Экспертиза криптовалютных операций и блокчейн-активов

Человек перевёл USDT на «инвестиционную платформу», личный кабинет показывал растущий доход, а при попытке вывести деньги сайт потребовал «налог» и перестал отвечать. К заявлению в полицию потерпевший приложил скриншоты и номер кошелька, на который ушли деньги. Теперь следователю, суду и самому потерпевшему нужно понять, что на самом деле произошло в блокчейне: когда и сколько переведено, через какие адреса прошли средства и в какой сервис они в итоге попали.

Экспертиза криптовалютных операций устанавливает технические факты по записям блокчейна (общедоступного реестра операций), выгрузкам бирж и обменных сервисов, файлам кошельков на телефонах и компьютерах, а при необходимости — стоимость криптовалюты на определённую дату. Для биткоина и подобных ему активов закон использует термин «цифровая валюта», но в делах чаще всего встречается стейблкоин USDT — токен, курс которого привязан к доллару. Эксперт отвечает, была ли операция, куда ушли средства и какие данные в материалах связывают адрес с устройством, учётной записью или сервисом. Правовую оценку этих фактов — кому принадлежит актив, было ли хищение и кто за него отвечает — даёт суд по совокупности доказательств.

Когда нужна экспертиза криптовалютных операций

Исследование полезно, когда спорное обстоятельство оставило след в данных: в блокчейне, в выгрузке личного кабинета биржи, в журнале входов, на телефоне или компьютере. Если у стороны нет ни адресов, ни идентификаторов транзакций, ни выгрузок, а есть только рассказ о том, что деньги «ушли в криптовалюту», эксперту исследовать нечего, пока эти данные не получит следствие или суд.

Чаще всего к экспертизе обращаются в таких ситуациях:

• потерпевший перевёл криптовалюту на поддельную биржу, «брокеру» или в инвестиционный проект, и следствию нужен маршрут средств до сервисов, которым можно направить запрос;
• с кошелька или биржевого аккаунта списаны средства, и нужно установить, какие операции совершены, когда, на какие адреса и по какой технической схеме;
• в уголовном деле о взятке, мошенничестве, легализации или незаконном обороте фигурируют переводы криптовалюты и изъятые телефоны или ноутбуки;
• в гражданском или арбитражном споре стороны расходятся в том, был ли перевод: заём выдан или погашен криптовалютой, сделка купли-продажи монет исполнена или нет, деньги получены без основания;
• банк приостановил операции по карте после продажи USDT через P2P-раздел биржи, где частные лица продают криптовалюту друг другу за рубли, и продавцу нужно показать, какие сделки он совершил и как движение рублей соотносится с ними;
• для расчёта ущерба, в деле о банкротстве или при разделе имущества нужна стоимость криптовалюты или токенов на определённую дату;
• компания подозревает, что работник выводил средства через криптовалюту или использовал корпоративные ресурсы для операций с ней;
• защите нужно проверить, на чём основаны выводы следствия о маршруте средств или принадлежности адресов.

Если спор возник вокруг инвестиционной схемы с обещанной доходностью, её экономическое устройство — откуда брались выплаты, были ли у проекта реальные доходы — исследуют в рамках экспертизы финансовых пирамид и мошеннических схем. Как криптовалюта двигалась между адресами проекта и участников, устанавливают при экспертизе криптовалютных операций, и обе задачи нередко ставят в одном деле.

Какие специалисты проводят исследование

Криптовалютная операция затрагивает сразу несколько областей знаний, поэтому специальность эксперта выбирают по поставленным вопросам. Записи блокчейна, файлы кошельков, журналы бирж и код смарт-контрактов исследует эксперт в области компьютерно-технической экспертизы. Котировку на бирже в определённый момент он устанавливает по данным торгов как факт.

Эксперт-экономист или оценщик определяет рыночную стоимость актива, цену, за которую можно было продать заявленное количество, и стоимость редких токенов. К нему же относятся финансовый результат операций и сопоставление их с движением денег по банковским счетам. Когда в одном деле нужны оба ответа — например, маршрут похищенных средств и их рыночная стоимость на дату хищения, — суд или следователь может назначить комплексную экспертизу, в которой участвуют эксперты разных специальностей. Каждый подписывает ту часть выводов, которую сделал в пределах своих знаний. Если рыночную стоимость рассчитал специалист по информационным технологиям без экономической подготовки, противоположная сторона может оспорить расчёт именно по этому основанию. Общие вопросы экономического анализа описаны на странице о финансово-экономической экспертизе.

