Kui ründajad röövivad ohvreid lunavara abil ja saavad makseid bitcoinides, registreeritakse need tehingud plokiahelas. Kuid nende ebaseaduslike fondide saajad mündikotid saavad märgistuse, mis sunnib küberkurjategijaid raha lahmenud läbi mitmete keeruliste meetodite, et teha kasumit internetipettuste, varaste ja küberrünnakute kaudu. Küberkuritegevuse tulude pesemine hõlmab keerukaid ülekandeid ja konversioone krüptovarade ja legaalse valuuta vahel. Nende fondide jälgimine on uurijatele tõsine väljakutse. Raúl Orduna, Basque tehnoloogia keskuse Vicomtech Digiturvalisuse juht, märgib, et see tegevus loob varjatud, kuid laia ja keeruka globaalsete majanduse. Oluline küsimus ründajatele pärast küberrünnakut on, kuidas ligi pääseda saadud rahale. Chainalysis 2024. aasta krüptokuritegevuse aruande kohaselt ulatus 2023. aastal ebaseaduslike krüptovaradega seotud fondide pesemine umbes 22, 2 miljardi dollarini. Eelmise aasta jooksul saadeti ebaseaduslikele plokiahela aadressidele—digitaalkontodele krüptovaluutade jaoks—kokku 40, 9 miljardit dollarit ning see võib tõusta kuni 51, 3 miljardi dollarini. Küberkurjategijad püüavad neid suuri ebaseaduslikke summasid muuta puhtaks rahaks. George Smaragdakis, Delfti Tehnikaülikooli küberturvalisuse professor, selgitab, et ründajad saavad tavaliselt raha bitcoinides või muudes krüptovaluutades ning proovivad seejärel anonüümselt ligi pääseda nendele vahendite vahetamise või segajate kaudu. Raha liigub läbi mitme plokiahela aadressi, ning osa jõuab lõpuks tegelikku majandustusse. Selle pesemisahela mõistmiseks tuleb selgitada mõningaid kontseptsioone. Smaragdakis ja Orduna teevad koostööd Horizon projekti raames, mis on Euroopa algatus, hõlmates ettevõtteid, uurimiskeskusi ja õiguskaitseorganeid, et tugevdada ELi küberohtude vastupanuvõimet ning mõista, kuidas kurjategijad kasumit teenivad. Krüptovaluutades sisaldab rahakott mitmeid plokiahela aadresse, mida kasutatakse raha saatmiseks või saamiseks. Kuigi plokiahela tehingud on anonüümsed, on nende kirjed avalikud ning analüütikud saavad tuvastada mustreid raha pesemiseks, ilma et tuvastaksid omanike isiku.

Orduna märgib, et uurijad keskenduvad krüptoteenustele, mis sarnanevad pankadele, kuid tegutsevad anonüümselt. Nad pööravad erilist tähelepanu plokiahelasüsteemidele nagu hoiukokkulepped (escrow smart contracts), mis hoiavad raha kuni lepingu tingimused on täidetud, ning segajatele (mixers), mis on mõeldud tehingu anonüümsuse suurendamiseks, varjates rahalähtumise ja vahetuste teekonda krüptovaluutade vahel. Orduna selgitab, et segajad raskendavad maksete päritolu jälgimist. Smaragdakis lisab, et kuigi allikas—ohver—is often tuvastatav, võib see pärast mitmeid ülekandeid jälje kaotada. Küberkurjategijad kasutavad ära lihtsust luua tuhandeid plokiahela aadresse (erinevalt pankaded, mille avamine on keerulisem), et segada jälgimistööd. Varem keskendasid kurjategijad ohvrite maksed ühele aadressile, kuid nüüd määravad nad iga ohvri jaoks unikaalse aadressi ning sageli ka mitmeid aadresse ühe ohvri kohta, selgitab Smaragdakis. See strateegia jagab ebaseadusliku raha väiksemateks osadeks paljudes aadressides, muutes jälitamise keerulisemaks ja kontrolli raskemaks. Seejärel võivad kurjategijad neid fonde segada teiste rahaga või kasutada krüptoaksepteerivaid kasiinosid. Tehes palju väikeseid panuseid minimaalse riskiga ja kasumiga, „puhastavad“ nad raha ning saavad selle seejärel legaalseks rahaks välja võtta, lisab Orduna. Teised pesemisvõimalused leiduvad vahetustenõuandjates nagu Binance või Coinbase, kuid need on üldjuhul kurjategijatele suletud, kuna neid platforme jälgitakse rahapesu tõkestamise poliitikate kaudu, nõudes konto kinnitamist ja isikut kinnitavaid fotosid. Õiguskaitseorganid saavad taotleda kasutaja teavet kohtuorderiga, mis peletab ebaseaduslikku tegevust. Seega pöörduvad kurjategijad mittevõrguplatvormide poole, mis jäljendavad vahetusi. Orduna hoiatab, et need platvormid, kuigi registreerimata, näitavad tehingupilti, mis sarnaneb tavapärastele vahetusplatvormidele. Vicomtech uurijad püüavad selliseid platvorme tuvastada plokiahela tehingupatoloogiaid analüüsides. Uurijad loovad seaduslike vahetusplatvormide käitumisest mudelid, arendades digimoodleid ebaseadusliku tegevuse tuvastamiseks plokiahelas. Vicomtech meeskond teeb tihedat koostööd ametnikega, kogudes nõudeid ja näited kahtlastest tegevustest ning genereerides sünteetilisi anonüümseid andmeid intelligentsusepõhiste tuvastusmudelite loomisel ja testimisel. Kui mudelid on kinnitatud, saab neid kasutada tegelikes uurimise protsessides ametkondade juhtimisel. Kuigi paljud küberturvalisuse uuringud keskenduvad rünnakute mõistmisele, kaitsealuste meetodite parandamisele ja rikkumiste vähendamisele, on samuti oluline töö jälgida ebaseaduslike raha liikumist. See töö on elutähtis, sest takistab kurjategijatel kasumit teenida ning seeläbi vähendab nende majanduslikku motivatsiooni küberkuritegudeks.