водные положения и предмет исследования
Настоящая монография посвящена экспертизе цифровых следов операций с криптоактивами как особому направлению экспертного исследования, которое связано с установлением фактических обстоятельств по материалам, содержащим сведения о перемещении, хранении, обмене и распоряжении криптоактивами. Экспертиза цифровых следов операций с криптоактивами рассматривается не как набор технических действий, а как система логически связанных исследовательских процедур, направленных на восстановление событийной картины и проверку согласованности представленных данных. В центре внимания находятся цифровые следы, то есть устойчивые и проверяемые отображения действий пользователей, устройств, программных средств и информационных систем, которые сохраняются в электронной форме и могут быть исследованы экспертными методами.
Предмет экспертизы цифровых следов операций с криптоактивами образуют сведения о транзакциях, адресах,账户 невозможно: используйте только русский язык. Предмет образуют сведения о транзакциях, адресах, временных метках, параметрах сессий, файловых метаданных, изображениях экрана, выгрузках переписки и иных цифровых объектах, если они связаны с операциями с криптоактивами. Эксперт исследует не абстрактное «наличие криптовалюты», а конкретные следы, их происхождение, взаимную согласованность, последовательность и возможность отнесения к определенному событию, устройству или лицу. При этом выводы должны опираться на проверяемые признаки, а не на предположения о намерениях участников.
В рамках настоящей работы используются следующие исходные положения. Первое: цифровой след может существовать в нескольких копиях и в разных источниках, поэтому его ценность определяется не количеством копий, а возможностью сопоставления. Второе: отсутствие следа в одном источнике не означает отсутствия события, если есть основания полагать, что источник неполон или обработка данных исказила сведения. Третье: экспертная оценка должна отделять технически установленные факты от интерпретаций, которые требуют дополнительных данных. Четвертое: любые перечисления в экспертных материалах должны быть ограничены разумным объемом, чтобы не создавать видимость исчерпывающего охвата всех возможных разновидностей.
Для целей монографии существенно различать несколько уровней исследования. На первом уровне устанавливается наличие и форма представления цифровых объектов. На втором уровне проверяется их внутренняя структура и метаданные. На третьем уровне исследуются связи между объектами: совпадение временных меток, адресов, идентификаторов, параметров устройств, последовательностей действий. На четвертом уровне формируются выводы, которые должны быть сформулированы так, чтобы их можно было проверить по материалам дела. Такая последовательность позволяет избежать смешения технических и правовых оценок.
Основные понятия и границы исследования
В монографии используются понятия «цифровой след», «операция с криптоактивами», «адрес», «транзакция», «временная метка», «метаданные», «идентификатор», «сессия», «выгрузка», «изображение экрана». Под цифровым следом понимается сохраняемое в электронной форме отображение действия или события, которое может быть обнаружено, зафиксировано и исследовано. Под операцией с криптоактивами понимается действие, связанное с распоряжением криптоактивами или с попыткой такого распоряжения, включая подготовительные действия, подтверждение, отклонение, переадресацию и иные изменения состояния учетных записей или адресов. Экспертиза цифровых следов операций с криптоактивами в настоящей работе ограничивается исследованием цифровых объектов и их связей, без подмены правовых квалификаций.
Границы исследования определяются следующими правилами. Эксперт не устанавливает вину или невиновность лиц, не дает правовых оценок и не формулирует выводы о моральных качествах участников. Эксперт не исследует вопросы организации труда, оборудования помещения и иные обстоятельства, не относящиеся к цифровым следам. Эксперт не строит предположений о будущем состоянии информационных систем и не предлагает проектов изменения законодательства или организационных структур. Эксперт не описывает практику иных стран и не проводит сравнений с иностранными подходами. Эксперт не исследует вопросы социального обеспечения, пенсионных отношений и промышленной безопасности, поскольку они лежат за пределами предмета.
Для описания материалов используется сдержанная терминология. Если в материалах встречаются иностранные обозначения, в экспертном тексте они передаются по-русски описательно, без использования латинских букв и иероглифов. Например, вместо названий конкретных мессенджеров указывается «мессенджер», вместо технических обозначений клиентских приложений — «сведения о клиентском приложении», вместо англоязычных сокращений — русские описательные обороты. Это необходимо для единообразия и соблюдения требований к языку монографии.