Вывод эксперта не зависит от того, кто оплачивает исследование, и может не совпасть с позицией заказчика. Правовую позицию, выбор доказательств и тактику в процессе определяет ваш юрист. Эксперт отвечает за то, чтобы выводы были обоснованы, а ход исследования мог проверить другой специалист.

Предварительный прогноз результата

Для первого обращения достаточно описания ситуации и перечня того, что у вас есть: адресов, идентификаторов транзакций, выгрузок, скриншотов, изъятых устройств. По этому описанию специалист бесплатно определяет, подходит ли задача для экспертизы, какие объекты понадобятся и каких данных заведомо не хватает. Такой организационный разбор показывает, можно ли начинать работу, но не показывает, каким будет вывод.

Содержательный прогноз — отдельная платная работа. Его готовят на консультации, которая стоит от 20 000 ₽, или в ходе предварительного исследования переданных адресов и выгрузок. Специалист проверяет, подтверждаются ли операции в блокчейне, в какой точке маршрут средств, скорее всего, оборвётся, насколько определённым может быть вывод и какие данные нужно истребовать у бирж. Прогноз бывает благоприятным, неблагоприятным или неопределённым для вашей позиции. Неблагоприятный тоже полезен: он показывает слабые места до того, как вы потратите время и деньги на полную экспертизу, а неопределённый — каких сведений не хватает. После поступления новых данных оценка может измениться, поэтому прогноз не заменяет заключения и не гарантирует вывода. Формат и объём такой работы согласуют заранее.

После назначения судебной экспертизы действует другое правило. Эксперт не обсуждает возможный вывод ни с одной из сторон и не принимает от них материалы напрямую: вопросы, объекты и дополнительные данные поступают только через суд, следователя или дознавателя. Если специалист уже готовил для стороны прогноз или внесудебное исследование по тому же спору, суд может счесть это основанием для отвода. Поэтому, если вы собираетесь предложить суду нашу организацию, скажите об этом при первом обращении: тогда мы ограничимся организационным разбором и письмом для суда о возможности провести экспертизу.

Что эксперт может установить

Ответ эксперта опирается на данные, которые можно предъявить и перепроверить: запись в блокчейне с номером блока, выгрузку биржи из материалов дела, файл на носителе с зафиксированной контрольной суммой — цифровым отпечатком, который меняется при любом изменении файла. От того, какие из этих источников есть в деле, зависят и круг вопросов, и определённость вывода. Где проходит граница между этими фактами и их правовой оценкой, сказано в разделе о границах компетенции.

Факт, время и параметры транзакции

Каждая криптовалюта живёт в своей сети — отдельном блокчейне со своими правилами: Bitcoin, Ethereum, TRON и другие. Токены вроде USDT выпускаются поверх этих сетей, поэтому USDT существует в сетях TRON (стандарт TRC-20), Ethereum и других, и адрес без названия сети часто нельзя однозначно проверить. Идентификатор транзакции, или хеш, — строка из латинских букв и цифр, которую показывают история кошелька, выгрузка биржи и обозреватель блоков, то есть сайт для просмотра записей блокчейна. По этому идентификатору эксперт устанавливает, включена ли транзакция в блокчейн, в каком блоке, успешно ли она исполнена, с каких адресов и на какие адреса переведены средства, в каком количестве и с какой комиссией. В Ethereum и TRON транзакция может попасть в блок, но завершиться ошибкой: комиссия списана, а токены не переведены.

Время, которое видно в блокчейне, — это время блока, а не момент, когда отправитель нажал кнопку: транзакция могла ждать включения минуты или часы. В Bitcoin метку времени ставит сам создатель блока, и по правилам сети она может расходиться с фактическим временем до двух часов. Записано время по всемирному координированному времени (UTC), а обозреватели показывают его в разных часовых поясах, поэтому в заключении пояс указывают всегда. Когда нужен точный момент действия, время блока сопоставляют с данными биржи или устройства.

