Når angribere tvinger ofre med ransomware og modtager betalinger i bitcoins, bliver disse transaktioner registreret på blockchainen. Imidlertid bliver de wallets, der modtager disse ulovlige midler, markeret, hvilket får cybersvindlere til at hvidvaske pengene gennem forskellige komplekse metoder for at realisere gevinster fra online-svindel, tyveri og cyberangreb. Hvidvaskning af cyberkriminalitetens udbytte involverer indviklede overførsler og konverteringer mellem kryptovalutaer og lovlig valuta. Det er en stor udfordring for efterforskere at følge disse midler. Raúl Orduna, leder af Digital Security ved det baskiske teknologicenter Vicomtech, bemærker, at denne aktivitet skaber en skjult, men enorm og kompleks global økonomi. Det afgørende spørgsmål for angriberne efter et cyberangreb er, hvordan de får adgang til de opnåede penge. Ifølge Chainalysis’ Crypto Crime Report 2024 nåede hvidvaskningen af ulovligt kryptovalutarelateret udvalg i 2023 omkring 22, 2 milliarder dollars. Over det seneste år blev den samlede værdi af midler sendt til ulovlige blockchain-adresser—digitale konti for kryptovaluta—på 40, 9 milliarder dollars, med potentiale for at stige til 51, 3 milliarder dollars. Cyberkriminelle sigter mod at konvertere disse store ulovlige summer til rene penge. George Smaragdakis, professor i cybersikkerhed ved Det Tekniske Universitet i Delft, forklarer, at angriberne typisk modtager midler i bitcoin eller andre kryptovalutaer og derefter forsøger at få adgang til dem anonymt gennem mekanismer som børser eller mixers. Midlerne bevæger sig over flere blockchain-adresser, hvoraf nogle til sidst kommer ind i den realøkonomi. For at forstå denne hvidvaskningsmaze skal visse begreber forklares. Smaragdakis og Orduna samarbejder om Horizon Project, et europæisk initiativ med virksomheder, forskningscentre og retshåndhævelse, der har til formål at styrke EU’s beredskab mod cybertrusler, herunder forstå hvordan kriminelle profiterer. I kryptovalutaer indeholder en wallet flere blockchain-adresser, der bruges til at sende eller modtage midler. Selvom blockchain-transaktioner er anonyme, er deres registreringer offentlige, hvilket gør det muligt for analytikere at opdage mønstre i hvidvaskning uden at identificere ejere, siger Orduna. Efterforskere fokuserer på at identificere kryptotjenester, der ligner banker, men som opererer anonymt. De lægger særlig vægt på blockchain-systemer som escrow-smart contracts, der holder midler, indtil kontraktens betingelser er opfyldt, og mixers, der er designet til at øge anonymiteten ved transaktioner ved at skjule midlernes oprindelse og udveksle mellem kryptovaluta-typer.

Orduna forklarer, at mixers forhindrer sporing af betalingskilder. Smaragdakis tilføjer, at selvom kilden—oftest offeret—er let at identificere, går sporet ofte tabt efter mange overførsler. Cyberkriminelle udnytter den nemme adgang til at oprette tusindvis af blockchain-adresser (i modsætning til bankkonti, som er sværere at oprette) for at forvirre sporingsarbejdet. Tidligere sent criminaler betalinger fra ofre til én central adresse, men nu tildeler de hver ofre en unik adresse, og ofte flere adresser pr. offer, forklarer Smaragdakis. Denne taktik fragmenterer de ulovlige midler i mindre portioner fordelt på mange adresser, hvilket gør kontrol og overvågning vanskeligere. Dernæst kan kriminelle blande disse midler med andre penge eller bruge crypto-acceptende casinoer. Ved at foretage mange mikroindsatser med minimal risiko og profit, “renser” de effektivt pengene, som derefter kan trækkes ud som lovlig valuta, tilføjer Orduna. Børser som Binance eller Coinbase udgør en anden vej til hvidvaskning, men de er generelt utilgængelige for kriminalitet, da disse platforme håndhæver anti-hvidvask-politikker, der kræver verificerede identitetsdokumenter og selfies knyttet til bruger-konti. Retshåndhævelse kan anmode om brugeroplysninger via retskendelse, hvilket afholder ulovlig aktivitet. Derfor vender kriminelle sig mod uregulerede platforme, der efterligner børser. Orduna advarer om, at disse enheder, selvom de er uregistrerede, viser transaktionsmønstre, der ligner legitime børser. Forskere hos Vicomtech arbejder på at identificere sådanne platforme ved at analysere blockchain-transaktionsmønstre. Ved at modellere adfærden hos legitime børser udvikler efterforskere digitale adfærdsmodeller for at opdage ulovlig aktivitet, der ligner udveksling, på tværs af blockchain-netværk. Vicomtech’s team samarbejder tæt med myndigheder, indsamler krav og eksempler på mistænkelig aktivitet, genererer syntetiske anonymiserede data til at opbygge og teste intelligente detekteringsmodeller. Når disse er validerede, hjælper de med rigtige efterforskninger, der drives af kompetente myndigheder. Mens meget cybersikkerheds-forskning fokuserer på at forstå angreb, forbedre forsvar og mitigere brud, er en anden vigtig indsats at spore ulovlige pengestrømme. Dette arbejde er afgørende for at hæmme kriminelles muligheder for at profitere, hvilket i sidste ende reducerer deres økonomiske incitament til at begå cyberkriminalitet.