Wanneer aanvallers slachtoffers afpersen met ransomware en betalingen ontvangen in bitcoins, worden deze transacties vastgelegd op de blockchain. Echter, de wallets die deze illegale fondsen ontvangen worden gemarkeerd, wat cybercriminelen ertoe brengt het geld via diverse complexe methoden wit te wassen om winst te maken uit online scams, diefstallen en cyberaanvallen. Witwassen van cybercriminaliteitopbrengsten omvat ingewikkelde overboekingen en conversies tussen cryptovaluta en wettelijk betaalmiddel. Het traceren van deze fondsen vormt aanzienlijke uitdagingen voor opsporingsdiensten. Raúl Orduna, hoofd Digital Security bij het Baskische technologiecentrum Vicomtech, merkt op dat deze activiteiten een ondergedompeld maar groot en complex wereldwijd economisch systeem creëren. Het cruciale vraagstuk voor aanvallers na een cyberaanval is hoe ze toegang krijgen tot het verkregene geld. Volgens het Crypto Crime Report 2024 van Chainalysis bedroeg in 2023 het witgewassen bedrag aan illegale cryptofondsen ongeveer 22, 2 miljard dollar. In het afgelopen jaar bedroeg de totale waarde die werd overgemaakt naar illegale blockchain-adressen—digitale accounts voor cryptocurrencies—40, 9 miljard dollar, met een mogelijk stijging tot 51, 3 miljard dollar. Cybercriminelen streven ernaar deze enorme illegale sommen om te zetten in schoon geld. George Smaragdakis, professor Cybersecurity aan de Technische Universiteit Delft, legt uit dat aanvallers meestal fondsen in bitcoin of andere cryptovaluta ontvangen en proberen deze anoniem te benaderen via mechanismen zoals exchanges of mixers. Het geld beweegt zich over meerdere blockchain-adressen, waarbij delen uiteindelijk de echte economie binnenkomen. Om deze witwas-constructie te begrijpen, moeten bepaalde concepten worden verduidelijkt. Smaragdakis en Orduna werken samen aan het Horizon Project, een Europese initiatief met bedrijven, onderzoekscentra en wetshandhavingsinstanties, gericht op het versterken van de weerbaarheid van de EU tegen cyberdreigingen, waaronder het begrijpen van hoe criminelen winst maken. In cryptocurrencies bevat een wallet meerdere blockchain-adressen die worden gebruikt om fondsen te verzenden of te ontvangen. Hoewel blockchain-transacties anoniem zijn, zijn hun records openbaar, waardoor analisten patronen van witwassen kunnen detecteren zonder eigenaars te identificeren, zegt Orduna. Onderzoekers richten zich op het identificeren van crypto-diensten die vergelijkbaar zijn met banken, maar die anoniem opereren. Ze letten vooral op blockchain-systemen zoals escrow smart contracts, die geld vasthouden totdat contractvoorwaarden zijn vervuld, en mixers, die ontworpen zijn om de anonimiteit van transacties te vergroten door de herkomst van de fondsen en uitwisselingen tussen cryptovaluta te verhullen.

Orduna legt uit dat mixers het traceren van betaalbronnen bemoeilijken. Smaragdakis voegt toe dat terwijl de herkomst—de slachtoffer—is vaak identificeerbaar is, na talloze overboekingen verdwijnt het spoor. Cybercriminelen maken gebruik van de gemakkelijke creatie van duizenden blockchain-adressen (in tegenstelling tot bankrekeningen, die moeilijker te openen zijn) om het tracé te verwarren. Vroeger centraliseerden criminelen de betalingen van slachtoffers op één adres, maar tegenwoordig wijzen ze per slachtoffer unieke adressen toe en vaak meerdere adressen per enkele slachtoffer, legt Smaragdakis uit. Deze tactiek verdeelt illegale fondsen in kleinere bedragen over veel adressen, wat het controleerbaar en monitorbaar maken bemoeilijkt. Vervolgens kunnen criminelen deze fondsen mengen met andere geldstromen of gebruiken ze crypto-acceptatie-casino’s. Door vele micro-bets te plaatsen met minimaal risico en winst, “sappen” ze het geld effectief af, waarna het kan worden opgenomen als wettelijk betaalmiddel, voegt Orduna toe. Beurzen zoals Binance of Coinbase vormen een andere weg voor witwassen, maar zijn doorgaans ontoegankelijk voor criminelen omdat deze platforms anti-witwas policies hanteren, waarbij ze verificatie van identiteit vereisen, inclusief selfies gekoppeld aan gebruikersaccounts. Politie kan gebruikersinformatie opvragen via gerechtelijk bevel, wat illegale activiteiten daar ontmoedigt. Daarom wenden criminelen zich tot niet-gereguleerde platforms die exchanges nabootsen. Orduna waarschuwt dat deze entiteiten, hoewel niet-vergund, transactiemodellen vertonen die lijken op die van legitieme exchanges. Onderzoekers bij Vicomtech proberen dergelijke platforms te identificeren door patronen in blockchain-transacties te analyseren. Door het gedrag van legitieme exchanges te modelleren, ontwikkelen onderzoekers digitale gedragsmodellen om illegale, exchange-achtige activiteiten in blockchain-netwerken op te sporen. Het team van Vicomtech werkt nauw samen met autoriteiten, verzamelt eisen en voorbeelden van verdachte activiteiten, genereert synthetische geanonimiseerde data om intelligente detectiemodellen te bouwen en testen. Zodra deze modellen gevalideerd zijn, kunnen ze worden ingezet in echte onderzoeken door bevoegde instanties. Terwijl veel cybersecurity-onderzoek zich richt op het begrijpen van aanvallen, het verbeteren van verdedigingsmaatregelen en het beperken van inbraken, is een andere essentiële inspanning het traceren van geldstromen uit de criminaliteit. Dit werk is van cruciaal belang om de winstmaximalisatie door criminelen te beperken, waardoor hun economische motivatie tot cybercriminaliteit afneemt.