เบื้องหลังการโจรกรรมคริปโต 1.5 หมื่นล้านดอลลาร์: นักสืบออนเชนไขเครือข่ายฟอกเงินแฮกเกอร์เกาหลีเหนือ

ชื่อเรื่องต้นฉบับ: การขโมยคริปโต 1.5 พันล้านดอลลาร์เป็นเรื่องง่าย การแปลงเป็นเงินสดต่างหากคือกับดัก

ผู้เขียนต้นฉบับ: Andjela Radmilac

ผู้แปลและเรียบเรียงต้นฉบับ: Saoirse, Foresight News

ในเดือนกุมภาพันธ์ 2025 แฮกเกอร์เกาหลีเหนือขโมยคริปโตเคอร์เรนซีมูลค่าประมาณ 1.5 พันล้านดอลลาร์จาก Bybit แม้ว่าเหตุการณ์แฮกครั้งนี้จะถูกรายงานและวิเคราะห์อย่างกว้างขวาง แต่พัฒนาการหลังจากนั้นและเส้นทางของเงินที่ถูกขโมยกลับได้รับความสนใจน้อยมาก

เพื่อย้ายเงินผิดกฎหมายจำนวนมหาศาลนี้ แฮกเกอร์ต้องพึ่งพาเครือข่ายบุคคลทั้งหมดที่ยินดีจัดการกับสินทรัพย์ที่ถูกขโมย ตราบใดที่ทุ่มเงินมากพอ ความสัมพันธ์ในเครือข่ายนี้ก็อาจถูกแทรกซึมได้

นักสืบบล็อกเชนที่ใช้นามแฝงว่า ZachXBT ใช้แนวทางนี้ เขานำเงิน 349,700 USDC ออกมา ปลอมตัวเป็นลูกค้าของเครือข่ายฟอกเงินจีนที่ยินดีรับการขาดทุน 5% ต่อธุรกรรม สุดท้ายเขาได้เบาะแสสำคัญและติดตามเงินกว่า 12 ล้านดอลลาร์ที่เกี่ยวข้องกับการโจรกรรม Bybit ได้ และเขาระบุว่าข้อมูลนี้ช่วยให้ Tether อายัด USDT จำนวน 442,000 เหรียญ

การสืบสวนของเขาเปิดโปงเครือข่ายฟอกเงิน ซึ่งเขาประเมินว่าเครือข่ายนี้ฟอกเงินจากการโจรกรรมคริปโตของกลุ่ม Lazarus Group เกาหลีเหนือมากกว่า 1 พันล้านดอลลาร์ รวมถึงรายได้จากการโจมตี Bybit

การสืบสวนนี้ชี้ไปยังตลาดมืดบริการการเงินผิดกฎหมายขนาดใหญ่ ซึ่งทางการสหรัฐฯ ปราบปรามกิจกรรมประเภทนี้มาตลอดสองปีที่ผ่านมา

ในเดือนกันยายนปีเดียวกัน กระทรวงการคลังสหรัฐฯ คว่ำบาตร Xinbi Guarantee โดยระบุว่าตั้งแต่ปี 2022 แพลตฟอร์มซื้อขายนี้ประมวลผลธุรกรรมสินทรัพย์ดิจิทัลและเงินเฟียตผ่านระบบมากกว่า 24,000 ล้านดอลลาร์สหรัฐ และแฮกเกอร์เกาหลีเหนือก็เป็นหนึ่งในหน่วยงานผิดกฎหมายที่ใช้บริการ

กระทรวงการคลังยังกล่าวถึงว่า หลังจาก Huione Group ถูกคว่ำบาตร อาชญากรหันไปใช้ Xinbi Guarantee เพื่อดำเนินกิจกรรมผิดกฎหมายต่อไป นี่แสดงให้เห็นว่าการปิดแพลตฟอร์มซื้อขายเพียงแห่งเดียวไม่สามารถขจัดเครือข่ายและอุปสงค์อาชญากรรมเบื้องหลังได้

น่าเหลือเชื่อที่การเจาะระบบกระดานแลกเปลี่ยนและขโมยเงินเป็นเพียงขั้นตอนที่ค่อนข้างง่ายในห่วงโซ่อาชญากรรมทั้งหมด ความท้าทายที่แท้จริงคือการแปลงคริปโตที่ถูกขโมยเป็นเงินเฟียตหรือสินทรัพย์อื่นที่มีอำนาจซื้อจริง

เพื่อแปลงเป็นเงินสด แฮกเกอร์ต้องพึ่งพาบริการชำระเงินและเครือข่ายสีเทาต่างๆ ซึ่งเปิดช่องให้ผู้สืบสวนและหน่วยงานกำกับดูแลเข้ามาแทรกแซง

