Миксеры и тумблеры: как работают и как распознать

Миксер — это «прачечная» блокчейна. Его единственная задача — разорвать связь между отправителем и получателем средств, чтобы аналитик не смог проследить путь монет. Для AML-проверки прохождение средств через миксер — это красный флаг максимальной силы, почти всегда сопоставимый с санкционным. Разберём механику, конкретные сервисы и признаки, по которым миксер видно прямо в блокчейне.

▶ Видеоурок: как распознать миксер (озвучка на русском).

Механика миксера: общий пул

Чтобы понять, почему миксер так опасен для трассировки, нужно понять его устройство. В обычной транзакции всё прозрачно: адрес А отправил 5 ETH адресу Б, связь видна навсегда. Миксер ломает эту прямую связь через общий пул (pool).

1. Депозит. Пользователь вносит фиксированную сумму (например, ровно 0.1, 1 или 10 ETH) в смарт-контракт миксера. Сумма именно фиксированная — это принципиально, потому что уникальные суммы легко сопоставить «вход↔выход».Фиксированные номиналы делают все депозиты неотличимыми друг от друга — как одинаковые купюры в общей кассе.
2. Смешивание. Внесённые монеты попадают в единый пул вместе со средствами сотен других пользователей. На этом этапе индивидуальная «монета» перестаёт существовать — есть только общий котёл.В криптографических миксерах (Tornado Cash) пользователь получает секретную «ноту» (доказательство с нулевым разглашением), которая подтверждает право на вывод, но не раскрывает, какой именно депозит был его.
3. Вывод. Позже — часто с задержкой и на новый, «чистый» адрес — пользователь выводит ту же сумму из пула. Формально связь между его депозитом и выводом криптографически разорвана.Именно задержка и смена адреса призваны обмануть простой анализ по времени.

Ключевые сервисы

• Tornado CashСамый известный миксер Ethereum, набор смарт-контрактов с фиксированными номиналами 0.1 / 1 / 10 / 100 ETH. Внесён OFAC в SDN в августе 2022. Именно через него отмывались средства Lazarus Group.
• SinbadBitcoin-миксер, который OFAC назвал прямым преемником ранее закрытого Blender.io. Также активно использовался КНДР. Санкционирован в ноябре 2023.
• Наследники и клоныПосле санкций против крупных игроков появляются форки и мелкие сервисы (CoinJoin-имплементации, приватные пулы). Механика та же — общий пул и разрыв связи, — поэтому распознаются по одним и тем же признакам.

Санкционный статус: почему это двойной удар

Внимание. Крупнейшие миксеры не просто «подозрительны» — они прямо внесены в санкционные списки OFAC. Это значит, что прохождение средств через Tornado Cash или Sinbad несёт сразу два риска: во-первых, санкционный (адреса миксера в SDN, см. урок 3.1), во-вторых, риск сокрытия происхождения (сам факт использования инструмента для обфускации). Даже если бы миксер не был санкционирован, его использование ломает возможность подтвердить легальность средств — а «не можем подтвердить» в комплаенсе трактуется не в пользу клиента.

Разбор реального скриншота

Реальный адрес Tornado Cash в обозревателе блокчейна. Обратите внимание на метку BLOCKED и на однотипные депозиты по 0.1 ETH.

Этот скриншот — учебник по распознаванию миксера. Разберём, что именно на нём видно:

1. Метка BLOCKED. Обозреватель прямо помечает адрес как заблокированный/санкционированный. Это готовый сигнал: сервисы-аналитики уже классифицировали адрес.Публичные метки — первый и самый дешёвый уровень проверки, но полагаться только на них нельзя: новые адреса могут быть ещё не размечены.
2. Одинаковые круглые суммы. Ряд транзакций ровно по 0.1 ETH. В обычной экономической жизни люди почти никогда не переводят идеально круглые фиксированные суммы снова и снова. Это подпись миксера с фиксированными номиналами.0.1 / 1 / 10 / 100 ETH — характерные «деноминации» Tornado Cash.
3. Метод deposit. В деталях транзакций виден вызов метода смарт-контракта deposit. Это прямое взаимодействие с контрактом-миксером, а не обычный перевод «кошелёк-кошельку».По имени вызываемого метода контракта аналитик мгновенно понимает природу операции.
4. Множество разных отправителей. В пул сыпятся депозиты от десятков независимых адресов — визуальная картина «общего котла».Симметрично на вывод идут переводы на множество свежих адресов.

Признаки миксера в блокчейне (без готовой метки)

Метка BLOCKED есть не всегда — новые клоны и приватные пулы могут быть неразмечены. Тогда миксер узнают по поведенческим признакам:

• Фиксированные круглые номиналыПовторяющиеся переводы ровно 0.1 / 1 / 10 ETH — сильнейший индикатор.
• Взаимодействие со смарт-контрактомНе P2P-перевод, а вызов методов deposit/withdraw единого контракта, через который проходит огромный объём.
• Разрыв цепочки «вход↔выход»Средства входят с одного кластера адресов, а выходят на совершенно несвязанный новый адрес — классический признак обфускации.
• Задержка и пакетностьДепозит и вывод разнесены во времени; выводы дробятся на серию одинаковых сумм.
• Аномальная концентрацияОдин контракт принимает и отдаёт несоразмерно большой поток от тысяч адресов — экономически это не «кошелёк», а сервис.

Почему прохождение через миксер — красный флаг максимума

Почему это важно. В AML-проверке мы всегда задаём вопрос: «Можем ли мы объяснить происхождение этих средств?» Миксер существует ровно для того, чтобы сделать ответ невозможным. Средства, прошедшие через миксер, по определению имеют оборванную историю — мы не знаем, что было до пула. А в комплаенсе неизвестность трактуется как максимальный риск: если клиент не может (или намеренно сделал невозможным) подтвердить чистоту, добросовестный оператор обязан отказать.

Есть и статистический аргумент. Легальному пользователю миксер нужен редко — ради приватности. А вот для отмывания краденого, выкупов ransomware и вывода средств Lazarus миксер — обязательный инструмент. Поэтому апостериорная вероятность криминала для «замиксованных» средств очень высока. Регуляторы и биржи это понимают и относятся к следу миксера предельно жёстко: часто это автоматический стоп, наравне с санкциями.

Практический вывод. Если в истории кошелька виден любой контакт с известным миксером — прямой депозит, вывод из пула или получение средств от адреса, который сам выводил из миксера, — это повод для вердикта высокий риск / стоп. Не пытайтесь «дооценить» такие средства как частично чистые: обрыв истории неустраним.

Итоги урока

• Миксер = разрыв связи вход↔выходЧерез общий пул и фиксированные номиналы обрывается прослеживаемость.
• Крупные миксеры санкционированыTornado Cash, Sinbad — в SDN OFAC; двойной риск (санкции + обфускация).
• Признаки видны в блокчейнеКруглые суммы, метод deposit, метка BLOCKED, множество входов/выходов.
• Вердикт — почти всегда стопОборванную историю нельзя «дочистить»; неизвестность = максимальный риск.

Дальше рассмотрим источники, откуда в миксеры и на кошельки чаще всего попадают криминальные средства: даркнет-маркеты, выкупы вымогателей и кражи.

← Программа Следующий урок →

Материалы носят образовательный характер и не являются юридической консультацией.