Hová kerül valójában az ellopott kriptovaluta: bepillantás a 45 napos pénzmosó gépezetbe

Hat év, több mint 16 milliárd dollár eltűnt

A kriptovaluta-lopás már nem csupán egy olyan szakasz, amelyből a digitális eszközök iparága lassan kilábal, hanem önálló iparággá vált. Eddig, csupán az elmúlt fél évtizedben, a blokklánc-nyomozók a lopások összegének robbanásszerű növekedését számolták össze (3,7 milliárd dollár 2022-ben, 1,7 milliárd dollár 2023-ban, 2024-ben 2,2 milliárd dollár, 2025-ben pedig 3,4 milliárd dollár), és ezek a számok nem mutatnak csökkenés jeleit.

Érdemes megemlíteni, hogy a tavalyi összeg közel fele egyetlen eseményből származott, nevezetesen a 2025. februári Bybit-támadásból, amelynek során a támadók feltörték a tőzsde hidegtárcájának aláírási folyamatát, és 1,5 milliárd dollárral távoztak (ezzel ez lett a történelem legnagyobb kriptovaluta-lopása).

Az idei év első fele kísértetiesen hasonló volt: a Blockaid biztonsági cég adatai szerint rekordszámú, 212 incidens során összesen körülbelül 1,1 milliárd dollárnyi kár keletkezett. A legnagyobb egyedi kár a KelpDAO restaking-protokoll április 19-i kihasználása volt (293 millió dollár), a TRM Labs pedig 207 incidenst számolt össze ebben a hat hónapban, ami több mint kétszerese az egy évvel korábbi azonos időszaknak.

A 45 napos forgatókönyv

A fent említett lopások után általában bekövetkező események mára szinte forgatókönyvszerűvé váltak: a kutatók egy jellegzetes, három hullámban lezajló, körülbelül 45 napig tartó pénzmosási ciklust írnak le.

A nulla és az ötödik nap között a sebesség a legfontosabb, és az ellopott tokeneket általában decentralizált pénzügyi (DeFi) protokollokon keresztül cserélik el (a tevékenység akár 370%-kal is megugrik), majd keverőszolgáltatásokba továbbítják, amelyek összevonják és összekeverik a coinokat, hogy megszakítsák a forrás és a cél közötti kapcsolatot. A hatodiktól a tizedik napig a pénzeszközök láncok között ugrálnak a láncok közötti hidakon keresztül, és olyan tőzsdéken áramlanak át, ahol korlátozott a „ismerd meg az ügyfeledet” (KYC) ellenőrzés.

Ezt követően, nagyjából a 20. és a 45. nap között, a coinokat kis részletekben (általában 500 000 dollár alatt, hogy a bejelentési küszöbértékek alatt maradjanak) váltják be KYC-ellenőrzés nélküli platformokon, azonnali csereplatformokon, kínai nyelvű tőzsdén kívüli (OTC) hálózatokon, valamint olyan garanciaszolgáltatásokon keresztül, mint a szankcionált Huione piactér.

Ennek következtében a ciklus végére a pénz annyi láncot, keverőt és joghatóságot keresztezett, hogy bár a származás megállapítása továbbra is lehetséges (mivel a blokkláncok soha nem felejtenek), a visszaszerzés ritkán valósul meg. Hogy lássuk a dolgot a megfelelő perspektívában: a Bybit ellopott pénzeszközeinek kevesebb mint 5%-át sikerült valaha is visszaszerezni, annak ellenére, hogy a tőzsde a legkiválóbb „fehér kalapos” szakemberekkel dolgozott együtt.

2026: Több támadás, kisebb zsákmány

Idén a támadók kiszélesítették célpontjaikat, mert a KelpDAO-hoz hasonló protokollbeli sebezhetőségek mellett már áprilisban is havi rekordot döntöttek: 641,67 millió dollárt loptak el. Az első félév veszteségeinek körülbelül 55%-a mögött a Lazarushoz kapcsolódó észak-koreai csoportok álltak, a CertiK számításai szerint – amelyek magukban foglalják a phishing-támadásokat és a személyes pénztárcák kiürítését is – az időszak kára 344 incidens során 1,32 milliárd dollárra rúgott.

Legutóbb a Coldcard hardverpénztárca kihasználása mutatta meg, hogy a támadási stratégia a bitcoinra is kiterjed. Miután körülbelül 116 millió dollárt szedett ki a gyenge maggal rendelkező pénztárcákból, a támadó elkezdte összevonni a coinokat, miközben a figyelemmel kísérők minden lépését nyomon követték. Az eset fényében a bitcoin legfőbb egyediségét jelentő tulajdonságai – az átláthatóság és a visszafordíthatatlanság – szinte egyik napról a másikra kétélű karddá váltak, mert bár mindenki láthatta az ellopott érmék mozgását, senki sem tudta azokat visszaszerezni.

Miért szinte soha nem történik meg a visszaszerzés

Amikor ezek a támadások zajlanak, az egyetlen eszköz, amely újra és újra megbízhatóan működik, a centralizált stabilcoin-befagyasztás. A Tether és a Circle szerződéses szinten feketelistára teheti a címeket, ezzel azonnal elérhetetlenné téve az összes olyan USDT-t vagy USDC-t, amelyet a tolvajok még mindig birtokolnak – pontosan ezért cserélik a kifinomult támadók a lopott stabilcoinokat éterre vagy bitcoinra a támadás után perceken belül, vállalva az árkockázatot, hogy elkerüljék a befagyasztás hatókörét.

Ez egy sokatmondó aszimmetria: azaz a cenzúrának leginkább ellenálló eszközöket a legkönnyebb tisztára mosni, míg a legkönnyebben befagyaszthatókat a legkönnyebb visszaszerezni. Minden pénzmosási stratégia végső soron egy verseny arról, hogy a befogható eszközöket befoghatatlanná alakítsák, mielőtt valaki, akinek van „szünetgombja”, észrevenné.

A kriptolopások kellemetlen matematikája az, hogy a megelőzés jelenti szinte az egész játékot. A tőzsdék és az elemző cégek befagyaszthatják azokat az eszközöket, amelyek szabályoknak megfelelő platformokkal kerülnek kapcsolatba, és pontosan ezért a pénzmosók előre terhelik a DeFi-t és a keverőket, ahol senki sem tud semmit befagyasztani.

A keverőkre és a Huione-hoz hasonló szolgáltatásokra kiszabott szankciók ugyan megnövelik a költségeket, de a pénzmozgásokat csupán az utódok felé terelik, ahelyett, hogy megállítanák őket. A 45 napos határidő pedig azt jelenti, hogy mire a határokon átnyúló jogi eljárás egyáltalán megindul, a kriptovaluták általában már befejezték útjukat.

A felhasználók és a platformok számára a tanulság az, hogy ha egyszer ellopták, a pénzeszközeik túlnyomó többsége soha nem kerül vissza. Ráadásul a támadók ciklusa gyorsabb, mint a szabályozás, és minden évben, amikor a „kriptolopások száma csökken” címmel jelenik meg egy cikk, a következő milliárd dolláros ellenpélda máris mozgásba lendül. A blokklánc mindent rögzít, de semmit sem ad vissza.