Chainalysis: отчет по крипто преступлениям 2021

Суть блокчейна в том, что все его данные неизменны и открыты. Значит, любые транзакции можно отследить.

Это удобно как в бытовом плане, так и с точки зрения расследований киберпреступлений. И есть сервисы, которые помогают в этом.

В сферу ее деятельности входит предоставление данных, программного обеспечения, услуг и исследований для государственных учреждений, бирж, страховых компаний, финансовых учреждений и компаний по кибербезопасности по всему миру.

С помощью ее инструментов были раскрыты некоторые из самых громких дел, связанных с киберпреступностью.

В начале 2021 Chainalysis предоставила отчет за прошлый год, покрывающий основные направления киберпреступлений, в которых используются криптовалюты. В список попали:

• Отмывание денег;
• Вымогательство;
• Даркнет рынки;
• Мошеннические схемы;
• Кража;
• Финансирование терроризма и экстремизма.

Мы часто с вами слышим, что одна из основных функций криптовалют - обслуживание криминала. Однако, данные Chainalysis говорят совсем о другом.

Доля транзакций, связанных с нелегальными средствами несоизмерима мала в сравнении с обычными. Более того, за последний год этот показатель и вовсе упал.

Так в 2019 году доля таких транзакций составляла 2,1% от общей объема, а в 2020 и вовсе 0,34%. В натуральных числах, этот показатель также уменьшился.

По типам преступлений эти средства расположились следующим образом.

Здесь указаны лишь входящие транзакции. На исходящие приходится отмывание денег.

Наглядно видно, что самый популярный вид киберпреступлений - мошенничество. В 2020 году на это вид преступлений пришлось 54%, но это все равно меньше рекордов 2019, когда PlusToken оставил своих жертв без 2 миллиардов долларов.

На 2 месте располагаются рынки даркнета. И что самое интересное, хоть доля вымогательств невелика - 7%, но рост от года к году составил 311%!

Причиной мог послужить карантин, когда большое количество сотрудников было вынуждено работать на дому. А это в свою очередь вскрыло ряд уязвимостей.

Так или иначе, главная цель любого криптовалютного преступления - обналичить деньги.

Отмывание средств - важнейшее звено во всех этих схемах. Как оказалось, одно из самых уязвимых. На это указывают данные блокчейна.

Преступникам сложно использовать крупные биржи с их продвинутыми процедурами комплаенса. Вместо этого они пользуются удивительно малым набором сервисов, для которых отмывание средств либо основная деятельность, либо просто случайные транзакции.

Это игровые платформы, миксеры и сервисы, расположенные в юрисдикциях со слабым регулированием.

Незаконные средства для некоторых адресов составляет небольшую долю объема и можно предположить, что такие сервисы оказывают услуги по обналичиванию случайно из-за слабо проработанных процедур комплаенса.

Однако, для других адресов незаконные средства составляют чуть ли не весь объем полученных средств. Вероятно, что они принадлежат преступникам и не в состоянии функционировать без незаконных средств.

Криптовалюты, задействованные в незаконных схемах оседают в основном на адресах 5 сервисов. За несколько лет 2 из них не поменялись.

Фантазии у преступников явно не хватает.

На адреса этих 5 сервисов пришлось 55% всех незаконных средств за 2020 год.

Благодаря блокчейну можно копнуть еще глубже.

Ниже на графике отображены адреса этих сервисов, на которые когда-либо приходили незаконные криптовалюты.

Для примера возьмем первую корзину. На 1 138 030 адресов пришли суммы от 0-100$, что в сумме составило 13 миллионов долларов. Таким образом, крупные транзакции пришли всего на 1867 адресов.

Т.е. на эти адреса приходится 75% всего объема незаконных средств за 2020 год.

При этом 270 из них отвечают за 55% этого объема. Уровень концентрации зашкаливает и находится выше уровня 2019 года.

Причиной может послужить то, что преступники используют лишь проверенные сервисы.

Chainalysis повествует о том, что эти адреса можно рассмотреть еще более подробно и выявить, для кого из этих адресов отмывание средств — основной вид деятельности, а для кого — дело случая.

Но вывод напрашивается сам собой: правоохранительные органы могут не слабо навредить деятельности преступных киберорганизаций, если смогут выяснить, кому принадлежат эти адреса.

