Khi những kẻ tấn công đòi tiền chuộc bằng ransomware và nhận thanh toán bằng bitcoin, các giao dịch này đều được ghi lại trên blockchain. Tuy nhiên, các ví nhận tiền phi pháp này sẽ bị đánh dấu, khiến các tin tặc phải rửa tiền qua nhiều phương pháp phức tạp khác nhau để thu lợi từ các trò lừa đảo trực tuyến, trộm cắp và các cuộc tấn công mạng. Việc rửa tiền từ tội phạm mạng đòi hỏi những chuyển khoản và đổi tiền phức tạp giữa các loại tiền điện tử và tiền pháp định. Việc truy theo dòng tiền này gặp nhiều thách thức lớn đối với các nhà điều tra. Raúl Orduna, trưởng phòng An ninh số tại trung tâm công nghệ Basque Vicomtech, nhận xét rằng hoạt động này tạo nên một nền kinh tế toàn cầu ngầm nhưng rộng lớn và phức tạp. Vấn đề then chốt sau các tấn công mạng của các hacker là làm thế nào để tiếp cận số tiền thu được. Theo Báo cáo Tội phạm Crypto 2024 của Chainalysis, trong năm 2023, việc rửa tiền từ các khoản liên quan đến tiền điện tử phi pháp đã đạt khoảng 22, 2 tỷ đô la. Trong vòng một năm qua, tổng giá trị chuyển tới các địa chỉ blockchain phi pháp—là các tài khoản số dùng cho tiền điện tử—là 40, 9 tỷ đô la, có thể tăng lên tới 51, 3 tỷ đô la. Những kẻ tội phạm mạng cố gắng biến số tiền phi pháp khổng lồ này thành tiền sạch. George Smaragdakis, giáo sư An ninh mạng tại Đại học Kỹ thuật Delft, giải thích rằng các hacker thường nhận tiền bằng bitcoin hoặc các loại tiền điện tử khác rồi cố gắng truy cập chúng một cách ẩn danh qua các cơ chế như sàn giao dịch hoặc bộ trộn (mixers). Các khoản tiền này di chuyển qua nhiều địa chỉ trên blockchain, trong đó một số cuối cùng chảy vào nền kinh tế thực. Để hiểu rõ mê cung rửa tiền này, cần làm rõ một số khái niệm. Smaragdakis và Orduna hợp tác trong Dự án Horizon, một sáng kiến của châu Âu gồm các công ty, trung tâm nghiên cứu và cơ quan thực thi pháp luật nhằm tăng cường khả năng ứng phó với các mối đe dọa mạng của EU, trong đó có việc hiểu cách các tội phạm kiếm lời. Trong tiền điện tử, ví là nơi chứa nhiều địa chỉ blockchain được dùng để gửi hoặc nhận tiền. Mặc dù các giao dịch trên blockchain là ẩn danh, nhưng hồ sơ của chúng thì công khai, giúp các nhà phân tích phát hiện các mẫu rửa tiền mà không cần xác định chủ sở hữu, theo Orduna. Các nhà điều tra tập trung vào việc nhận dạng các dịch vụ liên quan đến crypto giống như ngân hàng nhưng hoạt động ẩn danh. Họ đặc biệt chú ý tới các hệ thống blockchain như hợp đồng thông minh escrow, giữ tiền cho tới khi các điều khoản của hợp đồng được đáp ứng, và các bộ trộn nhằm tăng tính bí ẩn cho các giao dịch bằng cách che giấu nguồn gốc và chuyển đổi giữa các loại tiền điện tử.

Orduna giải thích rằng các bộ trộn làm cản trở quá trình truy tìm nguồn gốc thanh toán. Smaragdakis bổ sung rằng khi nguồn gốc—là nạn nhân—thường có thể nhận dạng, nhưng sau nhiều lần chuyển tiền, dấu vết sẽ bị mất. Các hacker lợi dụng việc dễ dàng tạo ra hàng nghìn địa chỉ blockchain (khác với tài khoản ngân hàng, vốn khó mở hơn) để làm rối quá trình truy tìm. Trước đây, tội phạm tập trung thanh toán của nạn nhân vào một địa chỉ duy nhất, nhưng hiện nay họ sử dụng địa chỉ riêng cho từng nạn nhân, và thường có nhiều địa chỉ cho cùng một người, theo Smaragdakis. Chiến thuật này phân mảnh các khoản tiền phi pháp thành những phần nhỏ hơn trên nhiều địa chỉ, gây khó khăn cho việc kiểm soát và theo dõi. Tiếp theo, các tội phạm có thể trộn những khoản tiền này với các nguồn khác hoặc sử dụng các sòng bạc chấp nhận crypto. Bằng cách đặt nhiều cược nhỏ, ít rủi ro và lợi nhuận, họ “làm sạch” số tiền, rồi rút ra thành tiền hợp pháp, Orduna nói. Các sàn giao dịch như Binance hoặc Coinbase là một con đường rửa tiền khác, nhưng thường bị hệ thống kiểm soát gắt gao hơn, vì các nền tảng này thực thi các chính sách chống rửa tiền bằng cách yêu cầu xác minh danh tính, hình selfie liên kết với tài khoản người dùng. Cơ quan pháp luật có thể yêu cầu thông tin người dùng qua lệnh của tòa, khiến các hoạt động phi pháp bị ngăn chặn tại đây. Vì vậy, tội phạm chuyển sang các nền tảng không quy định, giả dạng các sàn giao dịch này. Orduna cảnh báo rằng các tổ chức này, dù chưa đăng ký chính thức, vẫn thể hiện các mẫu giao dịch tương tự như các sàn hợp pháp. Các nhà nghiên cứu tại Vicomtech cố gắng phát hiện các nền móng này bằng cách phân tích các mẫu giao dịch blockchain. Bằng cách mô hình hóa hành vi của các sàn giao dịch hợp pháp, các nhà điều tra xây dựng các mô hình hành vi kỹ thuật số để phát hiện các hoạt động tương tự bất hợp pháp trên mạng lưới blockchain. Nhóm của Vicomtech hợp tác chặt chẽ với các cơ quan thực thi pháp luật, thu thập yêu cầu và ví dụ về các hoạt động đáng ngờ, tạo dữ liệu tổng hợp ẩn danh để xây dựng và thử nghiệm các mô hình phát hiện thông minh. Khi đã xác thực, các mô hình này hỗ trợ các cuộc điều tra thực tế do các cơ quan có thẩm quyền quản lý. Trong khi phần lớn các nghiên cứu về an ninh mạng tập trung vào việc hiểu các cuộc tấn công, nâng cao phòng thủ và giảm thiểu tổn thất, thì một nỗ lực quan trọng khác là theo dõi dòng tiền phi pháp. Công việc này rất cần thiết để làm giảm khả năng các tội phạm kiếm lời, qua đó giảm động lực kinh tế để họ thực hiện các hoạt động tội phạm mạng.