Сама кража для хакеров из Пхеньяна – дело несложное. Другой вопрос – как потом получить реальные деньги.

Много лет династия Ким из Северной Кореи получала деньги через незаконные схемы типа торговли наркотиками и подделки валют. За последнее десятилетие Пхеньян всё чаще начал обращаться к киберпреступлениям – используя армию хакеров для осуществления ограблений банков и обменников криптовалют на миллиарды долларов. К примеру, в 2018 году была проведена атака, благодаря которой за один раз удалось увести $250 млн. ООН говорит, что в результате этих действий режим получает значительные суммы денег, которые тратит на разработку ядерного оружия, способного гарантировать его выживание в течение долгого времени.

Однако есть большая разница между взломом обменника криптовалют и получением на руки реальных денег. Нужно переслать криптовалюту, отмыть её так, чтобы никто не смог её отследить, поменять её на доллары, евро или юани, на которые уже купить оружие, предметы роскоши и первой необходимости.

«Я бы сказал, что отмывание денег – задача более сложная, чем взлом», — говорит Кристофер Янчевски, ведущий агент внутренней налоговой службы США, специализирующийся на делах с участием криптовалюты.

В настоящее время Янчевски наблюдает повышенную активность на данном направлении. Он руководил расследованиями недавнего взлома, касающегося подтвержденных пользователей твиттера, а также деятельности крупнейшего сайта даркнета, посвящённого детской порнографии. Янчевски недавно стал ведущим следователем в деле по отслеживанию и конфискации криптовалюты на $250 млн, похищенной в результате беспрецедентной череды взломов, которые якобы проводила северокорейская команда хакеров, проходящая под кодовым именем «группа Лазарус».

И, по его словам, тактика Лазаруса постоянно совершенствуется.

Отмывание грязных денег дочиста

Успешно взломав свою цель и получив контроль над денежными средствами, Лазарус пытается замести следы, чтобы оторваться от следователей. Для этого криптовалюты обычно переводят на разные кошельки и меняют на другие валюты – к примеру, из Ether в Bitcoin.

Однако инструкции хакеров из Северной Кореи за последние годы развивались. Одна из новых тактик, «луковая цепочка», быстро и автоматически переводит деньги с одного биткоин-кошелька на множество других адресов, посредством сотен и тысяч транзакций. Это помогает спрятать источник денег и уменьшает вероятность срабатывания сигналов тревоги. Ещё один подход, «прыжки по цепочке», переводит деньги через различные криптовалюты и блокчейны, уводя их от биткоинов – где все транзакции перечислены в доступном всем журнале – в другие, более конфиденциальные криптовалюты. Идея состоит в том, чтобы след успел остыть, а у следователей сработала ложная тревога.

Лазарус, по словам Янчевски, отмывает деньги, создавая и поддерживая сотни ненастоящих учётных записей и личностей. Такой высокий уровень сложности и большие усилия подчёркивают, насколько важна эта операция для Пхеньяна. Точные цифры назвать чрезвычайно сложно, однако эксперты оценивают, что 15% дохода Северная Корея получает за счёт незаконной деятельности, и значительная её часть связана с кибератаками.

Тихая гонка вооружений

Кражу криптовалюты идеальным преступлением не назовёшь. Когда-то полиция и регуляторы практически не имели понятия о происходящем, но сегодня у них за плечами находятся годы расследований в этой области. Кроме того, всё чаще с властями сотрудничают обменные пункты, испытывающие давление государства и желающие увеличить легитимность своей деятельности. Следователи перестали быть вечно отстающими и принимают проактивные меры. В итоге многие обменники ввели новые правила и системы контроля, которых раньше просто не был. Инструменты для слежения за блокчейном многое умеют, их становится всё больше, и криптовалюты уже не настолько анонимны, как принято считать в народе. Оказывается, что у государства есть достаточно влияния даже в этом киберпанковском мире.

Неважно, через сколько слоёв или прыжков переместится украденная хакером криптовалюта, его попытки неизбежно наткнутся на непреложный факт: если вы пытаетесь обменять большие объёмы криптовалюты на американские доллары, вам почти наверняка придётся переводить её обратно в биткоины. Никакую другую криптовалюту не принимают так широко, и не обменивают так легко. Хотя новые валюты и конфиденциальные технологии появляются уже много лет, биткоин и его общедоступный журнал операций остаются «костяком экономики криптовалют», говорит Янчевски.

А это значит, что итоговым местом назначения валюты часто будет розничный трейдер – специальный агент откуда-нибудь из Китая, который может превращать криптовалюту в деньги, иногда без всяких следов. Такие трейдеры часто игнорируют легальные требования типа необходимости удостоверять личность клиентов – из-за этих требований на крупных обменных пунктах обналичивать краденые миллиарды опасно.

«Раньше мы видели только транзакции в биткоинах от момента их кражи до перемещения к трейдерам. Этот процесс позволял Лазарусу избавляться от биткоинов. Всё было относительно просто, — говорит Джонатан Левин, основатель компании по расследованию действий с криптовалютой Chainalysis. – Сегодня в этом процессе участвует гораздо больше валют. У них получается проводить деньги через малоизвестные валюты, но в итоге они всё равно приходят к тому же – конвертации обратно в биткоин и проводку через рынок трейдеров».

Именно так Лазарус предпочитает обналичивать миллионы долларов в биткоинах.

Объёмы бизнеса огромны: 100 крупнейших трейдеров, занимающихся отмыванием денег, ежемесячно получают сотни миллионов долларов в биткоинах, что составляет около 1% всех транзакций этой криптовалюты.

Chainalysis утверждает, что нелегальные операции с биткоинами не составляют большую часть операций с блокчейном, однако процент таких операций остаётся значительным и продолжает расти. К примеру, появившийся благодаря криптовалюте рынок кибервымогательства вырос до объёма в миллиарды долларов, а оборот анонимных магазинов в даркнете в 2019 году составил более $600 млн.

«Сложность операций выросла по сравнению с прошлым, — говорит Левин. – Некоторые из операций проходят успешно, но в то время, как США предпринимает всё больше действий, а обменники реагируют на запросы по заморозке средств и их конфискации, эти технологии перестают быть такими эффективными».