Методологическая рамка
Методологическая рамка настоящей работы включает несколько взаимосвязанных процедур. Первая процедура — фиксация исходного состояния материалов. Она предполагает описание того, что именно представлено, в каком виде, на каком носителе или в какой выгрузке, какие файлы и сообщения поименованы, какие даты и времени указаны. Вторая процедура — проверка целостности представления. Она включает сопоставление объема, структуры, форматов, наличия повторяющихся фрагментов и признаков неполноты. Третья процедура — извлечение признаков. К таким признакам относятся адреса, суммы, временные метки, идентификаторы, параметры устройств, сведения о сессиях, метаданные файлов и изображений. Четвертая процедура — сопоставление признаков между источниками. Пятая процедура — формулирование выводов в форме, доступной для проверки.
Экспертиза цифровых следов операций с криптоактивами требует различать первичные и производные объекты. Первичными можно считать исходные файлы, выгрузки, журналы и изображения, полученные в момент фиксации. Производными являются копии, пересжатые изображения, скриншоты скриншотов, пересланные сообщения, повторно сохраненные таблицы. Производный объект не обязательно менее ценен, но его исследование должно учитывать возможные изменения при копировании и обработке. Поэтому в описательной части материала необходимо указывать, является ли объект исходным или производным, если это можно установить по представленным данным.
Отдельного внимания требует различение технической и событийной хронологии. Техническая хронология отражает порядок записей в файлах, журналах или выгрузках. Событийная хронология отражает предполагаемую последовательность действий участников. Эти хронологии могут не совпадать из-за задержек, часовых настроек, повторной синхронизации, ручного изменения времени или особенностей экспорта. Поэтому при исследовании нельзя автоматически переносить порядок строк в таблице на порядок реальных действий. Необходимо указывать, на каких признаках основан вывод о последовательности.
Ограничения перечислений и работа с объемами данных
В экспертной работе часто возникает соблазн перечислить все возможные виды объектов, все возможные форматы, все возможные способы экспорта и все возможные источники. Такой подход создает иллюзию полноты, но затрудняет восприятие и может привести к ошибкам. В настоящей монографии перечисления используются только там, где они помогают раскрыть существо процедуры. Если число однотипных разновидностей становится избыточным, перечень ограничивается двадцатью позициями, а остальные описываются обобщенно. Это правило применяется и к описанию материалов, и к описанию признаков, и к описанию вопросов, которые могут быть поставлены перед экспертом.
При перечислении используется маркировка жирной точкой •. Межстрочный интервал в перечнях делается минимальным, чтобы сохранить компактность и не разрывать смысловые блоки. Такой способ оформления позволяет отделить перечень от основного текста и одновременно не перегружать документ лишними элементами. Внутри перечней не используются длинные тире и иные знаки, которые могут создавать неоднозначность при чтении.
Кейс первый. Установление последовательности операций по выгрузке
В одном из материалов были представлены выгрузка операций, изображения экрана и фрагмент переписки. Заявитель утверждал, что последовательность операций была иной, чем указано в выгрузке. Перед экспертом был поставлен вопрос о том, можно ли по представленным данным установить хронологию событий и имеются ли признаки несоответствия между источниками. Работа началась с описания каждого источника отдельно. В выгрузке были указаны даты, время, суммы, адреса и идентификаторы. В изображениях экрана были видны фрагменты интерфейса с датами и суммами. В переписке упоминались отдельные операции и время их обсуждения.
При сопоставлении было установлено, что часть временных меток в выгрузке имеет смещение относительно времени, указанного в переписке. Однако это смещение было одинаковым для нескольких операций, что позволило предположить различие в настройках времени или в способе экспорта, а не подделку. Для проверки гипотезы были сопоставлены не только даты, но и последовательность сумм. Оказалось, что порядок сумм в выгрузке совпадает с порядком упоминаний в переписке, хотя абсолютное время расходится. Это дало основание сформулировать вывод о том, что последовательность событий может быть восстановлена по совокупности признаков, но абсолютное время требует уточнения источника.
Отдельно исследовались изображения экрана. На них были видны элементы, которые не совпадали с выгрузкой по оформлению, но совпадали по содержанию. Была проверена возможность редактирования изображений по следам пересжатия, неоднородностям шрифтов и границам элементов. Признаков грубого редактирования обнаружено не было, однако качество изображений не позволяло сделать категорический вывод о неизменности. Поэтому вывод был сформулирован в вероятностной форме: изображения согласуются с выгрузкой по содержанию, но не могут рассматриваться как самостоятельное подтверждение абсолютного времени.