2020 год стал годом карантинов и локдаунов. А в криптопреступной среде - это год вымогательств.

Анализ блокчейна указывает на рост криптоплатежей от жертв вымогателей на 311%. В натуральных числах это составило 350 миллионов долларов.

Однако, виновников может быть меньше, чем кажется на первый взгляд.

Количество программ-вымогателей может говорить о том, что преступных групп довольно много. Chainalysis говорит о том, что может существовать модель RaaS (ransomware as a service), где такая программа арендуется у создателей.

Некоторые специалисты по кибербезопасности утверждают, что разные программы принадлежат одним и тем же создателям ввиду того, что у них схожий год и действия, но разные название.

Вот так выглядит топ программ-вымогателей по количеству собранных средств:

Благодаря блокчейну можно отследить транзакции и подтвердить существование RaaS модели и принадлежность разных программ одним и тем же создателям.

Помимо очевидных проблем с программами вымогателями, у этого вида кибрепреступности есть еще один неочевидный риск. Это риск санкций. Суть в том, что жертва не знает, кому отправляет средства.

Это предупреждение касалось как самих жертв, так и компаний, который помогают в решении вопросов с программами вымогателями.

Дело в том, что выплаты не только финансируют будущие подобные атаки, но также могут быть использованы для финансирования лиц, входящих в санкционных список. А это влечет за собой крупные штрафы.

Chainalysis взялась оценить санкционный риск. Были подсчитаны все транзакции, которые подходили под один из 3 критериев:

• Платежи по адресам, распознанным OFAC, как принадлежащие лицам, подпадающим под санкции. Сюда относятся платежи, произведенные до того, как владельцы адресов были фактически подвергнуты санкциям;
• Платежи по адресам, связанным с программами вымогателями, создатели которых подверглись санкциям OFAC;
• Платежи по адресам, связанными с киберпреступниками, базирующимися в юрисдикциях под жесткими санкциями, таких как Иран и Северная Корея.

В исследовании использовались следующие программы вымогатели:

Получилось, что 15% всех платежей были подвержены санкционному риску.

Кажется не слишком много, особенно в сравнении с прошлыми годами, но не забывайте, что в целом объем транзакций, связанный с вымогательством вырос. В натуральных числах это огромные суммы.

Объем криптовалютных платежей размером более 50 миллионов долларов подвержен санкционному риску. Нужно понимать, что помимо обыкновенных пользователей, крупные биржи также подвержены этому риску.

Около 32 миллионов долларов, полученных программами вымогателями, были отправлены на популярные биржи. Поэтому критически важно, чтобы люди, столкнувшиеся с такой проблемой, получали консультации от специалистов и юридически подкованных лиц.

Chainalysis говорит в своем отчете, что есть веские основание полагать, что создателей, стоящими за программами-вымогателями может быть не так много, как кажется на первый взгляд.

В качестве подтверждения своей теории они анализируют блокчейн на предмет связи между Maze, Egregor, SunCrypt, и Doppelpaymer.

Эти программы были довольно активны в 2020 году, атакуя такие компании как Barnes & Noble, LG, Premex и Университетскую больницу Нью-Джерси.

Каждый из них работал по RaaS модели и использовали стратегию двойного вымогательства, когда часть приватных данные выкладываются в онлайн, чтобы дополнительно стимулировать жертву платить.

Сразу бросается в глаза то, что Egregor стал активным в 4 квартале сразу после того, как Maze сошел на нет.

Некоторые специалисты по кибербезопасности считают, что эти две программы связаны между собой.

В начале ноября операторы Maze на своем сайте опубликовали заявление о прекращении работы. Вскоре после этого, Egregor заставил многих понять, что это был простой ребрендинг. Такое достаточно часто происходит в этой сфере.

Однако причиной может быть то, что Egregor банально лучше. Или то, что пользователи Maze оказались недовольны и произошел раскол на Maze и Egregor. У этих программ схожий код, записка о выкупе и похожие сайты для оплаты.

Как на поверхности, так и со стороны блокчейна есть много свидетельств того, что эти программы связаны между собой.

Chainalysis приводит подробное исследование транзакций и связей между ними. Мы ограничимся простым примером запутанной пересылки средств от Egregor на адрес, который, как считается, принадлежит администратору Doppelpaymer.

