За кулисами кражи криптовалюты на 1,5 миллиарда долларов: Бэтмен на блокчейне разрывает сеть отмывания денег северокорейских хакеров

Исходный заголовок: Красть 1,5 миллиарда долларов в криптовалюте легко, вывести деньги — это ловушка

Исходный автор: Andjela Radmilac

Исходный перевод: Saoirse, Foresight News

В феврале 2025 года северокорейские хакеры украли около 1,5 миллиарда долларов в криптовалюте с Bybit. Несмотря на то, что эта хакерская атака была широко освещена и проанализирована, последующие события и судьба украденных средств остались без должного внимания.

Чтобы перевести эту огромную сумму, хакеры должны полагаться на целую сеть людей, готовых работать с украденными активами. И эта цепочка отношений может быть проникаема, если вложить достаточно средств.

Анонимный блокчейн-расследователь ZachXBT воспользовался этим методом. Он вложил 349700 USDC, притворившись клиентом китайской сети отмывания денег, и согласился на убыток в 5% за каждую транзакцию. В конечном итоге он получил ключевые подсказки, проследив более 12 миллионов долларов, связанных с кражей Bybit; по его словам, эта информация также помогла Tether заморозить 442000 USDT.

Его расследование раскрыло сеть отмывания денег. По его оценкам, эта сеть отмыла более 1 миллиарда долларов, полученных от кражи криптовалюты группой Lazarus из Северной Кореи, и средства, полученные в результате атаки на Bybit, также были включены.

Это расследование указывает на огромный черный рынок незаконных финансовых услуг, против которого американские власти ведут борьбу последние два года.

В сентябре того же года Министерство финансов США наложило санкции на Xinbi Guarantee. Американская сторона утверждает, что с 2022 года эта торговая платформа обработала более 24 миллиардов долларов в сделках с цифровыми активами и фиатной валютой, и северокорейские хакеры были одним из незаконных субъектов, использующих услуги этой платформы.

Министерство финансов также упомянуло, что после наложения санкций на Huione Group преступники начали использовать Xinbi Guarantee для продолжения своей незаконной деятельности. Это показывает, что просто закрытие одной торговой платформы не может искоренить связи и преступный спрос, стоящие за ней.

Удивительно, что взлом торговой площадки и кража средств — это лишь относительно простая часть всей преступной цепочки. Настоящая сложность заключается в том, чтобы обменять украденную криптовалюту на фиатные деньги или другие активы с реальной покупательной способностью.

Чтобы завершить процесс обналичивания, хакеры должны использовать различные платежные сервисы и серые связи, что также оставляет возможность для вмешательства следователей и регулирующих органов.

Вложение 349700 USDC «подрывным клиентом»

26 февраля 2025 года ФБР установило, что кража на Bybit была совершена северокорейскими хакерами, операция получила кодовое название TraderTraitor, и было выпущено предупреждение: украденные активы конвертируются в биткойны и другие криптовалюты, а затем распределяются по тысячам адресов блокчейна.

Хотя личность хакера была быстро установлена, найти посреднические организации, которые обрабатывали украденные средства, все еще требовало значительных усилий.

ZachXBT заявил, что в открытых группах Telegram и Discord он обнаружил более 15 аккаунтов, занимающихся транзакциями, связанными с украденными средствами Bybit. Это означает, что, по крайней мере, на некоторых этапах отмывания денег посредники открыто привлекают бизнес и организуют сделки.

Он связался с несколькими из этих аккаунтов и в конечном итоге вышел на контакт с человеком с ником Jimmy Green в Telegram, который заявил, что может помочь с межсетевым переводом криптовалюты.

ZachXBT сообщил, что 6 марта 2025 года он перевел 349700 USDC на новый адрес Ethereum и через этого контакта обменял USDC на Ethereum на USDT в сети Tron. Чтобы создать образ реального клиента, он согласился на невыгодные условия обмена.