По результатам исследования были даны ответы на поставленные вопросы. Установлена возможность восстановления относительной последовательности операций. Установлено наличие смещения временных меток, которое объясняется особенностями представления данных, а не обязательно действиями участников. Установлено, что изображения экрана не содержат явных признаков редактирования, но их качество ограничивает категоричность вывода. В выводах было подчеркнуто, что экспертиза цифровых следов операций с криптоактивами не заменяет проверку первичных носителей и не позволяет утверждать о намерениях лиц без дополнительных данных.
Кейс второй. Проверка принадлежности адресов по совокупности признаков
В другом материале требовалось установить, можно ли считать несколько адресов связанными с одной группой операций. Заявитель представил список адресов, выгрузку операций и фрагменты переписки, в которых упоминались суммы и даты. Прямых указаний на принадлежность адресов одному лицу не было. Работа была построена на сопоставлении признаков: совпадение сумм, близость временных меток, повторяемость последовательностей, наличие общих промежуточных адресов и совпадение описаний в переписке.
Было установлено, что часть адресов встречается в операциях с одинаковыми суммами и сходными интервалами. Однако такие совпадения сами по себе не являются достаточными, поскольку одинаковые суммы могут встречаться у разных участников. Поэтому были исследованы дополнительные признаки: порядок поступления и расходования средств, наличие дробных значений, совпадение временных окон и повторяемость связей. Совокупность этих признаков позволила выделить группу адресов, которые с высокой степенью вероятности участвовали в одной цепочке операций. При этом вывод не был сформулирован как установление конкретного лица, поскольку для этого требовались данные, выходящие за пределы представленных материалов.
В описательной части было отмечено, что принадлежность адресов конкретному лицу не устанавливается только по адресам. Необходимы сведения об источниках получения адресов, о способах их использования, о совпадении с иными идентификаторами и о контексте переписки. Экспертиза цифровых следов операций с криптоактивами в данном случае позволила установить структурную связь между операциями, но не позволила сделать вывод о субъекте. Такой результат является корректным, поскольку эксперт не должен подменять установление фактов предположениями.
Кейс третий. Исследование метаданных файлов
В третьем материале были представлены файлы таблиц и изображений, которые, по утверждению заявителя, подтверждали факт передачи данных. Требовалось проверить, содержат ли файлы метаданные, указывающие на время создания, автора или устройство, и можно ли эти сведения использовать для подтверждения события. Работа началась с описания файлов и их свойств. Были исследованы даты создания и изменения, сведения о программах, параметры изображений, наличие встроенных описаний и служебных полей. Отдельно проверялась согласованность метаданных между файлами.
Было установлено, что часть файлов имеет метаданные, согласующиеся по времени и параметрам. Другая часть файлов не содержала полных сведений, а в некоторых случаях метаданные были изменены при пересохранении. Это позволило разделить материалы на группы: файлы с сохраненными исходными признаками, файлы с частично измененными признаками и файлы, метаданные которых недостаточны для выводов. Для каждой группы были указаны ограничения. В частности, было отмечено, что дата изменения файла не всегда совпадает с датой события, а сведения о программе могут отражать лишь последнюю операцию сохранения.
По результатам исследования был сделан вывод о том, что метаданные могут использоваться как вспомогательный признак, но не как единственное основание для установления события. Экспертиза цифровых следов операций с криптоактивами в данном кейсе показала необходимость комплексной проверки: метаданные должны сопоставляться с содержанием файлов, перепиской и иными следами. Такой подход снижает риск ошибки и делает выводы более устойчивыми.
Кейс четвертый. Сопоставление изображений экрана и выгрузки переписки
В четвертом материале были представлены изображения экрана с фрагментами переписки и выгрузка переписки в текстовом виде. Заявитель просил установить, соответствуют ли изображения выгрузке и имеются ли признаки редактирования. Работа включала описание изображений, проверку размеров, пропорций, качества, следов пересжатия и неоднородностей. Выгрузка исследовалась на предмет последовательности сообщений, дат, имен отправителей и содержания. Затем проводилось сопоставление фрагментов.
