פיתוח מערכת לניטור עסקאות חשודות

ניטור תנועות בבלוקצ'יין: שטחים עיוורים והתראות שווא

האות על פעולה חשודה מגיע באיחור: תנועה נחשבת מאושרת רק לאחר הכנסתה לבלוק, והחוקים מופעלים בדיעבד — כאשר הכספים כבר עברו שניים-שלושה כתובות ביניים. החלון שבין הפעולה הראשונה לבין ההתראה נמדד בעשרות דקות, ובזמן הזה מספיקים לפצל את המשיכה בין ארנקים.

חלק ממסלולי תנועת הכספים אינו נכלל בניתוח כלל. העברות פנימיות של חוזים חכמים, פעולות דרך גשרים בין רשתות, תנועות בתוך ארנקי הבורסה ופיצול לאשכולות כתובות נראים רק בעת ניתוח מלא של גרף האונצ'יין, ולא במנוי על כתובות בודדות.

בעיה נפרדת היא התראות שווא. חוקי סף מערכות מוכנות מייצרים מפל של אזהרות: כאשר תשעה אותות מתוך עשרה אינם מאושרים, התורן מפסיק להגיב לפיד, ותקרית אמיתית טובעת בין סימונים אחידים של "נבדק".

מחירה של טעות כזו אינו אנליסט עייף, אלא משיכת כספים שהוחמצה ודרישות של הרגולטור, הזקוק לעקבה ניתנת לשחזור עבור כל בדיקה.

אנחנו בונים קו מתאר שבו החוקים מתארים את פרופיל הסיכון שלכם, ולא נלקחים מהקופסה: הערכת פרופיל סיכון של כתובות, תיעדוף לפי סכום וקשרים, תרחישים נפרדים לגשרים ולקריאות פנימיות של חוזים. תוצרי Chainalysis ובדיקות עצמאיות מאחדים לרשימה אחת עם סף הפעלה שקוף. כיצד זה סוגר את האיחור ואת השטחים העיוורים — מפורט להלן.

ניטור זרימה של פעולות: מה משתנה במדדים

השפעת ניטור הזרימה נמדדת בארבעה גדלים: השהיה מהפעולה ועד האות, שיעור התרחישים המכוסים של תנועת הכספים, מספר התראות השווא וזמן ההשבתה של הבקרה. לפני ההטמעה בדרך כלל אינם נמדדים — קיימת הוצאת נתונים יומית וסקירה ידנית של כתובות.

מהירות התגובה: מהפעולה ועד האות

הניתוח מתבצע בשני קווי מתאר: ה-mempool מספק אות לפני הכנסת הפעולה לבלוק, ומנוי על בלוקים — עובדה מאושרת. הראשון נדרש במקום שבו עדיין ניתן לעצור העברה יוצאת, והשני — לניתוח ולדיווח. המסלול מהפעולה ועד ההתראה מתקצר משעות לשניות, ולפי נתונים מאושרים — עד intervalo בלוק אחד.

שלמות כיסוי התרחישים

חוקים לפי כתובות מכסים העברות ישירות לרשימות סנקציות. את השאר תופס השכבה הגרפית: פיצול סכום, ארנקי מעבר, החלפה לנכסים אחרים, מעברים דרך גשרים, החזרת כספים דרך חוליות ביניים.

ההיוריסטיקות מסמנות חשוד, האנליסט מאשר או מסיר את הסימון — הכיסוי גדל מעשרות למאות תרחישים, ולכל סימון נשמרת עקבה של מסלול הכספים.

התראות שווא מופחתות לא על ידי הסף, אלא על ידי הערכת משקל: סכום, תדירות, חדשנות של הצד שכנגד, קרבה לאשכול מסומן. השבתת הבקרה נסגרת על ידי רפליקות של צמתים ומצב נסיגה לחוקים ללא גרף — אי-זמינות נמדדת בדקות, ולא ביממות.

כל מקרה נרשם בכרטיס עם כתובת, מסלול כספים והחלטת אנליסט, ולכן תק incidents שנותחו מפסיקים ללכת לאיבוד בין משמרות. Chainalysis ואנלוגים קובעים את רף הסימון הענפי — לפיו אנו מכוונים, ואת אחסון המקרים בונים בהתאם להרשאות הלקוח.

דרכי זיהוי של פעולות חשודות: השוואת גישות

אף דרך אינה סוגרת את המשימה כולה — את האפשרויות משווים לפי השהיית התגובה, עומק ההיסטוריה והיקף הליווי. להלן — חלופות שביניהן באמת בוחרים.

