Слідуй за грошима: як викрадена криптовалюта зникає в ончейні

Дзвінок лунає о четвертій ранку, і людина на іншому кінці дроту дихає так, ніби не видихала вже дев'ять годин. Шість годин тому з мультисиг-гаманця біржі середнього розміру було виведено близько чотирьох мільйонів доларів у USDT, і той, хто підписав шахрайські транзакції — назвемо його М, — зараз сидить у орендованій квартирі із зачиненими вікнами та спостерігає за власним злочином через блокчейн-експлорер. Будь-хто, маючи браузер, може бачити кожну транзакцію, кожен переказ і кожен десятковий знак. Його дівчина могла б провести його аудит, його перукар міг би зробити те саме, і, що значно тривожніше, це міг би зробити псевдонімний інтернет-детектив, який уже розвалював команди куди професійніші за його власну.

Бачите, М не дурний. Він розібрався у смартконтракті, вразливістю якого скористався, він знав, який гарячий гаманець мав надлишкові повноваження, і він розрахував час виведення так, щоб потрапити на період, коли команда моніторингу біржі, найімовірніше, працювала в мінімальному складі. Чого він не передбачив — а це те, чого не усвідомлюють майже всі злодії-початківці, — так це того, що власне крадіжка грошей була найпростішою частиною. Між сімома адресами, які він використав, і нормальним життям стоїть система, яка існує виключно для того, щоб такі, як він, ніколи не пройшли далі.

Перша згадка про інцидент з'являється у соціальних мережах уже за дев'яносто хвилин; і надходить вона не від біржі — оскільки та все ще готує свої вибачення, — а від ончейн-дослідника з великою аудиторією, якому, схоже, взагалі не потрібен сон. Ця людина надає мітки адрес, проводить аналіз за часом і висуває правдоподібне пояснення атаки. М перечитує це двічі й сам розуміє, що чекає на нього в майбутньому. У нього немає зв'язків серед банкірів, і він не зможе полетіти в Дубай із телефоном, на якому встановлені гарячі гаманці. Усе, що йому потрібно, — це фахівець, і на світанку він уже зв'язується з таким.

Те, що в цьому треді турбує М більше за сам аналіз, — це те, що дослідник не просто тегнув біржу, а ще й мимохідь додав самі адреси. За старих часів під час пограбування банку минали тижні, перш ніж з'являвся фоторобот підозрюваного. У цьому ж випадку портрет було опубліковано ще до того, як сховище взагалі встигло зачинитися. Оскільки біржа панікувала й турбувалася про свій публічний імідж, вона з високою ймовірністю оголосить винагороду — частку від усього, що вдасться повернути, яку виплатять будь-кому, хто надасть інформацію, що приведе до заморожування коштів. Після зламу на мільярд доларів Bybit вчинила саме так, запропонувавши десять відсотків винагороди, що перетворило весь інтернет на уповноважену засідку. Тепер кожен мисливець за головами з ноутбуком має фінансовий стимул розпізнати гроші М раніше, ніж М устигне їх витратити. Його вкрадені мільйони не просто зробили його втікачем, а й перетворили на мішень безстрокового самофінансованого полювання, де плакат із написом «Розшукується» оновлюється в режимі реального часу.

Спеціаліст — себто фіксер — не займається зламами, і саме цей факт робить його настільки цінним. Результатом його роботи є не крадіжка, а забуття. Він береться вивести гроші з видимої економіки блокчейну, щоб потім вони знову з'явилися у простому вигляді: як фіатна валюта в юрисдикції, за якою ніхто не стежить, як консультаційний інвойс чи як бізнес із зовні легальним доходом. Його гонорар починається від десяти відсотків і зростає в міру того, як ситуація ускладнюється. І хоча М вважав, що десять відсотків — це грабіж, незабаром він зрозуміє, що насправді це лише найнижча ставка з того, що з ним збираються зробити.