Когда записанную операцию уже нельзя отменить, в разных сетях определяется по-разному. В Bitcoin вероятность отмены уменьшается с каждым следующим блоком. В Ethereum блок становится окончательным примерно через 13–15 минут, а до сентября 2022 года окончательность там была вероятностной, как в Bitcoin. В TRON блок необратим после подтверждения двумя третями производителей блоков, то есть примерно через минуту. Эксперт указывает, сколько подтверждений имела транзакция на дату исследования и считается ли блок окончательным по правилам сети.

В Bitcoin нет счетов с остатком: каждый полученный перевод тратится целиком, а сдача возвращается на новый или тот же адрес отправителя. Какой выход считать сдачей, определяют по признакам, и это вероятный вывод; частая ошибка — принять адрес сдачи за адрес получателя. В Ethereum и TRON у адреса есть баланс. Токен USDT переводит смарт-контракт — программа в блокчейне, — и такой перевод отражается в журнале событий контракта, а не среди обычных переводов монет. Переводы, которые контракт выполнил сам, отдельной транзакцией не видны, и их восстанавливают, воспроизводя исполнение транзакции.

Как отслеживают путь средств

Трассировка — это пошаговое восстановление того, куда средства ушли с исходного адреса. В Ethereum и TRON каждый перевод с адреса на адрес записан отдельно, и такой факт устанавливается категорически: с адреса А на адрес Б в блоке N переведено столько-то. В Bitcoin транзакция может иметь несколько входов и выходов, и в ней не записано, какой вход оплатил какой выход, поэтому уже на этом шаге действует правило распределения. Оно же нужно, когда на адрес пришли и спорные, и посторонние поступления, а потом ушла часть суммы: средства считают по очерёдности поступления, пропорционально или помечают всю сумму как смешанную. Правило называют в заключении, а если суд его не задал, эксперт показывает результат по нескольким правилам, и сторона вправе проверить расчёт.

Отдельный случай — списание с кошелька, ключи от которого есть только у владельца. По блокчейну эксперт устанавливает техническую схему списания. Одна схема — транзакция подписана ключом самого адреса: значит, ключ или устройство с ним были использованы, но кем — владельцем, которого обманом заставили подписать операцию на поддельном сайте, мошенником или вредоносной программой, — блокчейн не показывает. Другая — средства забрал сторонний адрес по разрешению на распоряжение токенами, которое пользователь раньше подписал на постороннем сайте; разрешение записано в контракте токена или передано подписью вместе с транзакцией списания. В TRON встречается и третья схема: злоумышленник меняет права управления аккаунтом, после чего переводы с адреса потерпевшего подписывает уже его ключ.

Маршрут прерывается в предсказуемых местах:

• на централизованной бирже или обменнике — дальше средства учитываются во внутренней базе сервиса, и продолжить путь можно только по его данным, полученным через следователя или суд;
• в миксере — сервисе, который смешивает средства многих пользователей, чтобы скрыть их происхождение. Централизованный миксер принимает монеты в общий пул и выдаёт другие, а миксер на смарт-контракте принимает одинаковые суммы и выдаёт их на новые адреса. Связь входа и выхода в обоих случаях можно лишь предположить по сумме, времени и дальнейшим операциям;
• в транзакциях CoinJoin, где выходы одинаковы и по сумме их не различить: связь иногда предполагают по сдаче или последующему объединению выходов, и такой вывод вероятный, а часто невозможен;
• в сервисах обмена одной сети на другую с внутренним учётом, где связь входа и выхода предполагают по сумме и времени. Через большинство мостов — сервисов перевода между сетями — связь, напротив, прослеживается по записям обеих сетей;
• в монете Monero, где скрыты отправитель, получатель и сумма, — маршрут внутри неё, как правило, не восстанавливается, и прослеживают только вход в Monero и выход из неё через обменники;
• в сети Lightning и других платёжных каналах, где в блокчейне отражаются только открытие и закрытие канала, а не отдельные платежи.

В этих точках эксперт фиксирует, куда именно ушли средства, и отмечает, что дальнейший путь без данных сервиса установить нельзя или можно только с вероятностью. Обмен на децентрализованной бирже внутри одной сети маршрут не обрывает: он виден в одной транзакции, меняется только актив. Обычно маршрут доводят до адреса биржи, которой следователь или суд может направить запрос.

Связь адреса с сервисом, учётной записью или устройством

Сам по себе адрес в блокчейне не содержит имени владельца. Связь адреса с конкретным источником эксперт устанавливает по нескольким видам данных, и определённость у них разная.

