Когда злоумышленники требуют выкуп с помощью программ-вымогателей и получают оплату в биткоинах, эти транзакции записываются в блокчейн. Однако кошельки, получающие эти нелегальные средства, маркируются, что побуждает киберпреступников отмывать деньги различными сложными методами для получения прибыли с онлайн-мошенничеств, краж и кибератак. Отмывание средств преступных доходов включает сложные переводы и конвертации между криптовалютами и легальной валютой. Отследить такие деньги представляет собой серьезную задачу для следователей. Рауль Ордуна, руководитель отдела цифровной безопасности в basковском технологическом центре Vicomtech, отмечает, что эта деятельность создает скрытую, но огромную и сложную глобальную экономику. Основная проблема для злоумышленников после кибератаки — как получить доступ к добытым средствам. Согласно отчету Chainalysis о криптовой преступности за 2024 год, в 2023 году отмывка нелегких средств, связанных с криптовалютами, достигла около 22, 2 миллиардов долларов. За последний год сумма, отправленная на нелегальные адреса блокчейна — цифровые счета для криптовалют — составила 40, 9 миллиарда долларов, с возможным ростом до 51, 3 миллиарда долларов. Киберпреступники стремятся превратить эти огромные нелегальные суммы в чистые деньги. Джордж Смарагдакис, профессор кибербезопасности в Техническом университете Дельфта, объясняет, что злоумышленники обычно получают средства в биткоинах или других криптовалютах, а затем пытаются анонимно получить к ним доступ через механизмы, такие как биржи или миксеры. Средства перемещаются через множество адресов блокчейна, и часть из них со временем попадает в реальную экономику. Для понимания этого лабиринта отмывания денег необходимо прояснить некоторые концепции. Смарагдакис и Ордуна сотрудничают в рамках проекта Horizon — европейской инициативы, включающей компании, исследовательские центры и правоохранительные органы, направленной на укрепление готовности ЕС к киберугрозам, в том числе в части понимания способов получения прибыли преступниками. В криптовалютах кошелек содержит несколько адресов блокчейна, используемых для отправки или получения средств. Несмотря на анонимность транзакций в блокчейне, их записи являются публичными, что позволяет аналитикам выявлять схемы отмывания денег без определения владельцев, говорит Ордуна. Следователи сосредоточены на выявлении криптосервисов, подобных банкам, но функционирующих анонимно. Особое внимание уделяется системам, таким как эскроу-смарт-контракты, которые блокируют средства до выполнения условий контракта, и миксерам — инструментам, повышающим анонимность транзакций за счет запутывания источников средств и обмена между разными типами криптовалют.

Ордуна объясняет, что миксеры затрудняют прослеживание происхождения платежей. Смарагдакис добавляет, что хотя источник — жертва — часто определяется, после многочисленных переводов след исчезает. Преступники используют возможность быстро создавать тысячи адресов в блокчейне (в отличие от банковских счетов, открыть которые сложнее), чтобы запутать слежку. Ранее преступники централизовали сбор средств жертв на одном адресе, но сейчас они используют уникальные адреса для каждого пострадавшего и зачастую — несколько адресов на одного человека. Этот приём разбивает нелегальные деньги на меньшие части, разбросанные по множеству адресов, что усложняет контроль и отслеживание, объясняет Смарагдакис. Затем преступники могут смешивать эти средства с другими средствами или использовать криптоказино. Делая множество микропари с минимальными рисками и доходами, они фактически «очищают» деньги, которые затем можно вывести как легальную валюту, добавляет Ордуна. Биржи, такие как Binance или Coinbase, представляют собой ещё один путь для отмывания, однако для преступников они обычно недоступны, поскольку эти платформы строго соблюдают антимонопольное законодательство, требуют подтверждения личности и селфи, связанных с аккаунтами. Правоохранительные органы могут запрашивать информацию о пользователях по судебному постановлению, что отпугивает нелегственную деятельность там. Из-за этого преступники обращаются к нерегулируемым платформам, имитирующим биржи. Ордуна предупреждает, что эти организации, несмотря на отсутствие регистрации, демонстрируют схемы транзакций, похожие на легальные биржи. Исследователи Vicomtech стараются выявлять такие платформы, анализируя схемы транзакций в блокчейне. Моделируя поведение легальных обменных платформ, следователи разрабатывают цифровые модели поведения для идентификации нелегальных дейтельностей, похожих на обмен. Команда Vicomtech тесно сотрудничает с правоохранительными органами, собирая требования и примеры подозрительной активности, создавая синтетические анонимизированные данные для разработки и испытаний интеллектуальных моделей обнаружения. После проверки такие модели помогают в реальных расследованиях, проводимых компетентными органами. В то время как большая часть исследований в сфере кибербезопасности сосредоточена на понимании атак, улучшении защиты и снижении ущерба, важнейшей задачей является отслеживание потоков незаконных средств. Эта работа играет ключевую роль в снижении прибыли преступников и уменьшении их экономического стимула заниматься киберпреступностью.