DEF CON 33: Thomas Roccia - Где моя криптовалюта, чувак? Полное руководство по отмыву криптовалютных денег

[zender]

Какие темы мы затронем?

• Обзор исследования дела ByBit
• Методы отмывания криптоденег
• Методы расследования
• Можем ли мы отслеживать деньги с помощью искусственного интеллекта?

Дело ByBit
Хронология

1. 2 февраля 2025 Первоначальный доступ Разработчик Safe{Wallet} был скомпрометирован через Docker-проект.

2. 5-17 февраля 2025 Разведка * Создание карты инфраструктуры AWS. * Определение конвейера развертывания (pipeline) веб-интерфейса. * Подготовка к внедрению кода.

3. 20 февраля 2025 Внедрение JS-кода * Внедрение кода. * Визуализация манипулятивных транзакций. * Сохранение вредоносных параметров.

4. 21 февраля 2025 Перевод средств * Стандартная маскировка передачи токенов. * Delegatecall к контракту злоумышленника. * Удаление вредоносного кода после эксплуатации. * Средства переведены через функции Sweep на кошельки злоумышленников.

5. 21 февраля 2025 Ответные меры * Оповещения о необычных транзакциях. * Мобилизована служба безопасности. * Первоначальный ущерб: 1,46 млрд долларов США. * Приняты протоколы экстренных мер.

Основы отмыва криптовалютных денег
(Версия КНДР)

Немедленная конвертация активов Обмен большого количества украденных токенизированных активов.	Обмен без процедуры KYC Использование нерегулируемых сервисов мгновенного обмена.
Распределение средств по нескольким кошелькам Или распределение крипты по нескольким адресам.	Конвертация ETH в BTC Конвертация в Bitcoin для повышения ликвидности и анонимности.
Межсетевые мосты Перемещение активов между различными блокчейн-сетями.	Миксеры и CoinJoin Смешивание грязных и чистых денег, объединение транзакций.
Обмены децентрализованных токенов (DEX) Анонимный обмен токенами через децентрализованные протоколы.	Вывод внебиржевых средств (OTC) Конвертация криптовалюты в фиат через подпольные сети.

1 — Немедленная конвертация активов



* Быстрая конвертация украденных токенов в более взаимозаменяемые «нативные» криптоактивы для избежания заморозок и повышения анонимности.

* За считанные минуты злоумышленники конвертировали украденные токенизированные активы (stETH, cmETH) в простой эфир (ETH) через децентрализованные биржи.

Токенизированные активы могут быть заморожены. Децентрализованные биржи (DEX) обеспечивают мгновенную ликвидность без процедуры KYC. Базовые активы, такие как ETH, не имеют централизованного управления. Конвертация разрывает первоначальный след транзакций.

1 — Возможности для анализа




2 — Распределение денег



* Распределение украденных средств по нескольким адресам кошельков по дробной или рассредоточенной схеме с целью сокрытия денежного следа.

* Злоумышленник распределил украденные ETH по более чем 50 первоначальным кошелькам, а затем с помощью автоматизированных скриптов разделил их на тысячи адресов.

Первичное распределение примерно на 50 кошельков по 10 000 ETH каждый. Вторичное распределение примерно на 500 кошельков по 1000 ETH каждый. Автоматизированное пакетирование транзакций с постоянной комиссией за газ.

2 — Возможности для анализа

Расход газа • Контролируйте расхода газа. • Аналогичный расход может указывать на автоматизацию или сценарий.

Многотранзитный анализ • Отследите средства за пределами непосредственных транзитных участков. • Опредите точки конвергенции. • Составьте карты полных сетей отмывания денег.

Поток токенов • Получите все исходящие транзакции. • Куда эти адреса отправили средства? • Сколько? Когда? • Взаимодействуют ли они с CEX, протоколами DeFi, миксерами и т. д.?

Временная кластеризация • Перекрёстные ссылки на временные шаблоны. • Выявление скоординированных действий. • Выявление сигнатур автоматизации.

Извлеките подграфы • Выделите подграфы. • Анализируйте структурные свойства. • Сравнените с известными шаблонами.

