Mihin varastetut kryptovaluutat todella päätyvät: kurkistus 45 päivän rahanpesukoneistoon

Kuusi vuotta, yli 16 miljardia dollaria kadonnut

Kryptovaluuttojen varkaudet eivät ole enää vaihe, josta digitaalisten varojen ala on hitaasti pääsemässä eroon, vaan oma toimialansa. Tähän mennessä pelkästään viimeisen puolen vuosikymmenen aikana ketjututkijat ovat laskeneet varastettujen summien räjähdysmäisen kasvun (3,7 miljardia dollaria vuonna 2022, 1,7 miljardia dollaria vuonna 2023, 2,2 miljardia dollaria vuonna 2024 ja 3,4 miljardia dollaria vuonna 2025), eikä kasvussa ole näkyvissä merkkejä hidastumisesta.

Itse asiassa on syytä mainita, että lähes puolet viime vuoden kokonaissummasta johtui yhdestä ainoasta tapahtumasta, eli helmikuussa 2025 tapahtuneesta Bybit-hakkeroinnista, jossa hyökkääjät murtautuivat pörssin kylmälompakon allekirjoitusprosessiin ja veivät mukanaan 1,5 miljardia dollaria (mikä teki siitä historian suurimman kryptovaluuttavarkauden).

Tämän vuoden ensimmäinen puolisko oli pelottavan samankaltainen: turvallisuusyritys Blockaidin mukaan ennätykselliset 212 tapausta tuottivat yhteensä noin 1,1 miljardia dollaria. Suurin yksittäinen isku oli 19. huhtikuuta tapahtunut KelpDAO-restaking-protokollan hyökkäys (293 miljoonaa dollaria), ja TRM Labs laski näiden kuuden kuukauden aikana 207 tapausta, mikä on yli kaksinkertainen määrä verrattuna edellisen vuoden vastaavaan jaksoon.

45 päivän toimintasuunnitelma

Edellä mainittujen varkauksien jälkeen tapahtuva kulku on tällä hetkellä jo lähes kuin ennalta määrätty käsikirjoitus, ja tutkijat kuvaavat tyypillistä rahanpesusykliä, joka kestää noin 45 päivää ja etenee kolmessa aallossa.

Päivinä nolla–viisi nopeus on tärkeintä, ja varastetut tokenit vaihdetaan tyypillisesti hajautetun rahoituksen (DeFi) protokollien kautta (aktiivisuus nousee jopa 370 %) ja siirretään sekoituspalveluihin, jotka yhdistävät ja sekoittavat kolikoita katkaistakseen yhteyden lähteen ja kohteen välillä. Päivinä 6–10 varat siirtyvät ketjuista toisiin ketjujen välisten siltojen kautta ja kulkevat pörsseissä, joissa asiakkaan tuntemista (KYC) koskevat tarkastukset ovat rajallisia.

Sitten noin päivästä 20 päivään 45 kolikot lunastetaan pieninä erinä (tyypillisesti alle 500 000 dollaria, jotta ne pysyvät ilmoitusrajojen alapuolella) KYC-tarkastuksettomien kanavien, pikavaihtopalvelujen, kiinankielisten OTC-verkostojen (over-the-counter) sekä takuupalveluiden, kuten pakotteiden kohteena olevan Huione-markkinapaikan, kautta.

Tämän seurauksena syklin loppuun mennessä rahat ovat kulkeneet niin monien ketjujen, sekoittajien ja lainkäyttöalueiden läpi, että vaikka alkuperän jäljittäminen on edelleen mahdollista (koska lohkoketjut eivät koskaan unohda), varojen takaisin saaminen on harvoin mahdollista. Vertailun vuoksi mainittakoon, että alle 5 % Bybitin varastetuista varoista on koskaan saatu takaisin, vaikka pörssillä oli apunaan joitakin alan tuotteliaimpia white hat -asiantuntijoita.

