За кражей криптовалюты на 1,5 млрд долларов: ончейн-Бэтмен вскрывает сеть отмывания средств северокорейскими хакерами

Автор: Andjela Radmilac

Перевод: Saoirse, Foresight News

В феврале 2025 года северокорейские хакеры украли у Bybit криптовалюты на сумму около 1,5 млрд долларов США. Несмотря на обширное освещение и анализ этого взлома в СМИ, последующие события и направления движения украденных средств остаются малоизвестными.

Для перевода этой крупной суммы краденых средств хакерам приходится полагаться на всю сеть контактов, готовых работать с украденными активами. И эту цепочку взаимоотношений можно внедриться, если вложить достаточно средств.

Именно таким методом воспользовался известный под псевдонимом исследователя блокчейна ZachXBT. Он выделил 349 700 единиц USDC, замаскировался под клиента одной из китайскоязычных отмывальных сетей и был готов принять убыток в размере 5% с каждой сделки. В результате он получил важные подсказки и отследил более 12 млн долларов США в активах, связанных с кражей с Bybit; по его собственным словам, эта информация также помогла Tether заблокировать 442 000 USDT.

Его расследование вскрыло отмывальную сеть. По его оценкам, эта сеть легализовала более 1 млрд долларов США, полученных в результате криптокраж от группы Lazarus Group из КНДР, включая средства, украденные в ходе атаки на Bybit.

Данное расследование указывает на огромный черный рынок нелегальных финансовых услуг, против которого американские власти ведут борьбу уже последние два года.

В сентябре того же года Министерство финансов США ввело санкции против Xinbi Guarantee («Синби Гаранти»). По заявлению американской стороны, начиная с 2022 года данная торговая платформа через свою систему обработала цифровые активы и фиатные транзакции на общую сумму более 24 млрд долларов США, и именно среди нелегальных субъектов, использовавших услуги этой платформы, числятся северокорейские хакеры.

В Минфине также отметили, что после введения санкций против Huione Group («Хуйон Груп») преступники перенаправили свои незаконные операции на Xinbi Guarantee. Это демонстрирует, что простого закрытия одной торговой платформы недостаточно для искоренения лежащих в основе связей и криминального спроса.

Удивительно, но: взлом биржи и хищение средств — лишь относительно простой этап во всей цепочке преступной деятельности. Настоящая сложность заключается в конвертации украденной криптовалюты в фиатные деньги или другие активы с реальной покупательной способностью.

Чтобы совершить вывод средств, хакерам необходимо привлекать различные платежные сервисы и «серые» контакты, что оставляет окно возможностей для следователей и регуляторов.

«Тайный клиент», инвестировавший 349 700 USDC

26 февраля 2025 года ФБР официально установило, что кража с Bybit выполнена северокорейскими хакерами, операционное кодовое название — TraderTraitor, и выпустило предупреждение: похищенные активы конвертируются в биткоины и другую криптовалюту, после чего распределяются по тысячам адресов блокчейна.

Хотя личности хакеров были быстро установлены, выявление посреднических структур, занимающихся выводом краденых средств, потребовало огромного объема следственных работ.

ZachXBT сообщил, что в открытых чатах Telegram и Discord обнаружил более 15 аккаунтов, принимающих заявки на операции с средствами, украденными на Bybit. Это означает, что как минимум на некоторых этапах отмывания посредники открыто рекламируют свои услуги и сводят клиентов с исполнителями.

Он связался с несколькими аккаунтами и в конечном итоге вышел на контактное лицо с никнеймом Jimmy Green в Telegram, которое заявило о возможности помогать с межсетевой переводом криптовалют.

ZachXBT отметил, что 6 марта 2025 года он перевел 349 700 USDC на совершенно новый адрес сети Ethereum, чтобы через данного контакта обменять USDC в сети Ethereum на USDT в сети Tron. Для создания образа реального клиента он согласился на заведомо невыгодные условия обмена.

Эти 349 700 USDC служили торговым капиталом, а не чистой потерей от расследования; он был готов терять 5% с каждой сделки ради получения разведывательной информации, недоступной при обычном блокчейн-анализе.

