ИИ меняет расследование криптопреступлений

Александр Подобных, руководитель отдела аналитики и крипторасследований VeroTrace, руководитель комитета по безопасности цифровых активов и противодействию мошенничеству АРСИБ, судебный эксперт (компьютерно-техническая и экономическая экспертиза), член СРО АСЭ “Центр судебной экспертизы”  Если раньше криптоатаки строились вокруг уязвимостей и фишинга, то теперь ИИ превращает мошенничество в масштабируемый сервис. Аналитики называют это ИИ-криптофродом. ИИ помогает искать жертв, создавать дипфейки, генерировать фишинговые кампании, анализировать код и скрывать маршруты вывода средств между разными блокчейнами и DeFi-сервисами. Главная проблема даже не в автоматизации, а в появлении синтетического доверия. Нейросети позволяют создавать убедительный цифровой образ: аналитика фонда, трейдера или инвестконсультанта. Жертва слышит уверенный голос, получает грамотные сообщения, видит реалистичные видеозвонки и начинает воспринимать мошенническую инфраструктуру как настоящую компанию. Особенно заметно это в схемах "забоя свиньи" (Pig Butchering) – многоэтапном инвестиционном мошенничестве, где человека месяцами вовлекают в псевдоотношения или совместные инвестиции. Раньше такие операции требовали десятков операторов, теперь значительная часть коммуникации автоматизируется LLM и голосовыми ИИ-сервисами. Отдельное направление – ИИ-фишинг. Генеративные модели резко повысили качество атак: нейросети адаптируют сообщения под язык, профессию и поведенческий профиль жертвы, анализируя данные из Telegram, GitHub, Discord и социальных сетей. Одновременно ИИ начинает использоваться и в наступательных сценариях (Offensive AI). Нейросети уже помогают анализировать смарт-контракты, искать ошибки в DeFi-протоколах и ускорять реверс-инжиниринг. По сути, ИИ становится интеллектуальным помощником атакующего, сокращая время между обнаружением уязвимости и ее эксплуатацией. Автоматизируется и отмывание средств. Алгоритмы способны динами чески прокладывать маршруты вывода активов через мосты между блокчейнами, миксеры и различные криптосети с учетом AML-ограничений и вероятности блокировки средств. В результате мошенничество становится не только массовым, но и интеллектуальным. К счастью, для борьбы с мошенничеством работают механизмы AML. AML перестает успевать Классические AML-системы создавались для мира банковских переводов и предсказуемых финансовых потоков. Их логика строилась вокруг статических правил, ручных проверок и заранее известных сценариев мошенничества. Но криптоиндустрия развивается значительно быстрее, чем успевают адаптироваться механизмы традиционного финансового мониторинга. Проблема уже не столько в объеме транзакций, сколько в скорости среды. Если раньше у расследователей были часы или дни до вывода средств, то теперь похищенные активы начинают перемещаться между сетями буквально в первые минуты после атаки. В условиях ИИ-криптофрода это окно сокращается еще сильнее. Злоумышленники работают в мультичейн-среде: средства проходят через Ethereum, Tron, Solana и десятки других сетей, смешиваются через DeFi-протоколы, мосты между блокчейнами и анонимизирующие сервисы. После нескольких обменов и промежуточных кошельков связь между исходным и конечным активом начинает размываться. Изменились и схемы отмывания средств. После давления на Tornado Cash (крупный криптовалютный миксер, против которого США ввели санкции за использование в схемах отмывания средств) злоумышленники активнее используют децентрализованные миксеры, OTC-посредников и тысячи микротранзакций между временными адресами. В результате расследование все меньше похоже на отслеживание цепочки переводов и все больше – на анализ огромного графа взаимосвязанных событий. Одновременно генеративный ИИ резко увеличил количество фишинговых кампаний, мошеннических сценариев и подозрительных операций. Команды комплаенса просто не успевают адаптироваться с той же скоростью, с какой масштабируется сам фрод. Причем современное расследование требует одновременно анализировать ончейн-активность, данные бирж, Telegram, GitHub, доменную инфраструктуру, утечки данных, Даркнет и OSINT. Возникает эффект перенасыщения расследований, когда критически важные сигналы теряются среди тысяч второстепенных событий. Еще одна проблема в том, что AMLсистемы по-прежнему ориентированы на статические признаки: необычный перевод, подозрительную юрисдикцию или аномальную активность счета. Но ИИ-мошенничество постоянно меняет тактику, адаптируя маршруты вывода средств и имитируя поведение обычных пользователей. И пока злоумышленники используют ИИ для автоматизации фрода, анализа уязвимостей и вывода средств, значительная часть AML-процессов остается завязана на ручную проверку и постфактум-анализ. Именно поэтому рынок постепенно переходит к ИИ-аналитике (AI-Native Analytics) – системам, способным автоматически сопоставлять все необходимые данные и выявлять аномалии в реальном времени, а также и прогнозировать потенциальные схемы вывода активов. ИИ-аналитика и автономные расследования Наиболее показательный пример ИИаналитики – Chainalysis. Компания представила ИИ-агентов для расследования криптопреступлений, AML и санкционного комплаенса. Причем ключевую роль играет не сама языковая модель, а ее подключение к огромному массиву транзакций, графов связей и накопленных расследований. Особенно важным становится появление детерминированных сценариев обработки, где одинаковые данные должны приводить к одинаковому результату. Это критично для AML, санкционного комплаенса и взаимодействия с правоохранительными органами. По сути, формируется архитектура объяснимого расследования, при которой ИИ сохраняет всю цепочку анализа и принятых решений. На ранних этапах Chainalysis уже использует ИИ для мультичейн-расследований, корреляции