За кражей криптовалюты на $1,5 млрд: ончейн-детектив разбирает сеть отмывания денег северокорейских хакеров

Оригинальное название: Украсть криптовалюту на $1,5 млрд легко, обналичить — вот ловушка

Автор оригинала: Andjela Radmilac

Перевод: Saoirse, Foresight News

В феврале 2025 года северокорейские хакеры похитили у Bybit криптовалюту примерно на $1,5 млрд. Хотя этот взлом широко освещался и анализировался, последующему развитию событий и судьбе украденных средств уделялось мало внимания.

Чтобы переместить такую огромную сумму незаконных средств, хакерам приходится полагаться на целую сеть лиц, готовых обрабатывать украденные активы. Если вложить достаточно денег, эту цепочку связей можно проникнуть.

Так поступил блокчейн-расследователь под псевдонимом ZachXBT. Он выделил 349 700 USDC, выдав себя за клиента китайской сети отмывания денег, готового терять 5% на каждой сделке. В итоге он получил ключевые зацепки и отследил более $12 млн, связанных с кражей у Bybit; по его словам, эта информация также помогла Tether заморозить 442 000 USDT.

Его расследование вскрыло сеть отмывания денег. По его оценке, она отмыла более $1 млрд от краж криптовалют северокорейской Lazarus Group, включая доходы от атаки на Bybit.

Расследование указывает на масштабный чёрный рынок нелегальных финансовых услуг, с которым американские власти борются последние два года.

В сентябре того же года Министерство финансов США (Минфин) ввело санкции против Xinbi Guarantee. По данным американской стороны, с 2022 года через эту торговую платформу прошло более $24 млрд в цифровых активах и фиатных операциях, и северокорейские хакеры были одними из нелегальных пользователей её услуг.

Минфин также отметил, что после санкций против Huione Group преступники перешли на Xinbi Guarantee, чтобы продолжить незаконную деятельность. Это показывает, что простое закрытие одной торговой платформы не может искоренить стоящую за ней сеть и преступный спрос.

Невероятно, но взлом биржи и кража средств — лишь относительно простая часть всей преступной цепочки. Настоящая проблема — конвертировать украденную криптовалюту в фиат или другие активы с реальной покупательной способностью.

Чтобы обналичить средства, хакерам приходится полагаться на различные платёжные сервисы и серые сети, что и оставляет пространство для вмешательства следователей и регуляторов.

«Тайный клиент», вложивший 349 700 USDC

26 февраля 2025 года Федеральное бюро расследований (ФБР) подтвердило, что кражу у Bybit совершили северокорейские хакеры под кодовым именем TraderTraitor, и предупредило: украденные активы конвертируются в биткоин и другие криптовалюты, а затем распределяются по тысячам блокчейн-адресов.

Хотя личности хакеров быстро установили, поиск посредников, обрабатывающих украденные средства, потребовал значительной следственной работы.

ZachXBT сообщил, что обнаружил в публичных группах Telegram и Discord более 15 аккаунтов, которые занимались сделками, связанными с украденными у Bybit средствами. Это означает, что по крайней мере на некоторых этапах отмывания посредники открыто искали клиентов и способствовали сделкам.

Он связался с несколькими из этих аккаунтов и в итоге вышел на контакт в Telegram под ником Jimmy Green, который утверждал, что может помочь с межсетевым переводом криптовалюты.

ZachXBT отметил, что 6 марта 2025 года перевёл 349 700 USDC на совершенно новый адрес Ethereum и воспользовался этим контактом, чтобы обменять USDC в сети Ethereum на USDT в сети Tron. Чтобы выглядеть как настоящий клиент, он согласился на менее выгодные условия обмена.

Эти 349 700 USDC были средствами для сделки, а не чистым убытком расследования; он был готов терять 5% на каждой сделке в обмен на информацию, которую невозможно получить обычным ончейн-анализом.

Такие сделки также сопряжены с риском: посредник может скрыться с деньгами.

Посредники, на которых полагаются хакеры, тоже могут оказаться ненадёжными и присвоить украденные средства. При отсутствии коммерческих гарантий репутация и личные связи внутри сети становятся основой такого сотрудничества.

Это и дало ZachXBT возможность проникнуть внутрь: для поставщика услуг клиент, готовый совершать сделки многократно, представляет большую ценность.

Благодаря этим тайным отношениям получаемая им информация больше не ограничивалась адресами кошельков. Посредники обсуждали с ним планы перемещения средств до выполнения сделки. ZachXBT смог сопоставить частную переписку с записями транзакций в публичном блокчейне.

Однажды перед сделкой посредник обсудил с ним перевод средств в сеть Solana. Другие записи транзакций и связи между кошельками, как считается, помогли ему выявить группу активов, связанных с кражей у Bybit.

