Раздел 7 · Урок 7.4
Chain-hopping: перепрыгивание сетей и мостов
Chain-hopping («переход по цепочкам», иногда cross-chain layering) — это отмывание через смену блокчейнов: средства перегоняют из одной сети в другую через мосты (bridges) и кросс-чейн-свопы, часто меняя по дороге и сам актив. Расчёт простой: аналитик, привыкший видеть одну сеть, «теряет след» на границе, потому что в другой сети появляется формально новый токен на новом адресе. Разберём типовой маршрут ETH→мост→BSC→своп→TRON, поймём, зачем это делают, и увидим, как современные инструменты «сшивают» разорванные цепочки обратно.
Почему смена сети вообще что-то «прячет»
Каждый блокчейн — это отдельная книга учёта со своими адресами, форматами и обозревателями. Транзакция в Ethereum и транзакция в TRON не имеют общего ончейн-идентификатора: между ними нет «провода», по которому шёл бы один и тот же UTXO или один и тот же токен. Когда вы «переносите» USDT из Ethereum в TRON, физически никакой монеты через границу не проезжает — исходные средства блокируются или сжигаются на одной стороне, а эквивалент выпускается на другой. Именно этот разрыв («burn-and-mint» или «lock-and-mint») и создаёт слепое пятно: наивный трейсинг упирается в мост-контракт и не знает, какой из тысяч выходов моста на другой стороне соответствует именно вашему входу.
ETH
грязный ETH
→
Мост
lock/burn
→
BSC
mint эквивалента
→
Своп
смена актива
→
TRON
кэшаут USDT-TRC20
Типовой маршрут по шагам
- Старт в Ethereum. На адресе — «грязный» ETH или ERC-20 токен (например, украденный при взломе DeFi).Сеть прозрачна, поэтому здесь долго держать средства нельзя.
- Переход через мост в BSC. Средства заводят в мост-контракт; на стороне Ethereum они блокируются/сжигаются, на стороне BSC чеканится эквивалент.Здесь и происходит «обрыв» для наивного трейсинга.
- Своп внутри BSC. На DEX эквивалент меняют на другой актив (скажем, в USDT или в промежуточный токен), что дополнительно меняет «лицо» средств.Смена и сети, и актива за один слой — усиление запутывания.
- Ещё один мост в TRON. Оттуда — в TRON, где USDT-TRC20 дёшев в переводах и популярен для P2P-обнала.TRON часто финальная сеть кэшаута из-за дешёвых комиссий и ликвидного P2P.
- Кэшаут. В TRON средства дробят (см. урок 7.2) и выводят через P2P/обменники в фиат.Финальный отрыв от грязного корня в трёх разных книгах учёта.
Зачем перепрыгивать сети. Цель — layering (наслоение) через границы юрисдикций данных. Каждый прыжок: (1) разрывает единый граф — трейсеру нужно вручную «переклеить» вход и выход моста; (2) меняет актив, сбивая скоринг по конкретному токену; (3) переносит поток в сеть с другой ликвидностью и другими нормами кэшаута (TRON/BSC часто удобнее для обнала, чем Ethereum); (4) увеличивает число инструментов и площадок, которые расследователю нужно охватить, повышая стоимость и время дела.
Как современные инструменты «сшивают» цепочки
Разрыв на мосту — иллюзия, а не непреодолимая стена. Кросс-чейн-аналитика (Chainalysis, TRM, Elliptic, Arkham и графовые движки вроде того, что стоит за нашим аудитом) научилась восстанавливать соответствие «вход моста ↔ выход моста» с высокой уверенностью. Основные приёмы:
- Сопоставление сумм и времени (value/time matching)Через мост зашло 41.6273 токена — и через минуты на другой стороне вышло почти столько же за вычетом комиссии моста. Нестандартная сумма делает пару почти однозначной.
- Логи и события мост-контрактовМногие мосты эмитят события с идентификаторами трансфера, relayer-адресами и метаданными, прямо связывающими стороны. Это структурная «сшивка», а не догадка.
- Общие адреса и депозиты сервисовСвопы и мосты часто проходят через сервисные/депозитные адреса, которые аналитики уже кластеризовали и подписали.
- Поведенческие отпечаткиТот же кошелёк-инициатор на обеих сторонах, характерный маршрут «до/после», повторяющийся паттерн газа и таймингов — всё склеивает края.
- Единая межсетевая онтологияСовременные платформы держат данные многих сетей в одном графе, поэтому «переход» отображается как одно логическое ребро между ETH- и BSC-адресами, а не как обрыв.
Признаки chain-hopping на графе
- Поток упирается в известный мост-контрактВзаимодействие с адресом, помеченным как bridge, — и «исчезновение» потока после него.
- Быстрая последовательность мост→своп→мостСредства не задерживаются: зашли, свопнули, ушли дальше в другую сеть за минуты/часы. Транзитный, а не пользовательский почерк.
- Смена актива на каждом слоеETH→wrapped→USDT→другой токен: цель — не удобство, а разрыв скоринга по конкретной монете.
- Финализация в «дешёвой» сетиСхождение в TRON/BSC перед дроблением и P2P-кэшаутом.
- Совпадение сумм по разные стороны мостаЕсли «на глаз» вход и выход моста совпадают по величине и времени — вы уже нашли сшивку вручную.
Как отличить от легального кросс-чейна
Мосты и свопы — абсолютно нормальный инструмент: люди переносят активы ради дешёвых комиссий, доступа к DeFi в другой сети, участия в стейкинге. Отличать умысел от быта помогает контекст:
- Происхождение корняЛегальный кросс-чейн начинается с чистого источника (биржевой вывод, зарплата в стейблах). Chain-hopping растёт из «плохого» корня — взлома, скама, санкционного адреса.
- Число и скорость слоёвОбычный пользователь делает один переход и остаётся в целевой сети. Отмыватель наслаивает мост-своп-мост-своп подряд без экономического смысла.
- Задержка средствЛегальный перенос часто предшествует реальному использованию (LP, стейкинг, покупка). Транзит без остановки — маркер layering.
- ФиналНорма — средства оседают/работают. Отмывание — быстрый кэшаут после дробления.
Практический риск для пользователя. Даже добросовестный кросс-чейн может «подцепить» риск: если вы свопнули токены в пуле, куда только что зашли украденные средства, часть «тейнта» способна отразиться в скоринге. А выход из моста, известного крупными взломами, иногда сам по себе повышает риск-балл. Проверяйте не только прямого контрагента, но и происхождение актива до моста.
Итог: chain-hopping — это layering через границы блокчейнов, эксплуатирующий отсутствие общего ончейн-идентификатора между сетями и механику lock/burn-mint на мостах. Маршрут ETH→мост→BSC→своп→TRON разрывает граф, меняет актив и уводит поток в удобную для кэшаута сеть. Но разрыв мнимый: сопоставление сумм и времени, события мост-контрактов, кластеры сервисных адресов и единая межсетевая онтология позволяют «сшить» цепочку обратно. Дальше — совсем другой класс атак, где обманывают не аналитика, а самого пользователя: отравление адреса.
Материалы носят образовательный характер.