ทุ่ม 349,700 USDC เป็น "ลูกค้านอกเครื่องแบบ"

เมื่อวันที่ 26 กุมภาพันธ์ 2025 สำนักงานสอบสวนกลางสหรัฐฯ (FBI) ยืนยันว่าการโจรกรรม Bybit เป็นฝีมือแฮกเกอร์เกาหลีเหนือรหัส TraderTraitor และออกคำเตือนว่าสินทรัพย์ที่ถูกขโมยกำลังถูกแปลงเป็นบิตคอยน์และคริปโตอื่นๆ แล้วกระจายไปยังที่อยู่บล็อกเชนหลายพันแห่ง

แม้ตัวตนของแฮกเกอร์จะถูกระบุได้อย่างรวดเร็ว แต่การค้นหาตัวกลางที่จัดการเงินที่ถูกขโมยยังต้องใช้การสืบสวนอย่างหนัก

ZachXBT ระบุว่าเขาพบบัญชีมากกว่า 15 บัญชีในกลุ่มสาธารณะของ Telegram และ Discord ที่ทำธุรกรรมเกี่ยวข้องกับเงินที่ถูกขโมยจาก Bybit นั่นหมายความว่าอย่างน้อยในบางขั้นตอนของการฟอกเงิน ตัวกลางเปิดรับงานและอำนวยความสะดวกในการทำธุรกรรมอย่างเปิดเผย

เขาติดต่อบัญชีเหล่านี้หลายบัญชี และสุดท้ายได้ติดต่อกับผู้ติดต่อใน Telegram ที่ใช้ชื่อเล่นว่า Jimmy Green ซึ่งอ้างว่าช่วยโอนคริปโตข้ามเชนได้

ZachXBT ระบุว่าเมื่อวันที่ 6 มีนาคม 2025 เขาโอน 349,700 USDC ไปยังที่อยู่อีเธอเรียมใหม่ และใช้ผู้ติดต่อนี้แลก USDC บนเชนอีเธอเรียมเป็น USDT บนเชน Tron เพื่อสร้างตัวตนลูกค้าที่สมจริง เขายอมรับอัตราแลกเปลี่ยนที่เสียเปรียบกว่า

เงิน 349,700 USDC นี้เป็นเงินทุนสำหรับการทำธุรกรรม ไม่ใช่การขาดทุนสุทธิของการสืบสวน เขายินดีรับการขาดทุน 5% ต่อธุรกรรมเพื่อแลกกับข้อมูลข่าวกรองที่การวิเคราะห์ออนเชนทั่วไปไม่สามารถให้ได้

ธุรกรรมประเภทนี้ก็มีความเสี่ยงเช่นกัน: ตัวกลางอาจยักยอกเงินและหลบหนี

ตัวกลางที่แฮกเกอร์พึ่งพาก็อาจไม่น่าไว้วางใจและยักยอกเงินที่ถูกขโมย เมื่อไม่มีมาตรการคุ้มครองทางธุรกิจที่บังคับใช้ได้ ชื่อเสียงและความสัมพันธ์ส่วนตัวในเครือข่ายจึงเป็นแกนหลักในการรักษาความร่วมมือนี้

นี่เป็นช่องทางให้ ZachXBT แทรกซึม: สำหรับผู้ให้บริการ ลูกค้าที่ยินดีทำธุรกรรมซ้ำๆ มีมูลค่าสูงกว่า

ด้วยความสัมพันธ์นอกเครื่องแบบนี้ ข้อมูลที่เขาได้รับจึงไม่จำกัดอยู่แค่ที่อยู่กระเป๋าเงิน ตัวกลางจะหารือแผนการโอนเงินกับเขาก่อนทำธุรกรรม ZachXBT จึงสามารถตรวจสอบไขว้การสื่อสารส่วนตัวกับบันทึกธุรกรรมที่เก็บไว้บนบล็อกเชนสาธารณะได้

ครั้งหนึ่ง ก่อนธุรกรรมจะเกิดขึ้น ตัวกลางคนหนึ่งหารือกับเขาเรื่องการโอนเงินไปยังเชน Solana บันทึกธุรกรรมอื่นๆ และเบาะแสความเชื่อมโยงของกระเป๋าเงิน เชื่อว่าช่วยให้เขาล็อกเป้ากลุ่มสินทรัพย์ที่เกี่ยวข้องกับการโจรกรรม Bybit ได้