Важный вывод, который можно сделать, состоит в следующем.

Независимо от глубины и характера связей, имеющиеся данные говорят о том, что мир вымогателей меньше, чем кажется на первый взгляд, особенно, учитывая количество уникальных программ вымогателей, действующих в настоящее время.

Эта информация очень сильно может помочь правоохранительным органам.

Если они идентифицируют и будут действовать против групп, контролирующих несколько таких программ, или против OTC, которые отмывают средства, полученных в результате атак, то они смогут прекратить или хотя бы повлиять на деятельность криминальных групп.

По большому счету связи легко отследить ввиду того, что используются одни и те же сервисы по обналичиванию. А таких сервисов не так уж и много, если судить по количеству рекламы на хакерских форумах.

Однако, полученные от вымогательств средства уходят не только на адреса обнальщиков, но также используются в следующих случаях:

• Сервисы тестирования на проникновение, которые операторы вымогателей используют для проверки сетей потенциальных жертв на наличие слабых мест;

• Продавцы эксплойтов, которые продают доступ к уязвимостям в различных типах программного обеспечения;
• Проверенные хостинг-провайдеры, которые предоставляют веб-хостинг, и, как правило, снисходительны к типам сайтов, которые клиентам разрешено размещать.

Это, кстати, тоже возможность для правоохранителей, которые теоретически могут уничтожить несколько программ вымогателей, если накроют поставщиков этих услуг.

Данные указывают, что в сфере обналичивания средств, полученных вымогательством, адреса еще сильнее сконцентрированы.

Всего 199 адресов получили 80% всех средств, отправленных по адресам вымогателей в 2020 году. На 25 адресов приходит 46% от этого количества.

За 2020 год для этого сектора характерны повышенная активность при снижении количества покупок и числа рынков.

Рынки даркнета установили рекорд по количеству собранной криптовалюты за 2020 год. Объем составил 1,7 миллиардов долларов.

Любопытно то, что количество покупок сократилось с 12,2 миллиона до менее 10 миллионов. И, если внимательно посмотреть, то почти весь рост активности пришелся на один конкретный рынок - Hydra.

Если исключить Hydra, то на рынках практически нет никаких изменений. Флэт.

С точки зрения криптопреступлений, пространство Восточной Европы уникально, где Hydra играет крупнейшую роль и имеет один из самых высоких показателей объема транзакций криптовалют, связанных с киберпреступлениями.

Благодаря Hydra этот регион стал единственным, в котором криминал входит в топ-10 организаций, оперирующих криптовалютой.

Если убрать Hydra, которая торгует наркотиками, то на первые места выходят рынки, которые торгуют украденной информацией о кредитных картах и другими данными, которые могут быть использованы для мошенничества, включая личную информацию, украденные учетные записи для различных услуг и хакерские эксплойты.

И в целом активность даркнет рынков менее сконцентрирована за пределами русскоязычного пространства, причем несколько различных рынков получают приличный доход:

Средства на рынки приходят в основном с бирж. Причем в 2020 году доля пиринговых бирж значительно снизилась в пользу обычных популярных бирж.

Это может быть также связано с карантином, когда уличные продажи сократились и много новичков познакомились с криптовалютами, а стандартные биржы очень просты в использовании. Средства с рынков в основном уходят на те же биржи, либо в миксеры.

Однако, есть примечательное обстоятельство. Если сравнивать чистый приход/уход криптовалютных средств, то обнаруживается связь даркнет рынков с криптоматами:

На графике выше видно, что большая часть средств уходит в миксеры. Не удивительно, ведь это самый популярный способ отмыть криптовалюты.

Но есть и позитивный поток от криптоматов, который говорит о том, что покупатели предпочитают финансировать свои покупки через криптоматы. Такого нет у ни одного из исследуемых направлений киберпреступности.

Chainalysis анализирует деятельность даркнет рынков и по географии.

Естественно, лидирует Восточная Европа, за счет масштабной деятельности Hydra. Далее идут Северная и Западная Европа, Центральная и Южная Азия и Океания, Восточная Азия, Латинская Америка и Северная Америка.

