פיתוח מערכת לחסימת כתובות חשודות

מדוע חסימת כתובות חשודות נשברת בקנה מידה

האירוע הראשון בדרך כלל נסגר ידנית: הכתובת נכנסת לרשימה השחורה רק אחרי שהכספים כבר יצאו. כל עוד הרשימה חיה בטבלה, כל עריכה עוברת דרך מפתח, ובדיקת בקשה אורכת שעות. רשימה שחורה ידנית מחזיקה מעמד בעומס כל עוד מדובר בעשרות כתובות — במאות היא הופכת לצוואר בקבוק.

בשלב הבא מחברים מקורות חיצוניים לאותות סיכון: רשימות סנקציות, שירותי אנליטיקה, היוריסטיקות עצמאיות לפי התנהגות הארנק. לכל אחד פורמט משלו, סקאלת ביטחון משלו וקצב עדכון משלו, ואיחודם להחלטה אחת נשאר בידי האדם. השהיית התגובה לאירוע גדלה: האות כבר הגיע, אבל בין האות לחסימה עומדים תור, אישור ופריסת שינויים.

עקיפת המגבלות שוברת גם את היגיון הבדיקות עצמו. הכספים מפוצלים, עוברים דרך כתובות ביניים ושירותי המרה — חיפוש ישיר ברשימה לא רואה אותם, וחסימת כתובת אחת לא מונעת הוצאת היתרה בהמשך השרשרת. ככל שההימור גבוה יותר, התבנית משתנה מהר יותר, ורשימה סטטית מפסיקה להדביק אותה.

בקנה מידה הבעיה אינה בהיעדר רשימה, אלא בהיעדר תהליך: אות, הערכת סיכון, החלטה אוטומטית, יומן פעולות וניתוח שגיאות. לכן חסימת כתובות חשודות צריכה לעבוד כשירות עם חוקים ומדדים, ולא כטבלה. נפרט כיצד זה נסגר.

האפקט התפעולי: מה משתנה במדדים לאחר ההטמעה

המדד המרכזי הוא הזמן מהאות הראשון ועד לעצירה בפועל של המשיכה. לפני ההטמעה האות נכנס לתור של התורן, הוא השווה ידנית את הכתובת למאגר ורק אחר כך הציב מגבלה: בזמן הזה הכספים הספיקו לעבור דרך כמה ארנקי ביניים ולצאת ממעגל המשמורת.

חוק שמקשר בין כתובת מהרשימה לבין מאפיינים התנהגותיים — ארנק טרי, הוספת נזילות, אינטראקציה עם שירות מיקסינג — מעביר את החשבון למצב «הפקדה בלבד» באופן אוטומטי, והפער בין האות לחסימה מצטמצם לשניות.

דיוק ההפעלות נקבע לפי ספים: התאמה אחת בשם אינה חוסמת, ההחלטה מתקבלת לפי מכלול מאפיינים, ולכן שיעור המגבלות השגויות יורד, בעוד ניסיונות משיכה אמיתיים לא עוברים. הכיסוי כאן רחב יותר ממצב ידני — נבדקים הפקדות, משיכות והעברות פנימיות בין חשבונות, ולא רק סכומים מעל התקרה שהוגדרה.

נעלם סוג שלם של כשלים: אירוע שבו המשיכה הספיקה להתבצע לפני החלטת האנליסט. העומס על בדיקה ידנית משתנה בהתאם — האוטומציה מטפלת בהפעלות שגרתיות, והמומחה מטפל רק במקרים שנויים במחלוקת, שבהם המאפיינים סותרים זה את זה.

אנו מכיילים ספים לפי נתוני סיכון חיצוניים, כולל Chainalysis, ולפי הסטטיסטיקה שלנו: חוקים שמייצרים רעש נבחנים מחדש, ולא נערמים.

מצבי עבודה: חוקים ידניים, סקורינג, תבנית היברידית

מצב זיהוי ועצירת פעולות נבחר לא לפי «חוכמת» המודל, אלא לפי מה שחשוב יותר בפרופיל הסיכון שלכם: מהירות תגובה, יכולת הסבר של ההחלטה לפני בדיקה או מאמץ תחזוקה. להלן שלוש תבניות והמגבלות שלהן.

חוקים סטטיים משווים את הכתובת לרשימות סנקציות, למאגר אירועים פנימי ולרשימות לבנות. ההחלטה דטרמיניסטית: יש התאמה — הפעולה נעצרת, אין — ממשיכה הלאה. המגבלה עקרונית: החוק עובד רק לפי כתובות ידועות, וההעברה מתפצלת לשרשרת ארנקי ביניים לפני שהכתובת נכנסת לרשימה.

