Kun hyökkääjät kiristävät uhreja ransomwarella ja saavat maksuja bitcoineina, nämä tapahtumat kirjataan lohkoketjuun. Kuitenkin nämä rikolliset varat vastaanottavat lompakot merkitään, mikä saa kyberrikolliset pesukoneiksi käyttämään erilaisia monimutkaisia menetelmiä rahan pesuun saadakseen voittoa verkkorikollisuudesta, varkauksista ja kyberhyökkäyksistä. Kyberrikollisijohtojen rahanpesu sisältää monimutkaisia siirtoja ja muunnoksia kryptovaluuttojen ja oikean rahan välillä. Näiden varojen jäljittäminen on tutkijoille haastavaa. Basque-tekniikkakeskuksen Vicomtechin digitaalisen turvallisuuden johtaja Raúl Orduna toteaa, että tämä toiminta luo piilevän mutta valtavan ja monimutkaisen globaalin talouden. Hyökkääjien keskeinen kysymys cyberhyökkäyksen jälkeen on, miten he pääsevät käsiksi saatuun rahaan. Chainalysisin vuoden 2024 kryptorikosten raportin mukaan vuodelta 2023 rahanpesu laittomista kryptovaluuttamassoista saavutti noin 22, 2 miljardia dollaria. Viimeisen vuoden aikana laittomille lohkoketjuosoitteille, jotka ovat digitaalimalleja kryptovaluutoista, lähetettyjen varojen kokonaisarvo oli 40, 9 miljardia dollaria, ja se voisi nousta jopa 51, 3 miljardiin dollariin. Kyberrikolliset pyrkivät muuttamaan nämä suuret laittomat summat puhtaaksi rahaksi. Delftissä sijaitsevan Teknillisen korkeakoulun kyberturvallisuusprofessori George Smaragdakis selittää, että hyökkääjät saavat yleensä varat bitcoineina tai muina kryptovaluuttoina ja yrittävät sitten päästä niihin käsiksi anonyymisti mekanismien, kuten pörsseille tai sekoittajille, avulla. Varat liikkuvat useiden lohkoketjuosoitteiden välillä, ja lopulta osat päätyvät osaksi oikeaa taloutta. Tämän pesu-uralta vaikuttavan labyrintin ymmärtämiseksi on selvitettävä tietyt käsitteet. Smaragdakis ja Orduna työskentelevät yhdessä Horizon-projektissa, joka on eurooppalainen aloitteen, sisältäen yrityksiä, tutkimuskeskuksia ja lainvalvontaa, jonka tavoitteena on vahvistaa EU:n kyberuhkajärjestelmiä, mukaan lukien rikollisten voittojen ymmärtäminen. Kryptovaluutoissa lompakko sisältää useita lohkoketjuosoitteita, joita käytetään lähettämään tai vastaanottamaan varoja. Vaikka lohkoketjuterävät ovat anonyymeja, niiden tiedot ovat julkisia, mikä mahdollistaa analyytikoiden havaita rahansiirtojen pesutapoja ilman, että he identifioivat omistajia, sanoo Orduna. Tutkijat keskittyvät löytämään kryptopalveluita, jotka vastaavat pankkeja mutta toimivat nimettöminä. He kiinnittävät erityistä huomiota lohkoketjujärjestelmiin, kuten escrow-älysopimuksiin, jotka säilyttävät varoja, kunnes sopimuksen ehdot täyttyvät, ja sekoittajiin (mixers), joiden tarkoituksena on lisätä siirtojen anonymiteettiä peittämällä rahojen alkuperän ja vaihtoehdot eri kryptovaluuttojen välillä.

Orduna selittää, että sekoittajat vaikeuttavat maksulähteen jäljittämistä. Smaragdakis lisää, että vaikka lähde—uhri—on usein tunnistettavissa, lopulta jälki katoaa useiden siirtojen jälkeen. Kyberrikolliset hyödyntävät helppoutta luoda tuhansia lohkoketjuosoitteita (toisin kuin pankkitilit, joita on vaikeampi avata) sekaannuksen aikaansaamiseksi. Aiemmin rikolliset keskittivät uhrien maksut yhteen osoitteeseen, mutta nyt he ovat ottaneet käyttöön yksilölliset osoitteet jokaiselle uhrille ja usein useita osoitteita yhdelle uhrille, selittää Smaragdakis. Tämä taktiikka hajottaa laittomat varat pienempiin osiin monissa osoitteissa, mikä vaikeuttaa niiden valvontaa ja hallintaa. Seuraavaksi rikolliset voivat sekoittaa nämä varat muihin saataviin rahasummiin tai käyttää kryptovaluuttakasinotoimintaa. Tehdäkseen monimutkaisia mikrovedonlyöntejä vähäisellä riskillä ja voitolla, he tehokkaasti “puhdistavat” rahan, jonka he voivat sitten nostaa laillisena valuuttana, lisää Orduna. Vaihtopalvelut kuten Binance tai Coinbase tarjoavat toisen tavan pesulle, mutta ne ovat yleensä rikollisten ulottumattomissa, koska nämä alustan vaativat vahvistuksia, kuten henkilöllisyystodistuksia ja selfietä, jotka ovat yhteydessä käyttäjätiliin. Lainvalvonta voi pyytää käyttäjätietoja oikeuden kautta, mikä estää laittoman toiminnan siellä. Näin rikolliset kääntyvätkin säätelemättömiin alustoihin, jotka jäljittelevät vaihtopalveluita. Orduna varoittaa, että vaikka nämä toimijat eivät ole rekisteröityjä, heidän transaktiokäyttäytymisensä muistuttaa oikeita pörssejä. Vicomtechin tutkijat pyrkivät tunnistamaan tällaisia alustoja analysoimalla lohkoketjutilityksiä. Mallintamalla legitien vaihtojen käyttäytymistä tutkijat kehittävät digitaalisia käyttäytymismalleja, joiden avulla voidaan tunnistaa laitonta vaihtotoimintaa lohkoketjuverkostoissa. Vicomtechin tiimi työskentelee läheisesti viranomaisten kanssa, keräten vaatimuksia ja esimerkkejä epäilyttävästä toiminnasta, tuottaen synteettisiä anonymisoituja tietoja älykkäiden tunnistusmallien rakentamista ja testaamista varten. Kun mallit ovat vahvistettuja, ne auttavat oikeasti tapahtuvissa tutkinnassa viranomaisten ohjauksessa. Vaikka suuri osa kyberturvallisuuden tutkimuksesta keskittyy hyökkäysten ymmärtämiseen, puolustusten parantamiseen ja tietomurtojen vähentämiseen, toinen tärkeä tehtävä on laittomien rahavirtojen jäljittäminen. Tämä työ on ratkaisevaa rikollisten voiton vaikeuttamiseksi, mikä puolestaan vähentää heidän taloudellista kannustetta harjoittaa kyberrikollisuutta.