Скляний блокчейн

Парадокс, який робить ніч М настільки довгою, полягає в наступному: крипта була представлена світу як технологія приватності, тоді як насправді це найбільш неприватний вид грошей, який коли-небудь винаходили. Готівка майже не залишає слідів — коли купюра переходить з рук у руки, вона забуває всіх людей, з якими контактувала. Блокчейн, натомість, пам'ятає все і назавжди зберігає запис про кожного, кого зустрічає, разом із часовими мітками. Псевдонімність — це не те саме, що анонімність; це анонімність із таймером, яка чекає на єдину мить необережності, щоб викрити людину.

Дослідники використовують невелику кількість невіддільних структурних вад, і їх важливо розуміти, оскільки саме вони пояснюють, чому відмивання грошей має бути настільки складним. Якщо дві адреси поповнюються в межах однієї транзакції, вони, найімовірніше, належать одному контролеру — це відомо як евристика спільної витрати (co-spend) і є на сьогодні найефективнішим правилом в ончейн-криміналістиці. Патерни, помітні в адресах для решти, розкривають звички: гаманець, який послідовно розбиває свої виходи в однакових дивних пропорціях раз за разом, по суті підписує власну поведінку. Той факт, що депозити на біржу вносяться о 3-й годині ночі за місцевим часом, показує часовий пояс людини так само чітко, як відбитки ніг показують тип взуття. Усе це можна зробити без необхідності мати судовий ордер; потрібне лише терпіння, оскільки реєстр фіксує кожну транзакцію.

Ось чому фіксер не може просто переказати гроші на новий гаманець і на цьому заспокоїтися. Нова адреса схожа на маскарадний костюм, а не на нову особистість. Кошти повинні розірвати всі ланцюжки логічних висновків — ті, що пов'язують крадіжку з першим кроком, ланцюжки, що з'єднують переходи між собою, і ланцюжки, що пов'язують ці переходи з конкретними людьми. Кожен із таких розривів потребує або грошей, або часу, або й того й іншого, а вся майстерність фіксера полягає в тому, щоб знати, які з цих розривів є тримальними.

М також випускає з уваги людський фактор. За блокчейном стежить не лише поліція, а й аматори, журналісти, групи постраждалих та мисливці за винагородами, і всі вони мають різні стандарти етики. Ба більше, найвідоміші з цих людей побудували собі кар'єру та здобули репутацію вартістю в мільйони доларів у плані суспільної довіри, виводячи на світло саме такі схеми, яку М зараз намагається купити. Фіксер це усвідомлює; частина його гонорару обумовлена тим, що за ним теж стежать і що його власна операційна безпека має витримувати перевірку від людей, які, якщо чесно, розбираються в цьому краще за його клієнта.

Перші сімдесят дві години

У цій грі таймінг має вирішальне значення, оскільки годинник абсолютно невблаганний. Доба після великої крадіжки — найнебезпечніший час для грошей, оскільки в якийсь момент їм доведеться контактувати з реальним світом. Біржі є основними вразливими точками: коли вкрадені монети потрапляють на кастодіальну платформу, вони опиняються в структурі, де є комплаєнс-офіцери, загроза судових повісток і сильна мотивація до співпраці, оскільки допомогти постраждалому значно дешевше, ніж опинитися зв'язаним зі злочином. Емітенти стейблкоїнів мають навіть ще пряміший варіант — функцію заморожування, яка вбудована безпосередньо в контракт токена. За ці роки Tether заморозила підозрілих USDT на сотні мільйонів доларів, іноді блокуючи кошти лише за кілька годин після повідомлення про злам.