Подобные сделки сами по себе сопряжены с рисками: посредник может просто исчезнуть с деньгами.

Посредники, на которых полагаются хакеры, могут предать доверие и присвоить краденые средства. Поскольку официальных коммерческих гарантий не существует, основой сохранения данной модели сотрудничества служат репутация в сообществе и личные связи.

И это именно то, что предоставило ZachXBT возможность для проникновения: для провайдера услуг клиент, готовый проводить регулярные операции, обладает гораздо большей ценностью.

Благодаря этому прикрытию получаемая им информация больше не ограничивалась лишь адресами кошельков. Перед выполнением операций посредники обсуждали с ним схемы перевода средств. ZachXBT смог сопоставить данные закрытой переписки с записями транзакций в публичном блокчейне.

Однажды, еще до проведения сделки, посредник предложил ему перевести средства в сеть Solana. Остальные записи об обмене и улики, связывающие кошельки, вероятно, помогли ему установить крупный пул активов, причастных к краже на Bybit.

Это стал ключевым поворотным моментом расследования: данные блокчейна фиксируют лишь факт транзакций, но не позволяют идентифицировать участников процесса и их истинные мотивы. Только записи закрытого общения между сторонами сделки становятся основным доказательством для установления контролеров средств и назначения их использования.

Даже несмотря на то, что выводы расследования ZachXBT не полностью совпадают с официальными записями ФБР, это остается одним из наиболее весомых следственных мероприятий за последние годы. Оно доказывает, что работу, невозможную исключительно на основе данных блокчейна, можно завершить благодаря сбору улик через человеческие отношения и бизнес-связи; аналогичные методы также могут быть применены при расследовании других случаев краж криптовалют.

Отслеживание 12 млн долларов ≠ успешное возвращение 12 млн долларов

ZachXBT заявил, что благодаря взаимодействию с Jimmy Green он локализовал кластер похищенных средств Bybit общим объемом свыше 12 млн долларов США, распределенных по нескольким публичным сетям.

Он также сообщил, что после этого Tether заблокировал 442 000 USDT, связанных с делом северокорейских хакеров. Это показывает, что пока краденые средства находятся в токенах под контролем эмитента, таких как USDT или USDC, быстрая идентификация похищенных активов имеет решающее значение для возмещения ущерба.

Необходимо различать два набора данных: отслеживание 12 млн долларов не означает полную блокировку этих средств; блокировка 442 000 USDT также не равнозначна конфискации данных токенов и их возврату Bybit.

Цифра в 442 000 USDT, а также утверждения о связи этой блокировки с данным расследованием исходят исключительно из слов ZachXBT; ранее Tether публиковала сведения о более масштабных операциях по блокировке активов, причастных к краже с Bybit.

Между обнаружением украденной криптовалюты, поиском вовлеченных посредников и получением юридического или технического контроля над похищенными средствами существует пропасть.

Сама публичная сеть не способна предотвратить повторный перевод активов. Ситуация усложняется, когда средства проходят через сервисные платформы, отказывающиеся сотрудничать со следствием или находящиеся вне юрисдикции правоохранительных органов.

Централизованно выпущенные стейблкоины оставляют регуляторам точки приложения усилий: эмитент обладает правами управления и может ограничивать переводы с определенных адресов. Для нативного биткоина не предусмотрена функция блокировки от эмитента; однако после получения законных оснований власти все же могут арестовать биткоины, хранимые оператором кошелька, либо взять под контроль соответствующие закрытые ключи.

Это означает, что расследование требует не только точной ретроспективной трассировки, но и того, чтобы найденные остатки средств попадали в зону юрисдикции учреждений, обладающих техническими возможностями и полномочиями для принуждения.

В период работы Bybit по возврату активов судебные запреты в сочетании с сотрудничеством финансовых посредников способны ограничить движение средств даже спустя долгое время после кражи, однако гарантия полного возмещения отсутствует.

Проблема заключается в том, что украденная криптовалюта постоянно фрагментируется и циркулирует между различными кошельками, публичными сетями, операторами хранения и контрагентами. Каждый раз, когда средства проходят новую платформу, стороне взыскания зачастую приходится заново собирать доказательства и запускать новый виток правовых процедур.

