Transakcja bitcoin: jak ją odczytać i śledzić

W sercu bitcoina znajduje się otwarta księga, więc przy odpowiednich umiejętnościach każda transakcja może być śledzona od adresu do adresu. Cała branża wyrosła z tego: traderzy śledzą wieloryby i napływy do giełd, eksperci ds. analizy blockchain pomagają odzyskiwać skradzione fundusze, a zgodność filtruje "brudne" monety.

W tym przewodniku przejdziemy krok po kroku przez to, jak analizować transakcje ręcznie, jak zautomatyzować tę pracę za pomocą narzędzi i automatyzacji, a także dlaczego nawet najbardziej zaawansowane śledzenie daje prawdopodobieństwo, a nie stuprocentową odpowiedź.

Pominiemy podstawowe definicje i metryki rynkowe — istnieje osobny materiał w formacie kart dla nich.

Część 1. Ręczna analiza transakcji

Krok 1. Znalezienie transakcji po TXID

Każdy transfer w blockchainie ma unikalny identyfikator — TXID, hasz transakcji. To długa sekwencja, zazwyczaj składająca się z 64 znaków, którą sieć uzyskuje, przetwarzając wszystkie dane transferu — wejścia, wyjścia, kwoty i podpisy — przez algorytm SHA-256.

Praktycznie niemożliwe jest sfałszowanie takiego hasza: najmniejsza edycja danych daje zupełnie inną sekwencję, więc dwa identyczne TXID nie istnieją. W istocie jest to "numer paragonu", za pomocą którego każdy węzeł w sieci może znaleźć i zweryfikować operację.

Sposób uzyskania hasza zależy od tego, co już masz:

• jeśli transfer został już zrealizowany — można go otworzyć w historii portfela lub giełdy. Obok operacji zazwyczaj znajduje się link taki jak "Zobacz w eksploratorze": prowadzi on do strony transakcji, gdzie identyfikator jest pokazany w całości;
• jeśli masz tylko adres nadawcy lub odbiorcy — wklejasz go w pasek wyszukiwania dowolnego eksploratora blockchain. Historia adresu otworzy się ze wszystkimi transferami; potrzebną transakcję można zidentyfikować po kwocie i dacie, a jej hash znaleźć na stronie samej transakcji.

Krok 2. Zrozumienie struktury transakcji: wejścia, wyjścia i reszta

W przeciwieństwie do konta bankowego, bitcoin nie przechowuje salda jako jednej liczby. Sieć działa na modelu UTXO (niewykorzystane wyjście transakcji): środki istnieją jako oddzielne "banknoty" o różnych nominałach, podczas gdy portfel przechowuje tylko klucze do nich. Dostępne saldo to suma wszystkich takich wyjść kontrolowanych przez właściciela.

"Banknot" nie może być wydany częściowo. Podczas płatności takie wyjście wchodzi w transakcję w całości, a w zamian sieć tworzy dwa nowe: jedno dla odbiorcy, drugie jako resztę z powrotem do nadawcy na nowy adres.

Weźmy przykład. Alice ma wyjście o wartości 5 BTC, a ona przekazuje 0.01 BTC Bobowi. Na blockchainie pojawia się wejście o wartości 5 BTC, płatność 0.01 BTC i reszta ~4.99 BTC (minus opłata).

Każdy obserwator może zobaczyć całą operację przez eksplorator — "okrągła" płatność jest łatwa do odróżnienia od "fragmentarycznej" zmiany. Określenie adresu zmiany w forensyce blockchain opiera się na tej cechie.

Krok 3. Sprawdzanie potwierdzeń i mempoola

Wysłana transakcja nie dociera do blockchaina natychmiast. Najpierw transfer trafia do mempoola — wspólnej kolejki operacji oczekujących na włączenie do bloku. Na tym etapie mogą wystąpić opóźnienia: górnicy zazwyczaj priorytetowo traktują operacje z wyższą opłatą, więc przy zbyt niskiej opłacie transfer może pozostać w kolejce przez długi czas.

Gdy tylko operacja dotrze do bloku, otrzymuje swoje pierwsze potwierdzenie. Po włączeniu rekordu do bloku, otrzymuje swoje pierwsze potwierdzenie. Z każdym kolejnym poziom niezawodności rośnie, a prawdopodobieństwo anulowania staje się coraz mniejsze. Dla małych kwot jedno lub dwa potwierdzenia są zazwyczaj wystarczające, podczas gdy dla dużych płatności zwykle czeka się na sześć.