Надёжнее всего данные на носителе. Если на изъятом телефоне или компьютере найдены seed-фраза, приватный ключ или незашифрованный файл кошелька, из которых выводится спорный адрес, эксперт делает категорический вывод: на устройстве есть данные для управления этим адресом. Кошелёк только для просмотра, публичный ключ или приложение аппаратного кошелька показывают лишь, что адрес был известен владельцу устройства; то же относится к адресу в заметке или переписке. По зашифрованному файлу без пароля вывод ограничен. Второй источник — сведения биржи из материалов дела: ответ на запрос о том, к какому аккаунту относится адрес для пополнения, журналы входов с IP-адресами. Эксперт проверяет, согласуются ли эти сведения с блокчейном, но за точность самих данных отвечает биржа.

Третий источник — поведение адресов. В Bitcoin и подобных сетях действует правило общего входа: адреса, средства с которых тратятся в одной транзакции, скорее всего, принадлежат одному кошельку. Его нарушают CoinJoin и кошельки бирж, где общая группа адресов означает сервис, а не человека. В Ethereum и TRON адреса связывают по другим признакам — оплате комиссий с одного адреса, если это не общий сервис оплаты комиссий, общему адресу пополнения на бирже, синхронным операциям. Все такие выводы вероятные.

Метки аналитических сервисов вида «адрес принадлежит бирже X» эксперт приводит как сведения из внешнего источника, указывая, откуда и когда они получены; при судебной экспертизе использование платных сервисов согласуют с назначившим её органом. IP-адрес отправителя в блокчейне не записан: его можно получить только из журналов биржи или другого сервиса. Совпадение IP-адреса из журнала с адресом, которым пользовался конкретный человек, говорит лишь о том, что вход выполнен из той же сети. Мобильные операторы, VPN-сервисы и общие сети выдают один адрес многим пользователям, поэтому такой факт показывает технический доступ к учётной записи, а не личность того, кто совершил операцию.

Кошельки и следы операций на устройствах

В уголовных делах криптовалютные вопросы часто решают по изъятым носителям. Эксперт ищет установленные приложения кошельков, файлы и резервные копии, расширения браузера, сохранённые seed-фразы, скриншоты обозревателей блоков, переписку с контрагентами и историю посещения бирж. Работа идёт с копией носителя, контрольная сумма которой зафиксирована, чтобы любую находку можно было проверить на исходном образе. Как исследуют сами телефоны, включая разблокировку и восстановление удалённых данных, рассказано на странице об экспертизе телефонов и планшетов.

Относится ли найденная seed-фраза к спорному адресу, проверяют на компьютере без доступа к сети: адреса вычисляются из фразы, и ни одной транзакции для этого подписывать не нужно. Результат зависит от стандарта кошелька, типа и номера адреса и дополнительной парольной фразы, если она была. Поэтому эксперт проверяет распространённые варианты и перечисляет их в заключении. Совпадение даёт категорический вывод, а несовпадение не доказывает, что фраза к адресу не относится.

Средства эксперт не переводит. Подключение аппаратного кошелька к компьютеру или телефону с приложением, выходящим в сеть, меняет объект исследования, поэтому его выполняют только с разрешения назначившего экспертизу органа и описывают в заключении. Арест цифровой валюты по ходатайству следователя налагает суд, а изымают носители и переводят средства на указанный адрес следователь с участием специалиста; это оформляют протоколом, и в экспертизу такие действия не входят. Если файл кошелька зашифрован, подобрать пароль удаётся не всегда, и заранее это не гарантируется; допустим ли подбор, решает назначивший экспертизу орган.

Стоимость криптовалюты на дату

Стоимость — самый частый вопрос. У криптовалюты нет единого официального курса: цены на разных биржах различаются, а за сутки курс может измениться на десятки процентов. Поэтому в заключении называют биржу или агрегатор котировок и объясняют выбор, указывают торговую пару — например, биткоин к доллару, — интервал, момент (время транзакции, открытие или закрытие дня) и часовой пояс, а выгрузку котировок сохраняют. В рубли пересчитывают по прямой рублёвой паре либо через доллар по курсу Банка России. Рублёвые пары и курсы P2P-сделок могут заметно отличаться от пересчёта через доллар, и выбор объясняют. Количество монет и дату обычно задают суд или следователь.