3 — Межцепочечные мосты


* Перемещение криптовалютных активов через различные сети блокчейнов для разрыва следа транзакций и использования различных функций анонимности.

* Злоумышленник переместил токены ETH и ERC-20 в Bitcoin, Tron и другие блокчейны, используя кросс-чейн-мосты, такие как ChainFlip, Multichain и Thorchain.

Конвертация ETH → BTC через Chainflip (атомарные свопы) Конвертация ETH → TRX через Multichain (блокировка и выпуск) Использование обёрнутых токенов (WBTC, renBTC) в качестве посредников

3 — Возможности для анализа

Мониторинг мостов, наблюдение за притоком/оттоком Chainflip, Multichain, THORChain

Пометьте известные кошельки КНДР Используйте Arkham, TRM, ChainAnalysis или общедоступную разведку и черные списки.

Коррелируйте паттерны • Сравнивайте адреса по поведению, а не только по хешу. • Учитывайте объём, тип токена и шаблоны использования.

Следите за потоками токенов • Используйте события передачи токенов (ERC-20) для отслеживания переходов. • Сопоставляйте временные метки с другими действиями в цепочке.

4 — Свопы DEX
* Использование децентрализованных бирж для анонимной конвертации активов между кошельками без регулирующего надзора и требований KYC. Uniswap / Dodo / Paraswap

По мнению экспертов по блокчейн-криминалистике, протоколы DeFi сыграли ключевую роль в сокрытии источников средств. На начальном этапе потоки обработки представляли собой «обмен между кошельками», а не традиционные миксеры. Децентрализованные биржи (DEX) фактически выполняли функции миксеров, переставляя активы и распределяя транзакции между регулируемыми посредниками. Большие объёмы параллельных свопов через пулы ликвидности усложняли расследование и добавляли помех в отслеживание транзакций.

4 — Возможности отслеживания обмена Dex

Отслеживание транзакций свопа Фильтр по событиям «Своп», «Добавить ликвидность», «Удалить ликвидность» в контрактах DEX. Ищите такие закономерности, как: • ETH → USDT → неизвестный токен → ETH • Много быстрых свопов с проскальзыванием. • Использование агрегаторов (1inch, Matcha).

Паттерны запутывания • Tornado Cash (проверьте взаимодействие с контрактами на смешивание). • Использование множества мелких кошельков (отслаивание цепочек). • Использование быстрых займов или поведения, подобного MEV, для сокрытия следов.

Обнаружение обвертывания/развертывания • WETH, renBTC, stETH и т. д. могут скрывать движение средств. • Регистрируйте события депозита/вывода или контрактов токенов.

Реконструкция всех шагов пути • Анализ событий обмена из контрактов маршрутизатора в течение 1–2 блоков или менее чем за 60 секунд. • Извлечение: - Каждый переход (токен на входе → токен на выходе) - Последовательность пути - Суммы - Временная метка

Влияние ликвидности пула • Мониторинг событий синхронизации (sync), обмена (swap) и передачи (transfer): - ΔTokenIn / ΔTokenOut - Дисбаланс резервов до/после свопа может выявитьпринудительные свопы или отмывание средств. - Проскальзывание %

5 — Биржи без KYC


* Платформы обмена криптовалютами, позволяющие пользователям обмениваться различными цифровыми активами без необходимости предоставления документов для подтверждения личности по принципу «Знай своего клиента» (KYC).

* Злоумышленник использовал eXch в качестве основного механизма отмывания денег для отмывания 200 миллионов долларов, украденных у Bybit.

* Мощности eXch были временно перегружены объемом транзакций, что вынудило злоумышленников приостановить операции до возможности продолжить.



5 — Отсутствие возможности для аналитики KYC

Сверьте транзакции с известными кошельками для пополнения счёта eXch. • Найдите кошельки, на которые поступают средства → ждите.

Отслеживайте оттоки в BTC • Проверьте кластеры адресов BTC • Отметьте миксеры или известные биржи вывода средств

Реконструируем поток свопов: • ETH (взломан) → Депозитный кошелёк eXch • Своп/мост → BTC • Выводной кошелёк eXch → Внешний кошелёк → Миксер или CEX

6 — Конвертация ETH в BTC

01. Первоначальная подготовка ETH ETH разделен на несколько кошельков, чтобы распределить риск и избежать крупных одиночных транзакций, которые могут вызвать оповещения.

