Vart hamnar stulen kryptovaluta egentligen: En inblick i den 45-dagars långa penningtvättmaskinen

Sex år, mer än 16 miljarder dollar borta

Kryptostöld är inte längre en fas som branschen för digitala tillgångar sakta håller på att ta sig ur, utan en bransch i sig själv. Hittills, bara under det senaste halvdecenniet, har on-chain-utredare räknat samman de kraftigt ökande stöldbeloppen (3,7 miljarder dollar 2022, 1,7 miljarder dollar 2023, 2,2 miljarder dollar 2024 och 3,4 miljarder dollar 2025), siffror som inte visar några tecken på att avta.

Det är faktiskt värt att nämna att nästan hälften av förra årets totala belopp härrörde från en enda händelse, nämligen Bybit-hacket i februari 2025, där angriparna komprometterade börsens signeringsprocess för cold wallets och kom undan med 1,5 miljarder dollar (vilket gör det till den största kryptostölden i historien).

Den första halvan av detta år var kusligt lik, med en ökning på ungefär 1,1 miljarder dollar fördelat på rekordmånga 212 incidenter, enligt säkerhetsföretaget Blockaid. Den största enskilda stölden var utnyttjandet av restaking-protokollet KelpDAO den 19 april (på 293 miljoner dollar), och TRM Labs räknade till 207 incidenter under dessa sex månader, mer än dubbelt så många som under samma period året innan.

45-dagarsmanuset

Vad som vanligtvis händer efter de ovannämnda stölderna har vid det här laget nästan blivit som ett manus, där forskare beskriver en distinkt penningtvättcykel som pågår i ungefär 45 dagar i tre vågor.

Under dagarna noll till fem är hastigheten viktigast och de stulna token byts vanligtvis ut via protokoll för decentraliserad finans (DeFi) (aktiviteten ökar med så mycket som 370 %) och skickas vidare till blandningstjänster, som samlar och blandar mynt för att bryta kopplingen mellan källa och destination. Under dagarna sex till tio hoppar medlen mellan kedjor via kedjeöverbryggningar och flödar genom börser med begränsade KYC-kontroller (Know-Your-Customer).

Därefter, från ungefär dag 20 till dag 45, tas mynten ut i små omgångar (vanligtvis under 500 000 dollar för att ligga under rapporteringströsklarna) via plattformar utan KYC-krav, omedelbara växlingsplattformar, kinesiskspråkiga OTC-nätverk (over-the-counter) samt garantitjänster såsom den sanktionerade marknadsplatsen Huione.

Följaktligen har pengarna vid slutet av cykeln passerat genom så många kedjor, mixers och jurisdiktioner att även om det fortfarande är möjligt att spåra dem (eftersom blockkedjor aldrig glömmer), är det sällan möjligt att återfå dem. För att sätta detta i perspektiv: mindre än 5 % av de stulna medlen från Bybit återfanns någonsin, trots att börsen hade några av de mest produktiva ”white hat”-experterna på sin sida.

2026: Fler hackerattacker, mindre byten

I år har angriparna breddat sina mål eftersom, vid sidan av protokollutnyttjanden som KelpDAO:s, enbart april satte ett månadsrekord med 641,67 miljoner dollar i stulna medel. Nordkoreanska grupper med kopplingar till Lazarus låg bakom cirka 55 % av förlusterna under första halvåret, och enligt CertiK:s sammanställning – som inkluderar phishing och tömning av personliga plånböcker – uppgår skadorna för perioden till 1,32 miljarder dollar fördelat på 344 incidenter.

Senast visade utnyttjandet av hårdvaruplånboken Coldcard hur strategin anpassas även till bitcoin. Efter att ha tömt plånböcker med svaga startfrön på ungefär 116 miljoner dollar började angriparen konsolidera mynten medan åskådare följde varje steg. Mot bakgrund av incidenten blev bitcoins viktigaste säljargument – transparens och oåterkallbarhet – nästan över en natt tveeggade svärd, eftersom ingen kunde flytta tillbaka de stulna mynten trots att alla kunde se hur de rörde sig.

Varför återhämtning nästan aldrig sker

När alla dessa attacker äger rum är den enda åtgärd som gång på gång har fungerat pålitligt den centraliserade frysningen av stablecoins. Tether och Circle kan svartlista adresser på kontraktsnivå och omedelbart spärra alla USDT eller USDC som tjuvarna fortfarande innehar, vilket är precis anledningen till att sofistikerade angripare byter ut stulna stablecoins mot ether eller bitcoin inom några minuter efter ett intrång och accepterar prisrisken för att undkomma frysningsområdet.

Det är en avslöjande asymmetri, det vill säga att de tillgångar som är mest motståndskraftiga mot censur är de lättaste att tvätta, och de som är lättast att frysa är de lättaste att återfå. Varje strategi för penningtvätt är i slutändan en kapplöpning för att omvandla det som går att fånga till det som inte går att fånga innan någon med en pausknapp hinner märka det.

Den obekväma matematiken bakom kryptostöld är att förebyggande åtgärder utgör nästan hela spelet. Börser och analysföretag kan frysa medel som passerar genom reglerade plattformar, vilket är precis anledningen till att penningtvättare i första hand använder DeFi och mixers, där ingen kan frysa någonting.

Sanktioner mot mixare och tjänster som Huione höjer kostnaderna men driver bara flödena vidare till efterföljare istället för att stoppa dem. Och den 45-dagarsfristen innebär att när gränsöverskridande rättsliga processer ens har kommit igång har mynten oftast redan avslutat sin resa.

För användare och plattformar är lärdomen att den överväldigande majoriteten av deras medel, när de väl har stulits, aldrig kommer tillbaka. Dessutom går angriparnas cykel snabbare än regelefterlevnaden, och varje år som rubriken ”kryptostölderna minskar” dyker upp är nästa motexempel värt en miljard dollar redan på gång. Blockkedjan registrerar allt och ger ingenting tillbaka.