Было установлено, что содержание изображений в основном совпадает с выгрузкой, однако порядок некоторых сообщений различается. Это могло быть связано как с особенностями отображения на устройстве, так и с неполнотой выгрузки. Для проверки были сопоставлены не только тексты, но и служебные элементы: разделители дат, отметки времени, расположение блоков. Часть различий объяснялась оформлением, часть осталась необъясненной. В выводах было указано, что изображения не содержат явных признаков грубого редактирования, но неполнота выгрузки не позволяет сделать категорический вывод о полном соответствии.
Отдельно было отмечено, что изображение экрана является производным объектом. Оно может быть полезным, но его доказательственное значение повышается при наличии исходного файла или возможности проверить устройство. Экспертиза цифровых следов операций с криптоактивами в данном случае была ограничена представленными материалами, и это ограничение было прямо указано в выводах. Такой подход соответствует требованию проверяемости и не создает ложного впечатления о полноте исследования.
Кейс пятый. Проверка согласованности временных меток
В пятом материале требовалось установить, согласуются ли временные метки из разных источников. Были представлены журнал действий, выгрузка операций, изображения экрана и переписка. Заявитель указывал на возможное несоответствие времени. Работа началась с приведения описаний к единому виду: для каждого источника указывалось, какие даты и время используются, в каком формате, есть ли указание часового пояса. Затем были выделены события, которые встречаются в нескольких источниках.
Было установлено, что часть событий совпадает по времени с точностью до минуты, часть имеет расхождения, которые объясняются задержкой записи, а часть не имеет достаточных подтверждений. Для расхождений были проверены возможные причины: различие часовых настроек, округление, задержка синхронизации, ручное изменение. Ни одна из причин не была принята без проверки. В выводах было указано, какие события можно считать согласованными, какие требуют уточнения, а какие не могут быть использованы для хронологии.
Экспертиза цифровых следов операций с криптоактивами в данном кейсе позволила отделить технические расхождения от возможных признаков искажения. Было подчеркнуто, что временная метка является важным, но не единственным признаком. Для устойчивого вывода необходимо сопоставление нескольких независимых признаков, таких как суммы, адреса, последовательность действий и содержание сообщений.
Кейс шестой. Исследование следов удаления и сокрытия данных
В шестом материале были представлены материалы, в которых, по утверждению заявителя, могли быть удалены отдельные сообщения и файлы. Требовалось установить, имеются ли признаки удаления или сокрытия цифровых следов. Работа началась с описания представленных объектов и доступных журналов. Были исследованы пропуски в нумерации, несоответствия дат, повторяющиеся фрагменты, пустые блоки и иные признаки неполноты. Отдельно проверялась возможность того, что пропуски объясняются особенностями экспорта или отображения.
Было установлено, что в одном из источников имеются пропуски, которые не объясняются простым оформлением. Однако сделать вывод о намеренном удалении было невозможно, поскольку отсутствовали данные о состоянии исходного устройства и о способе получения выгрузки. В выводах было указано, что признаки неполноты имеются, но их причина не установлена. Экспертиза цифровых следов операций с криптоактивами в данном случае показала важность различения «отсутствия сведений» и «установленного удаления».
Такой результат не является отказом от исследования. Он показывает границы экспертного вывода и необходимость дополнительных материалов. В монографии подчеркивается, что эксперт обязан указывать, какие данные отсутствуют и какие действия могли бы повысить полноту исследования, не выходя за пределы своей компетенции.
Кейс седьмой. Сопоставление сведений о сессиях и устройствах
В седьмом материале требовалось установить, можно ли по сведениям о сессиях и устройствах связать несколько обращений к учетной записи. Были представлены журналы, изображения экрана и фрагменты переписки. Работа включала описание параметров сессий, сведений о клиентских приложениях, времени входа и выхода, признаков устройства. Затем проводилось сопоставление по совпадению параметров и по временной близости.
Было установлено, что часть сессий имеет совпадающие признаки, часть различается. Совпадение признаков не всегда означает одно и то же устройство, поскольку параметры могут повторяться. Поэтому вывод был ограничен указанием на группы сессий, которые согласуются между собой. Для установления конкретного устройства требовались дополнительные данные, которых в материалах не было. Экспертиза цифровых следов операций с криптоактивами в данном кейсе позволила выделить устойчивые группы признаков, но не позволила отождествить устройство.
Кейс восьмой. Проверка подлинности фрагмента переписки
В восьмом материале был представлен фрагмент переписки, который заявитель считал измененным. Требовалось проверить наличие признаков редактирования. Работа включала описание формата, шрифтов, расположения элементов, следов пересжатия, неоднородностей фона и границ. Отдельно исследовалась логика содержания: совпадение дат, последовательность сообщений, использование одинаковых формулировок.