Установить котировку распространённой монеты на конкретной бирже в конкретный момент — самая простая и быстрая задача. С редкими токенами сложнее: котировки может не быть, или торги так малы, что продать заявленное количество по этой цене было невозможно. Тогда эксперт прямо пишет, что рыночный ориентир ненадёжен, а стоимость, по которой актив реально можно было продать, определяет оценщик. Методы оценки на прошлую дату описаны на странице о ретроспективной оценке стоимости. Значительный, крупный или особо крупный размер ущерба определяет суд.

Токены, смарт-контракты и NFT

Токен — это запись в блокчейне, которую выпускает и учитывает смарт-контракт. По спорному токену эксперт устанавливает, существует ли его контракт, когда и с какого адреса он создан, сколько токенов выпущено и кому распределено, торговался ли токен на биржах и сколько было покупателей и продавцов. В коде контракта проверяют функции, которые позволяют владельцу или другим привилегированным адресам выпускать новые токены, замораживать адреса, запрещать продажу или подменять логику контракта. Если контракт обновляемый, его логику восстанавливают на дату спорных операций, а если исходный код не опубликован, вывод по машинному коду получается менее определённым. Отдельно проверяют поддельные токены с чужим названием и переводы с похожих адресов, которые мошенники присылают, чтобы жертва по ошибке скопировала их адрес из истории. Подробный разбор кода и работы блокчейн-систем — предмет экспертизы смарт-контрактов и блокчейн-систем.

NFT — уникальный токен, привязанный к изображению или другому файлу, — фиксирует в контракте, какой адрес контролирует запись о токене. Прав на само произведение он не удостоверяет. Файл и описание токена часто хранятся вне блокчейна: если ссылка ведёт в сеть IPFS, где адрес файла вычисляется из его содержимого, файл нельзя подменить, но он может стать недоступным, а файл по обычной веб-ссылке могут заменить. Эксперт устанавливает историю выпуска и передач токена и место хранения его данных, проверяет, можно ли их изменить, и сравнивает представленный файл с тем, на который указывает токен. Авторство произведения и принадлежность исключительного права — вопросы другой экспертизы и суда.

P2P-продажа и блокировка карты

При P2P-продаже криптовалюты биржа временно блокирует монеты продавца, покупатель переводит рубли на карту, продавец подтверждает оплату, и биржа передаёт монеты покупателю. Сама сделка происходит во внутреннем учёте биржи и в блокчейне не видна. Следы остаются в трёх местах: в карточке ордера с чатом, в выгрузке личного кабинета и в банковской выписке. Эксперт сопоставляет их по суммам, времени и реквизитам, в том числе сверяет имя плательщика в выписке с данными контрагента в ордере. Он устанавливает, какие поступления на карту соответствуют каким ордерам, согласуется ли последовательность действий с механизмом площадки и каков итоговый результат операций. Подлинность самостоятельно скачанной выгрузки подтверждает ответ биржи на запрос суда или следователя. Законность действий продавца, его осведомлённость о происхождении денег покупателя и обоснованность ограничений банка к предмету экспертизы не относятся.

Что экспертиза даёт и чего не делает

Заключение даёт проверяемые факты: маршрут средств до адресов, которые по ответу сервиса или по меткам принадлежат конкретным биржам и обменникам, дату и объём операций, технические связи адресов с устройствами и учётными записями по материалам дела, котировки и стоимость на дату. Опираясь на них, следователь направляет запрос бирже и ходатайствует перед судом об аресте, адвокат готовит заявление, жалобу на отказ в возбуждении дела или иск, суд оценивает позиции сторон.

Экспертиза не возвращает средства и не восстанавливает доступ к кошельку. Эксперт не устанавливает фамилию владельца по адресу, сам не направляет запросы биржам и не может заморозить активы. Заморозить USDT на конкретном адресе может компания Tether, которая его выпускает, а приостановить операции по аккаунту — биржа. Такие меры принимают по обращениям правоохранительных органов и по санкционным спискам, и в блокчейне видна только заморозка токена. Время работает против пострадавшего: биржи и операторы связи хранят журналы ограниченный срок, поэтому заявление и ходатайства об истребовании данных лучше не откладывать.

Коммерческие сервисы проверки адресов выдают отчёт об AML-проверке: оценку риска и метки, не раскрывая, на чём они основаны. Эксперт в заключении называет источники данных, описывает каждый шаг так, чтобы его могла повторить другая сторона, отвечает на вопросы суда и может быть допрошен о своих выводах.

