Quan els atacants esxoquen víctimes amb ransomware i reben pagaments en bitcoins, aquestes transaccions quedin registrades a la blockchain. Tot i això, els moneders que reben aquests fons il·liciters s’etiqueten, fent que els ciberdelinqüents intentin blanquejar els diners a través de diversos mètodes complexos per obtenir beneficis d’estafes en línia, robatoris i ciberatacs. El blanqueig de productes del ciberdelinqüència implica transferències i conversions intricades entre criptomonedes i moneda legal. Seguir aquests fons suposa grans dificultats per als investigadors. En Raúl Orduna, cap de Seguretat Digital del centre tecnològic basc Vicomtech, assenyala que aquesta activitat crea una economia global submergida però vasta i complexa. La problemàtica clau per als atacants després d’un ciberatac és com accedir a l’import obtingut. Segons l’Informe de criminalitat en criptomonedes de Chainalysis 2024, durant el 2023 el blanqueig de fons il·liciters relacionats amb criptomonedes va assolir uns 22. 200 milions de dòlars. Durant l’últim any, el valor total enviat a adreces blockchain il·legítimes —comptes digitals per a criptomonedes— va ser de 40. 900 milions de dòlars, amb un possible augment fins a 51. 300 milions. Els ciberdelinqüents busquen convertir aquestes quantitats il·legitimes en diners nets. George Smaragdakis, professor de Ciberseguretat a l’Universitat Tècnica de Delft, explica que els atacants solen rebre fons en bitcoin o altres criptomonedes i després intenten accedir-hi de manera anònima a través de mecanismes com borses o mixers. Els fons circulen per múltiples adreces blockchain i, finalment, una part d’ells arriba a l’economia real. Per entendre aquest laberint de blanqueig, cal aclarir certs conceptes. Smaragdakis i Orduna col·laboren en el Projecte Horizon, iniciativa europea que involucra empreses, centres de recerca i forces de l’ordre per reforçar la preparació de la UE davant de les amenaces cibernètiques, incloent-hi la comprensió de com els criminals obtenen beneficis. A les criptomonedes, un moneder conté diverses adreces blockchain que s’utilitzen per enviar o rebre fons. Tot i que les transaccions blockchain són anònimes, els seus registres són públics, el que permet als analistes detectar patrons de blanqueig de diners sense identificar els propietaris, diu Orduna. Els investigadors fan enfocaments per identificar serveis de cripto similars als bancs però que operateu de manera anònima. Presten especial atenció a sistemes blockchain com els smart contracts de custòdia, que retenen fons fins que s’acompleixen els termes del contracte, i als mixers, pensats per augmentar l’anonimat de les transaccions obscureix la procedència dels fons i permet intercanvis entre diferents criptomonedes.

Orduna explica que els mixers dificulten el rastreig de les fonts de pagament. Smaragdakis afegeix que, mentre que l’origen —la víctima— sovint és identificable, després de múltiples transferències, la traça es perd. Els ciberdelinqüents aprofiten la facilitat d’obrir milers d’adreces blockchain (a diferència dels comptes bancaris, més difícils d’obrir) per confondre els esforços de seguiment. Anteriorment, els criminals centralitzaven els pagaments de les víctimes en una sola adreça, però ara assignen adreces úniques per a cada víctima i, sovint, múltiples adreces per a una sola víctima, explica Smaragdakis. Aquesta tàctica fragmenta els diners il·legítims en quantitats més petites a través de moltes adreces, dificultant-ne el control i la vigilància. Després, els criminals poden mesclar aquests fons amb altres diners o utilitzar casinos que accepten criptomonedes. Mitjançant moltes petites apostes amb risc i benefici mínims, “netejen” efectivament els diners, que després poden retirar com moneda legal, afegeix Orduna. Les borses com Binance o Coinbase són altres vies de blanqueig, però generalment són inaccessibles als criminals ja que aquestes plataformes implementen polítiques de lluita contra el blanqueig, exigint documents d’identitat verificats i selfies vinculats a les comptes dels usuaris. Les forces de l’ordre poden sol·licitar informació dels usuaris mitjançant ordres judicials, dissuadint així activitats il·legítimes. Per això, els criminals opten per plataformes no regulades que imiten les borses. Orduna avisa que, tot i que aquestes entitats no estan oficialment registrades, poden mostrar patrons de transacció semblants als de les borses legítimes. Investigadors de Vicomtech treballen per detectar aquestes plataformes analitzant els patrons de transaccions blockchain. Mitjançant la modelització del comportament de les borses reals, els investigadors desenvolupen models de comportament digital per detectar activitats il·legítimes semblants a intercanvis a través de les xarxes blockchain. L’equip de Vicomtech col·labora estretament amb les autoritats, recopilant requisits i exemples d’activitats sospitoses, així com generant dades anònimes sintètiques per construir i provar models de detecció intel·ligents. Un cop validats, aquests models ajuden en investigacions reals dirigides per les autoritats competents. Mentre que moltes recerques en ciberseguretat se centren a entendre els atacs, millorar les defenses i minimitzar els incidents, un altre esforç fonamental és rastrejar els fluxos d’argent il·lícits. Aquesta tasca és crucial per dificultar que els criminals obtinguin beneficis, reduint així el seu incentiu econòmic per a la ciberdelinqüència.