И это отлично совпадает с тем, что мы знаем о мировой торговле наркотиками. Латинская Америка и Азия производит, Северная Америка и Западная Европа потребляют. Обналичиваются средства за счет OTC в Китае или Восточной Европе.

По обороту лидируют следующие страны:

• Россия
• США
• Украина
• Китай
• Венесуэла
• Вьетнам

В отчете приводится подробная таблица, описывающая объемы средств, связанные с даркнет рынками.

Рынки даркнета, похоже, стали слабеть в 2020 году, некоторые из них закрываются, а остальные полагаются на сокращающийся пул клиентов для получения дохода.

Вопреки здравому смыслу и несмотря на его влияние на время доставки, Covid, по-видимому, не является основной причиной этих проблем.

Вместо этого консолидация рынков даркнета может быть результатом конкурентных сил, присущих самой сфере, при этом Covid просто ускорил тенденцию, которая уже существовала.

Интересно то, что раньше волатильность биткойна никак не влияла на активность рынков, но после мартовского падения, активность участников также упала. Вероятно, на это повлияло и введение локдаунов.

Однако, действие оказалось временным. С мая начался рост активности.

Выручка превысила общий объем 2019 года, но объем переводов на рынки даркнета составил чуть менее 10 миллионов, что значительно ниже 2019 года, превышающего 12,0 миллиона.

Цифры показывают, что в 2020 году клиенты совершали меньше покупок, но на большую сумму. Это может указывать на то, что случайные покупатели или те, кто покупает наркотики для личного использования, уходят с рынков даркнета, в то время как те, кто покупает в больших количествах для себя или для продажи другим, покупают больше.

Также это может означать, что некоторые случайные покупатели начали размещать более крупные заказы, чтобы запастись в условиях неопределенности.

За 2020 год количество активных рынков стало меньше. И, хотя некоторые заявили, что это временно, 37 действующих рынков - это минимум с конца 2017 года.

Сложно сказать, почему рынки закрываются, потому что обычно владельцы проворачивают экзит скамы (уходят со всеми средствами), либо сайты подвергаются DoS атаке.

Вполне вероятно, что локдауны и карантины повлияли на работу и выручку этих магазинов. На многих форумах покупатели жалуются на задержки поставок или вообще отсутствие доставки.

Однако, специалисты придерживаются другого мнения.

Посудите сами. Если исключить Hydra из расчетов, то выручка всех остальных составляет 250 миллионов долларов. 5% или 12,5 миллионов долларов - комиссия администраторов. А еще же нужно оплачивать работу сотрудников.

И это становится просто нерентабельно держать такой магазин с перспективой сесть на более 100 лет в тюрьму.

Решением текущих проблем для рынков может стать децентрализация. Уже есть рабочий пример в виде бота в Телеграме, который соединяет потребителей и поставщиков.

Вероятно, такие платформы продолжат расти и получать большую долю общего дохода от рынка даркнета в 2021 году, поскольку их децентрализованный характер делает их более устойчивыми к атакам как со стороны правоохранительных органов, так и со стороны конкурирующих рынков.

Размер дохода от мошенничества значительно сократился, несмотря на то, что количество жертв увеличилось:

Мошенничество остается самым доходным видом преступлений, связанных с криптовалютами, но в 2020 году общий доход резко сократился с примерно 9 миллиардов долларов до менее 2,7 миллиарда долларов.

Примечательно, что количество индивидуальных платежей по мошенническим адресам выросло с чуть 5 миллионов до 7,3 миллиона, что говорит о том, что число отдельных жертв мошенничества выросло более чем на 48%.

Основная причина в том, что в 2020 году не было таких крупных понци-схем, как PlusToken. Поэтому основным источником дохода стали мошеннические схемы, связанные с инвестированием.

Наглядные пример: Mirror Trading International стала самой крупной аферой в 2020 году, завладев криптовалютой на сумму 589 миллионов долларов с более чем 471 000 депозитов, что говорит о сотнях тысяч жертв.

Подробное исследование можно прочитать в отчете. Отметим один интересный пункт.

Для обналичивания использовалась игровая платформа. Туда было отправлено 39 миллионов долларов, что является самым большым по объему пунктом назначения.

Кейс с Mirror Trading International отлично показывает, что алгоритмические торговые платформы, обещающие нереально высокую прибыль, почти всегда являются мошенничеством.