Границы компетенции эксперта

Граница проходит между техническими обстоятельствами и их правовой оценкой. Эксперт может установить, что с адреса, данные для управления которым найдены на телефоне обвиняемого, в определённый день ушло 12 000 USDT на адрес пополнения биржи. Сам ли обвиняемый совершил перевод, добыты ли деньги преступным путём и была ли операция легализацией, суд решает по всей совокупности доказательств.

Вне компетенции эксперта остаются:

• правовая природа и правовой режим актива, законность выпуска токена, привлечения инвестиций или деятельности площадки;
• принадлежность актива на праве собственности, правомерность владения и действительность сделки;
• вина, умысел, осведомлённость участников и квалификация действий как мошенничества, кражи или отмывания;
• размер ущерба в правовом смысле, налоговые последствия операций и правильность декларирования доходов;
• способность человека понимать значение своих действий при совершении сделки — это вопрос судебно-психиатрической экспертизы;
• авторство произведения, связанного с NFT, и нарушение исключительных прав.

Если такие вопросы всё же поставлены, эксперт отвечает на ту их часть, которая требует специальных знаний, а о невозможности ответить на остальное сообщает в заключении в порядке, предусмотренном процессуальным законом.

Какие материалы нужны

Больше всего обращений срывается не из-за сложности задачи, а из-за того, что у клиента есть только скриншоты. Скриншот показывает, что человек видел на экране, но не заменяет идентификатора транзакции и адреса, по которым операцию можно найти в блокчейне.

Для исследования обычно передают:

• адреса кошельков с указанием сети и идентификаторы спорных транзакций;
• полную выгрузку истории операций из личного кабинета биржи или обменника — файл, который формирует сам сервис, а не снимки экрана;
• карточки P2P-ордеров вместе с чатом и банковские выписки за тот же период;
• исходные файлы скриншотов и переписки, а не пересохранённые или пересланные копии;
• ответы бирж и других сервисов, полученные следователем или судом, с сопроводительными письмами;
• изъятые телефоны, компьютеры, аппаратные кошельки или их копии — через назначивший экспертизу орган;
• договоры, расписки и переписку о сделке, если спор касается займа или купли-продажи криптовалюты;
• копию заключения другого эксперта или специалиста с приложениями, если нужно проверить его выводы.

Чего-то из перечня может не быть, и это не всегда препятствие. Без выгрузки биржи маршрут всё равно прослеживается до её адресов, но вывод о том, какому аккаунту они принадлежат, сделать нельзя. Без исходных файлов скриншотов эксперт может проверить, есть ли показанные на них операции в блокчейне, но не подлинность самих изображений. Сторона может ходатайствовать, чтобы суд истребовал недостающие сведения у биржи, банка или оператора связи.

Материалы дела — документы, выгрузки, ответы сервисов, носители — эксперт получает только от назначившего экспертизу органа и сам их не собирает; если данных не хватает, он просит о них этот орган. Общедоступные записи блокчейна и биржевые котировки он использует как справочные данные, указывая источник, дату выгрузки и номер последнего учтённого блока, чтобы другая сторона могла получить те же сведения. При судебной экспертизе такие источники лучше назвать в определении о назначении.

Как сохранить данные и передать их эксперту

Блокчейн хранит записи бессрочно, а всё остальное может исчезнуть: биржа — закрыть аккаунт, мошеннический сайт — пропасть, собеседник — удалить переписку.

Порядок обычно такой:

1. Выпишите адреса и идентификаторы транзакций, сделайте выгрузку истории из личного кабинета и сохраните её исходный файл.
2. Сохраните переписку с «брокером» или контрагентом целиком штатной функцией мессенджера.
3. Если страница сайта или аккаунта может исчезнуть, а дело ещё не поступило в суд, закажите её нотариальный осмотр: нотариус зафиксирует то, что видно на экране на дату осмотра. Когда дело уже в суде, об обеспечении доказательств просят суд.
4. Не удаляйте приложения кошельков и не сбрасывайте телефон. Служебный ноутбук работника до передачи специалисту не включают и не используют.
5. Если носители изъяты, их передачу эксперту организует следователь. Аппаратные кошельки и компьютеры с кошельками изымают с участием специалиста, чтобы зафиксировать адреса и не изменить состояние устройства.