סקורינג התנהגותי מעריך את הקשרים של הכתובת, ההיסטוריה ומבנה הפעולות, ולכן תופס ארנקים לא ידועים לפי מאפיינים עקיפים. ההחלטה כאן הסתברותית: יש צורך בערכי סף ובניתוח התראות שווא, ובלי הסבר של המאפיינים קשה להגן על העצירה בפני בדיקת ציות.

תבנית היברידית מחזיקה את החוקים כמחסום קשיח, ואת הסקורינג מיישמת על שאר הזרימה עם ספים ניתנים להתאמה: מתחת — מעבר, באזור האמצעי — בדיקה ידנית, למעלה — עצירה אוטומטית. מאגרים חיצוניים כמו Chainalysis מחוברים כמאגר כתובות, ולא כמדיניות מוכנה.

בפועל את המצב בוחרים לפי חומרת הטעות: במקום שבו אסור להחמיץ, מחמירים את הספים, ומרחיבים את אזור הבדיקה הידנית.

כיצד אנו מטמיעים חסימה: מביקורת זרימות ועד להעברת נהלים

חסימת כתובות חשודות אינה רשימה חד-פעמית, אלא קו ייצור של החלטות, שבו לכל הפעלה יש סיבה, סף ובעלים. את העבודה מתחילים בביקורת זרימות: חשוב להבין כמה כתובות ופעולות עוברות דרך הבקרה, באיזו השהיה ומה קורה לאות לאחר מכן.

1. ביקורת זרימות. מתעדים את היקף הפעולות ביום, צווארי בקבוק והשהיה בין העסקה להערכתה — מכך תלוי אם נדרש מעגל בדיקה נפרד.
2. מפת מקורות סיכון. מכנסים רשימות סנקציות, נתוני שירותי אנליטיקה וניתוחי אירועים פנימיים למפה אחת: לכל מקור משקל משלו, תדירות עדכון משלו וחומרת טעות משלו.
3. הגדרת ההיגיון. קובעים ספים, חלון תצפית ודירוג תגובות — לסמן, לשלוח לבדיקה ידנית או לחסום. בנפרד רושמים חריגים לכתובות אוצר, כדי לא לעצור פעולות עצמיות.
4. בדיקה על נתונים היסטוריים. מריצים את החוקים על עסקאות שנצברו וסופרים את שיעור התראות השווא והכתובות שהוחמצו. מכווננים ספים עד שהראשון יורד והשני נשאר בשליטה.
5. הפעלה בסביבת אמת. תחילה מצב צל: המערכת מעריכה וכותבת החלטה, אך אינה חוסמת. לאחר השוואה עם בדיקה ידנית מפעילים חסימה אמיתית ועוקבים מדי יום אחר זרימת ההפעלות.
6. מסירת נהלים. מוסרים תיעוד: מבנה ההיגיון, זמני תגובה להפעלה, סדר בירור ערעור, עדכון רשימות. בהמשך בוחנים מחדש ספים ומקורות — הסיכונים משתנים.

מה נשאר אצלכם: קונפיגורציות, מדיניות גישה, נהלים

מסירת מערכת החסימה אינה ארכיון עם קוד, אלא מעגל עבודה: לפיו המהנדסים שלכם מקימים סביבת בדיקה, משחזרים את התנהגות החוקים ומנתחים אירוע ללא עזרתנו. את החבילה מתעדים במאגר שלכם ובמרשם התיעוד, עם היסטוריית שינויים ובעלים לכל חלק.

• קונפיגורציות חוקים — מודל סיכון וספי הפעלה, פרופילים למעגל הראשי ולמעגל הבדיקה, סדר פריסת שינוי בחוק וחזרה לגרסה קודמת.
• תבנית אינטגרציה — נקודות חיבור לאנליטיקה, לצמתים ולמערכות רישום, פורמטי החלפת נתונים, התנהגות כאשר שירות סמוך אינו זמין.
• מדיניות גישה — מטריצת הרשאות: מי מציע כתובת לחסימה, מי מאשר את ההחלטה, מי רשאי להסיר את המגבלה.
• תפקידי מפעילים — חלוקת אחריות בין משמרת תורנית, אנליסט ומנהל, כדי שאישור החסימה לא יהיה תלוי באדם אחד.
• תיעוד המערכת — מדריך שדות וסטטוסים, הוראות לפעולות שגרתיות, תרשים מעבר ההחלטה מהאות ועד ליישום.
• סדר ערעור — ערוץ קבלת פניות, זמני תגובה, מי מקבל החלטה, כיצד מוסרת המגבלה ומה נרשם ביומן.
• יומן החלטות — הפקה של הפעלות והסרות עם נימוקים, כדי שכשרות החסימה תאושר בנתונים ולא בזיכרון.