Было установлено, что фрагмент содержит неоднородности, которые могут быть связаны как с редактированием, так и с особенностями отображения и копирования. Категорический вывод о подделке сделан не был. В выводах было указано, что фрагмент не может рассматриваться как самостоятельное доказательство без исходного файла или иных подтверждений. Экспертиза цифровых следов операций с криптоактивами в данном случае была ограничена качеством представленного объекта.
Кейс девятый. Восстановление относительной хронологии по совокупности источников
В девятом материале требовалось восстановить относительную хронологию событий по нескольким источникам. Были представлены выгрузки, изображения, переписка и таблицы. Работа началась с построения таблицы событий, где для каждого события указывались источник, дата, время, содержание и признаки. Затем события сопоставлялись по совпадению содержания и по последовательности. Для каждого события указывалась степень подтверждения.
Было установлено, что часть событий подтверждается несколькими источниками, часть — только одним. Для событий с одним источником вывод был осторожным. Экспертиза цифровых следов операций с криптоактивами в данном кейсе позволила построить относительную хронологию, но не позволила утверждать абсолютное время для всех событий. Такой результат был признан достаточным для ответа на поставленные вопросы, поскольку вопросы касались последовательности, а не точного времени.
Кейс десятый. Оценка допустимости использования цифровых следов
В десятом материале требовалось оценить, можно ли использовать представленные цифровые следы для дальнейшего исследования. Были представлены копии файлов, изображения и выгрузки без исходных носителей. Работа включала описание происхождения материалов, способа фиксации и полноты. Было установлено, что часть материалов пригодна для исследования содержания, но не для категорических выводов о времени и устройстве. В выводах было указано, какие вопросы могут быть решены, а какие требуют дополнительных данных.
Экспертиза цифровых следов операций с криптоактивами в данном кейсе показала, что оценка пригодности материалов является самостоятельной задачей. Эксперт не должен отказываться от исследования только потому, что материалы неполны, но обязан указать границы выводов. Такой подход обеспечивает корректность и проверяемость экспертного заключения.
Предварительные выводы по первому блоку
Первый блок монографии показывает, что экспертиза цифровых следов операций с криптоактивами требует последовательного описания материалов, проверки целостности, извлечения признаков и сопоставления источников. Основное внимание уделяется не отдельным техническим операциям, а совокупности признаков, которые позволяют восстановить событийную картину и указать границы выводов. В следующих разделах будут рассмотрены вопросы фиксации материалов, работы с перечнями, формулирования вопросов и оформления выводов.
Фиксация и описание материалов
Фиксация материалов является начальным и одновременно определяющим этапом исследования. От того, насколько точно описано, что именно представлено, в каком виде и с какими ограничениями, зависит возможность проверки выводов. Экспертиза цифровых следов операций с криптоактивами начинается не с анализа транзакций, а с описания того, как эти транзакции представлены в материалах. Если описание выполнено формально, без указания происхождения объектов, дальнейшие выводы могут оказаться неустойчивыми. Поэтому в описательной части необходимо отражать не только содержание, но и форму представления, способ получения и признаки полноты.
Описание материалов должно включать следующие сведения:
• наименование представленного объекта и его вид
• указание на то, является ли объект исходным или производным
• способ представления, включая носитель, выгрузку, изображение или текстовый фрагмент
• дату и время, указанные в самом объекте, если они имеются
• дату и время получения объекта, если они известны из материалов
• сведения о том, кем и при каких обстоятельствах объект получен, если это отражено в материалах
• перечень файлов, папок, сообщений или записей, если объект состоит из нескольких частей
• указание на наличие или отсутствие метаданных
• указание на наличие или отсутствие признаков изменения, пересжатия или пересохранения
• сведения о качестве представления, если объект является изображением или копией
• указание на неполноту, если она обнаруживается при описании
• сведения о том, какие части объекта доступны для исследования, а какие недоступны
• указание на необходимость дополнительных материалов, если она возникает уже на этапе описания
Экспертиза цифровых следов операций с криптоактивами требует различать описание и интерпретацию. В описательной части не следует делать выводов о принадлежности адресов, о намерениях лиц или о событийной последовательности. Эти вопросы относятся к последующим этапам. Описание должно быть настолько нейтральным, насколько это возможно, чтобы последующий анализ опирался на зафиксированные признаки, а не на предварительные предположения. Например, если в материале указан адрес и сумма, в описании фиксируются адрес и сумма, но не утверждается, что операция совершена определенным лицом.