Із самого початку мета відмивача полягає в тому, щоб вийти з контрольованої зони до того, як почнуть діяти накази про заморожування. Першим кроком має бути увага до будь-якої адреси, що містить токенізовані долари, оскільки емітент має дистанційну можливість змусити їх зникнути — тут не потрібні ні рішення суду, ні переговори, достатньо лише транзакції, яка зробить баланс неактивним незалежно від того, де він перебуває. Наступний пріоритет — піти з мереж, за якими аналітики стежать найретельніше, на ті, де є величезний обсяг торгів, а потім перейти в юрисдикції, де місцеві контрагенти вважають бюрократію чужою релігією. Що більша затримка, то менше залишиться можливостей для виходу.

Саме на цьому тлі вимальовується промисловий підхід до справи, і найсвіжішим прикладом тут є найбільша крадіжка криптовалюти в історії. У лютому 2025 року зловмисники, пов'язані з північнокорейською Lazarus Group, вивели з біржі Bybit приблизно півтора мільярда доларів — суму, яка, щойно її забрали, перестала бути просто пограбуванням і перетворилася на логістичну операцію. За лічені години гроші були розділені між тисячами нових адрес, конвертовані з Ethereum у Bitcoin за допомогою кросчейн-сервісів, спрямовані через миттєві обмінники без KYC (чиї власники пізніше чітко заявляли, що обробили лише незначну суму), а потім відправлені позабіржовим брокерам, чия бізнес-модель повністю побудована на відсутності запитань. Дослідники, включно з тими, хто залишається під псевдонімами, відстежували гроші в реальному часі, твіт за твітом, і це все одно спрацювало — здебільшого. Механізм заморожування Tether заблокував значну частину коштів, різні біржі конфіскували невеликі суми тут і там, один із проміжних обмінників луснув через репутаційні збитки й закрився, але основна частина грошей розчинилася у звичайній світовій грошовій масі, підтвердивши цим сувору правду: коли команда має достатнє фінансування, терпіння і байдужа до комісій, швидкість важливіша за прискіпливість. Показово, що операція не зупинялася заради паперової тяганини; вона тривала безперервно, зокрема у вихідні та святкові дні — тому що державний апарат, якого вона намагалася уникнути, працює лише в робочі години.

Якщо поглянути на те, що робили дилетанти, стає зрозумілим повчальний урок. Пара, яку звинуватили у відмиванні коштів, викрадених під час зламу Bitfinex у 2016 році, тримала значну частину вкрадених Bitcoin роками, ганяючи їх через міксери та акаунти в даркнеті, але так і не обірвавши зв'язок із ними остаточно. З іншого боку, коли федеральні агенти зрештою увірвалися до їхнього житла у 2022 році, держава змогла вилучити криптовалюту на мільярди доларів лише за допомогою кількох судових позовів. Той самий блокчейн і той самий рівень прозорості, але результати виявилися абсолютно протилежними. Проблема була не в інструментах; вона полягала в їхній дисципліні і, чесно кажучи, у терпінні. Lazarus розглядає відмивання як ланцюг постачання; фігуранти справи Bitfinex дивилися на це просто як на зберігання. А зберігання — це шлях, який веде прямо до арешту.

План дій, який фіксер реалізує для М, є зменшеною версією тієї самої послідовності, і його варто викласти прямо, оскільки кожен крок існує для зламу одного конкретного методу розслідування:

1. Розподілити вкрадені гроші між десятками адрес, переконавшись у відсутності зв'язку між ними з точки зору джерел фінансування, щоб обійти евристики спільної витрати та кластеризації. 2. Залучити звичайний міксер або сервіс на базі CoinJoin, або скористатися сучасною альтернативою у вигляді кросчейн-свопу, спеціально побудованого для приховування сліду. 3. Переводити активи блокчейну за допомогою мостів і миттєвих обмінників, що змушує аналітика починати все спочатку й відновлювати контекст у новому середовищі з іншими аналітичними даними. 4. Використовувати Bitcoin для глибини та стейблкоїни для швидкості, утримуючи вартість протягом часу, що відповідає тривалості циклу новин. 5. Використовувати канали з низькими вимогами комплаєнсу — такі як OTC-дески, приватні брокери та переведення в готівку в країнах, де місцеві контрагенти не входять до жодних клубів фінансового нагляду.

