🕵️ Как хакеры отмывают крипту: что на самом деле происходит в 2026
Представьте, что вы украли огромную сумму в крипте. Потратить её нельзя: всё видно в блокчейне, а Tether и биржи готовы заморозить всё, до чего дотянутся. Что делать?
Разберём на реальных примерах: взломах Ronin (2022), Bybit (2025) и Binance (2026). Во всех трёх случаях, по данным аналитиков и ФБР, за кражей стояли северокорейские хакеры. Схемы отмыва от года к году меняются.
1️⃣ Первый шаг: уйти от активов, которые можно заморозить.
Стейблкоины вроде USDT и USDC похожи на подарочную карту магазина: компания-выпускатель может отключить её одним нажатием. Раньше на это уходили дни, теперь часы. После взлома Binance в октябре 2026 года (≈$6,4 млрд, рекорд) заморозили около $2,85 млрд, то есть 44%. После Bybit в 2025 году заморозили всего около 3%. ETH и BTC заморозить нельзя, поэтому хакеры первым делом пытаются обменять всё на них. В случае Binance они скупали эфир так агрессивно, что его цена подскочила.
2️⃣ Король маршрутов: токен → ETH → мост → BTC.
Мосты и мгновенные обменники нужны, чтобы поменять одну монету на другую и не отвечать на вопросы, чьи это деньги. Хакеры Bybit (взлом на $1,46 млрд, Lazarus) активно пользовались THORChain и другими кроссчейн-сервисами. После Binance ФБР опубликовало адреса, связанные с кражей, и призвало такие сервисы их блокировать. Через THORChain прошло около $44 млн, через Relay $48 млн, через Chainflip $32 млн. Для протоколов, которые гордятся тем, что «открыты всем», это неудобная ситуация.
3️⃣ Миксеры отходят на второй план.
Когда в 2022 году взломали Ronin (сеть игры Axie Infinity), значительную часть денег пропускали через миксер Tornado Cash. Это сервис, который смешивает монеты разных людей, чтобы след терялся. Но после санкций против Tornado Cash и из-за его неудобства для больших сумм аналитики видят сдвиг: мосты и обменники быстрее и ликвиднее. Хакерам нужна не анонимность, а возможность быстро обменять миллионы на что-то нормальное.
4️⃣ Кошки-мышки с заморозками.
После Binance хакеры придумали обходной путь на сети Tron. Когда Tether начал морозить USDT, они стали вносить стейблы в DeFi-протоколы и получали взамен «депозитные токены», которые заморозить нельзя, а потом выводили деньги с новых адресов. Это как сдать краденый телефон в ломбард, а потом выкупить его через подставное лицо. По данным Chainalysis, игра шла в реальном времени.
5️⃣ Отмыв на автопилоте.
Elliptic заметил, что главный кошелёк хакеров на Tron выплачивал деньги каждый час 31 час подряд, пауза ни разу не превысила 46 минут. За четыре дня деньги разошлись примерно по 12 000 кошелькам, это новый кошелёк каждые 25 секунд. Интернет решил, что работают ИИ-агенты, но аналитики это опровергли: отмыв автоматизирован, но признаков того, что решения принимает ИИ, нет. Рутину делают скрипты, а решения принимают люди.
6️⃣ Запутать след любой ценой.
В истории с Bybit аналитики описывали и более хитрые приёмы: создание новых бесполезных токенов, которыми хакеры торговали между своими кошельками, чтобы придать движению денег видимость обычной активности, и использование «адресов возврата» для перенаправления средств на свежие кошельки. Финальная точка у Bybit была прозаичной: средства превращали в USDT на Tron и выводили, предположительно, через OTC-сервисы, то есть обмен «из рук в руки» за наличные или банковский перевод.
7️⃣ Отмывать дорого.
Когда обмениваешь огромные суммы за минуты, рынок не успевает подстроиться. На первых $242 млн, которые прошли через Tron после Binance, хакеры потеряли около 12% на комиссиях и проскальзывании. Это цифра по этой части денег, а не по всем миллиардам. Поэтому с ETH и BTC хакеры часто не торопятся: заморозить их нельзя, а быстрый обмен слишком дорог.
8️⃣ Ирония.
Монеты, созданные для приватности, в этих историях не главные герои. Хакерам нужны не анонимность, а ликвидность и скорость. Побеждает не самая «тайная» монета, а та, которую проще всего быстро обменять. А на последнем шаге, когда деньги нужно превратить в обычные, на сцену выходят живые люди: по данным Elliptic, в прошлых случаях Северная Корея передавала украденное китайским сетям по отмыву денег.
🏁 Итог: путь украденных миллиардов выглядит как гонка с заморозками, а не как фильм про хакеров в капюшонах. Первые часы решает скорость: кто успел заморозить, тот спас деньги, а кто успел перейти в ETH и BTC, тот сохранил их. Дальше начинается марафон: мосты, DeFi, тысячи кошельков и OTC. Хакеры совершенствуют схемы, а аналитики и ФБР идут за ними по пятам. Лучшая защита от таких краж не анонимность и не хитрые схемы, а скорость реакции. Чем быстрее заморозили, тем меньше увезли. 🔒
Хакер в минусе на 119 миллионов
#USDC #BTC☀ #Ethereum #Near #solana