חוקים על הצומת

המסנן הראשון: בדיקת כתובות מול רשימות, ספים לפי סכום ותדירות, איסור על חוזים ללא לוגיקה מאושרת. מופעלים על הזרימה הנכנסת ואינם תלויים במערכות חיצוניות, אך תופסים רק את הסימנים שתיארתם בעצמכם — סכמות חדשות דורשות הוספה ידנית של חוקים.

שירותי אנליטיקה חיצוניים

מספקים דירוג סיכון של כתובת וקשרים לאשכולות שכבר סומנו. השאילתה נשלחת עבור כל כתובת, ולכן בזרימה משלימים אותה במטמון פסקי דין ובטעינה אסינכרונית: הפעולה עוברת לפי החוקים על הצומת, וההערכה מתחדדת לפי תגובת השירות. אי-התאמה בין פסקי הדין — עילה לבדיקה ידנית, ולא לחסימה אוטומטית.

בפועל משלבים קווי מתאר: ניתוח זרימה כבסיסי, הוצאת נתונים תקופתית להצלבה ולדיווח, דירוג חיצוני כשכבת חידוד. מה מזה נדרש לכם — תלוי בשאלה אם אתם חוסמים פעולה או רק מסמנים אותה לניתוח.

שלבי ההטמעה: מביקורת הזרימות ועד מסירת התקנונים

ניטור תנועות אינו מופעל כמקשה אחת: מערך חוקים רחב מדי מייצר מפל של אותות שווא, והאנליסטים מפסיקים להסתכל על התור. לכן ההטמעה מתבצעת בשלבים — ממלאי מלא של הזרימות ועד לתקנונים שלפיהם השירות עובד בהמשך בלעדינו.

ביקורת זרימות וחוקים קיימים

תחילה מתעדים מהיכן מגיעים הנתונים: צמתי הרשת, פנקסים פנימיים, הוצאות מבורסה, מקורות חיצוניים של סימוני סיכון. במקביל מנתחים מה כבר נבדק ידנית ומדוע בדיקות אלו מופעלות או מחמיצות את הנדרש.

1. ביקורת זרימות: מקורות, תדירות הגעה, שלמות שדות, השהיה עד להופעת הפעולה.
2. סכמת כיסוי: אילו פעולות, כתובות וצדדים שכנגד נמצאים תחת בקרה ואילו מחוץ להיקף.
3. הגדרת איסוף וניתוח נתונים: מודל אחיד, טעינת השלמה לפערים, בקרת שלמות.
4. תרחישי זיהוי: ספים לפי היקף ותדירות, קשרים בין כתובות, אי-התאמות עם הפרופיל.
5. בדיקה על נתונים היסטוריים: הרצת חוקים על תקופות קודמות, מדידת אותות שווא.
6. הגבלת גישה: תפקידי אנליסטים ושירות הביטחון, יומן פעולות, הרשאות לעריכת חוקים.
7. מסירת תקנונים: תיאור החוקים, סדר ניתוח האותות, קריטריונים להסלמה, עדכון.

בדיקה על נתונים היסטוריים

את החוקים מריצים על ההיסטוריה המצטברת ומצליבים עם ניתוחים שהושלמו. כך רואים איזה סף מייצר יותר התראות שווא ואיזה — החמצות, והספים מכווננים לפני הכנסה לתור העבודה.

לאחר המסירה, צוות הלקוח משנה ספים ומוסיף תרחישים בעצמו — בלי לפנות אלינו.

ערכת מסירה: קונפיגורציות, סכמות, תקנוני תגובה

ערכת המסירה אינה דוח סופי, אלא תוצרי עבודה שלכם צוותכם ממשיך לעבוד איתם בעצמאות. הכול מונח לצד קוד החוקים, מנוהל בגרסאות ומורץ לפי הוראות, ולא "לפי הזיכרון של מהנדס" שכבר עזב את הפרויקט.

• קונפיגורציות חוקים: ספי הפעלה, רשימות כתובות, משקלי הערכת סיכון — עם היסטוריית שינויים וחזרה לגרסה קודמת.
• סכמת תנועת כספים: גרף קשרים של כתובות, נקודות קלט-פלט ואשכולות שירותים, המתעדכן לפי לוח זמנים.
• מטריצת גישה: תפקידים צמודים לפעולות, ולא לתפקידים ארגוניים.
• תקנון תגובה: רמות הפעלה, זמני תגובה, מי מקבל החלטה על השהיית פעולה, תבניות התראה.
• תיעוד תפעולי: פריסה, גיבוי, שחזור, סדר עדכון החוקים.
• מערך בדיקות: פעולות היסטוריות מסומנות, שעליהן נבדק חוק חדש לפני הכנסה לפעולה.