นี่คือจุดเปลี่ยนสำคัญของการสืบสวน: ข้อมูลออนเชนบันทึกได้เพียงพฤติกรรมการทำธุรกรรม แต่ไม่สามารถยืนยันผู้กระทำและแรงจูงใจที่แท้จริงเบื้องหลังธุรกรรมได้ บันทึกการสื่อสารส่วนตัวระหว่างทั้งสองฝ่ายเป็นหลักฐานแกนกลางในการระบุผู้ควบคุมเงินและชี้แจงวัตถุประสงค์การใช้เงิน

แม้ข้อสรุปการสืบสวนของ ZachXBT จะไม่ตรงกับบันทึกทางการของ FBI อย่างสมบูรณ์ แต่นี่ก็ยังเป็นหนึ่งในปฏิบัติการสืบสวนที่สำคัญที่สุดในช่วงไม่กี่ปีที่ผ่านมา มันพิสูจน์ว่างานที่ข้อมูลบล็อกเชนเพียงอย่างเดียวทำไม่ได้ สามารถยืนยันได้ด้วยความสัมพันธ์ส่วนตัวและการติดต่อทางธุรกิจ และวิธีการคล้ายกันนี้อาจใช้ได้กับการสืบสวนการโจรกรรมคริปโตอื่นๆ

ติดตามพบ 12 ล้านดอลลาร์ ≠ ยึดคืนได้ 12 ล้านดอลลาร์

ZachXBT ระบุว่าผ่านการติดต่อกับ Jimmy Green เขาระบุกลุ่มเงินที่เกี่ยวข้องกับ Bybit ซึ่งกระจายอยู่บนบล็อกเชนสาธารณะหลายแห่ง รวมมูลค่ากว่า 12 ล้านดอลลาร์

เขายังเปิดเผยว่า Tether อายัด USDT จำนวน 442,000 เหรียญที่เกี่ยวข้องกับคดีแฮกเกอร์เกาหลีเหนือในเวลาต่อมา นี่แสดงให้เห็นว่าเมื่อเงินที่ถูกขโมยยังอยู่ในโทเคนที่ผู้ออกควบคุมได้ เช่น USDT และ USDC การระบุสินทรัพย์ที่ถูกขโมยอย่างรวดเร็วมีความสำคัญอย่างยิ่งต่อการกู้คืนความเสียหาย

จำเป็นต้องแยกแยะข้อมูลสองชุด: การติดตามพบ 12 ล้านดอลลาร์ไม่ได้หมายความว่าเงินทั้งหมดถูกอายัด และการอายัด 442,000 USDT ก็ไม่เท่ากับว่าโทเคนเหล่านี้ถูกยึดและคืนให้ Bybit

ตัวเลข 442,000 USDT และความเชื่อมโยงระหว่างการอายัดครั้งนี้กับการสืบสวน มาจากคำกล่าวส่วนตัวของ ZachXBT ส่วน Tether ก็เคยประกาศการอายัดครั้งใหญ่ที่เกี่ยวข้องกับการโจรกรรม Bybit เช่นกัน

ระหว่างการค้นพบคริปโตที่ถูกขโมย การหาตัวกลางที่เกี่ยวข้อง และการได้มาซึ่งการควบคุมทางกฎหมายหรือทางเทคนิคเหนือเงินที่ถูกขโมย มีช่องว่างขนาดมหึมา

บล็อกเชนสาธารณะไม่สามารถหยุดสินทรัพย์ไม่ให้ถูกโอนย้ายอีกครั้งได้ เมื่อเงินไหลผ่านแพลตฟอร์มบริการที่ไม่ยอมให้ความร่วมมือในการสืบสวนหรืออยู่นอกเขตอำนาจศาล สถานการณ์ก็ยิ่งซับซ้อนขึ้น

สเตเบิลคอยน์ที่ออกโดยหน่วยงานกลางเปิดช่องให้หน่วยงานกำกับดูแลเข้ามาแทรกแซง: ผู้ออกมีสิทธิ์จัดการและจำกัดการโอนไปยังที่อยู่เฉพาะได้ บิตคอยน์ดั้งเดิมไม่มีกลไกอายัดจากผู้ออก อย่างไรก็ตาม เมื่อทางการได้รับอำนาจทางกฎหมาย ก็ยังสามารถยึดบิตคอยน์ที่ผู้ดูแลถืออยู่ หรือควบคุมคีย์ส่วนตัวที่เกี่ยวข้องได้

นั่นหมายความว่าการสืบสวนไม่เพียงต้องติดตามอย่างแม่นยำ แต่เงินที่ระบุได้ยังต้องอยู่ในเขตอำนาจของหน่วยงานที่มีความสามารถทางเทคนิคและอำนาจบังคับใช้กฎหมาย

