איך חקירת קריפטו עובדת באמת

באוגוסט 2016 נפרצה בורסת Bitfinex. יותר מ־2,000 עסקאות לא מורשות העבירו 119,754 ביטקוין לארנק שהיה בשליטת התוקף. באותו זמן השווי היה כ־71 מיליון דולר. שנים לאחר מכן, חלק גדול מהכספים עדיין היה ניתן למעקב על גבי הבלוקצ'יין.

זה אחד המקרים שממחישים בצורה הטובה ביותר איך חקירת קריפטו עובדת בפועל, ומה ההבדל בין מעקב אחר מטבעות דיגיטליים לבין חקירת סייבר מלאה.

הבלוקצ'יין יכול להראות לאן הכסף עבר. הוא לא אומר לבדו מי האדם ששלט בארנק או ביצע את הפעולה.

מה פורנזיקה של בלוקצ'יין יכולה להראות בפועל

בביטקוין וברוב הבלוקצ'יינים הציבוריים, ניתן לראות את היסטוריית העסקאות, הכתובות המעורבות, הסכומים והמועדים שבהם בוצעה כל העברה.

זו אחת הסיבות לכך שבלוקצ'יין הוא מקור חקירתי משמעותי. בניגוד למערכת בנקאית סגורה, חלק גדול מהמידע על תנועת הנכסים גלוי לציבור.

מה שלא מופיע על השרשרת הוא השם של האדם שמאחורי הכתובת.

כתובת ארנק היא מזהה טכני. היא אינה מחוברת מעצם קיומה לשם, דרכון, חברה או מספר טלפון.

לכן פורנזיקה של בלוקצ'יין היא רק שכבה אחת בתוך חקירת קריפטו. חוקר סייבר צריך לחבר בין תנועת הכספים לבין חשבונות, זהויות, חברות, שירותים ורשומות שנמצאים מחוץ לבלוקצ'יין.

בפועל, חקירת קריפטו משלבת שני קווי חקירה:

• מעקב על השרשרת, שממפה את תנועת הנכסים בין ארנקים ושירותים.
• חקירה מחוץ לשרשרת, שמטרתה להבין מי שולט בארנקים, אילו חשבונות קשורים לפעילות ואילו אנשים או חברות עומדים מאחוריהם.

שם בדרך כלל מתחילה התמונה האמיתית.

מה פיצח בפועל את תיק Bitfinex

בפברואר 2022 הודיע משרד המשפטים האמריקאי על תפיסה של יותר מ־94,000 ביטקוין שנגנבו בפריצה, בשווי של כ־3.6 מיליארד דולר באותה עת. Department of Justice

המעקב על הבלוקצ'יין אפשר לרשויות לעקוב אחר תנועת הכספים לאורך זמן. אבל התפיסה עצמה התאפשרה לאחר שסוכנים, במסגרת צווי חיפוש, קיבלו גישה לקבצים בחשבונות מקוונים שהכילו את המפתחות הפרטיים של הארנק שבו נשמר חלק גדול מהביטקוין.

במילים אחרות, הבלוקצ'יין סיפק את המסלול. המידע שמחוץ לבלוקצ'יין סיפק את החיבור לאדם ולשליטה בפועל.

החקירה גם חשפה שיטות הלבנת הון שכללו שימוש בזהויות בדויות, תוכנות אוטומטיות לביצוע עסקאות, שווקי דארקנט, בורסות קריפטו, Chain Hopping, שירותי ערבול והמרה למטבעות פרטיות. Department of Justice

זו בדיוק הסיבה שחקירת הונאת קריפטו אינה מסתכמת בהסתכלות על גרף עסקאות.

מה מקשה על מעקב אחר מטבעות קריפטו

שלושה גורמים הופכים חקירת קריפטו למורכבת יותר.

• מערבלים (Mixers ו-Tumblers) שירותי ערבול מכניסים נכסים של משתמשים רבים ומוציאים נכסים אחרים, במטרה לטשטש את הקשר בין המקור ליעד.
  
  זה לא אומר שהמעקב תמיד נגמר. תזמון, סכומים, דפוסי שימוש ושירותים נוספים שבהם הכספים עוברים עדיין יכולים לייצר קצות חוט להמשך החקירה.
• מעבר בין רשתות Chain Hopping הוא מעבר של ערך מבלוקצ'יין אחד לאחר, לעיתים כמה פעמים.
  
  כל מעבר מוסיף שכבה נוספת לחקירה, כי צריך לעקוב אחר נכסים בין מערכות שונות, גשרים, בורסות מבוזרות וחוזים חכמים.
• מטבעות פרטיות בחלק מהרשתות מידע כמו סכום, שולח או נמען מוסתר כבר ברמת הפרוטוקול.
  