Wygodnie jest śledzić to w czasie rzeczywistym za pomocą hasha: eksplorator pokaże, czy transfer utknął w kolejce, w którym bloku się znalazł, ile potwierdzeń zdobył i jaką opłatę zapłacił nadawca. Jeśli operacja utknie na długo, ta sama strona zasugeruje powód — najczęściej zbyt niską opłatę.

Krok 4. Śledzenie ścieżki monety

Każde wejście nowej operacji odnosi się do konkretnego wyjścia jednej z poprzednich — poprzez jego hash, i może mieć jednocześnie kilka wejść i wyjść. Dlatego transfery nie tworzą pojedynczego łańcucha, lecz rozgałęzioną sieć: monety w niej zbieżają się i rozdzielają między adresami.

Wzdłuż tej sieci ruch funduszy można śledzić w obu kierunkach — do nowych adresów i z powrotem, aż do transakcji coinbase, w której po raz pierwszy pojawiły się jako nagroda za wydobyty blok.

W praktyce analityk śledzi adresy wyjściowe i patrzy, dokąd fundusze poszły dalej. Następnie powtarza to samo z nowymi adresami — krok po kroku, aż powstanie pełny łańcuch.

W ten sposób na blockchainie pojawiają się charakterystyczne trasy: transfer do giełdy, podział dużej sumy na części lub wypłata skradzionych funduszy przez kilka pośrednich portfeli.

Przykład: w 2025 roku adres wczesnego inwestora pokazał aktywność po raz pierwszy po 13 latach uśpienia, transferując 909 BTC (około 85 milionów dolarów) do nowego portfela. Te monety zostały odebrane w latach 2012–2013, kiedy cena bitcoina nie przekraczała kilku dolarów.

Taki transfer jest widoczny w każdym eksploratorze: wystarczy otworzyć adres, śledzić łańcuchy wyjściowe i zobaczyć, dokąd fundusze poszły dalej.

Część 2. Wprowadzenie analizy na taśmę

Analiza ręczna jest dobra, gdy jest jedna lub dwie transakcje. Ale księga jest uzupełniana co sekundę, a tysiące transferów nie mogą być pokryte okiem.

Tutaj automatyzacja przychodzi z pomocą: programy same żądają danych z sieci, obliczają metryki i wysyłają powiadomienia w odpowiednim momencie. Przyjrzyjmy się jej trzem poziomom — dostępowi do danych, analizie i monitorowaniu.

Krok 5. Łączenie z danymi za pomocą API

Pierwszy poziom to programowy dostęp do blockchaina za pośrednictwem API węzłów i eksploratorów. To interfejs, przez który skrypt żąda tych samych informacji, które wcześniej mogliśmy zobaczyć na stronie transferu (ale bez udziału człowieka i w dowolnej ilości).

Usługa mempool.space ma dwie opcje do wyboru. API REST odpowiada na jednorazowe zapytania: status transakcji, saldo adresu, stan mempoola. API WebSocket utrzymuje stałe połączenie i samo wysyła aktualizacje — możesz subskrybować adres i otrzymywać sygnał za każdym razem, gdy nowy transfer przez niego przechodzi.

Do masowych sprawdzeń odpowiednie są Blockchair i Bitquery: zwracają dane dla wielu adresów jednocześnie i obsługują webhooki.

Krok 6. Automatyzacja analizy

Drugi poziom to platformy, które pozwalają napisać zapytanie raz i otrzymać gotowy pulpit nawigacyjny zamiast jednorazowego wyniku.

Na Dune dane blockchainowe są zapytywane w języku SQL i wyświetlane na wykresach; raport o przepływach wymiany, aktywności wielorybów lub największych posiadaczach aktualizuje się sam, bez powtarzania zapytania.

Flipside jest zorganizowane podobnie — ma również darmowe SDK w Pythonie, dzięki któremu dane mogą być pobierane bezpośrednio do niestandardowych skryptów.

Kluczowa różnica w porównaniu do metody ręcznej jest prosta: zapytanie jest napisane raz, ale działa nieprzerwanie. Wcześniej analityk codziennie przeglądał wykres — teraz są pulpity nawigacyjne, które aktualizują się same.

Krok 7. Ustawianie monitorowania i powiadomień

Trzeci poziom to powiadomienia zamiast ręcznego odświeżania strony. Połączenie "API plus bot" monitoruje potrzebne adresy i wysyła powiadomienie, gdy tylko środki przychodzą lub odchodzą. Tak działają zarówno publiczne powiadomienia o dużych transakcjach wielorybów, jak i prywatne powiadomienia, na przykład o wypłacie monet z konkretnego portfela.