OSINT-данных, анализа подозрительных транзакций, построения графов связей, генерации отчетов и автоматической приоритизации инцидентов. Параллельно ИИ начинает встраиваться непосредственно в инфраструктуру реагирования. Например, Tether выстраивает систему взаимодействия с аналитическими платформами и правоохранительными органами для оперативной блокировки активов, связанных с санкциями, мошенничеством и отмыванием средств. Похожим путем идут и связанные с экосистемой TRON структуры. Так, Tether совместно с участниками экосистемы развивает ИИ-подходы к расследованию криптопреступлений и анализу подозрительной активности. Здесь показателен сам подход: расследование начинает восприниматься не как ручная форензика, а как задача обработки огромных графов данных. Компания Palantir давно развивает платформы для анализа данных разведки, Data Fusion и прогнозного мониторинга. Ее сотрудничество с Polymarket показывает, что подобные методы начинают проникать и в криптоэкономику. При этом рынок уже понимает: полностью автономное расследование пока слишком рискованно. Ошибки в AML или некорректная блокировка активов могут иметь серьезные последствия. Поэтому почти все крупные игроки делают ставку на контроль со стороны человека. Вам приватность или управляемость? Главный парадокс криптоиндустрии в том, что технологии, создававшиеся как альтернатива централизованному финансовому контролю, постепенно сами становятся инструментом глобального мониторинга. Развитие ИИ-аналитики, AML-платформ и систем блокчейнразведки приводит к прямому конфликту между приватностью пользователей и возможностью государств или корпораций контролировать цифровые финансовые потоки. Особенно хорошо это видно на примере стейблкойнов. Несмотря на риторику децентрализации, крупнейшие эмитенты способны замораживать активы, блокировать адреса и ограничивать движение средств. История с блокировкой в Tether сотен миллионов долларов по запросу американских регуляторов показала, что блокчейн все же подконтролен государству. Более того, прозрачность транзакций делает цифровые активы значительно более наблюдаемыми, чем традиционные наличные расчеты. Публичные блокчейны сами создают огромный массив данных для анализа: историю переводов, графы связей, маршруты движения средств, переходы между сетямии активность DeFi-кошельков. ИИ-системы превращают эти данные в инструмент непрерывного финансового мониторинга. Особую роль здесь играет санкционная политика OFAC (Office of Foreign Assets Control – Управление по контролю за иностранными активами Минфина США) и списки SDN (Specially Designated Nationals – перечень лиц и организаций, находящихся под санкциями США). Для криптобирж, эмитентов стейблкойнов и аналитических платформ соблюдение санкционных требований становится условием выживания. В результате рынок все глубже интегрируется в глобальную систему финансового контроля, где ИИ автоматически выявляет подозрительные адреса, связи и транзакции, формирует риск-профили пользователей в режиме реального времени. Это уже не классический AML, а полноценная инфраструктура цифровой разведки. Именно в этом проявляется новый конфликт вокруг цифрового суверенитета. Большая часть платформ блокчейн-разведки, ИИ-моделей и санкционной инфраструктуры контролируется западными компаниями и юрисдикциями. Это означает, что государства, банки и целые отрасли начинают зависеть от внешних аналитических платформ, способных интерпретировать транзакции, присваивать риск-оценки и инициировать блокировку активов. В результате рынок оказывается между двумя крайностями. Без ИИ-аналитики криптоиндустрия рискует проиграть борьбу с мошенничеством, отмыванием средств и киберпреступностью. Но чрезмерная централизация аналитики способна привести к появлению инфраструктуры тотального финансового наблюдения, где приватность пользователей станет скорее исключением, чем нормой. Что будет дальше? Криптоиндустрия входит в фазу, где ИИ становится самостоятельным участником противостояния между атакующими и защитниками. Если раньше автоматизировались отдельные задачи(анализ транзакций, OSINT и комплаенс), то следующий этап связан с автономными ИИ-агентами, способными адаптироваться к меняющейся среде. Одним из главных направлений станет предиктивный AML – финансовый мониторинг, работающий на опережение. ИИ уже начинает выявлять признаки подготовки атак: тестовые переводы, аномальную активность кошельков и необычные маршруты вывода средств. По сути, рынок движется от реактивного AML к прогнозной аналитике. Параллельно развиваются автономные ИИ-системы, способные анализировать блокчейны, строить графы связей, собирать OSINT и автоматически эскалировать инциденты. В перспективе такие агенты смогут обмениваться сигналами и координировать расследования между собой. Но те же технологии будут использоваться и атакующей стороной. Одним из самых опасных направлений становится Offensive AI – ИИ для поиска уязвимостей, обхода защитных механизмов и автоматизации атак. Уже сейчас нейросети помогают анализировать смарт-контракты и создавать фишинговые кампании, а в будущем смогут самостоятельно строить цепочки атак и адаптировать ВПО под конкретную среду. Особое внимание привлекают вредоносные системы, способные самостоятельно распространяться между средами. Пока такие эксперименты остаются лабораторными, но сам тренд выглядит крайне тревожным. Одновременно растет борьба за технологический суверенитет в области ИИ. Для государств и крупнейших игроков рынка становится принципиально важно контролировать собственные ИИ-модели, системы блокчейн-аналитики и инфраструктуру финансового мониторинга. Резюмируя, можно сказать, что, вероятнее всего, в ближайшие годы конкурировать будут уже не только хакеры и защитники, а целые экосистемы ИИ, аналитики и цифрового контроля.