Это стало ключевым поворотным моментом расследования: данные блокчейна фиксируют только факт транзакций, но не могут подтвердить, кто за ними стоит и каковы их реальные мотивы. Частная переписка сторон — ключевое доказательство для идентификации контролирующих средства лиц и выяснения назначения денег.

Хотя выводы ZachXBT не полностью совпадают с официальными данными ФБР, это одно из самых значительных расследований последних лет. Оно доказывает, что работу, которую невозможно выполнить только с помощью блокчейн-данных, можно подкрепить через личные связи и деловые контакты; аналогичные методы могут быть применимы и к другим расследованиям краж криптовалют.

Отследить $12 млн ≠ успешно вернуть $12 млн

ZachXBT сообщил, что благодаря контакту с Jimmy Green он выявил группу средств, связанных с Bybit, распределённых по нескольким публичным блокчейнам, на общую сумму более $12 млн.

Он также рассказал, что Tether впоследствии заморозил 442 000 USDT, связанных с делом северокорейских хакеров. Это показывает, что, пока украденные средства остаются в токенах, контролируемых эмитентами, таких как USDT и USDC, быстрое выявление украденных активов критически важно для возврата потерь.

Необходимо различать два набора данных: отслеживание $12 млн не означает, что все эти средства были заморожены; заморозка 442 000 USDT также не равнозначна конфискации этих токенов и их возврату Bybit.

Цифра в 442 000 USDT и связь этой заморозки с расследованием основаны на личных заявлениях ZachXBT; Tether также объявлял о более масштабных заморозках, связанных с кражей у Bybit.

Между обнаружением украденной криптовалюты, установлением причастных посредников и получением юридического или технического контроля над украденными средствами существует огромный разрыв.

Публичный блокчейн не может помешать повторному перемещению активов. Как только средства проходят через сервисы, которые не желают сотрудничать со следствием или находятся вне юрисдикции, ситуация усложняется.

Централизованно выпускаемые стабильные монеты дают регуляторам инструмент вмешательства: эмитент обладает административными полномочиями и может ограничить переводы на определённые адреса. У нативного биткоина нет механизма заморозки со стороны эмитента; однако, получив судебное разрешение, власти всё же могут арестовать биткоин, находящийся у хранителей, или получить контроль над соответствующими приватными ключами.

Это означает, что расследование требует не только точного отслеживания, но и того, чтобы выявленные средства находились в юрисдикции организаций, обладающих техническими возможностями и правоприменительными полномочиями.

В процессе возврата активов Bybit судебные запреты в сочетании с сотрудничеством финансовых посредников могут ограничить движение активов спустя долгое время после кражи, но не гарантируют полного возврата.

Проблема в том, что украденная криптовалюта постоянно дробится и перемещается между разными кошельками, блокчейнами, хранителями и контрагентами. Каждый раз, когда средства проходят через новую платформу, сторона, добивающаяся возврата, часто вынуждена заново собирать доказательства и запускать новый раунд юридических процедур.

Именно поэтому следователи видят движение средств, но не могут предотвратить следующую транзакцию или вернуть украденное.

Операция по отмыванию криптовалюты на $4 млрд

Использование внешних посредников для отмывания денег не уникально для кражи у Bybit. Американские правоохранительные записи показывают, что власти давно расследуют различные серые схемы — бизнесы, специализирующиеся на конвертации украденной криптовалюты в активы, которые преступники могут реально использовать.

В марте 2020 года Министерство юстиции США предъявило обвинения двум гражданам Китая Тянь Иньинь (田寅寅) и Ли Цзядуну (李家東) в отмывании криптовалюты на сумму более $100 млн, большая часть которой была получена в результате взломов бирж.

Эти обвинения показывают, что даже не участвуя непосредственно во взломе, посредники играют центральную роль во всей преступной цепочке.

Санкционные объявления Минфина также раскрыли, что Тянь Иньинь обменял биткоины почти на $1,4 млн на предоплаченные подарочные карты Apple iTunes. Это показывает, что конечное звено цепочки отмывания не обязательно связано со сложными транснациональными финансовыми услугами; обычные розничные предоплаченные карты тоже могут быть использованы.

Та же потребность в обналичивании действует в гораздо большем масштабе на платформах, которые сводят преступников с поставщиками расчётных, обменных и платёжных услуг.

В мае 2025 года Сеть по борьбе с финансовыми преступлениями Министерства финансов США (FinCEN) признала базирующуюся в Камбодже Huione Group основным финансовым учреждением по отмыванию денег. Расследование показало, что с августа 2021 года по январь 2025 года группа отмыла не менее $4 млрд незаконных доходов.

Из них FinCEN подтвердила, что как минимум $37 млн в криптовалюте поступило от северокорейских киберкраж, а остальные незаконные средства — от различных инвестиционных и интернет-мошенничеств.