Усі етапи пов'язані з витратами, затримками та ризиком витоку, саме тому фіксер бере таку плату. Метод peel chains — старіший спосіб надсилання грошей через сотні послідовних адрес, кожна з яких забирає невелику частку, — майже безкоштовний, але генерує найбільш показові судово-медичні діаграми в індустрії. Хоча міксери й забезпечують реальний рівень заплутування, з юридичної точки зору вони тепер перетворилися на заборонені зони; розробників одного відомого Bitcoin-міксера заарештували у 2024 році, а Tornado Cash роками залишався під американськими санкціями, перш ніж суди змусили частково їх переглянути у 2025 році. Інструменти можуть змінювати назви, але економіка залишається незмінною. Анонімність — це товар, що має ціну, і ця ціна зростає щоразу, коли черговий уряд накладає санкції.

Детективи та тягар доведення

Водночас по той бік скла чути незвичний гул цілої індустрії. Компанії, що розробляють софт для трекінгу, здатні автоматично відновлювати такі ланцюжки, групуючи мільйони адрес у названі сутності. Ці фірми обслуговують широке коло клієнтів: біржі, які хочуть не допустити брудних грошей; регуляторів, яким потрібна статистика; і правоохоронні органи, які шукають обвинувачених. Є також незалежні ентузіасти — наприклад, ZachXBT, який розкрив мережі викрадачів на сотні мільйонів доларів, працює переважно безоплатно і фактично став як приватним детективом, так і голосом громадської совісті. Їхній важіль впливу полягає не в юридичній силі, а в силі публічності: ретельно задокументований слід може призвести до заморожування біржового акаунта дропа ще до того, як якийсь прокурор узагалі поворухне пальцем.

Цей дисбаланс впливає на кожен аспект ситуації. Хоча розслідувачі можуть спостерігати за рухом грошей майже в режимі реального часу, держава дізнається про це лише згодом і опосередковано. Для того щоб правоохоронні органи могли вжити будь-яких заходів — наприклад, накласти арешт на банківські рахунки, нерухомість чи обмежити особисту свободу, — самого лише звіту про відстеження недостатньо. Потрібні додаткові докази: це дані KYC, які пов'язують адресу з паспортом, логи серверів, які з'єднують паспорт із ноутбуком, і свідчення, що прив'язують ноутбук до конкретного рішення. Атрибуція має відповідати стандартам, застосовним у суді, а шлях від спостережень у блокчейні до доказів, які суд визнає допустимими, є тривалим, залежить від юрисдикції і рухається повільно. Трекер може визначити всю мережу фіксера за тиждень; прокурору ж, навпаки, може знадобитися цілий рік, щоб відреагувати на цю схему, і на той час дропи вже змінять телефони.

Фіксер знайомий із процедурними графіками не гірше за будь-якого юриста. Обробка запитів про взаємну правову допомогу відбувається зі швидкістю геологічних процесів. Ордери на арешт поширюються лише на те, що є доступним, а доступні активи — це лише те, що перебуває на регульованій біржі саме в ту мить, коли надходять документи. Тому його стратегія полягає не в тому, щоб намагатися обігнати блокчейн (це нікому не під силу), а в тому, щоб переграти бюрократію, утримуючи вартість у щілинах між різними юрисдикціями, доки система не перемкнеться на щось інше. У цьому контексті злочин — це здебільшого не порушення правил, а скоріше використання їхніх найбільш повільних слабкостей.