ในกระบวนการกู้คืนสินทรัพย์ของ Bybit คำสั่งห้ามของศาลประกอบกับความร่วมมือจากตัวกลางทางการเงินสามารถจำกัดการเคลื่อนย้ายสินทรัพย์ได้นานหลังจากการโจรกรรม แต่ไม่สามารถรับประกันการกู้คืนเต็มจำนวน

ปัญหาคือคริปโตที่ถูกขโมยจะถูกแบ่งแยกและหมุนเวียนไปมาระหว่างกระเป๋าเงิน บล็อกเชนสาธารณะ ผู้ดูแล และคู่สัญญาต่างๆ อย่างต่อเนื่อง ทุกครั้งที่เงินไหลผ่านแพลตฟอร์มใหม่ ฝ่ายกู้คืนมักต้องรวบรวมหลักฐานใหม่และเริ่มกระบวนการทางกฎหมายรอบใหม่

นี่คือเหตุผลที่ผู้สืบสวนเห็นเส้นทางเงิน แต่ไม่สามารถหยุดการโอนครั้งต่อไปหรือกู้คืนเงินที่ถูกขโมยได้

ปฏิบัติการฟอกเงินคริปโต 4 พันล้านดอลลาร์

การใช้ตัวกลางภายนอกฟอกเงินไม่ใช่เรื่องเฉพาะของการโจรกรรม Bybit บันทึกการบังคับใช้กฎหมายของสหรัฐฯ แสดงให้เห็นว่าทางการสืบสวนธุรกิจสีเทาต่างๆ มานานแล้ว ซึ่งธุรกิจเหล่านี้เชี่ยวชาญการแปลงคริปโตที่ถูกขโมยเป็นสินทรัพย์ที่อาชญากรใช้ได้จริง

ในเดือนมีนาคม 2020 กระทรวงยุติธรรมสหรัฐฯ ฟ้องชาวจีนสองคนคือ Tian Yinyin และ Li Jiadong ในข้อหาฟอกเงินคริปโตกว่า 100 ล้านดอลลาร์ ซึ่งส่วนใหญ่มาจากการแฮกกระดานเทรด

ข้อกล่าวหาเหล่านี้แสดงให้เห็นว่าแม้ไม่ได้ลงมือแฮกเอง ตัวกลางก็ยังมีบทบาทแกนกลางในห่วงโซ่อาชญากรรมทั้งหมด

ประกาศคว่ำบาตรของกระทรวงการคลังยังเปิดเผยว่า Tian Yinyin เคยแลกบิตคอยน์มูลค่าเกือบ 1.4 ล้านดอลลาร์เป็นบัตรของขวัญเติมเงิน Apple iTunes นี่แสดงให้เห็นว่าปลายทางของห่วงโซ่ฟอกเงินไม่จำเป็นต้องเกี่ยวข้องกับบริการการเงินข้ามชาติที่ซับซ้อน บัตรเติมเงินค้าปลีกธรรมดาก็อาจถูกใช้ประโยชน์ได้

อุปสงค์การแปลงเป็นเงินสดแบบเดียวกันนี้ดำเนินการในระดับที่ใหญ่กว่าบนแพลตฟอร์มที่ส่งเสริมธุรกรรมระหว่างอาชญากรกับผู้ให้บริการชำระเงิน แลกเปลี่ยน และโอนเงิน

ในเดือนพฤษภาคม 2025 เครือข่ายปราบปรามอาชญากรรมทางการเงิน (FinCEN) ของกระทรวงการคลังสหรัฐฯ กำหนดให้ Huione Group ซึ่งมีฐานในกัมพูชาเป็นสถาบันการเงินฟอกเงินรายใหญ่ การสืบสวนพบว่าตั้งแต่เดือนสิงหาคม 2021 ถึงมกราคม 2025 กลุ่มนี้ฟอกเงินรายได้ผิดกฎหมายอย่างน้อย 4,000 ล้านดอลลาร์สหรัฐ

ในจำนวนนี้ FinCEN ยืนยันว่ามีคริปโตอย่างน้อย 37 ล้านดอลลาร์สหรัฐมาจากการโจรกรรมทางไซเบอร์ของเกาหลีเหนือ ส่วนเงินผิดกฎหมายที่เหลือมาจากการฉ้อโกงการลงทุนและการฉ้อโกงทางไซเบอร์ต่างๆ