Именно поэтому следователи могут видеть направление движения денег, но бессильны остановить следующий трансферт или вернуть похищенные средства.

Криптоотмывочный бизнес объемом 4 млрд долларов

Использование внешних посредников для легализации краденых средств не является уникальным явлением для дела о краже с Bybit. Материалы американских правоохранительных органов свидетельствуют, что власти уже давно преследуют разнообразные серые схемы, специализирующиеся на превращении украденной криптовалюты в активы, реально пригодные для использования преступниками.

В марте 2020 года Министерство юстиции США предъявило обвинения двум гражданам Китая — Тянь Иньиню и Ли Цзядуню — в отмывании криптовалюты на общую сумму свыше 100 млн долларов США, большая часть которых происходила в результате взломов бирж.

Данные обвинения показывают, что даже без прямого участия в кибервзломах посредники играют центральную роль во всей преступной цепи.

В пресс-релизе Минфина также раскрывается, что Тянь Иньин однажды обменял биткоины почти на 1,4 млн долларов США на подарочные карты iTunes от Apple. Отсюда видно, что конечным звеном отмывальной цепи未必 выступают сложные международные финансовые услуги; для этого используются обычные розничные карты пополнения счета.

Та же самая потребность в конвертации работает на значительно большем масштабе на торговых платформах, которые сводят преступников с поставщиками услуг по расчетам, обмену и платежам.

В мае 2025 года Финансовая сеть по борьбе с преступлениями (FinCEN) Министерства финансов США внесла базирующуюся в Камбодже компанию Huione Group («Хуйон Груп») в список приоритетных финансовых организаций, вовлеченных в отмывание денег. Согласно результатам проверки, общая сумма нелегальных доходов, легализованных группой с августа 2021 по январь 2025 года, составила не менее 4 млрд долларов США.

Среди них FinCEN подтвердила, что по меньшей мере 37 млн долларов США в криптовалюте поступили от киберкраж в КНДР, остальные средства были заработаны в рамках инвестиционных мошенничеств и интернет-схем обмана.

4 млрд долларов США отражают совокупную стоимость всех рассмотренных преступлений; 37 млн долларов США представляют собой минимальную оценку похищенных средств, связанных с КНДР, подтвержденную ведомством.

В отчете оценки FinCEN указывается, что система противодействия отмыванию денег и верификации личностей клиентов у данной группы содержит серьезные недостатки. Отсутствие должной проверки идентичности позволило филиалам группы косвенно принимать краденые средства от атак северокорейских хакеров.

Значение данного расследования выходит далеко за рамки отдельных транзакций. Если посредник способен непрерывно предоставлять платежные каналы, он становится общей преступной инфраструктурой для нескольких банд, которым не нужно самостоятельно создавать механизмы вывода средств.

Концентрируя большие объемы капитала на подобных платформах, они становятся мишенями для санкций, ареста активов, разрыва банковских связей и иных правоохранительных операций.

Торговая платформа Huione Group обслуживает массивные объемы транзакций и нелегальный бизнес. Даже после блокировки части каналов сети в Telegram администрация платформы продолжает пытаться поддерживать операционную деятельность.

Общая метрика оборота платформы и статистически подтвержденные FinCEN нелегальные доходы используют разные методологии расчета; соответственно, весь объем проходящих через нее средств нельзя автоматически признать доказанными похищенными средствами.

Преступные платформы можно закрыть, но клиенты-преступники останутся

Трудность заключается в следующем: даже при уничтожении инфраструктуры нелегальной торговой платформы спрос со стороны преступников не исчезнет, пока они сохраняют возможность выходить на связь с другими альтернативными провайдерами.

В июне 2026 года Министерство юстиции США объявило о аресте серверных фоновых систем, используемых дочерними компаниями Huione Group. Сообщается, что эти серверы применялись для перевода выручки от мошенничества, киберпреступлений и иных нелегальных операций.

Данная операция развернулась после того, как американская сторона ранее наложила ограничения на данную группу, и ее цель — ликвидировать технические объекты, обеспечивающие перевод незаконных средств и сокрытие активов.