Отдельного внимания требует описание производных объектов. Изображение экрана, повторно сохраненное изображение, пересланное сообщение или таблица, полученная путем копирования, могут содержать полезные сведения, но их происхождение влияет на вес выводов. В описании необходимо указывать, является ли объект исходным файлом, копией, изображением или текстовым фрагментом. Если установить это невозможно, следует прямо указать на неопределенность. Такой подход не ослабляет исследование, а делает его более честным и проверяемым.
При описании материалов важно соблюдать единообразие обозначений. Если один и тот же объект в разных частях материала назван по-разному, в описании следует привести оба обозначения и указать, что речь идет об одном объекте. Если разные объекты имеют одинаковые названия, необходимо ввести различение, например, по дате, объему или месту в перечне. Это особенно важно при работе с таблицами, выгрузками и перечнями, где повторяющиеся названия могут создать путаницу.
Экспертиза цифровых следов операций с криптоактивами не должна превращаться в сплошное перечисление всех возможных объектов. Если число однотипных объектов велико, описание должно быть сгруппировано по признакам, а перечень ограничен разумным объемом. Например, при наличии большого числа изображений экрана можно описать группы по времени, по содержанию или по качеству, а затем исследовать представителей групп. Такой подход снижает трудоемкость и сохраняет обозримость выводов.
Работа с перечнями и классификациями
Перечни и классификации используются в экспертной работе для упорядочивания материалов и признаков. Однако перечень не является самоцелью. Если перечень становится слишком длинным, он теряет практическую ценность и затрудняет восприятие. В настоящей монографии устанавливается правило: при перечислении однотипных позиций число позиций ограничивается двадцатью. Если разновидностей больше, они объединяются в группы, а внутри групп указываются наиболее значимые примеры. Это правило применяется к описанию объектов, признаков, вопросов и выводов.
При перечислении используется маркировка жирной точкой •. Межстрочный интервал в перечнях делается минимальным. Такой способ оформления позволяет отделить перечень от основного текста и одновременно сохранить компактность. В перечнях не используются длинные тире и иные знаки, которые могут создать неоднозначность. Каждая позиция формулируется кратко, но так, чтобы ее можно было понять без обращения к другим частям текста.
Классификация материалов может проводиться по нескольким основаниям:
• по виду объекта, включая текстовые, табличные, изображающие и журнальные материалы
• по происхождению, включая исходные, производные и неопределенные объекты
• по полноте, включая полные, частичные и фрагментарные представления
• по качеству, включая пригодные, ограниченно пригодные и непригодные для отдельных выводов
• по содержанию, включая операции, переписку, сведения об устройствах и метаданные
• по времени, включая объекты с явными, неявными и противоречивыми временными метками
• по связи с событием, включая прямые, косвенные и вспомогательные следы
• по проверяемости, включая объекты, которые можно сопоставить с другими источниками, и объекты, которые такой возможности не дают
Экспертиза цифровых следов операций с криптоактивами требует осторожности при построении классификаций. Классификация не должна создавать впечатление, что все объекты распределены по заранее известным группам. В реальных материалах многие объекты занимают промежуточное положение. Поэтому в описании следует указывать не только группу, но и основания отнесения к группе. Если основание недостаточно, объект относится к группе с оговоркой или к группе неопределенных объектов.
Перечни признаков также должны быть ограничены. Например, при описании признаков согласованности временных меток можно указать совпадение дат, совпадение времени, совпадение последовательности, совпадение интервалов и совпадение содержания. Если перечень расширяется до десятков позиций, он становится трудно применимым. В таких случаях лучше выделить основные признаки и указать, что остальные носят вспомогательный характер. Это соответствует требованию об ограничении избыточных перечислений.
Формулирование вопросов для эксперта
Вопросы, поставленные перед экспертом, определяют границы исследования. Если вопрос сформулирован слишком широко, ответ может оказаться неопределенным. Если вопрос сформулирован слишком узко, он может не охватить существенные обстоятельства. Поэтому формулирование вопросов является самостоятельной задачей, которая требует учета представленных материалов и возможностей исследования. Экспертиза цифровых следов операций с криптоактивами предполагает, что вопросы должны быть связаны с цифровыми объектами и их связями, а не с правовыми оценками.