ตัวเลข 4,000 ล้านดอลลาร์สหรัฐหมายถึงยอดรวมที่เกี่ยวข้องกับกิจกรรมอาชญากรรมทั้งหมดข้างต้น ส่วน 37 ล้านดอลลาร์สหรัฐเป็นประมาณการขั้นต่ำของเงินที่เกี่ยวข้องกับเกาหลีเหนือซึ่งหน่วยงานตรวจสอบยืนยันได้

รายงานประเมินของ FinCEN ระบุว่ากลไกป้องกันการฟอกเงินและกลไกยืนยันตัวตนลูกค้าของกลุ่มนี้มีช่องโหว่ร้ายแรง การขาดการยืนยันตัวตนทำให้บริษัทย่อยของกลุ่มสามารถรับเงินจากแฮกเกอร์เกาหลีเหนือโดยอ้อม

ความสำคัญของการสืบสวนนี้ไม่จำกัดอยู่แค่ธุรกรรมเดียว หากตัวกลางรายหนึ่งสามารถให้ช่องทางการชำระเงินได้อย่างต่อเนื่อง มันจะกลายเป็นโครงสร้างพื้นฐานอาชญากรรมที่องค์กรอาชญากรรมหลายแห่งใช้ร่วมกัน ทำให้แต่ละกลุ่มไม่ต้องสร้างช่องทางแปลงเป็นเงินสดเอง

การกระจุกตัวของเงินจำนวนมากบนแพลตฟอร์มประเภทนี้ยังทำให้พวกมันตกเป็นเป้าหมายของการบังคับใช้กฎหมาย เช่น การคว่ำบาตร การยึดทรัพย์สิน และการตัดความร่วมมือกับธนาคาร

แพลตฟอร์มซื้อขายของ Huione Group ประมวลผลธุรกรรมและกิจกรรมผิดกฎหมายจำนวนมหาศาล แม้ Telegram จะปิดกั้นช่องทางบางส่วนของเครือข่ายนี้ ผู้ดำเนินการแพลตฟอร์มก็ยังพยายามรักษาการดำเนินธุรกิจ

ปริมาณธุรกรรมรวมของแพลตฟอร์มกับรายได้ผิดกฎหมายที่ FinCEN ตรวจสอบยืนยัน มีมาตรฐานการนับที่ไม่เหมือนกัน ไม่ใช่เงินทั้งหมดที่ไหลผ่านแพลตฟอร์มจะระบุได้โดยตรงว่าเป็นรายได้อาชญากรรมที่ยืนยันแล้ว

ปิดแพลตฟอร์มอาชญากรรมได้ แต่ลูกค้าอาชญากรยังคงอยู่

ความท้าทายคือ แม้โครงสร้างพื้นฐานของแพลตฟอร์มซื้อขายผิดกฎหมายจะถูกทำลาย ตราบใดที่อาชญากรยังเข้าถึงผู้ให้บริการทางเลือกอื่นได้ อุปสงค์อาชญากรรมที่ก่อให้เกิดธุรกิจประเภทนี้ก็จะไม่หายไป

ในเดือนมิถุนายน 2026 กระทรวงยุติธรรมสหรัฐฯ ประกาศยึดแบ็กเอนด์เซิร์ฟเวอร์คลาวด์ที่บริษัทย่อยของ Huione Group ใช้ รายงานระบุว่าเซิร์ฟเวอร์เหล่านี้ถูกใช้เพื่อโอนรายได้จากการฉ้อโกง อาชญากรรมไซเบอร์ และกิจกรรมผิดกฎหมายอื่นๆ

ปฏิบัติการนี้เกิดขึ้นหลังจากที่สหรัฐฯ ใช้มาตรการจำกัดกลุ่มนี้ก่อนหน้านี้ โดยมุ่งเป้าไปที่สิ่งอำนวยความสะดวกทางเทคนิคที่สนับสนุนการโอนเงินผิดกฎหมายและการปกปิดสินทรัพย์

อย่างไรก็ตาม การทำลายโครงสร้างพื้นฐานไม่ได้ตัดความเชื่อมโยงระหว่างลูกค้าอาชญากรกับตัวกลางรับงานโดยอัตโนมัติ

เมื่อวันที่ 9 กันยายน ประกาศคว่ำบาตรของกระทรวงการคลังเผยให้เห็นข้อจำกัดนี้อย่างชัดเจน: ทางการคว่ำบาตร Xinbi Guarantee ซึ่งเป็นตลาดซื้อขายผิดกฎหมายที่ทำหน้าที่เชื่อมโยงองค์กรอาชญากรรมกับผู้ค้าที่ให้บริการการเงิน เทคโนโลยี และทรัพยากรอื่นๆ