Однако физическое разрушение инфраструктуры не разрывает автоматические связи между клиентами-преступниками и посредниками, выполняющими заказы.

9 сентября в пресс-релизе Минфина четко была показана эта уязвимость: власти ввели санкции против Xinbi Guarantee. Это нелегальная торговая площадка, сводящая преступные организации с купцами, способными предоставлять финансовые услуги, технологии и прочие ресурсы.

В Министерстве финансов заявили, что примерно с 2022 года общий объем цифровых и фиатных транзакций, прошедших через Xinbi, превысил 24 млрд долларов США, при этом основную долю бизнеса составляли рынки Юго-Восточной Азии.

Такие колоссальные масштабы делают данную платформу приоритетным объектом в правоохранительных действиях по ликвидации финансовой инфраструктуры преступных группировок.

Минфин также добавил, что после начала зачисток Huione со стороны FinCEN сетевые преступники перенесли свою деятельность на Xinbi для сохранения операционной модели. Эта новая площадка предоставляет тем же клиентам практически идентичные услуги.

Регуляторы рисуют картину рыночной серой экосистемы: когда первоначальные каналы становятся ненадежными из-за полицейских рейдов, участники немедленно начинают искать новых провайдеров.

В ходе карательной операции против Huione Telegram удалил тысячи каналов, связанных с Huione Guarantee, и многие из упомянутых продавцов переключились на другие альтернативные торговые платформы.

Именно поэтому эффективность карательных мер нельзя оценивать исключительно по количеству закрытых веб-сайтов, аккаунтов и серверов. Пока у клиентов-преступников сохраняется спрос на нелегальные финансовые услуги, они найдут способ выйти на работающих провайдеров и восстановить каналы для перевода денег.

Безусловно, такие мероприятия продолжают увеличивать криминальные издержки: например, путем заморозки активов, провала расчетов или исчезновения знакомых контрагентов. Но до тех пор, пока преступная деятельность остается прибыльной, экономический стимул легализовать похищенное будет сохраняться.

Главная дилемма, с которой сталкиваются правоохранители, заключается в постоянном повышении криминальных затрат для всей сети альтернативных провайдеров и снижении устойчивости их бизнеса.

Операции по блокировке Tether вынудили сеть криптоотмывания переключиться на другие платежные инструменты

Правоохранительные операции против Xinbi Guarantee демонстрируют, что финансовые ограничения способны дезорганизовать преступную деятельность, но одновременно заставляют преступные группировки менять платежные маршруты.

Tether провела серию блокировок, заморозив USDT на сумму более 45 млн долларов США в по меньшей мере 22 кошельках, связанных с Xinbi.

Сразу после этого данная торговая платформа уведомила пользователей о переходе на использование USDD. Данный стейблкоин, в отличие от USDT, не позволяет эмитенту блокировать адреса.

Это фундаментальный сдвиг: пока задействованные средства находятся под контролем эмитента, функция заморозки токенов приносит следователям колоссальную пользу; преступные клиенты, стремящиеся обойти регулирование, предпочитают активы с иным алгоритмом управления.

Этот случай доказывает, что любое ограничение одного из звеньев платежной системы приводит к перенаправлению транзакций в иные каналы. Следователям приходится одновременно отслеживать пути движения активов и вычислять сервисы, предоставляющие эти каналы.

В рамках сентябрьской кампании власти также нанесли удар по связанной с Xinbi инфраструктуре, изъяв криптовалюту на сумму свыше 52 млн долларов США. Одновременно наблюдалось ускорение процессов вывода активов, причем конкурирующие торговые платформы начали ограничивать регистрацию отмывающих торговцев.

Приведенное выше дело и упомянутые ZachXBT операции по блокировке 442 000 USDT, связанных с северокорейскими хакерами, представляют собой два независимых инцидента. Открытые публикации не подтверждают наличие общих адресов, личностей или денежных потоков между этими двумя эпизодами.

Тем не менее оба случая доказывают одно: преступные группировки критически зависят от финансовых посредников. Даже после завершения первоначального хищения посреднические услуги сохраняют окна возможностей для вмешательства регулирования.