Podstawowy zestaw można skonfigurować nawet bez programowania: platformy takie jak Arkham oferują gotowe powiadomienia o transferach i aktywności wielorybów, które przychodzą na e-mail lub do aplikacji. Dla tych, którzy potrzebują własnej logiki obsługi zdarzeń, odpowiednie są webhooki — automatycznie wysyłają powiadomienie do serwera, gdy wystąpi określone zdarzenie.

Część 3. Śledzenie i jego ograniczenia

Krok 8. Jak działa analiza blockchaina

Szczytem automatyzacji jest śledzenie skradzionych monet i badanie transakcji. Silniki kryminalistyczne powtarzają logikę analizy ręcznej, ale stosują ją na skalę całej sieci.

W sercu tej technologii leży grupowanie adresów według heurystyk, czyli reguł założeń; dwie z nich są szczególnie ważne:

• wspólne wejście:jeśli kilka UTXO jest wydawanych w jednej transakcji, to z dużym prawdopodobieństwem są kontrolowane przez jednego właściciela;
• zmiana określenia adresu: na podstawie funkcji z Kroku 2 — płatność okrągła w porównaniu do ułamkowej zmiany — silnik ustala, które z wyjść zostały zwrócone do nadawcy.

Oprócz klasteryzacji dodawane jest rozpoznawanie typowych schematów prania pieniędzy. Jest to na przykład dzielenie sum lub "łuskanie" — gdy małe kwoty są odcinane z dużego portfela w kółko.

Następnie następuje ocena ryzyka i przypisanie: powiązanie klastrów z rzeczywistymi wymianami, usługami lub osobami. Zarówno platformy komercyjne (Chainalysis, TRM, Elliptic), jak i otwarte silniki (GraphSense, BlockSci) to robią.

Krok 9. Czy można zaufać automatyzacji

Analiza automatyczna ma fundamentalne ograniczenie. Klasteryzacja daje prawdopodobieństwo, a nie fakt. Heurystyki popełniają błędy: na przykład technologia CoinJoin celowo łączy UTXO różnych użytkowników w jednej transakcji, co powoduje, że zasada wspólnego wejścia zawodzi.

Ryzyko wycieku danych można również zmniejszyć ręcznie. Funkcja kontroli monet w portfelach (na przykład Sparrow lub Trezor Suite) pozwala samodzielnie wybrać, które UTXO wydać: wybierz wyjście odpowiadające kwocie płatności i nie mieszaj monet z różnych źródeł w jednej transakcji. To zmniejsza zmianę i zapobiega uruchomieniu heurystyki wspólnego wejścia — to właśnie na tych wskazówkach opiera się klasteryzacja.

Bitcoin nie zapewnia anonimowości, lecz pseudonimowości — słabszej właściwości, którą często "przełamuje" analiza, ale nie zawsze: wynik pozostaje oszacowaniem, chociaż dobrze uzasadnionym. Jak podkreśla Chainalysis, heurystyki atrybucji dają wynik probabilistyczny, a nie pewność, więc ocena ryzyka jest jedynie podstawą decyzji analityka, a nie wyrokiem.

Stąd praktyczny wniosek. Warto odróżnić automatyczne grupowanie adresów od atrybucji weryfikowanej przez ludzi: pierwsze to hipoteza, drugie to wniosek. Wynik oceny ryzyka jest powodem, aby przyjrzeć się bliżej adresowi, a nie wyrokiem na jego właściciela.

***

Otwarta księga sprawia, że każda transakcja bitcoinowa jest śledzona — cała analiza on-chain opiera się na tym. Do pracy manualnej podstawy są wystarczające: wiedzieć, czym jest TXID, zrozumieć model UTXO i mechanikę zmiany, czytać wejścia, wyjścia i potwierdzenia w eksploratorze. To wystarczy, aby przejść przez łańcuchy transakcji i zobaczyć, gdzie środki się przemieszczały.

Automatyzacja w postaci API, pulpitów SQL i botów nie eliminuje potrzeby tych podstaw — po prostu skaluje pracę: to, co analityk robi ręcznie z jedną transakcją, narzędzia powtarzają dla całej sieci.

Na szczycie znajduje się kryminalistyka z klastrowaniem i oceną ryzyka. Jednak opiera się na probabilistycznych heurystykach, a zatem daje hipotezy, a nie dowody.

Logiczne jest opanowanie tematu od podstaw: najpierw eksplorator, potem API i pulpity nawigacyjne, a dopiero potem specjalistyczne narzędzia analityczne on-chain. Jednocześnie, im głębsze śledzenie, tym ważniejsze jest odróżnienie prawdopodobnego od udowodnionego.

Źródło: ForkLog