กระทรวงการคลังระบุว่าตั้งแต่ประมาณปี 2022 Xinbi ประมวลผลธุรกรรมสินทรัพย์ดิจิทัลและเงินเฟียตรวมกว่า 24,000 ล้านดอลลาร์สหรัฐ โดยมุ่งเป้าไปที่ตลาดเอเชียตะวันออกเฉียงใต้เป็นหลัก

ขนาดที่ใหญ่โตเช่นนี้ทำให้แพลตฟอร์มนี้เป็นเป้าหมายสำคัญของการบังคับใช้กฎหมายต่อโครงสร้างพื้นฐานทางการเงินขององค์กรอาชญากรรม

กระทรวงการคลังยังกล่าวถึงว่า หลังจาก FinCEN ปราบปราม Huione อาชญากรไซเบอร์ย้ายธุรกิจไปยัง Xinbi เพื่อรักษากิจกรรม แพลตฟอร์มใหม่นี้ให้บริการเกือบเหมือนกันแก่ลูกค้ากลุ่มเดิม

หน่วยงานกำกับดูแลวาดภาพระบบนิเวศสีเทาที่ขับเคลื่อนด้วยตลาด: เมื่อช่องทางเดิมไม่น่าเชื่อถือเนื่องจากการบังคับใช้กฎหมาย ผู้เกี่ยวข้องก็จะมองหาผู้ให้บริการรายต่อไป

ระหว่างการปราบปราม Huione Telegram ลบช่องหลายพันช่องที่เกี่ยวข้องกับ Huione Guarantee ผู้ค้าที่เกี่ยวข้องหลั่งไหลไปยังแพลตฟอร์มซื้อขายทางเลือกอื่นๆ

ดังนั้น ประสิทธิผลของการปราบปรามจึงไม่สามารถวัดได้จากจำนวนเว็บไซต์ บัญชี หรือเซิร์ฟเวอร์ที่ถูกปิดเพียงอย่างเดียว ตราบใดที่ลูกค้าอาชญากรยังมีความต้องการบริการการเงินผิดกฎหมาย พวกเขาก็จะหาทางพบผู้ให้บริการที่ยังดำเนินการอยู่และสร้างช่องทางเงินขึ้นใหม่

แน่นอนว่า การบังคับใช้กฎหมายยังเพิ่มต้นทุนอาชญากรรม เช่น การอายัดสินทรัพย์ การชำระเงินล้มเหลว และการหายไปของคู่สัญญาที่คุ้นเคย แต่ตราบใดที่กิจกรรมอาชญากรรมยังทำกำไรได้ แรงจูงใจทางเศรษฐกิจในการโอนเงินผิดกฎหมายก็จะคงอยู่ตลอดไป

หน่วยงานบังคับใช้กฎหมายเผชิญกับภาวะกลืนไม่เข้าคายไม่ออกที่ต้องเพิ่มต้นทุนอาชญากรรมและลดเสถียรภาพทางธุรกิจอย่างต่อเนื่องทั่วทั้งเครือข่ายผู้ให้บริการทางเลือก

การอายัดของ Tether บีบให้เครือข่ายฟอกเงินคริปโตหันไปใช้เครื่องมือชำระเงินอื่น

การบังคับใช้กฎหมายต่อ Xinbi Guarantee แสดงให้เห็นว่าข้อจำกัดทางการเงินสามารถรบกวนกิจกรรมอาชญากรรมได้ แต่ก็อาจบีบให้กลุ่มอาชญากรเปลี่ยนช่องทางการชำระเงิน

Tether ดำเนินการอายัดหลายครั้ง โดยอายัด USDT รวมกว่า 45 ล้านดอลลาร์สหรัฐในกระเป๋าเงินอย่างน้อย 22 ใบที่เกี่ยวข้องกับ Xinbi

ต่อมา แพลตฟอร์มซื้อขายแจ้งผู้ใช้ว่าจะเปลี่ยนไปใช้ USDD ซึ่งเป็นสเตเบิลคอยน์ที่ไม่มีสิทธิ์อายัดที่อยู่เหมือน USDT

นี่คือการเปลี่ยนแปลงสำคัญ: เมื่อเงินที่เกี่ยวข้องยังอยู่ภายใต้การควบคุมของผู้ออก ฟังก์ชันอายัดโทเคนมีค่าอย่างยิ่งต่อผู้สืบสวน ส่วนลูกค้าอาชญากรที่พยายามหลบเลี่ยงการกำกับดูแลก็จะเลือกสินทรัพย์ที่มีกลไกควบคุมต่างออกไป