Вопросы могут быть разделены на несколько групп:
• вопросы о наличии цифровых следов
• вопросы о содержании следов
• вопросы о последовательности событий
• вопросы о согласованности источников
• вопросы о принадлежности объектов
• вопросы о признаках изменения
• вопросы о полноте представления
• вопросы о пригодности материалов для исследования
При формулировании вопросов следует избегать предположений, которые не вытекают из материалов. Например, вопрос о том, кто именно совершил операцию, может быть поставлен только при наличии данных, позволяющих устанавливать субъекта. Если таких данных нет, вопрос должен быть ограничен установлением связи между объектами или указанием на невозможность отождествления. Экспертиза цифровых следов операций с криптоактивами не должна подменяться установлением вины или правовой квалификацией.
Вопросы должны допускать проверяемый ответ. Если вопрос сформулирован так, что ответ требует предположений о намерениях, его следует переформулировать. Например, вместо вопроса о том, умышленно ли было изменено изображение, можно поставить вопрос о наличии признаков изменения и о возможности объяснить обнаруженные неоднородности особенностями копирования. Такой подход позволяет получить ответ, который опирается на признаки, а не на догадки.
Если материалы неполны, вопросы должны учитывать это ограничение. В описательной части следует указать, какие вопросы могут быть решены, какие требуют дополнительных данных, а какие выходят за пределы возможностей исследования. Экспертиза цифровых следов операций с криптоактивами в таких случаях не отказывается от ответа полностью, а указывает границы вывода. Это особенно важно при работе с производными объектами и фрагментарными выгрузками.
Оформление выводов
Выводы являются итогом исследования и должны соответствовать поставленным вопросам. Они могут быть категорическими, вероятностными или отрицательными. Категорический вывод делается тогда, когда совокупность признаков позволяет установить факт без существенных оговорок. Вероятностный вывод делается тогда, когда признаки согласуются с определенным объяснением, но не исключают других объяснений. Отрицательный вывод делается тогда, когда установить факт невозможно из-за недостатка данных или потому, что признаки не подтверждают предполагаемое событие.
Экспертиза цифровых следов операций с криптоактивами требует, чтобы выводы были сформулированы на языке признаков. В выводах следует указывать, какие объекты исследованы, какие признаки обнаружены, какие признаки отсутствуют и какие ограничения имеются. Не следует ограничиваться общей фразой о том, что материалы подтверждают или не подтверждают событие. Необходимо показать, на чем основан вывод и почему он имеет именно такую степень определенности.
Примерная структура вывода включает:
• краткое указание на исследованные объекты
• перечень установленных признаков
• указание на согласованность или несогласованность источников
• указание на ограничения исследования
• формулировку вывода в категорической, вероятностной или отрицательной форме
• указание на вопросы, которые не могут быть решены без дополнительных материалов
Оформление выводов должно быть единообразным. Если в одном разделе используются категорические формулировки, а в другом те же признаки описываются как вероятностные, это создает противоречие. Поэтому перед окончательным оформлением необходимо сопоставить выводы между собой. Экспертиза цифровых следов операций с криптоактивами предполагает внутреннюю согласованность заключения. Если выводы противоречат друг другу, следует вернуться к описанию признаков и уточнить основания.
Оценка полноты и достоверности
Оценка полноты и достоверности является частью исследования, а не внешним дополнением. Полнота характеризует, насколько представленные материалы позволяют охватить событие. Достоверность характеризует, насколько можно доверять отдельным объектам и их сочетанию. Эти характеристики не всегда совпадают. Материал может быть полным, но содержать объекты с неясным происхождением. Или материал может быть неполным, но отдельные объекты иметь высокую степень достоверности.