02. Конвертация завернутого токена ETH конвертируется в обернутые биткоин-токены, такие как WBTC или renBTC, на блокчейне Ethereum.

03. Передача по межцепочечному мосту Обернутые токены отправляются через кроссчейн-мосты, такие как ThorChain, для конвертации токенов на основе Ethereum в нативные токены.

04. Распределение по сети Bitcoin BTC далее распределяется по нескольким кошелькам в сети Bitcoin, создавая новый уровень запутывания.

* Стратегическая конвертация украденных активов Ethereum в Bitcoin с целью использования большей ликвидности Bitcoin, более широкого принятия и решения различных проблем с отслеживанием.

* Злоумышленник конвертировал около 60% украденных ETH в BTC различными способами, включая завернутые токены, атомарные свопы и кросс-чейн-мосты.

Использование обёрнутых токенов (WBTC, renBTC) в качестве посредников Атомарные свопы через специализированные сервисы Кроссчейн-мосты с минимальными требованиями KYC Предпочтение сервисам с высокой ликвидностью для минимизации проскальзывания

6 — Возможность отслеживания ETH в BTC

Первоначальная подготовка ETH Исследуйте разделения кошелька с помощью: • Кластерного анализа (время создания) • Временной эвристики (транзакции в течение нескольких секунд) • Сопоставления с шаблоном (та же логика потока)

Мост с цепями Мониторьте: • Chainflip, THORChain и т. д. • События записи/блокировки на стороне ETH • Соответствие выходных данных BTC (значение + время) • Известные мостовые адреса BTC

Конвертация завернутого токена Смотрите ETH → WBTC через: • Логи смарт-контрактов (выпуск, сжигание, депозит) • Свопы на DEX перед обёртыванием • Известное использование контрактов обёртывания

Распределение BTC Наблюдайте за: • Отслаиванием цепочек (кошельки BTC-хопов) • Использованием миксеров/CEX • Одноразовыми кошельками и временными ссылками

7 — Миксеры и CoinJoin


* Использование специализированных сервисов, объединяющих средства нескольких пользователей и перераспределяющих их, чтобы разорвать цепочку транзакций между исходным и конечным адресами.

* Злоумышленник использовал Tornado Cash для смешивания ETH и Wasabi Wallet CoinJoin для Bitcoin, а также CryptoMixer и Railgun, тщательно выбирая время и суммы, чтобы избежать обнаружения закономерностей.

Нулевые доказательства для подтверждения транзакций без раскрытия связей Фиксированные депозиты для предотвращения корреляции сумм Задержка вывода средств для нарушения временных схем Многократное смешивание для дальнейшего сокрытия следов

7 — Миксеры и возможность отслеживания Coinjoin

Эвристический анализ Применяйте статистическую эвристику для выявления вероятных связей между транзакциями до и после миксера на основе времени, сумм и моделей поведения кошелька.

Грязевой анализ Отслеживайте уровень «загрязнения» или «инфицирования» средств, прошедших через миксеры, отмечая кошельки, на которые поступает значительная доля смешанных средств.

Мониторинг контрактов миксера Отслеживайте взаимодействие с известными смарт-контрактами миксеров (например, Tornado Cash) и отмечайте кошельки, которые взаимодействуют с санкционированными сервисами микширования.

8 — Выплата внебиржевых средств (OTC)
* Конечный этап отмывания денег, на котором отмытая криптовалюта конвертируется в фиатную валюту через внебиржевых (OTC) брокеров и сети по отмыванию денег.

* Злоумышленник использовал сеть внебиржевых брокеров в юрисдикциях с минимальным регулирующим надзором для конвертации отмытой криптовалюты в фиатные деньги.

