Kam dejansko končajo ukradene kriptovalute: vpogled v 45-dnevni sistem pranja denarja

Šest let, več kot 16 milijard dolarjev izgubljenih

Kraja kriptovalut ni več le faza, iz katere se industrija digitalnih sredstev počasi izvija, temveč je postala samostojna industrija. Do sedaj so preiskovalci na verigi le v zadnjih petih letih zabeležili eksplozivno naraščanje skupnih ukradenih zneskov (3,7 milijarde dolarjev leta 2022, 1,7 milijarde dolarjev leta 2023, 2,2 milijarde dolarjev leta 2024 in 3,4 milijarde dolarjev leta 2025), pri čemer ti podatki ne kažejo znakov upočasnitve.

Pravzaprav je treba omeniti, da je skoraj polovica lanskoletnega skupnega zneska izvirala iz enega samega dogodka, in sicer iz hekerskega napada na borzo Bybit februarja 2025, v katerem so napadalci ogrozili postopek podpisovanja v hladni denarnici borze in pobegnili z 1,5 milijarde dolarjev (kar je največja kraja kriptovalut v zgodovini).

Prva polovica letošnjega leta je bila zlovešče podobna, saj se je po podatkih varnostnega podjetja Blockaid v rekordnih 212 incidentih zbralo približno 1,1 milijarde dolarjev. Največji posamezni udarec je bil 19. aprila izveden napad na protokol za ponovno stavo KelpDAO (v višini 293 milijonov dolarjev), podjetje TRM Labs pa je v teh šestih mesecih zabeležilo 207 incidentov, kar je več kot dvakrat več kot v enakem obdobju leto prej.

45-dnevni scenarij

Kar se običajno zgodi po omenjenih krajah, je postalo že skoraj kot scenarij, saj raziskovalci opisujejo značilen cikel pranja, ki traja približno 45 dni v treh valih.

V dneh od nič do pet je najpomembnejša hitrost, ukradeni tokeni pa se običajno zamenjajo prek protokolov decentraliziranega financiranja (DeFi) (aktivnost se poveča kar za 370 %) in prenesejo v storitve mešanja, ki združujejo in premešajo kovanice, da prekinejo povezavo med izvorom in ciljem. V obdobju od šestega do desetega dneva sredstva preskakujejo verige prek medverigovnih mostov in tečejo prek borz z omejenimi preverjanji »poznaj svojega stranko« (KYC).

Nato, od približno 20. do 45. dneva, se kovanci izplačajo v majhnih tranšah (običajno pod 500.000 USD, da ostanejo pod pragom za poročanje) prek platform brez KYC, takojšnjih menjalnic, kitajskojezičnih izvenborznih (OTC) omrežij ter garancijskih storitev, kot je sankcionirano tržišče Huione.

Posledično je denar do konca cikla prečkal toliko verig, mešalnikov in jurisdikcij, da je, čeprav je pripisovanje še vedno mogoče (saj blokovne verige nikoli ne pozabijo), njegovo izterjavo redko mogoče. Za primerjavo: manj kot 5 % ukradenih sredstev borze Bybit je bilo kdaj koli izterjanih, čeprav je imela borza na svoji strani nekatere najbolj plodne strokovnjake za kibernetsko varnost.

2026: Več hekov, manjši plen

Letos so napadalci razširili svoje cilje, saj so poleg izkoriščanja protokolov, kot je KelpDAO, samo v aprilu postavili mesečni rekord z ukradenimi 641,67 milijona dolarjev. Za približno 55 % izgub v prvi polovici leta so bile odgovorne severnokorejske skupine, povezane z Lazarusom, po podatkih podjetja CertiK, ki vključujejo tudi phishing in izpraznjevanje osebnih denarnic, pa je škoda v tem obdobju znašala 1,32 milijarde dolarjev v 344 incidentih.

Najnovejši izkoriščevalski napad na strojno denarnico Coldcard je pokazal, kako se strategija prilagaja tudi bitcoinu. Po izpraznitvi približno 116 milijonov dolarjev iz denarnic s šibkim izhodiščnim ključem je napadalec začel konsolidirati kovanice, medtem ko so opazovalci spremljali vsak korak. Glede na ta incident sta se ključni prednosti bitcoina – preglednost in nepovratnost – skoraj čez noč spremenili v dvorezni meč, saj kljub temu, da so vsi lahko spremljali gibanje ukradenih kovancev, jih nihče ni mogel vrniti nazaj.

Zakaj do povračila skoraj nikoli ne pride

Ko se zgodijo vsi ti napadi, je edini ukrep, ki je vedno znova zanesljivo deloval, centralizirano zamrznitev stabilnih kriptovalut. Tether in Circle lahko na ravni pogodb uvrstita naslove na črno listo, s čimer takoj blokirata vse USDT ali USDC, ki jih tatovi še vedno imajo v lasti, kar je pravzaprav razlog, zakaj izkušeni napadalci ukradene stabilne kriptovalute v nekaj minutah po vdoru zamenjajo v ether ali bitcoin, pri čemer sprejmejo cenovno tveganje, da bi se izognili območju zamrznitve.

To je razkrivajoča asimetrija, tj. sredstva, ki so najbolj odporna proti cenzuri, je najlažje oprati, tista, ki jih je najlažje zamrzniti, pa je najlažje izterjati. Vsak scenarij pranja denarja je v končni fazi tekma za pretvorbo tistega, kar se da ujeti, v tisto, kar se ne da ujeti, preden to opazi kdor koli, ki ima na voljo gumb za zaustavitev.

Neprijetna matematika kriptotatvin je, da je preprečevanje skoraj vse, kar šteje. Borze in analitična podjetja lahko zamrznejo sredstva, ki pridejo v stik s platformami, ki upoštevajo predpise, kar je točno razlog, zakaj pralci denarja najprej uporabijo DeFi in mešalnike, kjer nihče ne more ničesar zamrzniti.

Sankcije proti mešalnikom in storitvam, kot je Huione, sicer zvišujejo stroške, vendar tokove sredstev le preusmerjajo k naslednikom, namesto da bi jih ustavile. 45-dnevni rok pa pomeni, da so kovanice običajno že končale svojo pot, še preden se sploh začne čezmejni pravni postopek.

Za uporabnike in platforme je lekcija ta, da se, ko so sredstva enkrat ukradena, njihova velika večina nikoli več ne vrne. Poleg tega je cikel napadalcev hitrejši od ureditve, in vsako leto, ko se v naslovih pojavi, da »kriptokraja upada«, je naslednji milijardni protiprimer že v teku. Blockchain vse beleži, a ničesar ne vrača.