Куди насправді потрапляє вкрадена криптовалюта: за лаштунками 45-денної схеми відмивання коштів

Шість років — понад 16 млрд доларів зникли

Крадіжки криптовалюти — це вже не просто етап, який галузь цифрових активів поступово долає, а ціла галузь сама по собі. Наразі лише за останні п’ять років дослідники блокчейну зафіксували стрімке зростання загальних сум викрадених коштів (3,7 млрд доларів у 2022 році, 1,7 млрд доларів у 2023 році, 2,2 млрд доларів у 2024 році та 3,4 млрд доларів у 2025 році), і ці цифри не демонструють жодних ознак уповільнення.

Варто зазначити, що майже половина торішньої суми припадає на один інцидент — злам біржі Bybit у лютому 2025 року, під час якого зловмисники зламали процес підписання транзакцій із холодних гаманців біржі та викрали 1,5 млрд доларів (що зробило цю крадіжку найбільшою в історії криптовалют).

Перша половина цього року була моторошно схожою: за даними компанії з безпеки Blockaid, загальний збиток склав приблизно 1,1 млрд доларів у результаті рекордних 212 інцидентів. Найбільшим окремим інцидентом став злом 19 квітня протоколу рестейкінгу KelpDAO (на суму 293 млн доларів), а компанія TRM Labs зафіксувала 207 інцидентів за ці шість місяців, що більш ніж удвічі перевищує показник за аналогічний період минулого року.

45-денний сценарій

Те, що зазвичай відбувається після згаданих вище крадіжок, на даний момент стало майже схожим на сценарій: дослідники описують характерний цикл відмивання, який триває приблизно 45 днів і складається з трьох хвиль.

Протягом перших п’яти днів найважливішою є швидкість, і вкрадені токени зазвичай обмінюються через протоколи децентралізованих фінансів (DeFi) (активність зростає аж на 370%) та надходять до сервісів змішування, які об’єднують і перемішують монети, щоб розірвати зв’язок між джерелом та пунктом призначення. З шостого по десятий день кошти переходять з однієї ланцюга в іншу через міжланцюгові мости та проходять через біржі з обмеженими перевірками «знай свого клієнта» (KYC).

Потім, приблизно з 20-го по 45-й день, монети обмінюються на готівку невеликими траншами (зазвичай менше 500 000 доларів, щоб не перевищувати пороги звітності) через платформи без KYC, миттєві обмінники, а також через китайськомовні позабіржові (OTC) мережі та гарантійні сервіси, такі як ринок Huione, що перебуває під санкціями.

Як наслідок, до кінця циклу гроші проходять через стільки ланцюгів, міксерів та юрисдикцій, що, хоча їхнє відстеження залишається можливим (оскільки блокчейни ніколи не забувають), повернути їх майже неможливо. Для порівняння: було повернено менше ніж 5 % викрадених коштів Bybit, хоча біржа мала у своєму розпорядженні одних із найдосвідченіших фахівців з «білих капелюхів».

2026 рік: більше хакерських атак, менші суми викрадених коштів

Цього року зловмисники розширили коло своїх цілей, оскільки, поряд з експлойтами протоколів, такими як у випадку з KelpDAO, лише у квітні було встановлено місячний рекорд — викрадено 641,67 млн доларів. Понад 55% збитків у першому півріччі припадає на північнокорейські угруповання, пов’язані з «Лазарусом», а за підрахунками CertiK, що включають фішинг та викрадення коштів з особистих гаманців, збитки за цей період становлять 1,32 млрд доларів у 344 інцидентах.

Зовсім недавно експлойт апаратного гаманця Coldcard продемонстрував, як схеми атак адаптуються і до біткойна. Викравши приблизно 116 млн доларів із гаманців із слабкими насіннями, зловмисник почав консолідувати монети, а спостерігачі стежили за кожним його кроком. У світлі цього інциденту ключові переваги біткойна — прозорість та незворотність — майже за одну ніч перетворилися на двосічний меч, адже хоча всі могли бачити рух вкрадених монет, ніхто не міг повернути їх назад.

Чому відновлення майже ніколи не відбувається

Коли відбуваються всі ці атаки, єдиним важелем, який раз за разом спрацьовує надійно, є централізоване заморожування стейблкоїнів. Tether і Circle можуть заносити адреси до чорного списку на рівні контрактів, миттєво блокуючи будь-які USDT або USDC, які все ще перебувають у руках злодіїв, і саме тому досвідчені зловмисники обмінюють вкрадені стейблкоіни на ефір або біткойн протягом декількох хвилин після злому, приймаючи на себе ціновий ризик, щоб вийти за межі зони заморожування.

Це показова асиметрія: тобто активи, найстійкіші до цензури, найлегше відмити, а ті, що найлегше заморозити, — найлегше повернути. Кожна схема відмивання — це, зрештою, гонка за перетворенням того, що можна вистежити, на те, що неможливо вистежити, доки хтось із «кнопкою паузи» не помітить цього.

Неприємна математика криптовалютних крадіжок полягає в тому, що профілактика — це майже вся суть справи. Біржі та аналітичні компанії можуть заморожувати кошти, що проходять через платформи, які дотримуються вимог, і саме тому відмивачі спочатку направляють кошти в DeFi та міксери, де ніхто нічого не може заморозити.

Санкції проти міксерів та сервісів на кшталт Huione підвищують витрати, але лише перенаправляють потоки до наступників, а не зупиняють їх. А 45-денний термін означає, що до того часу, як навіть розпочнеться транскордонний судовий процес, монети зазвичай вже завершили свою подорож.

Для користувачів і платформ урок полягає в тому, що після крадіжки переважна більшість їхніх коштів ніколи не повернеться. Крім того, цикл зловмисників швидший за процедури дотримання вимог, і щороку, коли в заголовках з’являється інформація про те, що «кількість крадіжок криптовалюти зменшується», вже готується наступний приклад на мільярд доларів, що спростовує ці твердження. Блокчейн фіксує все, але нічого не повертає.