Як працюють інциденти бірж

Що робить вивід аномальним

Cexlens оцінює кожну біржу цілком у ковзному 15-хвилинному вікні й дивиться на кожен гаманець-отримувач без мітки біржі, фонду, маркет-мейкера чи протоколу. Сам розмір інцидент не відкриває: велика біржа регулярно відправляє сотні мільйонів на власні гаманці без мітки. Отримувач стає підозрілим, коли отримав щонайменше $50M і має ознаку зливу: гаманець новий (перша активність за останні 48 годин), на нього прийшло пʼять і більше активів (sweep), його наповнили кілька гаманців чи мереж біржі, або тут є гроші з міксера (сам гаманець або той, хто підписав транзакцію з коштами біржі, отримував кошти через міксер, наприклад Tornado Cash). Старий гаманець має бути ще й незвично великим для цієї біржі: щонайменше вдвічі більшим за 99-й перцентиль найбільшого отримувача у 15-хвилинному вікні за останні 7 днів. Усі ці числа налаштовує оператор, тому вони можуть змінюватися.

• Підозра Щонайменше один гаманець-отримувач підозрілий.
• Ескалація Є гроші з міксера, або щонайменше $250M у двох і більше мережах чи з трьома ознаками одразу.
• Підтверджено Ставить оператор після підтвердження біржі. Лише тоді картка каже «злив».

Як читати сторінку доказів

Сторінка починається з суми, кількості переказів, мереж і гаманців-отримувачів та годинника: перший переказ, момент, коли Cexlens його позначив, і останній переказ, у UTC. Куди пішли гроші зʼєднує кожен гаманець біржі з кожним отримувачем, ширина стрічки відповідає USD. За мережею та активом підсумовує кількості по монетах. Кожен переказ показує кожен переказ з посиланням на експлорер, тож перевірити може будь-хто. Після відкриття інциденту Cexlens ще й перевіряє, що кожен гаманець-отримувач отримав від тієї ж біржі в кожній мережі, яку індексує, включно з переказами всередині виклику контракту, і додає їх у міру появи.

Куди гроші пішли далі

Коли інцидент став публічним, Cexlens ще 14 днів стежить за його гаманцями-отримувачами і кожні 10 хвилин читає кожен їхній вихідний переказ. Кожного отримувача названо за тими ж мітками, що й у решті продукту: на біржі (гроші знову на майданчику, де їх можна продати або заморозити), міксер, обмін на DEX, міст в іншу мережу, фонд чи маркетмейкер, або гаманець без мітки. Гаманець без мітки, що отримав щонайменше $1M, стає наступним кроком і теж під наглядом, до трьох кроків від біржі і до 40 гаманців на інцидент. Перекази до $100K не показуються. Розділ Куди гроші пішли далі підсумовує USD за типом отримувача, а найбільші наступні перекази ведуть на експлорер. Ці суми не додаються до загальної суми інциденту: загальна сума показує, що пішло з біржі, а слід показує, що з цими грошима сталося далі, тож ті самі монети можуть бути в обох. USD у сліді рахується за ціною на момент, коли Cexlens прочитав переказ, а не на момент самого переказу. Зараз слід охоплює Bitcoin і EVM-мережі, які індексує Cexlens; гаманці в Tron і XRP Ledger поки не відстежуються.

Чого інцидент не доводить

Блокчейн показує перекази, а не їхню причину. Інцидент не каже, хто контролює гаманці-отримувачі і як перекази було авторизовано, а великий запланований переїзд на новий гаманець зберігання може виглядати так само, доки біржа не пояснить. Суми в USD використовують ціну на момент переказу, де вона є. Кошти в мережах, які Cexlens ще не індексує, у суми не входять. Відновлений інцидент зібрано з архіву Cexlens після події, і він так і позначений; це не був живий алерт.