Hvor stjålet krypto virkelig havner: Inne i den 45-dagers hvitvaskingsmaskinen

Seks år, mer enn 16 milliarder dollar borte

Kryptotyveri er ikke lenger en fase den digitale aktivabransjen sakte er på vei ut av, men en bransje i seg selv. Så langt har onchain-etterforskere bare de siste fem årene registrert kraftig voksende stjålne totaler (3,7 milliarder dollar i 2022, 1,7 milliarder dollar i 2023, 2,2 milliarder dollar i 2024 og 3,4 milliarder dollar i 2025), tall som ikke har vist tegn til å stoppe.

Faktisk er det verdt å nevne at nesten halvparten av fjorårets total kom fra én enkelt hendelse, nemlig Bybit-hacket i februar 2025, der angripere kompromitterte børsens signeringsprosess for cold wallet og stakk av med 1,5 milliarder dollar (noe som gjorde det til det største kryptotyveriet i historien).

Første halvår i år var uhyggelig likt, med om lag 1,1 milliarder dollar lagt til på tvers av rekordhøye 212 hendelser, ifølge sikkerhetsselskapet Blockaid. Det største enkeltstående angrepet var utnyttelsen 19. april av restaking-protokollen KelpDAO (på 293 millioner dollar), og TRM Labs registrerte 207 hendelser i løpet av disse seks månedene, mer enn dobbelt så mange som i samme periode året før.

45-dagers-oppskriften

Det som typisk skjer etter de nevnte tyveriene har på dette tidspunktet nesten blitt som et manus, der forskere beskriver en særegen hvitvaskingssyklus som varer omtrent 45 dager i tre bølger.

I dagene null til fem betyr hastighet mest, og de stjålne tokenene byttes typisk via desentraliserte finansprotokoller (DeFi) (aktiviteten kan øke med opptil 370 %) og sendes inn i miksing-tjenester, som samler og blander mynter for å bryte koblingen mellom kilde og destinasjon. I dagene seks til ti hopper midlene mellom kjeder via cross-chain-broer og flyter gjennom børser med begrensede kundekjennskapssjekker (KYC).

Deretter, fra omtrent dag 20 til dag 45, tas myntene ut i små transjer (typisk under 500 000 dollar for å holde seg under rapporteringsterskler) via no-KYC-steder, umiddelbare vekslingstjenester og kineskspråklige over-the-counter (OTC)-nettverk og garantitjenester som den sanksjonerte Huione-markedsplassen.

Følgelig har pengene ved slutten av syklusen passert gjennom så mange kjeder, miksere og jurisdiksjoner at selv om attribusjon fortsatt er mulig (siden blokkjeder aldri glemmer), er tilbakeføring det sjelden. For å sette det i perspektiv: mindre enn 5 % av Bybits stjålne midler ble noen gang gjenfunnet, selv om børsen hadde noen av de mest produktive white hat-ressursene på sin side.

2026: Flere hack, mindre utbytte

I år har angripere utvidet målbildet sitt fordi, i tillegg til protokollutnyttelser som KelpDAOs, satte april alene månedsrekord med 641,67 millioner dollar stjålet. Lazarus-tilknyttede nordkoreanske grupper sto bak rundt 55 % av tapene i første halvår, og CertiKs opptelling, som inkluderer phishing og tapping av personlige lommebøker, anslår periodens skade til 1,32 milliarder dollar fordelt på 344 hendelser.

Senest viste utnyttelsen av Coldcard-maskinvarelommebøker hvordan oppskriften tilpasser seg bitcoin også. Etter å ha tømt omtrent 116 millioner dollar fra lommebøker med svake seed, begynte angriperen å konsolidere myntene mens tilskuere fulgte hvert hopp. I lys av hendelsen ble bitcoins kjerne-USP-er, som transparens og irreversibilitet, nærmest over natten til tveeggede sverd, fordi selv om alle kunne se de stjålne myntene bevege seg, kunne ingen flytte dem tilbake.

Hvorfor tilbakeføring nesten aldri skjer

Når alle disse angrepene pågår, er den ene spaken som gang på gang har fungert pålitelig, den sentraliserte stablecoin-frysen. Tether og Circle kan svarteliste adresser på kontraktnivå, og umiddelbart strandsette all USDT eller USDC som tyver fortsatt holder, noe som er akkurat hvorfor sofistikerte angripere bytter stjålne stablecoins til ether eller bitcoin i løpet av minutter etter et brudd, og aksepterer prisrisiko for å slippe unna fryseradiusen.

Det er en avslørende asymmetri, altså at de mest sensurresistente eiendelene er de enkleste å hvitvaske, og de mest frysbare er de enkleste å gjenopprette. Hver hvitvaskingsoppskrift er til slutt et kappløp om å konvertere det som kan fanges til det som ikke kan fanges før noen med en pauseknapp oppdager det.

Den ubehagelige matematikken i kryptotyveri er at forebygging er nesten hele spillet. Børser og analyseselskaper kan fryse midler som berører etterlevelsesplattformer, noe som er nettopp hvorfor hvitvaskere frontlaster DeFi og miksere, der ingen kan fryse noe som helst.

Sanksjoner mot miksere og tjenester som Huione øker kostnadene, men skyver bare strømmer over til etterfølgere i stedet for å stoppe dem. Og 45-dagersklokken betyr at innen grensekryssende juridiske prosesser i det hele tatt er i gang, har myntene som regel allerede fullført reisen sin.

For brukere og plattformer er lærdommen at når midler først er stjålet, kommer det overveldende flertallet av dem aldri tilbake. Videre er angripernes syklus raskere enn etterlevelse, og hvert år der «kryptotyveri er på vei ned» dukker opp i en overskrift, er det neste milliard-dollar-moteksempelet allerede i bevegelse. Blokkjeden registrerer alt og returnerer ingenting.