Использование P2P-платформ с минимальными требованиями KYC Стратегический выбор юрисдикций со слабым контролем за отмыванием денег Взаимодействие с существующими сетями по отмыванию денег (OTC) Постепенный вывод средств в течение длительных периодов времени для избежания обнаружения

Ключевые регионы вывода средств с внебиржевых счетов

Юго-Восточная Азия Высокое внедрение криптовалют при различных условиях регулирования P2P-платформы / Криптобанкоматы / Сети «Hawala»

Восточная Европа Развитые внебиржевые сети с подключением к традиционным финансовым системам Внебиржевые брокеры / Компании-пустышки / Банковские связи

Латинская Америка Экономики с высоким уровнем наличных денег и развитой системой отмывания денег Обмен наличных / Услуги по переводу денежных средств / Неформальный банкинг

8 — Вывод средств внебиржевым путем (OTC) - возможность отслеживания

Следите за он-чейн-лидами вплоть до выхода на внебиржевой рынок (OTC) Обратите внимание на крупные свопы децентрализованных криптовалют (DEX) на стейблкоины (например, ETH → USDT). Средства часто попадают в: • Известные кластеры внебиржевых кошельков • Новые кошельки, использованные один раз, затем опустошенные • Адреса для депозитов на центральных биржах (CEX), связанные с внебиржевыми кассами

Определите внебиржевых брокеров • Используйте данные из: - Elliptic, TRM, Chainalysis (отмечены как внебиржевые кластеры) - OTC-сети Telegram, Discord или WeChat • Отметьте кошельки, которые взаимодействуют с внебиржевыми брокерами

Следите за поведенческими сигналами • Внезапная остановка средств после обмена или консолидации • Однократное использование кошелька с последующим длительным бездействием • Временная корреляция: несколько кошельков опустошаются на один и тот же адрес в течение короткого промежутка времени

Проверьте точки входа/выхода CEX • Внебиржевые брокеры часто используют: - Binance, Huobi, OKX и т. д. - Ищите общие адреса для депозита или пакетные выводы • Комбинируйте с решениями KYT, чтобы отслеживать известные съезды

Создание ИИ-агента
* Агент ИИ — это автономная система, работающая на основе LLM.

* Он может планировать, рассуждать и выполнять задачи.

* Используя правильные инструменты и данные, мы можем создать агентов, которые помогут отслеживать денежные потоки.



ИИ-агент для отслеживания денег






Модель контекстного протокола

* Открытый протокол для подключения моделей ИИ к инструментам, данным и сервисам

* Архитектура клиент-сервер для структурированной коммуникации

* Повышает точность, предоставляя моделям доступ к контексту в реальном времени

MCP Etherscan Подключается к API Etherscan, собирает данные о транзакциях в цепочке Временную метку, сумму перевода, комиссию за газ и использованный газ, адреса отправителя и получателя, хэш транзакции и номер блока, взаимодействие по контракту и названия методов, переводы токенов.

Аналитика блокчейна MCP Подключение к поставщикам блокчейн-аналитики Кросс-чейн-расследование Своп на децентрализованной бирже

Схемы отмывания денег MCP Реализация схем отмывания денег Распределение денег, известные чёрные списки Модель платы за газ, распределение денег, объём, частота Кластеризация кошельков

Проблемы и ограничения

Отсутствие идентификационных данных Адреса не связаны с реальными людьми. Без KYC атрибуции — это всего лишь догадки.

Слишком много данных Миллионы нечётких транзакций затрудняют поиск закономерностей.

Обфускация Миксеры, CoinJoin, свопы и кошельки-шеллы нарушают поток.

Перемещение между цепочками Деньги переходят между цепочками. Отслеживание требует многосетевой видимости.

Отсутствие контекста Данные в цепочке не имеют смысла. Смысл часто остаётся вне цепочки.

Ограничения API Бесплатные API работают медленно. Доступ к хорошим данным стоит дорого.

Тяжелая инфраструктура Для отслеживания в реальном времени требуется мощная инфраструктура и постоянная настройка.

Отслеживание денег, украденных КНДР






Заключение

* Злоумышленники из КНДР хорошо знакомы с криптовалютными экосистемами.

* Они используют передовые методы, от атак на цепочки поставок до сложных схем отмывания денег.

* Их тактики быстро развиваются, что затрудняет масштабный мониторинг их деятельности.

* ИИ и автономные системы могут помочь в расследованиях при наличии достаточных ресурсов.

* Эти инструменты помогают аналитикам эффективно ориентироваться в огромном потоке криптовалютных транзакций.