Представьте вора, который ограбил банк и спрятал деньги в стеклянном сейфе посреди городской площади. Все видят сейф. Все видят, сколько в нём лежит. Но открыть его без ключа нельзя — и вор шесть лет ходит мимо, боясь прикоснуться к добыче. Именно так выглядела история крупнейшего в криптомире изъятия: 119 754 украденных биткоина, которые годами лежали на виду у всего мира и всё-таки привели следствие к своим хозяевам. Это дело — идеальный учебник о том, почему блокчейн запоминает всё и почему слабое звено любого отмывания — момент обналичивания.
▶ Видеоразбор дела Bitfinex (озвучка на русском).
2 августа 2016 года одна из крупнейших на тот момент криптобирж мира — Bitfinex — подверглась взлому. Злоумышленники получили доступ к горячим кошелькам биржи и вывели около 119 754 BTC. По курсу того дня это было примерно 71 миллион долларов — уже тогда огромная сумма, обрушившая цену биткоина на рынке.
Но самое интересное началось после кражи. Похищенные монеты не ушли одним переводом на один адрес — их разбросали по 2 075 адресам. Это классический приём: раздробить добычу на множество «кошельков-контейнеров», чтобы затруднить визуальный анализ и не держать все яйца в одной корзине. Казалось бы, грамотный ход. Но у этого хода был фатальный изъян, о котором вор в 2016 году, возможно, ещё не задумывался всерьёз: каждый из этих 2 075 адресов навсегда остался в публичной книге блокчейна. Их можно было отслеживать. За ними можно было наблюдать. И их наблюдали — годами.
Постоянство блокчейна — это вечная запись, которая в конечном счёте и помогла вернуть похищенные средства.
— так суть дела формулировали в Минюсте США (пересказ, не дословная цитата)
После кражи произошло то, что для новичка выглядит странно, а для аналитика — абсолютно логично. Украденные монеты почти не двигались. Годами гигантская сумма просто лежала на 2 075 адресах нетронутой. Почему вор не тратил добычу?
Потому что в этом и состоит фундаментальная проблема краденой крипты. Украсть биткоин технически несложно — достаточно получить контроль над ключами. А вот превратить краденый биткоин в реальные деньги — квартиру, машину, банковский счёт — практически невозможно, не «засветившись». Как только монеты приходят в движение к бирже или обменнику, к точке контакта с фиатным миром, они попадают под прицел KYT-систем и следователей. Любое движение по этим меченым адресам — сигнал тревоги для всей индустрии.
Так возникла патовая ситуация, которую мы называем «стеклянный сейф». Богатство есть — на бумаге, точнее, в блокчейне. А воспользоваться им нельзя. Именно поэтому огромная доля крупных краж годами лежит «замороженной»: воры ждут, пока внимание спадёт, ищут способы отмывания, пробуют аккуратно тестировать маршруты вывода. И именно на этих попытках вывода следствие и «зацепилось».
Движение началось позже. Когда владельцы украденного стали пытаться вывести средства в банковскую систему — через цепочки промежуточных адресов, обменников и счетов, — следователи получили ниточки. Каждая попытка легализовать деньги оставляла новый след: связку между «грязным» блокчейн-адресом и вполне конкретным сервисом или счётом реального мира.
Здесь кроется главный урок всего дела, который мы повторяем на протяжении всего курса: слабое звено отмывания — это обналичивание. Пока деньги остаются внутри блокчейна, они анонимны лишь условно (адреса псевдонимны, но прослеживаемы). Но в момент выхода в фиат — на биржу, требующую KYC, на банковский счёт, к платёжному провайдеру — псевдоним неизбежно связывается с личностью. Именно на этой границе двух миров ловят почти всех.
В феврале 2022 года история достигла кульминации. Министерство юстиции США объявило об изъятии около 94 000 BTC — примерно 3,6 миллиарда долларов. За шесть лет цена биткоина выросла в разы, и «замороженные» $71 млн превратились в миллиарды. На тот момент это стало крупнейшим финансовым изъятием в истории ведомства.
Но как следователи вообще смогли забрать биткоины? Ведь блокчейн нельзя «отменить», а без приватных ключей монеты недоступны кому угодно, включая государство. Ответ — в деталях, и он прекрасно иллюстрирует ещё один принцип курса: «Не твои ключи — не твои монеты».
Были арестованы двое: Илья Лихтенштейн (в сети известный под ником «Dutch») и его жена Хизер Морган (эксцентричная рэп-исполнительница под псевдонимом «Razzlekhan»). Ключевой момент расследования: приватные ключи от кошелька с украденными средствами нашлись в облачном аккаунте Лихтенштейна. Получив доступ к этому цифровому хранилищу, следствие получило ключи — а с ключами и контроль над монетами. В 2023 году пара признала вину.
Обычный человек, услышав о краже, думает: «Деньги украли и потратили, ищи ветра в поле». В традиционных финансах наличные действительно растворяются. Но блокчейн устроен принципиально иначе, и в этом — его величайшая особенность для AML.
Каждая транзакция биткоина навсегда записана в публичный, распределённый, неизменяемый реестр. Нельзя «стереть» перевод. Нельзя «переписать» историю. Адрес, на который в 2016 году пришли украденные монеты, будет виден и через сто лет — как и вся цепочка последующих движений. Для преступника это капкан замедленного действия: он может годами избегать разоблачения, но в ту секунду, когда он попытается воспользоваться добычей, вся сохранённая история развернётся против него.
Именно поэтому в Минюсте США, комментируя дело, подчёркивали простую мысль: постоянство блокчейна — это вечная запись, и именно она в конечном счёте помогла вернуть средства. Следователям не нужно было ловить вора «на горячем» в 2016 году. Им достаточно было терпеливо наблюдать за меченными адресами и ждать, пока владелец сам совершит ошибку в попытке обналичить.
В следующем разборе мы увидим, как тот же принцип отслеживаемости сработал ещё эффектнее — и всего за месяц: как ФБР вернуло выкуп, заплаченный вымогателям после атаки на топливопровод Colonial Pipeline.
Факты изложены по открытым источникам. Материалы носят образовательный характер.