מטריצת גישה

אנליסט רואה כרטיסי פעולות וסימון, התורן יכול להשהות משיכה, המנהל משנה ספים ורשימות. שינוי חוק נרשם ביומן עם המחבר והסיבה — בניתוח תקרית רואים מי ומדוע החליש את הבקרה.

תיעוד תפעולי

הוראות לפריסה, לעדכון רשימות ולשחזור לאחר תקלה, וכן סדר ניתוח התראות שווא. המסמך חי יחד עם קוד החוקים, ולכן אינו סוטה ממצב המערכת בפועל.

מקרה הטמעה: שיעור הפעולות שהתגלו גדל פי שלושה

מפעיל החלפה של נכסים דיגיטליים הגיע עם שני קווי מתאר מבודדים של בקרה: חוקים בלוח אנליטי והוצאות תקנוניות לטבלאות. הסימנים נרשמו לאחר ניתוח — סכמה נכנסה לחוקים רק לאחר שמישהו כבר עבר אותה.

מצב פתיחה

האות נפל לצ'אט כללי, והתורן אסף ידנית היסטוריית העברות של הכתובת בדפדפני הרשת, ואחר כך בזבז פרק זמן דומה על שאילתות למאגרי סימונים. התור לניתוח בסוף משמרת הלילה גדל מהר יותר מכפי שהאנליסטים הספיקו לסגור אותו.

מה השתנה בעבודת משמרת התורנים

החוקים ומודל הסיכון נכנסו לתור אחד: הראשונים תופסים סימנים פורמליים, והשני — סטייה של התנהגות הכתובת מההיסטוריה שלה עצמה, וסימון הסימנים הותאם להמלצות FATF. לכרטיס האות מצורף גרף קשרים של כמה מעברים ובסיס ראיות — הוצאת תנועות, סימוני צדדים שכנגד, היסטוריית נגיעות קודמות. האנליסט מקבל החלטה לפי תמונה מוכנה, ולא אוסף נתונים.

"המשמרת טבעה בשגרה: חצי מהזמן הלך לאיסוף נתונים. כעת התורן רואה מדוע המערכת הניפה דגל, וסוגר את הפנייה עם הנמקה מובנת".

הערכת הלקוח: העומס על משמרת התורנים ירד, ניתוח התק incidents הפך לצפוי מראש, ושיעור הפעולות שהתגלו גדל פי שלושה.

מה עושים אם ברשת כבר פועלת מערכת בקרה עצמאית על פעולות?

מערכת בקרה פעילה על פעולות אינה משהו שמכבים למען מערכת חדשה. היא מחזיקה תהליכים שוטפים ופתרונות מצטברים, ולכן ההשתלה מתחילה בהרצה מקבילה: אותו זרם פעולות מעובד על ידי שתי המערכות, הישנה ממשיכה לסמן ולהתריע, והחדשה רק מחשבת וכותבת ליומן נפרד. אף אות אינו הולך לאיבוד, וההשפעה על הלקוחות נשארת אפסית.

שימור ההיסטוריה נפתר בהעברה של היומנים המצטברים כמות שהם — עם הסימונים המקוריים, סיבות ההפעלה והחלטות סופיות של המפעילים. זה מספק חומר להרצת הלוגיקה החדשה על העבר: רואים היכן היא הייתה מוצאת את מה שהישנה החמיצה, והיכן הייתה מופעלת לחינם. בלי הרצה כזו, ההשוואה נעשית בצורה עיוורת.

לאחר מכן — השוואת התוצאות במצב מקביל. אי-ההתאמות מנותחות לפי מחלקות: החמצות, התראות שווא, הבדל בספים, פרשנויות שונות לאותם סימנים. בפועל אי-ההתאמות מתרכזות במספר תרחישים, ולא מפוזרות על כל הזרימה — ואותם בדיוק הופכים למושא איחוד החוקים.

איחוד החוקים משמעו שספים, רשימות כתובות ומשקלי סימנים מיושרים, כפילויות מוסרות, וחוקים שנויים במחלוקת נשארים בדיוק במערכת אחת עם בעלים מוגדר במפורש. כל שינוי מנוהל בגרסאות ומוחזר באופן עצמאי, אחרת ההרצה המקבילה הופכת לבלתי נשלטת.

