Apabila penyerang memeras mangsa dengan ransomware dan menerima bayaran dalam bitcoin, transaksi ini direkodkan di atas blockchain. Walau bagaimanapun, dompet yang menerima dana haram ini menjadi ditandai, mendorong penjenayah siber untuk mencuci wang melalui pelbagai kaedah kompleks bagi merealisasikan keuntungan daripada penipuan dalam talian, kecurian, dan serangan siber. Proses pencucian wang hasil jenayah siber melibatkan pemindahan dan penukaran yang rumit antara mata wang kripto dan mata wang sah. Mengesan dana ini merupakan cabaran besar kepada penyiasat. Raúl Orduna, ketua Keselamatan Digital di pusat teknologi Basque, Vicomtech, menyatakan bahawa aktiviti ini mencipta ekonomi global yang tersembunyi tetapi besar dan kompleks. Isu utama bagi penyerang selepas serangan siber ialah bagaimana mengakses wang yang diperoleh. Menurut Laporan Jenayah Kripto 2024 oleh Chainalysis, pada tahun 2023, pencucian dana berkaitan kripto yang haram mencapai kira-kira $22. 2 bilion. Sepanjang tahun lepas, jumlah nilai yang dihantar ke alamat blockchain haram—akaun digital untuk mata wang kripto—adalah sebanyak $40. 9 bilion, dengan potensi meningkat kepada $51. 3 bilion. Penjenayah siber berusaha menukarkan jumlah haram yang besar ini menjadi wang yang bersih. George Smaragdakis, seorang profesor Keselamatan Siber di Universiti Teknikal Delft, menjelaskan bahawa penyerang biasanya menerima dana dalam bitcoin atau mata wang kripto lain dan kemudian berusaha mengaksesnya secara anonym melalui mekanisme seperti pertukaran atau mixer. Dana ini berpindah melalui beberapa alamat blockchain, dengan sebahagiannya akhirnya memasuki ekonomi sebenar. Untuk memahami labirin pencucian ini, beberapa konsep perlu dijelaskan. Smaragdakis dan Orduna bekerjasama dalam Projek Horizon, satu inisiatif Eropah yang melibatkan syarikat, pusat penyelidikan, dan pihak berkuasa undang-undang yang bertujuan meningkatkan kesiapsiagaan menghadapi ancaman siber EU, termasuk memahami bagaimana penjenayah memperoleh keuntungan. Dalam mata wang kripto, sebuah dompet mengandungi pelbagai alamat blockchain yang digunakan untuk menghantar atau menerima dana. Walaupun transaksi blockchain bersifat anonim, rekodnya adalah awam, membolehkan penganalisis mengesan pola pencucian wang tanpa mengenal pasti pemiliknya, kata Orduna. Penyiasat memfokuskan pada identifikasi perkhidmatan kripto yang serupa dengan bank tetapi beroperasi secara anonim. Mereka memberi perhatian khusus kepada sistem blockchain seperti kontrak pintar escrow, yang menyimpan dana sehingga syarat kontrak dipenuhi, dan mixer, yang direka untuk meningkatkan anonimitas transaksi dengan mengaburkan asal-usul dana dan pertukaran antara jenis mata wang kripto.

Orduna menjelaskan bahawa mixer menyukarkan penjejakan sumber pembayaran. Smaragdakis menambah bahawa walaupun sumber—iaitu mangsa—sering dapat dikenal pasti, selepas banyak pemindahan, jejaknya hilang. Penjenayah siber memanfaatkan kemudahan untuk mencipta beribu-ribu alamat blockchain (berbanding akaun bank yang lebih sukar untuk dibuka) bagi mengelirukan usaha penjejakan. Dahulu, penjenayah menumpukan pembayaran mangsa ke satu alamat; tetapi sekarang mereka memberikan alamat unik setiap mangsa dan selalunya pelbagai alamat bagi satu mangsa, jelas Smaragdakis. Strategi ini memecah dana haram menjadi jumlah yang lebih kecil di banyak alamat, menyukarkan kawalan dan pemantauan. Seterusnya, penjenayah mungkin mencampurkan dana ini dengan wang lain atau menggunakan kasino yang menerima kripto. Dengan membuat banyak pertaruhan kecil dengan risiko dan keuntungan minimal, mereka secara efektif “membersihkan” wang tersebut, yang kemudian boleh ditarik keluar sebagai mata wang sah, tambah Orduna. Pertukaran seperti Binance atau Coinbase menjadi satu lagi saluran pencucian, tetapi biasanya tidak dapat diakses penjenayah kerana platform ini menguatkuasakan polisi anti-pengubahan wang haram, memerlukan dokumen pengenalan yang disahkan dan selfie yang berkaitan dengan akaun pengguna. Pihak berkuasa boleh meminta maklumat pengguna melalui perintah mahkamah, yang menyukarkan aktiviti haram di situ. Oleh itu, penjenayah beralih kepada platform tidak berlesen yang meniru pertukaran kripto. Orduna memberi amaran bahawa entiti ini, walaupun tidak berdaftar, menunjukkan corak transaksi yang serupa dengan pertukaran yang sah. Penyelidik di Vicomtech berusaha mengesan platform sebegini dengan menganalisis corak transaksi blockchain. Dengan mencontohkan tingkah laku pertukaran sah, penyiasat membangunkan model tingkah laku digital untuk mengenal pasti aktiviti serupa yang haram di seluruh rangkaian blockchain. Pasukan Vicomtech bekerjasama rapat dengan pihak berkuasa, mengumpul keperluan dan contoh aktiviti mencurigakan, menghasilkan data sintetik yang dianonimkan untuk membina dan menguji model pengesanan pintar. Setelah divalidasi, model ini membantu siasatan sebenar yang dikendalikan pihak berkuasa yang berkelayakan. Walaupun sebahagian besar penyelidikan keselamatan siber tertumpu kepada memahami serangan, meningkatkan pertahanan, dan mengurangkan pelanggaran, satu usaha penting lain ialah mengesan aliran wang haram. Kerja ini sangat penting dalam menghalang penjenayah mendapatkan keuntungan, seterusnya mengurangkan insentif ekonomi mereka untuk melakukan jenayah siber.