберём родственную, но топологически противоположную технику — дробление (smurfing), где вместо длинной цепочки работает широкий «веер».

Материалы носят образовательный характер.