Психологічний елемент рідко потрапляє в офіційні звіти. Трекерами рухає дещо сильніше за зарплату — а саме щира одержимість, яка часто виростає з гніву на шахраїв через пережиту травму, а часом і з азартного задоволення від того, що вони стали першими, хто виявив обман. Відмивачами ж, навпаки, рухає дещо слабше за жадібність: на них просто діє інерція їхньої щоденної професійної рутини. Більшість фіксерів не вважають себе злочинцями так само, як більшість людей не бачать себе розпорядниками пенсійних фондів; вони просто переміщують цінність, а моральна відповідальність за цю цінність належить комусь іншому. Таке сприйняття себе — позиціювання себе як нейтральних, технічних і респектабельних фахівців — є ключовим фундаментом усієї економіки відмивання, і прокурори тепер беруться за нього напряму, висуваючи звинувачення розробникам міксерів та операторам обмінників, а не лише привидам, які тримають приватні ключі.

Чому машина ніколи не зупиняється

Коли ви зробите крок назад і поглянете на історію М у цілому, вона постане не стільки кримінальним сценарієм, скільки екосистемою, яка проходить метаболічний процес. Кожне посилення безпеки ускладнює крадіжку, що, своєю чергою, підвищує рівень навичок, необхідний злодіям, а це підвищує планку якості для фіксерів, що знову ж таки вимагає кращої аналітики, за якою стоїть потреба у витонченішому відмиванні — і цикл триває. Північна Корея взяла цю модель на озброєння й перетворила її на офіційну державну політику, фінансуючи свій режим саме через ті платіжні інструменти, яким віддає перевагу її міжнародна аудиторія. Аматорські угруповання продовжують доводити, що людські фактори — нетерплячість, жадібність і бажання витрачати — залишаються найдешевшою з можливих поверхонь для атак. Крім того, інструменти приватності, доступні в одному десятилітті, у наступному стають об'єктами санкцій.

TRON посідає в цій системі досить особливе місце, оскільки має більше USDT, ніж будь-яка інша мережа, що робить її майданчиком як для найактивнішої законної торгівлі, так і для найінтенсивнішого у світі відмивання коштів. Оскільки здійснення тисяч переказів USDT у мережі обходиться дорого, якщо спалювати TRX під час кожного з них, оператори масштабних переказів — такі як біржі, платіжні процесори і, так, відмивачі, які запускають peel chains, — прийшли до одного й того самого рішення: вони орендують TRON Energy. Оскільки купівля TRON Energy коштує лише малу частку від суми, яку довелося б сплатити за спалювання TRX, або ж через отримання делегованої TRON Energy на одну годину, поки обробляються кілька сотень переказів, це є грамотним інженерним підходом для білого сегмента ринку — і водночас саме ця дешева TRON Energy робить схему відмивання через сотні адрес доступною для іншого боку. Ось чому серйозні постачальники сервісів Energy тепер перевіряють, кого саме вони обслуговують. Тут Netts проводить межу, яку не проводить решта ринку оренди: використовуючи власну інфраструктуру аналітики TRON, вона вибудувала периметр комплаєнсу, що охоплює понад 28 мільйонів заблокованих адрес — підсанкційних суб'єктів, фішингову інфраструктуру та гаманці, пов'язані зі зламами й викраденими коштами. Кожен запит на делегування Energy звіряється з цим списком у режимі реального часу, при цьому позаду власної системи моніторингу працює незалежний шар від Elliptic. Причина проста: ресурси, які живлять економіку відмивання, не повинні надходити від інфраструктури, яка вдає, ніби не знає, який вигляд має відмивання.

Для тих, хто перебуває на чесному боці цієї межі — тобто для трейдерів, бірж і платіжних сервісів, — практичний висновок очевидний: якщо ви хочете переказувати USDT на TRON без спалювання TRX, Netts TRON Energy Market об'єднує всю індустрію оренди в реальному часі й завжди пропонує найкращу ринкову ставку, дозволяючи орендувати Energy за найнижчою ціною, доступною на ринку прямо зараз. І це можливо завдяки платформі, яка вже здатна відрізнити зайнятого трейдера від зайнятого ланцюжка peel chain.