Компания может передать для внесудебного исследования собственные корпоративные устройства и выгрузки по договору; законность доступа к данным работника лучше заранее обсудить с юристом. Файлы передают защищённым способом, о котором договариваются заранее, и до передачи фиксируют их контрольные суммы. Мы не раскрываем полученные сведения третьим лицам, кроме случаев, предусмотренных законом. По судебной экспертизе заключение и материалы направляются в назначивший экспертизу орган и становятся доступны участникам дела.

Как проводится исследование

Сначала эксперт точно описывает объекты: какие адреса, в какой сети, какие транзакции, какие носители с какими контрольными суммами. Данные блокчейна он получает из узла сети или сверяет по нескольким независимым обозревателям блоков. Исходные выгрузки сохраняют вместе с контрольными суммами, чтобы другая сторона могла получить те же данные и проверить расчёт.

Затем эксперт строит маршрут средств или сопоставляет операции по заранее названным правилам: как выбирается следующий шаг, как распределяются смешанные поступления, при каком совпадении суммы и времени связь считается вероятной. Для каждого вывода он проверяет альтернативные объяснения. Похожая сумма могла прийти от постороннего отправителя, а объединение адресов — объясняться транзакцией CoinJoin. Методы, программы и их версии перечисляют в заключении.

Примеры вопросов на экспертизу

При судебной экспертизе окончательный круг вопросов определяет суд, а в уголовном деле — следователь, дознаватель или суд, назначившие экспертизу. Эксперт отвечает в пределах специальных знаний и представленных материалов и не меняет поставленные вопросы по своей инициативе. Если вопрос неясен, выходит за пределы его знаний или материалов недостаточно, он сообщает об этом в порядке, предусмотренном процессуальным законом.

До назначения стороны могут предложить вопросы. В вопросах о криптовалюте важно указывать сеть, полный адрес или идентификатор транзакции, токен и адрес его контракта, период и часовой пояс, а также источник данных: блокчейн, выгрузку биржи, конкретный носитель. Для трассировки полезно ограничить глубину маршрута, минимальную сумму и правило распределения, иначе ответ разрастётся без пользы. Вопросы о движении средств, о данных на устройстве и о стоимости лучше ставить отдельно, потому что на них отвечают разными методами, а иногда и разные эксперты. Примеры формулировок:

1. Имеются ли в блокчейне сети [название] транзакции с адреса [адрес] на адрес [адрес] с токеном [название и адрес контракта] за период с [дата] по [дата] (время UTC)? Если да, каковы их идентификаторы, дата, время и количество переведённой криптовалюты?
2. Включена ли транзакция [идентификатор] в блокчейн сети [название], в каком блоке, успешно ли она исполнена, сколько подтверждений имела на дату исследования и является ли блок окончательным по правилам сети?
3. На какие адреса были последовательно переведены средства, поступившие на адрес [адрес] транзакцией [идентификатор], не глубже [число] переходов и без учёта сумм менее [сумма], до поступления на адреса централизованных сервисов или до точки, после которой проследить движение невозможно? Какое правило распределения применено при смешении средств и на каких источниках основаны сведения о принадлежности адресов сервисам?
4. Поступали ли непосредственно или через не более чем [число] промежуточных адресов средства, отправленные с адреса [адрес] в период [период], на адреса, которые по сведениям биржи [название] из материалов дела относятся к учётной записи [идентификатор]?
5. Имеются ли признаки использования миксеров, транзакций CoinJoin или мостов между сетями на пути средств от адреса [адрес] в пределах маршрута, установленного при ответе на вопрос [номер]?
6. Имеются ли на представленном носителе [описание] приложения кошельков, файлы, seed-фразы или иные данные, позволяющие управлять адресом [адрес]?
7. Какие операции с криптовалютой отражены в представленной выгрузке личного кабинета биржи [название] за период с [дата] по [дата] и соответствуют ли записям блокчейна отражённые в ней операции ввода и вывода?
8. Соответствуют ли суммы и время поступлений на банковский счёт [реквизиты] параметрам P2P-ордеров, отражённых в представленной выгрузке биржи?
9. Какова котировка [криптовалюта или токен, сеть, адрес контракта] на [дата, время, часовой пояс] по данным торгов на [биржа или агрегатор] и какова по этой котировке стоимость [количество] в рублях? Какие торговая пара, интервал и курс пересчёта использованы?
10. Какие функции предусмотрены в коде смарт-контракта токена [адрес контракта] по состоянию на [дата или номер блока]? Позволяют ли они владельцу или иным привилегированным адресам выпускать токены, блокировать адреса, ограничивать продажу или изменять логику контракта?