Эти 349700 USDC были использованы в качестве основного капитала для торговли, а не как чистый убыток от расследования; он был готов понести убыток в 5% за каждую сделку в обмен на информацию, которую нельзя было получить с помощью обычного анализа блокчейна.

Эти сделки сами по себе также несут риски: посредник может просто сбежать с деньгами.

Посредники, на которых полагаются хакеры, также могут оказаться ненадежными и присвоить украденные средства. Поскольку нет обязательных коммерческих гарантий, репутация в сообществе и личные связи становятся основой для поддержания этого сотрудничества.

И это как раз предоставляет ZachXBT возможность для проникновения: для поставщика услуг клиент, готовый повторно проводить сделки, имеет более высокую ценность.

Благодаря этой подрывной связи информация, которую он получал, больше не ограничивалась адресами кошельков. Посредники перед выполнением сделок обсуждали с ним схемы перевода средств. ZachXBT смог сопоставить содержание частных переговоров с записями транзакций, оставшимися в публичной цепочке.

Однажды посредник обсудил с ним перевод средств на сеть Solana еще до того, как сделка произошла. Остальные записи обмена и связанные с кошельками подсказки, как полагают, помогли ему зафиксировать большую партию активов, связанных с кражей Bybit.

Это был ключевой поворотный момент в расследовании: данные блокчейна могут фиксировать только действия транзакций, но не могут подтвердить личность и истинные мотивы участников сделки. Записи частных переговоров между сторонами сделки являются основными доказательствами для определения контролеров средств и уточнения их назначения.

Хотя выводы ZachXBT не полностью совпадают с официальными записями ФБР, это все равно является одним из самых значительных расследований последних лет. Оно доказывает, что работа, которую невозможно выполнить только на основе данных блокчейна, может быть подтверждена с помощью человеческих связей и коммерческих взаимодействий; аналогичные методы также могут быть применены в расследованиях других случаев кражи криптовалюты.

Прослеживание 12 миллионов долларов ≠ успешное возвращение 12 миллионов долларов

ZachXBT заявил, что, взаимодействуя с Jimmy Green, он зафиксировал кластер средств, связанных с делом Bybit, распределенный по нескольким публичным цепочкам и общей сумме более 12 миллионов долларов.

Он также сообщил, что затем Tether заморозила 442000 USDT, связанных с делом северокорейских хакеров. Это показывает, что когда украденные средства все еще находятся в USDT, USDC и других токенах, контролируемых эмитентом, быстрая идентификация украденных активов имеет решающее значение для восстановления убытков.

Необходимо различать две группы данных: прослеживание 12 миллионов долларов не означает, что все эти средства были заморожены; заморозка 442000 USDT также не равна тому, что эти токены были конфискованы и возвращены Bybit.

Число 442000 USDT и связь этой заморозки с текущим расследованием основаны на личных заявлениях ZachXBT; Tether также ранее сообщала о более крупных заморозках, связанных с кражей на Bybit.

Существует огромная пропасть между обнаружением украденной криптовалюты, нахождением посредников и получением юридического или технического контроля над украденными средствами.

Публичные цепочки не могут предотвратить повторный перевод активов. Как только средства проходят через платформы, которые не желают сотрудничать с расследованием или находятся вне юрисдикции, ситуация становится еще более сложной.

Централизованные стабильные монеты предоставляют возможность для вмешательства: эмитенты имеют права управления и могут ограничивать переводы с определенных адресов. У оригинального биткойна нет механизма заморозки, предоставляемого эмитентом; однако, после получения законного разрешения, власти все равно могут конфисковать биткойны, хранящиеся у депозитариев, или контролировать соответствующие приватные ключи.

Это означает, что расследование требует не только точного отслеживания источников, но и чтобы обнаруженные остатки средств находились в юрисдикции учреждений, обладающих техническими возможностями и полномочиями для правоприменения.

Во время работы по возврату активов Bybit судебные запреты в сочетании с сотрудничеством финансовых посредников могут ограничить движение средств даже спустя долгое время после кражи, но не могут гарантировать полное возвращение.