לפני המסירה עוברים על כל סעיף יחד עם הצוות שלכם: מראים היכן נמצא הארטיפקט, מי הבעלים שלו ומה לעשות כאשר הקונפיגורציה אינה תואמת את התיעוד.

מקרה בוחן: כיצד הפחתנו חסימות שווא וזמן תגובה

הלקוח — שירות עם משמורת והמרה, כמה אלפי פעולות ביום. כתובות חשודות סוננו לפי חוק אחד: התאמה לרשימת סנקציות או לרשימה פנימית חייבה עצירה ידנית של הפעולה. אנליסט השווה את הכתובת למקורות פתוחים וללוגים של Chainalysis, ואז מפעיל עיכב ידנית את העסקה — בממוצע 40 דקות מהאות ועד התגובה.

נקודת התחלה

כל הפעלה עברה לבדיקה ידנית: 60-70 פניות בשבוע, יותר משליש — שווא. סימונים נעשו בלי דירוג סיכון, ולכן כתובת לגיטימית שנקלעה פעם אחת לשרשרת מעבר קיבלה את אותה עצירה כמו מיקסר מובהק. פניות שנויות במחלוקת טופלו במייל, התשובה ארכה עד שלושה ימים, וחלק מהפעולות בוטלו באופן בלתי הפיך.

מה שינינו

הצגנו הערכת סיכון מבוססת ניקוד: הכתובת מקבלת משקל לפי מאפיינים בלתי תלויים — התאמה ישירה לרשימה, עומק קשרים, חלק מנפח מלוכלך, ותק הקשר. הסף מחולק לרמות: תצפית, עיכוב, חסימה.

עיכוב מוסר אוטומטית אם בתוך חלון מוגדר הסיכון לא אושר; חסימה דורשת אישור אנליסט, וכל החלטה נכתבת ליומן בלתי ניתן לשינוי עם נימוק.

תוצאות

התגובה לאירוע התקצרה מעשרות דקות ל-1-2 דקות — העיכוב מופעל בשלב חתימת העסקה. שיעור החסימות השגויות ירד מ-34% ל-5%: הכתובת נכנסת תחילה להסגר, שם רואים איזה מאפיין פגע בה.

הבדיקה הידנית הצטמצמה כמעט פי שלושה, ופניות שנויות במחלוקת פחתו בסדר גודל — הלקוח רואה את סיבת העיכוב והמועד במקום נוסח סירוב כללי.

במה שונה רשימה שחורה מסקורינג התנהגותי?

רשימה שחורה עונה על השאלה «אנחנו יודעים בוודאות את הכתובת הזאת» — ולכן נותנת מקסימום יכולת הסבר: הפעלה מפנה לרשומה מסוימת ברשימה, ולא לניחוש. המקורות כאן מובנים: רשימות רגולטוריות וסנקציות, כתובות מניתוח אירועים, ארנקים מאושרים של כספים שנתפסו. גם המגבלה צפויה: כתובת שעוד אינה ברשימה תעבור בדיקה, גם אם הכספים יצאו מארנק שנחשף אתמול בערב.

סקורינג התנהגותי עובד לא עם מזהה, אלא עם מאפייני הזרימה: פיצול סכום לחלקים, העברות מסועפות לכתובות טריות, זמן חיים קצר של הארנק, מעבר דרך אשכולות שכבר סומנו, שינוי חד בגאוגרפיה. מכאן הכיסוי — גם כתובות לא ידועות נכנסות לתצפית — אבל עם התראות שווא. משתמש רגיל עם פעילות לא סטנדרטית בהחלט יכול להיראות חשוד.

בחירת הגישה היא שאלה איזו טעות חמורה יותר בתרחיש שלכם. עבור שירות קבלת תשלומים, חסימה שגויה של לקוח ישר פוגעת באמון ודורשת בירור ידני של הפנייה; עבור משמורת, חמור יותר להחמיץ כספים עם היסטוריה מלוכלכת. כל עוד לא נקבעה חומרת שתי הטעויות, הוויכוח «רשימה או סקורינג» נשאר עניין של טעם.

בפועל משלבים את השיטות לתבנית אחת עם רמות תגובה שונות. התאמה לרשימה — חוק קשיח: חסימה מיד, בלי ספים. הסקורינג נותן הערכת סיכון, והיא כבר קובעת את הפעולה: להעביר, לשלוח להסגר עד בדיקה, לבקש מהלקוח אישור למקור הכספים או לסרב. הספים מכוילים על נתונים היסטוריים, כדי ששיעור התראות השווא לא יגדל יחד עם הכיסוי.