Эти вопросы касаются операций, данных и функций, которые можно проверить. Кому принадлежит криптовалюта на праве собственности, было ли хищение или легализация, знал ли человек о преступном происхождении средств и законен ли выпуск токена — вопросы правовой оценки. Её даёт суд, опираясь в том числе на установленные экспертом факты.

Судебная экспертиза, заключение специалиста и рецензия

Судебную экспертизу назначает суд определением, а в уголовном деле — следователь или дознаватель постановлением либо суд. Вопросы, объекты и порядок оплаты определяет назначивший экспертизу орган, ему же направляют заключение. Сторона может предложить кандидатуру экспертной организации, но решение принимает суд или следователь.

Внесудебное исследование проводят по договору с гражданином, компанией или адвокатом, который вправе привлекать специалиста для оказания юридической помощи; заказать его может и потерпевший. Его итог — заключение специалиста. В гражданском процессе суд оценивает такой документ как письменное доказательство, в арбитражном — как иной документ. В уголовном деле заключение специалиста — это его суждение по вопросам, которые поставила сторона; экспертизу оно не заменяет, а приобщить его к делу защитник или потерпевший может ходатайством. Заключение эксперта и заключение специалиста суд оценивает наравне с другими доказательствами, заранее установленной силы они не имеют.

Рецензия — это анализ уже готового заключения: как описаны объекты, воспроизводима ли трассировка, указаны ли источники меток и правила распределения средств, не выданы ли вероятные выводы за категорические. Рецензент не исследует объект заново и не отменяет заключение. Если нужно перепроверить сам маршрут по блокчейну, заказывают отдельное внесудебное исследование. Рецензия помогает обосновать ходатайство о допросе эксперта, дополнительной или повторной экспертизе; порядок описан на странице о рецензии на заключение компьютерной экспертизы. Решение о повторной экспертизе принимает суд.

Формы вывода и что вы получите

Заключение содержит описание объектов, использованных данных и методов, ход исследования, ответы на вопросы и приложения: таблицы транзакций, схемы маршрута средств, выгрузки с контрольными суммами. По каждому вопросу эксперт даёт вывод одной из трёх форм:

• категорический — например, транзакция включена в определённый блок, успешно исполнена и переводит указанное количество на указанный адрес;
• вероятный — например, связь входа и выхода обменного сервиса установлена по совпадению суммы и времени, а объединение адресов основано на правиле общего входа;
• вывод о невозможности ответить — например, средства ушли в Monero через обменник, а его сведений в материалах нет.

Невозможность ответа не означает плохо выполненной работы. Она честно показывает, где заканчиваются данные, и подсказывает, что ещё можно истребовать. При необходимости эксперт даёт пояснения и отвечает на вопросы сторон в судебном заседании.

От чего зависят стоимость и срок

Стоимость судебной экспертизы — от 100 000 ₽, срок — от 10 рабочих дней. Если экспертизу назначил следователь или суд, оплату определяет назначивший орган; в уголовном деле расходы на неё относятся к процессуальным издержкам. Окончательные цифры называют после просмотра вопросов и перечня материалов, потому что трудоёмкость криптовалютных исследований различается в разы. Трассировка по нескольким сетям через мосты и обменники занимает больше времени, чем определение котировки, а исследование изъятых устройств с поиском кошельков добавляет отдельный объём работы.

На цену и срок влияют:

• число адресов, транзакций и сетей, а также глубина маршрута;
• наличие миксеров, мостов и монет с сокрытием данных;
• число и тип носителей, их блокировка и объём данных;
• полнота выгрузок бирж и банковских выписок;
• необходимость комплексной экспертизы с участием экономиста или оценщика;
• участие эксперта в судебном заседании.

Чтобы получить расчёт, пришлите через форму описание ситуации и перечень того, что у вас есть, — без ключей и паролей, или позвоните по телефону 8 (800) 333-24-09. Вопросы об оборудовании для добычи криптовалюты — его работоспособности, производительности или энергопотреблении — исследуют в рамках экспертизы оборудования для майнинга.