สถานการณ์นี้แสดงให้เห็นว่าเมื่อจุดใดจุดหนึ่งในระบบชำระเงินถูกจำกัด ธุรกรรมก็จะไหลไปยังช่องทางอื่น ผู้สืบสวนต้องติดตามการไหลของสินทรัพย์และสืบสวนผู้ให้บริการที่จัดหาช่องทางเหล่านี้

ในปฏิบัติการปราบปรามเดือนกันยายน ทางการยังยึดคริปโตมูลค่ากว่า 52 ล้านดอลลาร์สหรัฐจากโครงสร้างพื้นฐานที่เกี่ยวข้องกับ Xinbi ขณะเดียวกัน การถอนสินทรัพย์ก็เร่งตัวขึ้น และมีรายงานว่าแพลตฟอร์มคู่แข่งเริ่มจำกัดไม่ให้ผู้ค้าฟอกเงินเข้าร่วม

คดีข้างต้นกับการอายัด 442,000 USDT ที่ ZachXBT กล่าวถึงว่าเกี่ยวข้องกับแฮกเกอร์เกาหลีเหนือ เป็นสองเหตุการณ์ที่แยกจากกัน รายงานสาธารณะไม่สามารถยืนยันได้ว่าทั้งสองเกี่ยวข้องกับที่อยู่ บุคคล หรือเงินเดียวกันหรือไม่

อย่างไรก็ตาม ทั้งสองกรณียืนยันจุดหนึ่ง: กลุ่มอาชญากรพึ่งพาตัวกลางทางการเงินอย่างมาก แม้การโจรกรรมครั้งแรกจะเสร็จสิ้นแล้ว บริการตัวกลางก็ยังเปิดช่องให้หน่วยงานกำกับดูแลเข้ามาแทรกแซง

หากผู้ออกโทเคนมีความสามารถในการอายัดสินทรัพย์ ความเสี่ยงก็จะกระจุกตัวอยู่ในยอดคงเหลือของที่อยู่ที่ระบุได้ หากแพลตฟอร์มหนึ่งให้บริการกลุ่มอาชญากรหลายกลุ่ม ช่องโหว่ของมันก็รวมถึงโครงสร้างพื้นฐาน เครือข่ายผู้ค้า และข้อตกลงการชำระเงิน

ทั้งสองเส้นทางนี้เพิ่มต้นทุนและความเสี่ยงในการโอนและใช้เงินผิดกฎหมาย

ตัวกลางที่อำนวยความสะดวกในการทำธุรกรรมยากที่จะถูกแทนที่

ความสำเร็จของการสืบสวนของ ZachXBT อยู่ที่การพิสูจน์ว่า การสร้างความสัมพันธ์ลูกค้าด้วยการจ่ายเงินนอกเครื่องแบบสามารถเปิดโปงตัวตนของผู้รับผิดชอบในการจัดการธุรกรรมได้

ตัวกลางที่จัดการคริปโตที่ถูกขโมยมาเป็นเวลานานสั่งสมชื่อเสียงในวงการ คัดกรองคู่ค้าประจำ และรู้ว่าบริการใดสามารถทำธุรกรรมให้เสร็จสิ้นได้โดยไม่สกัดกั้นเงินผิดกฎหมาย

ความสัมพันธ์เหล่านี้ทำให้กิจกรรมอาชญากรรมมีประสิทธิภาพมากขึ้นเมื่อเวลาผ่านไป โดยเฉพาะเมื่อลูกค้าต้องการโอนเงินจำนวนมากโดยไม่ต้องการเปิดเผยตัวตนหรือกังวลว่าคู่สัญญาจะเชิดเงินหนี

อย่างไรก็ตาม เมื่อผู้ให้บริการรายเดิมถูกปราบปราม เครือข่ายความร่วมมือแบบนี้ก็ยากที่จะสร้างขึ้นใหม่ได้อย่างรวดเร็ว ผู้ให้บริการทางเลือกมักคิดค่าธรรมเนียมสูงกว่า ปฏิเสธเงินต้องสงสัย หรือขาดเสถียรภาพทางธุรกิจ

การพึ่งพาแบบนี้ยังเป็นแหล่งข่าวกรองใหม่สำหรับการสืบสวน ผู้ให้บริการอาจเปิดเผยแผนการทำธุรกรรมในอนาคต ผู้เกี่ยวข้องรายอื่น และโครงสร้างพื้นฐานการชำระเงินที่จำเป็นต่อการทำคำสั่งซื้อให้สำเร็จ