Проблема в том, что украденная криптовалюта будет постоянно разделяться и перемещаться между различными кошельками, публичными цепочками, депозитариями и контрагентами. Каждый раз, когда средства проходят через новую платформу, взыскатели часто должны заново собирать доказательства и инициировать новый раунд юридических процедур.

Вот почему следователи могут видеть направление движения средств, но не могут остановить следующий перевод или вернуть украденные средства.

Масштаб операций по отмыванию криптовалюты в 4 миллиарда долларов

Использование внешних посредников для отмывания украденных средств не является уникальным явлением для кражи на Bybit. Документы правоохранительных органов США показывают, что власти долгое время расследуют различные серые схемы — эти схемы специально предназначены для превращения украденной криптовалюты в активы, которые преступники могут фактически использовать.

В марте 2020 года Министерство юстиции США предъявило обвинения двум гражданам Китая Тянь Иньинь и Ли Цзядун, обвиняя их в отмывании криптовалюты на сумму более 100 миллионов долларов, большая часть которой была получена в результате хакерских атак на биржи.

Эти обвинения показывают, что даже не осуществляя хакерские атаки лично, посредники все равно играют ключевую роль в всей преступной цепочке.

Объявление о санкциях Министерства финансов также раскрыло, что Тянь Иньинь обменял почти 1,4 миллиона долларов в биткойнах на предоплаченные подарочные карты Apple iTunes. Это показывает, что конечная точка цепочки отмывания денег не обязательно является сложной транснациональной финансовой услугой; обычные розничные предоплаченные карты также могут быть использованы.

Та же потребность в обналичивании работает на некоторых платформах, которые связывают преступников с расчетными, обменными и платежными сервисами, на более крупном масштабе.

В мае 2025 года Финансовая сеть по борьбе с преступностью Министерства финансов США (FinCEN) включила Huione Group, базирующуюся в Камбодже, в список ключевых финансовых учреждений, занимающихся отмыванием денег. Расследование показало, что с августа 2021 года по январь 2025 года эта группа отмыла незаконные доходы на сумму не менее 4 миллиардов долларов.

Из них FinCEN подтвердил, что как минимум 37 миллионов долларов в криптовалюте были получены от кибер-кражи, остальные средства поступили из различных инвестиционных мошенничеств и интернет-мошенничества.

4 миллиарда долларов — это общая сумма всех вышеупомянутых преступных действий; 37 миллионов долларов — это минимальная оценка, которую это учреждение подтвердило в отношении средств, связанных с Северной Кореей.

Отчет оценки FinCEN указывает на серьезные недостатки в механизмах противодействия отмыванию денег и проверки личности клиентов этой группы. Отсутствие проверки личности позволило дочерним учреждениям группы косвенно получать средства, полученные в результате атак северокорейских хакеров.

Значение этого расследования не ограничивается одной сделкой. Если один посредник может постоянно предоставлять платежные каналы, он станет преступной инфраструктурой, используемой несколькими преступными группами, и различные преступные организации не будут нуждаться в создании собственных каналов для обналичивания украденных средств.

Средства, сосредоточенные на таких платформах, становятся целями для санкций, конфискации активов, разрыва банковского сотрудничества и других действий правоохранительных органов.

Платформа Huione Group обрабатывала огромное количество сделок и незаконных операций. Даже если Telegram заблокировал некоторые каналы этой сети, операторы платформы все равно пытались поддерживать работу.

Общий объем торгов на платформе и незаконные доходы, подтвержденные FinCEN, не совпадают по критериям статистики, и нельзя считать все средства, проходящие через платформу, уже подтвержденными преступными доходами.

Преступные платформы можно закрыть, но преступные клиенты все еще существуют

Проблема в том, что даже если инфраструктура незаконной торговой платформы будет разрушена, преступный спрос, порождающий такие операции, не исчезнет, пока преступники могут связаться с другими альтернативными поставщиками услуг.

В июне 2026 года Министерство юстиции США объявило о закрытии облачных серверов, используемых дочерними компаниями Huione Group. Сообщается, что эти серверы использовались для перевода доходов от мошенничества, киберпреступности и других незаконных действий.