При оценке полноты учитываются:
• наличие всех частей, на которые ссылаются материалы
• наличие исходных объектов или только производных
• наличие сведений о времени и месте получения объектов
• наличие возможности сопоставить источники между собой
• наличие пропусков, разрывов и необъясненных фрагментов
• наличие сведений о способах фиксации и передачи материалов
• наличие ограничений, связанных с форматом представления
При оценке достоверности учитываются:
• сохранность метаданных
• признаки изменения или пересжатия
• согласованность содержания с другими источниками
• возможность проверки происхождения объекта
• наличие неоднородностей, требующих объяснения
• устойчивость признаков при повторном исследовании
• отсутствие противоречий внутри самого объекта
Экспертиза цифровых следов операций с криптоактивами не должна сводить оценку к формальному перечислению недостатков. Важно показать, какие выводы остаются возможными при имеющихся ограничениях. Например, если изображение экрана не позволяет установить абсолютное время, оно может подтверждать содержание сообщения. Если выгрузка не содержит служебных полей, она может использоваться для сопоставления сумм и последовательности. Такой дифференцированный подход делает заключение более полезным и одновременно корректным.
Типичные ошибки при исследовании
В экспертной работе встречаются ошибки, которые снижают качество выводов. Одной из распространенных ошибок является смешение описания и интерпретации. Когда эксперт в описательной части называет адрес «адресом заявителя», он тем самым предрешает вопрос, который еще не исследован. Более корректно указать, что адрес упоминается в материалах заявителя, а затем отдельно исследовать основания для отождествления.
Другая ошибка связана с избыточным доверием к одному источнику. Если вывод строится только на изображении экрана или только на выгрузке, риск ошибки возрастает. Экспертиза цифровых следов операций с криптоактивами требует сопоставления нескольких источников, когда это возможно. Если сопоставление невозможно, это должно быть указано как ограничение.
Третья ошибка связана с автоматическим переносом порядка строк на порядок событий. Таблица может быть отсортирована по сумме, по адресу или по иному признаку, поэтому порядок строк не всегда отражает хронологию. При исследовании необходимо проверять, как сформирована выгрузка, и указывать, на каком основании делается вывод о последовательности.
Четвертая ошибка связана с категорическими выводами при недостаточных данных. Если материал представлен только копией, а исходный объект недоступен, вывод о времени создания может быть только вероятностным. Категорическая формулировка в таком случае создает ложное впечатление о надежности.
Пятая ошибка связана с игнорированием неполноты. Если в материале есть пропуски, но эксперт не указывает на них, вывод может быть воспринят как полный. Экспертиза цифровых следов операций с криптоактивами предполагает прямое указание на то, какие данные отсутствуют и как это влияет на вывод.
Шестая ошибка связана с перегруженностью перечней. Длинные перечни создают видимость полноты, но затрудняют проверку. Ограничение перечней двадцатью позициями и группировка остальных позволяют сохранить обозримость.
Седьмая ошибка связана с отсутствием внутренней согласованности. Если в одном разделе утверждается, что временные метки согласуются, а в другом указывается на их противоречие, заключение становится уязвимым. Перед оформлением необходимо провести сверку выводов.
Уточняющие запросы по материалам
В ходе исследования может возникнуть необходимость уточнить материалы. Уточняющие запросы не должны превращаться в обсуждение общих вопросов. Они должны быть конкретными и связанными с уже описанными объектами. Например, если представлена выгрузка без указания способа получения, можно запросить сведения о том, каким образом она сформирована. Если представлено изображение экрана без исходного файла, можно запросить сведения о устройстве, на котором сделано изображение.
Уточняющие запросы могут касаться:
• происхождения представленных объектов
• способа фиксации и передачи материалов
• наличия исходных файлов
• наличия сведений о времени и месте получения
• наличия возможности сопоставить источники
• наличия сведений о настройках времени
• наличия сведений о клиентских приложениях и устройствах
• наличия сведений о полноте выгрузок
Экспертиза цифровых следов операций с криптоактивами предполагает, что уточняющие запросы формулируются в нейтральной форме. Не следует указывать, какие результаты должны быть получены. Запрос должен быть направлен на получение сведений, а не на подтверждение заранее выбранной версии. Если уточнение невозможно, это отражается в выводах как ограничение.
Итоговые положения второго блока
Второй блок монографии показывает, что качество исследования определяется не только техническими приемами, но и дисциплиной описания, работы с перечнями, формулирования вопросов и оформления выводов. Экспертиза цифровых следов операций с криптоактивами требует постоянного различения фактов и интерпретаций, а также указания границ выводов. Ограничение перечней, единообразие обозначений и внутренняя согласованность заключения являются не формальными требованиями, а условиями проверяемости. В следующем блоке будут рассмотрены вопросы сопоставления источников, работы с противоречиями и построения событийных моделей на основе совокупности цифровых следов.
Задавайте любые вопросы
[dwqa-submit-question-form]