Gdzie naprawdę trafiają skradzione kryptowaluty: kulisy 45-dniowego procesu prania pieniędzy

Sześć lat, ponad 16 mld dolarów straconych

Kradzieże kryptowalut nie są już tylko przejściowym zjawiskiem, z którego branża aktywów cyfrowych powoli wychodzi, ale stanowią odrębną gałąź przemysłu. Jak dotąd, tylko w ciągu ostatniego półdekady badacze łańcucha bloków odnotowali gwałtowny wzrost łącznej wartości skradzionych środków (3,7 mld dolarów w 2022 r., 1,7 mld dolarów w 2023 r., 2,2 mld dolarów w 2024 r. oraz 3,4 mld dolarów w 2025 r.), a liczby te nie wykazują żadnych oznak spowolnienia.

Warto wspomnieć, że prawie połowa zeszłorocznej sumy pochodziła z jednego zdarzenia, a mianowicie z ataku na giełdę Bybit w lutym 2025 r., podczas którego atakujący przełamali proces podpisywania transakcji w portfelu zimnym i zdołali ukraść 1,5 mld dolarów (co czyni tę kradzież największą kradzieżą kryptowalut w historii).

Pierwsza połowa bieżącego roku przebiegała w niesamowicie podobny sposób – według firmy Blockaid, zajmującej się bezpieczeństwem, w rekordowej liczbie 212 incydentów stracono łącznie około 1,1 mld dolarów. Największym pojedynczym atakiem było wykorzystanie luki w protokole restakingowym KelpDAO 19 kwietnia (na kwotę 293 mln dolarów), a firma TRM Labs odnotowała 207 incydentów w ciągu tych sześciu miesięcy, co stanowi ponad dwukrotny wzrost w porównaniu z tym samym okresem rok wcześniej.

45-dniowy scenariusz

To, co zazwyczaj dzieje się po wspomnianych kradzieżach, stało się już niemal scenariuszem, a badacze opisują charakterystyczny cykl prania pieniędzy, który trwa około 45 dni i przebiega w trzech falach.

W dniach od zerowego do piątego najważniejsza jest szybkość, a skradzione tokeny są zazwyczaj wymieniane za pośrednictwem protokołów zdecentralizowanych finansów (DeFi) (aktywność wzrasta nawet o 370%) i przekazywane do usług mieszających, które łączą i przetasowują monety w celu zerwania powiązania między źródłem a miejscem docelowym. W dniach od szóstego do dziesiątego środki przeskakują między łańcuchami za pośrednictwem mostów międzyłańcuchowych i przepływają przez giełdy o ograniczonych weryfikacjach „poznaj swojego klienta” (KYC).

Następnie, mniej więcej od dnia 20 do dnia 45, monety są wypłacane w małych transzach (zazwyczaj poniżej 500 000 USD, aby pozostać poniżej progów sprawozdawczych) za pośrednictwem platform bez weryfikacji KYC, natychmiastowych kantorów, chińskojęzyczne sieci pozagiełdowe (OTC) oraz serwisy gwarancyjne, takie jak objęty sankcjami rynek Huione.

W rezultacie pod koniec cyklu pieniądze przeszły przez tak wiele łańcuchów, mieszalników i jurysdykcji, że nawet jeśli identyfikacja źródła pozostaje możliwa (ponieważ łańcuchy bloków nigdy nie zapominają), odzyskanie środków rzadko jest możliwe. Dla porównania: odzyskano mniej niż 5% skradzionych środków z Bybit, mimo że giełda miała po swojej stronie jednych z najbardziej doświadczonych specjalistów ds. bezpieczeństwa (white hat).

2026: Więcej ataków, mniejsze łupy

W tym roku atakujący poszerzyli zakres swoich celów, ponieważ – obok exploitów protokołów, takich jak w przypadku KelpDAO – sam kwiecień ustanowił miesięczny rekord, w którym skradziono 641,67 mln dolarów. Za około 55% strat w pierwszej połowie roku stały północnokoreańskie grupy powiązane z Lazarusem, a według danych CertiK – obejmujących ataki phishingowe i opróżnianie portfeli osobistych – szkody w tym okresie wyniosły 1,32 mld dolarów w 344 incydentach.

Niedawno atak na portfel sprzętowy Coldcard pokazał, jak schemat działania dostosowuje się również do bitcoina. Po wyczyszczeniu portfeli o słabych kluczach początkowych z kwoty około 116 mln dolarów, atakujący zaczął konsolidować monety, podczas gdy obserwatorzy śledzili każdy ruch. W świetle tego incydentu kluczowe cechy bitcoina, takie jak przejrzystość i nieodwracalność, niemal z dnia na dzień stały się mieczem obosiecznym, ponieważ mimo że każdy mógł obserwować przepływ skradzionych monet, nikt nie był w stanie ich cofnąć.

Dlaczego odzyskanie środków prawie nigdy nie ma miejsca

Kiedy dochodzi do wszystkich tych ataków, jedyną metodą, która wielokrotnie sprawdzała się niezawodnie, jest scentralizowane zamrożenie stablecoinów. Tether i Circle mogą umieścić adresy na czarnej liście na poziomie kontraktu, natychmiast unieruchamiając wszelkie USDT lub USDC, które złodzieje wciąż posiadają – i właśnie dlatego wyrafinowani atakujący zamieniają skradzione stablecoiny na ether lub bitcoiny w ciągu kilku minut od włamania, akceptując ryzyko cenowe, by uniknąć zasięgu zamrożenia.

To ujawniająca się asymetria: aktywa najbardziej odporne na cenzurę są najłatwiejsze do wyprania, a te, które najłatwiej zamrozić, są najłatwiejsze do odzyskania. Każdy scenariusz prania kryptowalut sprowadza się ostatecznie do wyścigu, w którym trzeba przekształcić to, co można wyłapać, w coś nie do wyłapania, zanim ktoś z „przyciskiem pauzy” to zauważy.

Niewygodna matematyka kradzieży kryptowalut polega na tym, że zapobieganie stanowi niemal całość gry. Giełdy i firmy analityczne mogą zamrozić środki, które trafiają na platformy przestrzegające przepisów, i właśnie dlatego osoby zajmujące się praniem kryptowalut najpierw kierują środki do DeFi i serwisów mieszających, gdzie nikt nie może niczego zamrozić.

Sankcje nałożone na miksery i serwisy takie jak Huione podnoszą koszty, ale jedynie przekierowują przepływy do kolejnych podmiotów, zamiast je powstrzymać. A 45-dniowy termin oznacza, że zanim w ogóle rozpocznie się transgraniczny proces prawny, monety zazwyczaj już zakończyły swoją podróż.

Dla użytkowników i platform wniosek jest taki, że po kradzieży przeważająca większość ich środków nigdy nie wróci. Co więcej, cykl działania atakujących przebiega szybciej niż procesy zapewniania zgodności z przepisami, a każdego roku, gdy w nagłówkach pojawia się informacja, że „liczba kradzieży kryptowalut spada”, kolejny przykład o wartości miliarda dolarów jest już w trakcie realizacji. Łańcuch bloków rejestruje wszystko, ale niczego nie zwraca.