Эта операция была проведена после того, как американская сторона ранее ввела ограничения против этой группы, и ее целью было разрушение технических средств, поддерживающих незаконные переводы средств и скрытие активов.

Однако разрушение инфраструктуры не автоматически разрывает связь между преступными клиентами и посредниками, принимающими заказы.

9 сентября Министерство финансов опубликовало санкционное уведомление, которое четко показало это ограничение: власти наложили санкции на Xinbi Guarantee. Это незаконный торговый рынок, который связывает преступные организации с торговцами, способными предоставить финансовые услуги, технологии и другие ресурсы.

Министерство финансов заявило, что с 2022 года объем цифровых активов и фиатных транзакций, обрабатываемых Xinbi, составил более 24 миллиардов долларов США, а бизнес в основном ориентирован на рынок Юго-Восточной Азии.

Такой огромный объем делает эту платформу ключевым объектом для правоохранительных действий по борьбе с финансовой инфраструктурой преступных организаций.

Министерство финансов также упомянуло, что после того, как FinCEN провела операцию против Huione, киберпреступники перенесли свой бизнес на Xinbi, чтобы поддерживать свою деятельность. Эта новая платформа предлагает практически те же услуги той же группе клиентов.

Регуляторы описали рыночную серую экосистему: когда прежние каналы становятся ненадежными из-за правоохранительных действий, участники начинают искать следующего поставщика услуг.

Во время операции против Huione Telegram удалил тысячи связанных с Huione Guarantee каналов, и соответствующие торговцы начали переходить на другие альтернативные торговые платформы.

Поэтому эффективность операций нельзя измерять только количеством закрытых сайтов, аккаунтов или серверов. Пока у преступных клиентов остается потребность в незаконных финансовых услугах, они будут искать способы найти работающих поставщиков и восстановить каналы финансирования.

Конечно, правоохранительные действия все равно повысят затраты на преступную деятельность, например, заморозка активов, неудачные расчеты, исчезновение знакомых контрагентов. Но пока преступные действия остаются прибыльными, экономический стимул для отмывания денег будет существовать.

Проблема, с которой сталкиваются правоохранительные органы, заключается в том, чтобы постоянно повышать затраты на всю сеть альтернативных поставщиков услуг и снижать их бизнес-стабильность.

Заморозка операций Tether заставляет сеть крипто-отмывателей перейти на другие платежные инструменты

Правоохранительные действия против Xinbi Guarantee показывают, что финансовые ограничения могут нарушить преступную деятельность, но также заставляют преступные группировки менять платежные каналы.

Tether провела серию операций по заморозке, заморозив более 45 миллионов долларов США в USDT на как минимум 22 связанных с Xinbi кошельках.

Сразу после этого эта торговая платформа уведомила пользователей о переходе на использование USDD. Этот стабильный токен, в отличие от USDT, не имеет полномочий на заморозку адресов.

Это ключевое изменение: когда средства, вовлеченные в дело, все еще находятся под контролем эмитента, функция заморозки токенов имеет большую ценность для следователей; преступные клиенты, стремящиеся избежать регулирования, будут склонны выбирать активы с другим механизмом контроля.

Это показывает, что когда один из звеньев платежной системы ограничивается, сделки будут перемещаться на другие каналы. Следователи должны отслеживать не только направление активов, но и искать поставщиков, предоставляющих каналы.

В ходе операции в сентябре власти также нанесли удар по соответствующей инфраструктуре Xinbi, изъяв более 52 миллионов долларов в криптовалюте. В то же время скорость вывода активов увеличилась, и конкурирующие торговые платформы, как сообщается, начали ограничивать вход для отмывателей денег.

Указанные случаи и заморозка 442000 USDT, упомянутая ZachXBT, являются двумя независимыми событиями. Публичные отчеты не могут подтвердить, что они связаны с одним и тем же адресом, лицами или финансами.