2026: Lisää hakkerointeja, pienempiä saaliita

Tänä vuonna hyökkääjät ovat laajentaneet kohteitaan, sillä KelpDAO:n kaltaisten protokollahyökkäysten ohella pelkästään huhtikuussa saavutettiin kuukausiennätys, kun varastettiin 641,67 miljoonaa dollaria. Lazarus-ryhmään liittyvät pohjoiskorealaiset ryhmät olivat vastuussa noin 55 %:sta ensimmäisen vuosipuoliskon menetyksistä, ja CertiK:n laskelmien mukaan – jotka sisältävät myös phishing-hyökkäykset ja henkilökohtaisten lompakoiden tyhjentämiset – kauden vahingot olivat 1,32 miljardia dollaria 344 tapauksessa.

Viimeisimpänä Coldcard-laitteistolompakon haavoittuvuuden hyödyntäminen osoitti, kuinka hyökkäysmenetelmät sopeutuvat myös bitcoiniin. Tyhjentäessään noin 116 miljoonaa dollaria heikosti suojatuista lompakoista hyökkääjä alkoi yhdistellä kolikoita, samalla kun sivustakatsojat seurasivat jokaista siirtoa. Tämän tapauksen valossa bitcoinin keskeiset myyntivaltit, kuten läpinäkyvyys ja peruuttamattomuus, muuttuivat lähes yhdessä yössä kaksiteräisiksi miekkoiksi, sillä vaikka kaikki pystyivät seuraamaan varastettujen kolikoiden liikkeitä, kukaan ei pystynyt palauttamaan niitä takaisin.

Miksi palauttaminen ei juuri koskaan onnistu

Kun tällaisia hyökkäyksiä tapahtuu, ainoa keino, joka on kerta toisensa jälkeen toiminut luotettavasti, on keskitetty stablecoin-varojen jäädyttäminen. Tether ja Circle voivat lisätä osoitteita mustalle listalle sopimustasolla, jolloin varkaiden hallussa olevat USDT- tai USDC-kolikot jäävät välittömästi käyttökelvottomiksi. Juuri tästä syystä kokeneet hyökkääjät vaihtavat varastetut stablecoinit etheriksi tai bitcoiniksi muutamassa minuutissa hyökkäyksen jälkeen, hyväksyen hintariskin päästäkseen jäädytyksen ulottumattomiin.

Kyseessä on paljastava epäsymmetria: sensuurinkestävimmät varat ovat helpoimpia pestä, ja helpoimmin jäädytettävät varat ovat helpoimpia palauttaa. Jokainen rahanpesustrategia on viime kädessä kilpajuoksu, jossa pyritään muuttamaan kiinniotettavissa olevat varat kiinniottamattomiksi ennen kuin kukaan, jolla on pysäytyspainike, ehtii huomata asiaa.

Kryptovarkauksien epämiellyttävä totuus on, että ennaltaehkäisy on lähes koko pelin ydin. Pörssit ja analytiikkayritykset voivat jäädyttää varat, jotka kulkevat sääntöjä noudattavien alustojen kautta, ja juuri siksi rahanpesijät keskittyvät alusta alkaen DeFi-palveluihin ja sekoittimiin, joissa kukaan ei voi jäädyttää mitään.

Sekoittimiin ja Huionen kaltaisiin palveluihin kohdistetut sanktiot nostavat kustannuksia, mutta ne vain siirtävät rahavirtoja seuraajille sen sijaan, että pysäyttäisivät ne. Ja 45 päivän aikaraja tarkoittaa, että siihen mennessä, kun rajat ylittävä oikeudenkäynti on edes käynnistynyt, kolikot ovat yleensä jo päätyneet määränpäähänsä.

Käyttäjille ja alustoille opetus on se, että kerran varastettuina valtaosa varoista ei tule koskaan takaisin. Lisäksi hyökkääjien sykli on nopeampi kuin sääntöjen noudattaminen, ja joka vuosi, kun otsikoissa lukee, että ”kryptovaluuttojen varkaudet ovat vähenemässä”, seuraava miljardin dollarin arvoinen vastakohta on jo liikkeellä. Lohkoketju tallentaa kaiken, mutta ei palauta mitään.