  במקרים כאלה היכולת לעקוב אחר תנועת הכספים עשויה להיפגע משמעותית, ולעיתים להיעצר עד שהנכס חוזר לסביבה שבה ניתן לזהות שוב את התנועה.

הונאות קריפטו רבות משתמשות בדיוק בשכבות האלה כדי להקשות על איתור הכספים ועל חיבורם לזהות אמיתית.

איפה עקבת הבלוקצ'יין פוגשת את העולם האמיתי

כל חקירת קריפטו מחפשת בסופו של דבר נקודת חיבור בין כתובת דיגיטלית לבין אדם, חברה או שירות בעולם האמיתי.

בדרך כלל זו יכולה להיות בורסה שמבצעת הליך זיהוי לקוח, חשבון מסחר, תשלום על שירות, כתובת שפורסמה בעבר, חשבונית, חשבון משתמש או מידע דיגיטלי אחר שניתן לקשור לארנק.

בישראל ובעולם, גם רשויות משתמשות בניתוח ארנקים ובהצלבת מידע כדי לזהות תשתיות מימון ולפעול נגד נכסים דיגיטליים. ביולי 2026, למשל, משרד הביטחון דיווח על זיהוי עשרות ארנקי קריפטו שהיו חלק מתשתית מימון של משמרות המהפכה ושלוחותיה. NTBCTF

כאשר המטרה היא איתור נכסים דיגיטליים, החקירה מנסה לזהות את הארנקים, השירותים והנקודות שבהן ניתן לקשור את הפעילות לאדם, לחברה או לחשבון מסוים.

כאשר מדובר בכספים שנגנבו, ניתן להוסיף גם שכבה של איתור כספים וניסיון לזהות היכן הם נמצאים כיום.

למה אפשר לצפות באופן מציאותי

חקירת קריפטו יכולה במקרים רבים לבסס:

• לאן עברו הכספים.
• אילו ארנקים קיבלו אותם.
• אילו בורסות או שירותים היו מעורבים.
• אילו כתובות קשורות זו לזו.
• האם קיימת נקודת חיבור בין הפעילות הדיגיטלית לבין אדם או חברה.
• אילו נכסים דיגיטליים נוספים קשורים לפעילות.
• אילו כיווני חקירה עדיין פתוחים.

אבל חשוב להפריד בין איתור הכספים לבין השבת הכספים.

חקירה יכולה לזהות לאן הגיע נכס. החזרה שלו לבעלים עשויה לדרוש פנייה לבורסה, הליך משפטי, צו או פעולה במדינה שבה פועל השירות הרלוונטי.

ולפעמים גם צריך לומר את הדבר הפחות נוח: אם הכספים עברו למערכת שמסתירה את העקבה ולא חזרו לנקודה שניתן לזהות, ייתכן שלא יהיה ניתן להמשיך את המעקב בשלב הזה.

שירות מקצועי צריך לומר את זה לפני שהוא מוכר ללקוח חודשים של חקירה.

ממעקב בבלוקצ'יין לחקירת סייבר

UnderWave משלבת מעקב בבלוקצ'יין עם חקירת סייבר, OSINT ומודיעין דיגיטלי כדי להבין מה עומד מאחורי שובל העסקאות.

הבדיקה יכולה לחבר בין ארנקים, חשבונות, זהויות, חברות, שירותי קריפטו, פעילות מקוונת ורשומות נוספות, כאשר המידע והראיות תומכים בקשר ביניהם.

הממצאים מתועדים יחד עם מזהי העסקאות, כתובות הארנקים, המקורות והמידע שעליו נשענת ההערכה.

במקרים של הונאות קריפטו, גניבת נכסים דיגיטליים או חקירת הונאה ברשת, המטרה אינה רק לצייר את המסלול על הבלוקצ'יין. המטרה היא להבין מי או מה נמצא בקצה שלו.

מתי כדאי לפנות לחוקר סייבר בנושא קריפטו?

כאשר יש כתובת ארנק, מזהה עסקה, חשבון בורסה או תיעוד אחר אבל לא ברור לאן הכסף עבר, מי שלט בו או האם ניתן להמשיך את המעקב, חוקר סייבר יכול לבחון את המסלול ואת המידע שמחוץ לשרשרת.

כדאי לשמור כבר בתחילת הדרך:

• כתובות ארנקים.
• Transaction IDs.
• שמות משתמש וחשבונות.
• התכתבויות עם הגורם המעורב.
• צילומי מסך.
• כתובות דוא"ל ומספרי טלפון.
• קבלות או אישורי העברה.
• מידע מהבורסה או מהארנק שבו נעשה שימוש.

ככל שהחומר נשמר מוקדם יותר, קל יותר לבנות ציר זמן ולבדוק את הקשרים בין העסקאות לבין הפעילות מחוץ לבלוקצ'יין.