Но оба случая подтверждают одно: преступные группировки сильно зависят от финансовых посредников. Даже если первоначальная кража была завершена, услуги посредников все еще оставляют окно для вмешательства регуляторов.

Если у эмитента токенов есть возможность заморозки активов, риск сосредоточен на остатках средств на идентифицируемых адресах. Если одна платформа обслуживает несколько преступных групп, ее слабые места включают инфраструктуру, связи с торговцами и расчеты.

Оба пути могут повысить затраты и риски на перемещение и использование украденных средств.

Посредники, осуществляющие сделки, труднее заменить

Расследование ZachXBT смогло добиться прорыва благодаря доказательству: установление клиентских отношений через платных информаторов может выявить информацию о людях, отвечающих за организацию сделок.

Долгосрочные посредники, занимающиеся украденной криптовалютой, накапливают репутацию в кругу, отбирают постоянных торговых партнеров и понимают, какие услуги могут завершить сделку, не удерживая украденные средства.

Эти связи делают преступные операции со временем более эффективными. Особенно когда клиентам нужны крупные переводы, и они не хотят раскрывать свою личность, опасаясь, что контрагент может украсть средства.

Однако, как только старые поставщики услуг будут устранены, восстановить эти партнерские отношения будет сложно. Альтернативные поставщики услуг часто взимают более высокие сборы, отказываются принимать подозрительные средства или имеют недостаточную бизнес-стабильность.

Эта зависимость также предоставляет новые источники информации для расследования. Поставщики могут раскрыть будущие планы сделок, других участников и необходимую инфраструктуру для завершения заказов.

Следователи по-прежнему должны сопоставлять данные блокчейна с другими доказательствами для проверки информации. Адрес, получивший средства, связанные с кражей, не означает, что получатель был в курсе или субъективно участвовал в преступлении.

Но сопоставление частных переписок с последующими потоками средств в блокчейне может уменьшить неопределенность информации, что невозможно сделать, просто отслеживая транзакции.

Большее количество случаев правоохранительных органов показывает, что для уменьшения привлекательности незаконных финансовых услуг недостаточно просто периодически закрывать сайты. Клиентская база и мотивация для получения прибыли, порождающие такие бизнесы, будут существовать дольше, чем серверы сайтов.

Тем не менее, изъятие активов, разрыв финансовых каналов, судебные иски к поставщикам услуг и блокировка контролирующих расчетов могут изменить затраты и выгоды преступного поведения. Однако разные поставщики услуг могут иметь разные пороги риска.

Это также объясняет, что общая сумма украденной криптовалюты не равна сумме, которую преступники успешно конвертировали и могут потратить; и нельзя напрямую утверждать, что эти средства были использованы для конкретных военных или государственных расходов.

Первоначальная сумма кражи, сумма, проходящая через адреса посредников, сумма, успешно обмененная на реальную покупательную способность, и сумма, в конечном итоге возвращенная правоохранительными органами, — это четыре независимые статистические категории, которые необходимо доказывать отдельно.

Для северокорейских хакеров, даже если операция по взлому была успешной, зависимость от услуг по отмыванию денег также несет последующие риски. Получение украденных активов не означает, что кто-то готов их принять, обменять и в конечном итоге потратить.

Операция под прикрытием ZachXBT показывает, что такая потребность в конвертации может превратить клиентские отношения в прорыв в расследовании. Американские действия против Huione и Xinbi также подтверждают, что даже если преступные клиенты постоянно меняют свои позиции, серые поставщики услуг все равно могут стать объектами правоохранительных действий.

Слабое место преступного поведения заключается в том, что кража криптовалюты и фактическое использование криптовалюты — это совершенно разные вещи. Последнее по-прежнему зависит от коммерческих отношений, и все участники имеют активы, репутацию и экономические интересы, которые нужно защищать.

Северокорейским хакерам, чтобы превратить украденные средства в деньги, которые можно потратить, необходимо снова войти в межличностную сеть, где нужно установить доверие; а посредники, предоставляющие услуги, также должны нести риск потери средств.