Цифра в $4 млрд представляет собой общую сумму всех вышеуказанных преступных операций; $37 млн — это минимальная оценка средств, связанных с Северной Кореей, которую подтвердило ведомство.

В оценочном отчёте FinCEN указано, что механизмы противодействия отмыванию денег и проверки клиентов в группе имеют серьёзные недостатки. Отсутствие проверки личности позволяло дочерним структурам группы косвенно получать средства от северокорейских хакерских атак.

Значение этого расследования выходит за рамки одной сделки. Если посредник может постоянно предоставлять платёжные каналы, он становится общей преступной инфраструктурой для нескольких преступных организаций, избавляя каждую группировку от необходимости самостоятельно выстраивать каналы обналичивания.

Концентрация больших объёмов средств на таких платформах также делает их целями для санкций, ареста активов и разрыва банковских связей.

Торговая платформа Huione Group обработала огромный объём транзакций и незаконной деятельности. Даже когда Telegram заблокировал часть каналов этой сети, операторы платформы пытались продолжать работу.

Общий объём транзакций платформы и подтверждённые FinCEN незаконные доходы рассчитываются по разным стандартам, и не все средства, прошедшие через платформу, можно напрямую квалифицировать как подтверждённые преступные доходы.

Преступные платформы можно закрыть, но преступные клиенты остаются

Проблема в том, что даже если инфраструктура нелегальной торговой платформы уничтожена, преступный спрос, порождающий такой бизнес, не исчезнет, пока преступники имеют доступ к альтернативным поставщикам услуг.

В июне 2026 года Министерство юстиции США объявило об аресте серверной части облачных серверов, используемых дочерней компанией Huione Group. Сообщается, что эти серверы использовались для перемещения доходов от мошенничества, киберпреступлений и другой незаконной деятельности.

Эта операция была проведена после ранее введённых США ограничений против группы и была нацелена на техническую инфраструктуру, поддерживающую незаконные переводы средств и сокрытие активов.

Однако уничтожение инфраструктуры не разрывает автоматически связи между преступными клиентами и посредниками, принимающими заказы.

9 сентября 2025 года санкционное объявление Минфина ясно показало это ограничение: власти ввели санкции против Xinbi Guarantee. Это нелегальный торговый рынок, который связывает преступные организации с продавцами, способными предоставить финансовые услуги, технологии и другие ресурсы.

Минфин сообщил, что примерно с 2022 года общий объём цифровых активов и фиатных операций, обработанных Xinbi, превысил $24 млрд, в основном ориентированных на рынок Юго-Восточной Азии.

Такой огромный масштаб делает платформу ключевой целью правоохранительных мер против финансовой инфраструктуры преступных организаций.

Минфин также отметил, что после удара FinCEN по Huione киберпреступники перенесли свою деятельность на Xinbi, чтобы продолжать операции. Новая платформа предлагает почти те же услуги тем же клиентам.

Регуляторы описывают рыночную серую экосистему: когда существующие каналы становятся ненадёжными из-за правоохранительных действий, участники ищут следующего поставщика услуг.

Во время борьбы с Huione Telegram удалил тысячи каналов, связанных с Huione Guarantee, и соответствующие продавцы хлынули на альтернативные торговые платформы.

Поэтому эффективность борьбы нельзя измерять только количеством закрытых сайтов, аккаунтов или серверов. Пока у преступных клиентов сохраняется спрос на нелегальные финансовые услуги, они будут находить действующих поставщиков и восстанавливать финансовые каналы.

Конечно, правоохранительные действия всё же повышают стоимость преступной деятельности: заморозка активов, срывы расчётов, исчезновение привычных контрагентов. Но пока преступная деятельность остаётся прибыльной, экономический стимул перемещать незаконные средства будет существовать всегда.

Перед правоохранительными органами стоит дилемма: необходимо постоянно повышать издержки преступности и снижать стабильность бизнеса во всей сети альтернативных поставщиков услуг.

Заморозки Tether вынуждают сети отмывания криптовалют переходить на другие платёжные инструменты

Правоохранительные действия против Xinbi Guarantee показывают, что финансовые ограничения могут нарушить преступную деятельность, но также могут заставить преступные группы менять платёжные каналы.

Tether провёл серию замораживаний, в общей сложности заморозив более $45 млн в USDT как минимум на 22 кошельках, связанных с Xinbi.

Впоследствии торговая платформа уведомила пользователей о переходе на USDD. Эта стабильная монета, в отличие от USDT, не имеет функции заморозки адресов.

Это ключевой сдвиг: пока средства находятся под контролем эмитента, функция заморозки токенов чрезвычайно ценна для следователей; а преступные клиенты, пытающиеся уйти от надзора, будут предпочитать активы с иными механизмами контроля.