Если эмитент токена обладает возможностью ареста активов, риски концентрируются вокруг остатков средств в идентифицируемых адресах. Если платформа обслуживает несколько преступных синдикатов, ее уязвимыми местами становятся инфраструктура, связи между торговыми партнерами и расчетные структуры.

Оба направления способны повысить затраты и риски, связанные с передачей и расходованием похищенных средств.

Посредники, сводящие сделки, труднее поддаются замене

Прорыв в расследовании ZachXBT обусловлен главным образом доказательством следующего: установка партнерских отношений через платного прикрытия позволяет выявить информацию о лицах, организующих проведение сделок.

Длительно работающие с похищенной криптовалютой криминальные посредники накапливают репутацию в сообществе, отбирают стабильных контрагентов и изучают, какие именно услуги гарантируют исполнение заказа без изъятия краденых сумм.

Подобные сети контактов способствуют растущей эффективности криминальных операций с течением времени. Особенно это проявляется, когда клиентам требуется крупный перевод, при котором они хотят сохранить анонимность и одновременно опасаются, что контрагент увезет деньги.

Однако после уничтожения давних провайдеров восстановить данную модель взаимодействия крайне сложно. Альтернативные поставщики обычно берут большую комиссию, отказываются принимать подозрительные средства или страдают от недостаточной надежности операций.

Данная зависимость открывает для следствия новые источники оперативной информации. Провайдеры могут раскрыть планы будущих сделок, имена остальных участников, а также платежную инфраструктуру, необходимую для выполнения заказа.

Расследователям по-прежнему необходимо сверять полученные данные с записями в блокчейне и прочими уликами. Сам факт поступления средств, связанных с кражей, на определенный адрес не означает осведомленность получателя или субъективное участие в преступлении.

Однако сопоставление закрытой переписки с последующим направлением движения средств в блокчейне способно существенно снизить информационную неопределенность, чего невозможно достичь простым отслеживанием регистраций транзакций.

Дальнейшие примеры правоохранительной практики свидетельствуют: чтобы снизить привлекательность нелегальных финансовых услуг, недостаточно периодически закрывать сайты. Группы клиентов, генерирующие спрос на такой бизнес, и стремление к извлечению прибыли просуществуют куда дольше самих серверов.

Тем не менее арест активов, изоляция финансовых маршрутов, возбуждение дел против провайдеров и фиксация руководителей расчетов способны изменить соотношение затрат и выгод при совершении преступлений. Просто разные провайдеры имеют собственные пороги уязвимости к рискам.

Это также объясняет: общая сумма украденной криптовалюты никак не равна успешно конвертированным средствам, доступным для трат преступникам; тем более нельзя однозначно заявлять, что эти деньги направлены на конкретные военные или государственные расходы.

Исходный украденный объем, сумма в обороте посреднических адресов, объем, успешно конвертированный в реальную покупательную способность, и финальная сумма, возвращенная правоохранительными органами, — это четыре самостоятельные категории статистики, требующие независимого документального подтверждения для каждой.

Для северокорейских хакеров даже успешный взламывание создает последующие риски из-за зависимости от услуг отмывания. Приобретение похищенных активов вовсе не гарантирует, что найдется кто-то, готовый принять их, обменять и в конечном итоге потратить.

Операция прикрытия ZachXBT демонстрирует: этот спрос на конвертацию способен превратить деловые отношения в точку входа для расследования. Карательные операции США против Huione и Xinbi также доказывают, что, несмотря на постоянное перемещение позиций клиентами-преступниками, сами серые провайдеры по-прежнему остаются целями для правоохранительных ударов.

Главная уязвимость преступного процесса кроется в том, что хищение криптовалюты и фактическое ее использование абсолютно различаются. Второе по-прежнему опирается на деловые партнёрства, где каждая вовлеченная сторона владеет активами, репутацией и экономической выгодой, которые необходимо защищать.

Чтобы северокорейские хакеры могли превратить краденые средства в расходные деньги, им вновь придется углубляться в социальные сети, требующие выстраивания доверия; а сами посредники, предоставляющие услуги, несут собственные риски потери капитала.