חלק נפרד בתבנית — שובל החלטות: לפי איזה מאפיין זה הופעל, איזה אנליסט אישר, מה הושב ללקוח וכיצד הכתובת נכנסה לרשימה. בלי זה החסימה הופכת לקופסה שחורה, וכל ערעור — לחיפוש ידני בלוגים. אנו מרכיבים את שני השכבות יחד עם נוהל עדכון הרשימה ובירור הפעלות שנויות במחלוקת.

מקרים שנויים במחלוקת ומגבלות: שאלות טכניות נפוצות

מקרים שנויים במחלוקת בלתי נמנעים: כל סקורינג סיכון נותן התראות שווא. השאלה אינה אם הם יהיו, אלא כמה זמן הכתובת תעמוד תחת מגבלה וכמה מהר יטפלו בפנייה. לכן הבסיס אינו רשימה שחורה, אלא צינור: אות → הסגר → בירור → הסרה או אישור.

את מגבלות השיטה מתווים מיד: המערכת רואה התנהגות על השרשרת, אך אינה יודעת את סיבות ההעברה, ולכן ההחלטה הסופית בכתובת שנויה במחלוקת נשארת בידי האנליסט. אם כבר פרוס אצלכם בקרת כתובות משלכם, אנו מתחברים אליה ולא מחליפים אותה.

האם אפשר להגביל כתובת חלקית, ולא לחסום אותה לגמרי?

כן: הקפאה רק של משיכות, תקרה לסכומים לתקופה, עצירת מסלול אחד כשהאחרים פועלים, איסור על אינטראקציה עם אשכול כתובות מסוים. חסימה חלקית משאירה למשתמש לגיטימי גישה לשירות ומונעת הוצאת כספים. עבור כתובות בסיכון בינוני זה מצב ברירת המחדל.

כיצד המעגל מתנהג בעומס שיא?

הערכת הסיכון מתבצעת באופן אסינכרוני מקבלת הפעולה: תורים בעדיפות, חישוב מחדש רק של כתובות שנפגעו, מטמון הכרעות. בשיא המערכת מדרדרת לתיעוד אותות — הפעולות לא נעצרות, וההכרעות מחושבות לאחר מכן. השהיית ההכרעה ושיעור ההחלטות הנדחות נמדדים במדדים נפרדים, כדי שהדרדרות תהיה גלויה לפני תלונות.

נדון במשימה: מה להכין להערכה מדויקת

כדי שהערכת הפרויקט תתבסס על עובדות ולא על הנחות, די בתיאור שלכם בצורה חופשית — אין צורך להכין דרישות פורמליות ומסמכים. ככל שהזרימות והחוקים הנוכחיים מסומנים בצורה מדויקת יותר, כך נכליל פחות מרווח בתוכנית העבודה ויצופו פחות תיקונים בהתחלה.

• תיאור זרימות: מאיפה מגיעות כתובות לבדיקה — ארנקים של לקוחות, הפקדות מבורסות, שערי קבלת תשלומים, העברות פנימיות; היקף יומי והשיאים שלו.
• מקורות נתונים להערכת סיכון: רשימות עצמאיות, ספקי מדדים חיצוניים, מרשמים פתוחים, חומרי חקירות — מה כבר מחובר ובאיזה פורמט מגיעה ההכרעה.
• חוקים נוכחיים: לפי אילו מאפיינים כתובת מוכרת כעת כחשודה והיכן החוק הזה חי — בקוד, בקונפיגורציה או בראש של האנליסט שמטפל בתור ידנית.
• נקודות קבלת החלטות: מה קורה לעסקה — חסימה, הסגר, בירור ידני, רק התראה; מי ועל איזה בסיס מסיר את החסימה.
• תפקידים והרשאות: מי יוזם, מאשר ומבטל החלטה, איזה נתונים חייבים להישאר ביומן לבדיקה מאוחרת.
• גבולות אינטגרציה: אילו מערכות צריכות לקבל את ההכרעה — סליקה, בק-אופיס, ממשק לקוח, דיווח לרגולטור.
• מגבלות: השהיית תגובה מותרת בזרימה, עומק שמירת היסטוריית החלטות, התנהגות המערכת כאשר ספק מדדים חיצוני אינו זמין.

לאחר שנאסוף את זה, נחזור עם הערכה, תבנית תנועת נתונים ותוכנית עבודה לפי שלבים. בהמשך נתאם סדרי עדיפויות, סדר הפעלה ותחילת העבודה.