Если криптовалютные биржи и другие службы узнают об этих мошенничествах и выявляют их адреса, то они должны отговаривать пользователей от отправки средств на эти адреса или, по крайней мере, предупреждать их о высокой вероятности финансовых потерь.

Кроме того, биржи, игровые платформы и другие сервисы, которыми пользуются мошенники для отмывания средств, должны рассмотреть возможность блокирования входящих транзакций от проектов, которые соответствующие государственные органы называют мошенничеством или потенциальным мошенничеством, поскольку отсутствие возможности конвертировать средства в наличные затрудняет работу мошенников.

В 2020 году было украдено приличное количество криптовалюты. В основном за счет развития индустрии DeFi.

В 2020 году более 520 миллионов долларов в криптовалюте было украдено у сервисов и частных лиц с помощью взломов и нетехнических атак, таких как социальная инженерия или фишинг.

Это явно больше, чем было в 2019 году, но на порядок меньше 2018 года.

Более половины этой суммы было украдено в результате взлома биржи Kucoin, ответственность за который можно публично приписать Lazarus Group, хакерской группировке связанной с Северной Кореей.

Они также ответственны за многие взломы бирж за последние года.

Невооруженным глазом видно, что появилась новая тенденция - воровство в DeFi. Это, конечно, не удивительно, учитывая взрывной рост децентрализованных финансов.

Теперь и у преступников появляется новая уязвимая цель для атак. Несмотря на то, что на DeFi приходилось всего 6% всей криптовалютной активности, платформы потеряли примерно 33% всей криптовалюты, украденной в 2020 году, и стали жертвами почти половины всех индивидуальных атак.

Есть несколько причин, почему DeFi протоколы стали уязвимыми для атак.

Главная причина в том, что они сильно подвержены атакам с манипулированием цен. Манипулирование ценами было задействовано практически во всех заметных атаках за 2020 год.

Протоколы получают данные о ценах от оракула. Ммногие используют централизованные оракулы, что означает наличие всего одной ноды и один источник данных о ценах. Как раз это и есть уязвимое место.

Инструмент для таких атак широко используется участниками DeFi. Это флэшзаймы.

В 2020 году мошенники вооружились этими флэшзаймами, чтобы купить криптовалюту на заемные средства, пампануть цену и продать ее тут же. Дохода хватает на то, чтобы вернуть кредит, а излишки оставить себе.

Одна из первых атак такого рода была применена к протоколу bZx. Это сработало, потому что в коде платформы не было никаких предохранителей на случай больших скачков цен на других платформах DeFi, которыми, возможно, воспользовались киберпреступники, пампя цену WBTC на Uniswap.

Отсюда вытекает вторая причина уязвимости протоколов. Открытость кода.

Код открыт для публики по той причине, что задействованы крупные суммы средств. И перед тем, как взаимодействовать с протоколом, участник должен убедиться в его безопасности.

Но и киберпреступники могут проанализировать код на наличие уязвимостей и воспользоваться для своей выгоды. Поэтому очень важно для DeFi протоколов использовать самые продвинутые меры безопасности и пользоваться децентрализованными оракулами.

Возвращаясь к теме Lazarus Group, группировке отвественной за хак Kucoin.

Chainalysis определили, что украденные средства сначала уходят в миксеры малыми порциями. При это хакеры ждут подтверждение каждой транзакции перед тем, как отсылать новую, чтобы минимизировать потери.

Далее средства уходят на OTC или биржи.

В 2020 году наметился тренд использование DeFi протоколов для отмывки средств:

При этом аналитики отмечают, что группировка предпочитает использовать уникальные адреса на биржах. Так, к концу 2019 года у них было 470 адресов на топ-20 биржах, то к концу 2020 года стало 2078.

Причина может быть в том, что они так снижают риски на случай, если какие-то адреса будут заблокированы. Также это подтверждает паттерн, что Lazarus Group каждый год подстраивается и видоизменяют свою стратегию обналичивания средств.

Поэтому биржам очень важно уделять внимание на транзакции, которые приходят со сторонних сервисов, даже от больших. для которых обнал - случайные транзакции.

В 2020 году государственные учреждения по всему миру раскрыли, расследовали больше схем финансирования терроризма, связанных с криптовалютой, чем когда-либо прежде.