המעבר ההדרגתי מתבצע לא בבת אחת, אלא לפי קבוצות: לפי סוגי פעולות או לפי סגמנטים של לקוחות. מערכת הבקרה העצמאית נשארת קו המתאר הראשי עד לרגע שבו החדשה מספקת לא פחות הפעלות בשיעור נמוך יותר של שווא. אז הזרימה מועברת, והיומן נשאר אחיד — ההיסטוריה אינה נקרעת באף שלב.

שאלות טכניות: התראות שווא ופרטיות נתונים

התראות שווא הן הסיבה העיקרית לכך שניטור מוטמע מכובה: תור המקרים גדל מהר יותר מכפי שהאנליסט מספיק לנתח, ובחוקים גסים חולפים ליד פיצול סכום לעשרות העברות קטנות ומעבר דרך שרשרת כתובות ביניים. נקודת העבודה נמצאת על ידי כיול על ההיסטוריה שלכם, ולא על ידי הצבת ערכים טיפוסיים.

מה קורה לפרטיות הנתונים ולמידע אישי?

הניטור מבוסס על נתונים פומביים: כתובות, סכומים, זמנים והאשים של פעולות. מידע אישי של לקוחות נשאר בקו המתאר שלכם ומגיע למודל הסיכון רק כסימנים אנונימיים; הפריסה — בתוך התשתית שלכם, בלי הוצאת פעולות החוצה.

כיצד מחברים רשימות מגבילות?

הרשימות מחוברות כמקור נפרד: הכתובות מנורמלות לצורה אחידה ומתעדכנות לפי לוח זמנים, והכנסה לרשימה מעניקה רמת סיכון מקסימלית ללא תלות בסכום. ביומן נרשם לפי איזו גרסה של הרשימה הופעלה החסימה.

מי מקבל גישה לנתונים על פעולות חשודות?

הגישה מופרדת לפי תפקידים: אנליסט רואה את המקרה ואת קשרי הכתובות, המנהל — תקציר וסטטוסי הניתוח. פתיחת כרטיס פעולה נרשמת, ולכן תמיד ניתן לשחזר מי ומתי הסתכל על הנתונים.

האם ניתן לחבר רשת עצמאית?

הניטור אינו צמוד לבלוקצ'יין אחד: עבור רשת חדשה מתארים את מקור הנתונים ואת חוקי ניתוח הפעולות, ומשם היא עובדת לפי מודל הסיכון הכללי. רשת עצמאית או סגורה מתחברת באותו אופן — די בגישה לצומת.

נדון במשימה: מה נדרש להערכה ולתוכנית

כדי לחזור עם הערכה ותוכנית, ולא עם מילים כלליות, אנו צריכים לראות כיצד בנויה הבקרה שלכם על פעולות כיום. ככל שנתוני המוצא קונקרטיים יותר, כך אנו קובעים ביתר דיוק את היקף העבודה: אילו כתובות וחוזים נמצאים באזור הקשב, אילו אירועים נחשבים חשודים, מי וכיצד מגיב להפעלת חוק.

• רשימת הרשתות והנכסים שצריך לכסות בניטור, כולל קווי בדיקה.
• גישות לרשת: צמתים עצמאיים או ספקי נתונים חיצוניים, מפתחות גישה, הרשאות קריאה בלבד — כתיבה וחתימה על תנועות אינן נדרשות לנו.
• תהליכי בקרה נוכחיים: חוקים וספי הפעלה קיימים, מי מנתח התראות ומה קורה להן בהמשך.
• תיאור תרחישים חשודים: פיצול סכומים, העברות מניפה, פעולות עם כתובות מרשימות סנקציות, אנומליות לפי זמן ותדירות.
• דרישות לדיווח ולעומק אחסון ההיסטוריה — מתקנון פנימי ועד שאילתות הרגולטור.
• לאן להוציא התראות: דואר, מסנג'ר, מערכת פניות או הפורטל הפנימי שלכם.
• היקפים: מספר משוער של תנועות ביום ועומק ההיסטוריה שצריך לטעון בעת ההתחלה.

תארו את המשימה כפי שהיא כיום — חלק מהנתונים בדרך כלל מתבהרים כבר בשיחה, וזה נורמלי. נחזור עם הערכה, תוכנית שלבים ורשימת סיכונים שאנו רואים בסכמה שלכם.