Эта ситуация показывает, что при ограничении одного звена платёжной системы транзакции перетекают в другие каналы. Следователям необходимо отслеживать движение активов и изучать поставщиков услуг, предоставляющих эти каналы.

В ходе сентябрьской операции власти также нацелились на связанную с Xinbi инфраструктуру и арестовали криптовалюту на сумму более $52 млн. Одновременно ускорился вывод активов, и, по сообщениям, конкурирующие торговые платформы начали ограничивать доступ продавцам, занимающимся отмыванием.

Вышеуказанное дело и упомянутая ZachXBT заморозка 442 000 USDT, связанная с северокорейскими хакерами, — два независимых события. Открытые отчёты не могут подтвердить, связаны ли они с одними и теми же адресами, лицами или средствами.

Однако оба случая подтверждают одно: преступные группы в значительной степени зависят от финансовых посредников. Даже после завершения первоначальной кражи посреднические услуги оставляют окно для регуляторного вмешательства.

Если эмитент токена способен замораживать активы, риск концентрируется в остатках на идентифицируемых адресах. Если платформа обслуживает несколько преступных групп, её уязвимости включают инфраструктуру, сеть продавцов и расчётные механизмы.

Оба пути повышают издержки и риски перемещения и использования незаконных средств.

Посредников, организующих сделки, заменить труднее

Прорыв расследования ZachXBT в том, что оно доказало: установление клиентских отношений через платную тайную работу может раскрыть личности тех, кто организует сделки.

Посредники, долгое время работающие с украденной криптовалютой, накапливают репутацию в своих кругах, отбирают постоянных торговых партнёров и знают, какие сервисы могут завершить сделку, не блокируя незаконные средства.

Эти связи со временем делают преступную деятельность более эффективной, особенно когда клиенту нужно провести крупный перевод, не раскрывая личность или опасаясь, что контрагент скроется с деньгами.

Однако после ликвидации существующего поставщика услуг такую сеть сотрудничества трудно быстро восстановить. Альтернативные поставщики часто берут более высокие комиссии, отказываются от подозрительных средств или не обладают стабильностью бизнеса.

Эта зависимость также даёт следствию новый источник информации. Поставщики услуг могут раскрыть планы будущих сделок, других участников и платёжную инфраструктуру, необходимую для выполнения заказов.

Следователям по-прежнему необходимо проверять разведданные в сочетании с ончейн-записями и другими доказательствами. Адрес, получивший средства, связанные с кражей, не означает, что получатель знал о происхождении средств или субъективно участвовал в преступлении.

Однако сопоставление частных чатов с последующими потоками средств в блокчейне может снизить неопределённость информации, чего невозможно достичь простым отслеживанием транзакций.

Всё больше правоприменительных примеров показывают, что для снижения привлекательности нелегальных финансовых услуг недостаточно периодически закрывать сайты. Клиентская база и мотив прибыли, порождающие такой бизнес, переживут существование серверов сайта.

Однако арест активов, перекрытие финансовых каналов, судебное преследование поставщиков услуг и выявление контролирующих расчёты лиц могут изменить соотношение затрат и выгод преступного поведения. Просто у разных поставщиков услуг разные пороги риска, который они готовы принять.

Это также объясняет, почему общая сумма украденной криптовалюты не равна средствам, которые преступники успешно обналичили и могут свободно использовать; и нельзя напрямую делать вывод, что эти средства были направлены на конкретные военные или государственные расходы.

Первоначальная сумма кражи, сумма, прошедшая через адреса посредников, сумма, успешно конвертированная в реальную покупательную способность, и сумма, в конечном итоге возвращённая правоохранительными органами, — это четыре независимых статистических показателя, каждый из которых требует отдельного доказательства.

Для северокорейских хакеров даже успешный взлом и зависимость от услуг отмывания могут нести последующие риски. Получение украденных активов не означает, что кто-то захочет их принять, обменять и в итоге потратить.

Тайная операция ZachXBT показывает, что эта потребность в обналичивании может превратить клиентские отношения в прорыв для расследования. Удары США по Huione и Xinbi также доказывают, что даже если преступные клиенты постоянно меняют базы, сами серые поставщики услуг могут стать целями правоохранительных действий.

Ключевая слабость преступной деятельности в том, что украсть криптовалюту и реально использовать её — две совершенно разные вещи. Последнее по-прежнему зависит от деловых партнёрств, а у всех участников есть активы, репутация и экономические интересы, которые нужно защищать.

Если северокорейские хакеры хотят превратить незаконные средства в деньги, которыми можно распоряжаться, им придётся снова войти в сеть личных отношений, требующих доверия; при этом посредники, предоставляющие услуги, также должны нести риск финансовых потерь.