Наиболее заметный пример произошел в августе, когда Министерство юстиции Соединенных Штатов (DOJ) объявило об изъятии криптовалюты у террористической группы.

После расследования нескольких различных кампаний по пожертвованию криптовалют правительственные учреждения США изъяли биткойны на сумму более 1 миллиона долларов из кошельков, контролируемых террористическими группами и их финансовыми посредниками.

Chainalysis приводит несколько примеров финансирования терроризма и подробно рассматривает 2 из них.

1. В первом примере, нужно было банально пересылать биткойн на указанный адрес. Однако, со временем систему настроили так, что под каждый донат создавался новый адрес. А это значительно сложнее отследить.

Такое усложнение говорит о том, что террористы обучаются и стараются применять новые схемы.

Для обналичивая криптовалют используются финансовые учреждения без лицензий. Такие компании не работают только с террористами, потому что последние не могут обеспечить достаточные объем средств для поддержания бизнеса. Но плохо то, что таким учреждениям все равно.

Их не заботят процедуры комплаенса и то, с кем они ведут дела. При этом, работая с террористами они развиваются и продолжают свой бизнес с законными компаниям и пользователями.

2. Во втором примере, Chainalysis описывает ситуацию, когда криптовалютная биржа стала хабом для финансирования терроризма. Зачастую группировки представляются организациями по сбору пожертвований в Сирии.

Но по многим характеристикам можно определить, что деньги пойдут на закупку вооружения.

Такие группировки используют многоуровневые транзакции, чтобы запутать движение “пожертвований” в центральных хаб, откуда они перераспределяются между отдельными группами.

Благодаря блокчейну удалось определить цетральный хаб. Им стала криптовалютная биржа BitcoinTransfer, базирующая в Идлибе, Сирия. ЛОЛ!

BitcoinTransfer претендовала на звание криптовалютной биржи, но по всей видимости была полностью под контролем террористов.

Эти кейсы говорят о том, что криптовалюты становятся значимыми для террористов, так как они представляют простой способ пересылать средства по всему миру. Группировки в основном были сосредоточены на том, чтобы отправлять средства в Сирию, но сами базировались в разных частях Ближнего Востока или Азии.

Криптовалюта позволяет им отправлять деньги через границы и координировать финансирование своих операций при меньшей вероятностью блокировки переводов, особенно, если они полагаются на неподконтрольные криптовалютные биржи и финансовые учреждения без лицензий.

Однако, как показывает практика раскрытия, их планы далеки от того, чтобы быть надежными.

Еще кое-что важное вытекает из истории с BitcoinTransfer.

После того как американские агенты определили сирийскую службу как хаб по финансированию терроризма, агентства в других странах по всему миру смогли расследовать подозрительные операции, связанные с ней, и раскрыть больше схем финансирования терроризма.

Chainalysis приводит слова Джесси Брукс, помощника прокурора США. В подобных делах сотрудничают не только государственные учреждения, но и криптовалютные биржи и другие игроки отрасли.

Мир криптовалют меньше, поэтому обычным пользователям гораздо проще взаимодействовать с адресом, связанным с финансированием терроризма, если этот адрес не закрыт, что создает проблемы для всех.

Поэтому отчасти по этой причине биржи действительно хорошо реагировали и старались помочь, когда мы обращались за помощью в этих случаях.

В конце своего отчета Chainalysis приводит несколько выводов о том, куда дальше двинется история с криптовалютными преступлениями:

• DeFi будет играть все большую роль в крипто-преступности;
• На рынках даркнета будет больше децентрализации;
• Биржи станут относиться к другим сервисам с большим вниманием, поскольку процедуры комплаенса становятся нормой.
  

Перспективы в области пресечения киберпреступности никогда не были так видны как сейчас.

Да, некоторые из предстоящих достижений в области криптовалюты усложнят дейстельнось правоохранительным органам и специалистам по соблюдению требований обнаружение и борьбу с преступной деятельностью.

Тем не менее, криптовалютный мир может объединиться, чтобы решить эту проблему и в конечном итоге создать более безопасную экосистему для всех участников.

Оригинал отчета от Chainalysis на английском

2-й отчет от Chainalysis: май 2021

TG аналитика: Top Traders

TG обучение: TT Academy