ผู้สืบสวนยังต้องตรวจสอบข่าวกรองกับบันทึกออนเชนและหลักฐานอื่นๆ ที่อยู่ที่ได้รับเงินเกี่ยวข้องกับการโจรกรรม ไม่ได้หมายความว่าผู้รับรู้เห็นหรือมีส่วนร่วมในอาชญากรรมโดยเจตนา

อย่างไรก็ตาม การตรวจสอบไขว้บันทึกแชตส่วนตัวกับกระแสเงินบล็อกเชนที่ตามมา สามารถลดความไม่แน่นอนของข้อมูลได้ ซึ่งการติดตามกระแสธุรกรรมเพียงอย่างเดียวทำไม่ได้

คดีบังคับใช้กฎหมายจำนวนมากขึ้นแสดงให้เห็นว่า การปิดเว็บไซต์เป็นระยะเพียงอย่างเดียวไม่เพียงพอที่จะลดความน่าดึงดูดของบริการการเงินผิดกฎหมาย ฐานลูกค้าและแรงจูงใจด้านกำไรที่ก่อให้เกิดธุรกิจประเภทนี้จะคงอยู่ยาวนานกว่าการมีอยู่ของเซิร์ฟเวอร์เว็บไซต์

อย่างไรก็ตาม การยึดสินทรัพย์ การตัดช่องทางการเงิน การดำเนินคดีผู้ให้บริการ และการควบคุมผู้ควบคุมการชำระเงิน สามารถเปลี่ยนอัตราส่วนต้นทุนต่อผลประโยชน์ของพฤติกรรมอาชญากรรมได้ เพียงแต่ผู้ให้บริการแต่ละรายมีเกณฑ์ความเสี่ยงที่ยอมรับได้ต่างกัน

นี่อธิบายว่าทำไมยอดรวมคริปโตที่ถูกขโมยจึงไม่เท่ากับเงินที่อาชญากรแปลงเป็นเงินสดสำเร็จและใช้จ่ายได้ และไม่สามารถอนุมานโดยตรงได้ว่าเงินเหล่านี้ถูกใช้เพื่อการใช้จ่ายทางทหารหรือของรัฐโดยเฉพาะ

จำนวนเงินที่ถูกขโมยครั้งแรก จำนวนเงินที่ไหลผ่านที่อยู่ตัวกลาง จำนวนเงินที่แปลงเป็นอำนาจซื้อจริงสำเร็จ และจำนวนเงินที่หน่วยงานบังคับใช้กฎหมายกู้คืนได้ในที่สุด เป็นมาตรฐานการนับสี่ชุดที่แยกจากกัน ซึ่งต้องพิสูจน์แยกกัน

สำหรับแฮกเกอร์เกาหลีเหนือ แม้การเจาะระบบจะสำเร็จ การพึ่งพาบริการฟอกเงินก็อาจนำมาซึ่งความเสี่ยงตามมา การได้สินทรัพย์ที่ถูกขโมยมา ไม่ได้หมายความว่าจะมีคนยินดีรับ แลกเปลี่ยน และใช้จ่ายมันในที่สุด

ปฏิบัติการนอกเครื่องแบบของ ZachXBT แสดงให้เห็นว่าอุปสงค์การแปลงเป็นเงินสดนี้สามารถเปลี่ยนความสัมพันธ์ลูกค้าให้เป็นจุดบุกทะลวงของการสืบสวนได้ การปราบปราม Huione และ Xinbi ของสหรัฐฯ ก็พิสูจน์ว่าแม้ลูกค้าอาชญากรจะย้ายฐานที่มั่นอยู่เรื่อยๆ ผู้ให้บริการสีเทาเองก็ยังตกเป็นเป้าหมายของการบังคับใช้กฎหมายได้

จุดอ่อนแกนกลางของพฤติกรรมอาชญากรรมคือ การขโมยคริปโตกับการใช้คริปโตจริงเป็นสองเรื่องที่แตกต่างกันอย่างสิ้นเชิง อย่างหลังยังต้องพึ่งพาความสัมพันธ์ทางธุรกิจ และผู้เกี่ยวข้องทุกคนมีสินทรัพย์ ชื่อเสียง และผลประโยชน์ทางเศรษฐกิจที่ต้องปกป้อง

หากแฮกเกอร์เกาหลีเหนือต้องการแปลงเงินผิดกฎหมายเป็นเงินที่ใช้จ่ายได้ พวกเขาก็ต้องก้าวเข้าสู่เครือข่ายความสัมพันธ์ที่ต้องอาศัยความไว้วางใจอีกครั้ง ขณะเดียวกัน ตัวกลางที่ให้บริการก็ต้องแบกรับความเสี่ยงต่อการสูญเสียทางการเงินด้วย