Siedząc z cyberprzestępcami, którzy śledzą przestępców kryptowalut

Kolczaste żółte i niebieskie kształty zaczynają wypełniać ekran, który obejmuje całą ścianę w laboratorium w Imperial College London. Kształty wyłaniają się z pustej przestrzeni, gdy wyświetlacz pulsuje i tańczy. Wizualizacja jest hipnotyzująca i myląca, ale ma sens, gdy zdasz sobie sprawę z tego, co widzisz. Obserwuję, jak łańcuch bloków Bitcoina rośnie przede mną.

Pojawia się postrzępiony niebieski okrąg, a William Knottenbelt, naukowiec z uczelni, komentuje na żywo. Tutaj widzisz, jak ktoś przyjmuje Bitcoin, a następnie wypłaca go tysiącom innych osób, mówi.

Ta historia była częścią naszego wydania z maja 2018 r.

• Zobacz resztę numeru
• Subskrybuj

Może to być pula wydobywcza wypłacająca nagrody osobom, które przyczyniły się do znalezienia niektórych bloków. Wskazuje na ciekawą grupę kształtów na ekranie.

Ach, ta struktura tutaj jest interesująca, mówi Knottenbelt. Pojawia się kilka niebieskich kółek — więcej wypłat na wiele kont — ale są one połączone krzyżykiem z żółtymi liniami. Wygląda na to, że ktoś nabazgrał na wyświetlaczu Sharpie.

To, co właśnie zauważył Knottenbelt, może być pierwszym dowodem pracy wyrafinowanego przestępcy.

Powstał przemysł, który pomaga walczyć. Nowe narzędzia kryminalistyczne pozwalają władzom śledzić pieniądze za pośrednictwem sieci kryptowalut, które okazują się znacznie mniej prywatne, niż mieli nadzieję ich założyciele. Podobnie jak kamery dozorowe zamieniły rabusiów na banki ze znanych przestępców w łatwe do złapania rubryki, naukowcy mają nadzieję, że ich postępy mogą zmienić anonimowych złodziei w znanych więźniów i uczynić świat kryptowalut bezpiecznym dla przeciętnego klienta.

Możliwości w kryptoprzestępczości

Jeśli nie masz nic dobrego, kryptowaluty zaznaczają wiele pól. Jedyną rzeczą, która łączy Cię z kontem w Bitcoin, Ethereum, NEM lub tysiącem innych systemów kryptowalut, jest adres, zazwyczaj losowy ciąg liter i cyfr. Możesz mieć tyle adresów, ile chcesz i w zasadzie nie ma oczywistego sposobu na powiązanie ich ze sobą lub identyfikację ich właścicieli. Co więcej, pieniądze na tych rachunkach można przelać bez pośredników i przez granice międzynarodowe tak łatwo, jak wysyłając e-mail.

Zamiast spotykać się z tobą na ciemnym parkingu, żeby oddać walizkę pieniędzy, mogę siedzieć z laptopem na balkonie w Monako – mówi Jeffrey Robinson, dziennikarz śledczy i autor 30 książek o przestępstwach finansowych, m.in. BitCon: Naga prawda o Bitcoinie .

William Knottenbelt, naukowiec z Imperial College London, mówi: Nie sądzę, żeby zakazanie czegokolwiek nikomu nie pomogło. Thomas Angus, Imperial College w Londynie

Sprytni przestępcy wykorzystują nowe możliwości. Badanie przeprowadzone w 2018 r. przez Elliptic, startup zajmujący się analizą łańcucha bloków oraz amerykański think tank Center on Sanctions and Illicit Finance, wykazało pięciokrotny wzrost liczby nielegalnych operacji na dużą skalę działających na blockchainie Bitcoin w latach 2013–2016. Analizując historię ponad 500 000 bitcoinów zidentyfikowali 102 podmioty przestępcze – w tym ciemne sklepy internetowe, schematy Ponzi i osoby atakujące ransomware – i wykazali, że wiele monet w ich badaniu może być z nimi powiązanych.

Dziewięćdziesiąt pięć procent wszystkich wypranych monet śledzonych przez badanie pochodziło z zaledwie dziewięciu ciemnych rynków, w tym Silk Road, Silk Road 2.0, Agora i AlphaBay. Są to znane bazary internetowe, na których można kupić zakazane towary, takie jak narkotyki i broń, oraz zapłacić za usługi, takie jak prostytucja lub morderstwo na zlecenie. W ciemnej sieci można nawet kupić porady prawne, mówi Robinson. Są tam prawnicy, którzy chcą zabrać Bitcoin, aby powiedzieć Ci, jak uniknąć złapania przez Bitcoin.

Pojawiają się również inne rodzaje przestępczości zorganizowanej. Hakerzy przyjęli Bitcoin jako swoją ulubioną płatność za ataki ransomware. Liczba takich ataków wzrosła w 2016 r., a prawie 16 procent skażonych monet było powiązanych z epidemiami złośliwego oprogramowania, takiego jak Locky. Trend ten utrzymał się w 2017 roku dzięki WannaCry i NotPetya, które posiadały systemy komputerowe zakładników w szpitalach i firmach na całym świecie. W marcu tego roku systemy władz miejskich w Atlancie stały się bezużyteczne w wyniku ataku ransomware, którego sprawcy zażądali około 51 000 USD w Bitcoin.

Kryptoprzestępczość infekuje nawet świat offline. W ciągu ostatnich kilku miesięcy mieliśmy do czynienia z lawiną rzeczywistych napadów, w których ofiary były zmuszane do przekazywania szczegółów konta na muszce. Nagle, jeśli masz dużo kryptowalut, jesteś w fizycznym niebezpieczeństwie, mówi Knottenbelt Imperial College.

Kryptoprzestępczość infekuje nawet świat offline. W ciągu ostatnich kilku miesięcy mieliśmy do czynienia z lawiną rzeczywistych napadów, w których ofiary były zmuszane do przekazywania szczegółów konta na muszce.

A jednak, ponieważ każda transakcja Bitcoin jest rejestrowana w rozproszonej księdze publicznej, można śledzić nieuczciwie uzyskane zyski. Każdy może pobrać całą historię transakcji Bitcoin – która obecnie waży około 160 gigabajtów – i zbadać ją lub skorzystać ze strony internetowej takiej jak Blockchain.info lub Block Explorer, aby sprawdzić ją w przeglądarce.

Taka analiza pomogła odkryć jeden poważny napad. W 2014 roku Mt.Gox, wówczas największa giełda bitcoinów na świecie, została zhakowana przez nieznanych złodziei, którzy ukradli 850 000 bitcoinów o wartości ponad 450 milionów dolarów.

Gdy Mount Gox popadło w ruinę, jej powiernicy zwerbowali zespół kryminalistyki cracku, aby pomógł znaleźć brakujące monety. To, co znaleźli, to bałagan. Mt.Gox nie rozumiał, ile bitcoinów byli winni ludziom, a ile faktycznie posiadali, dopóki nie zauważyli, że zniknęli, mówi Jonathan Levin, który prowadził śledztwo. Levin i jego zespół w końcu wyśledzili fundusze na giełdę o nazwie BTC-e, gdzie trop się zamknął.

Chociaż nie mogli odzyskać większości brakujących monet, to śledztwo podsunęło nam pomysł opracowania narzędzia, z którego mogliby korzystać inni ludzie, mówi Levin. Jego firma Chainalysis, zrodzona z tego wysiłku, buduje narzędzia dla firm bitcoinowych, które chcą lepiej zrozumieć swoich klientów, oraz dla organów ścigania poszukujących przestępców. Inne firmy, takie jak Block Seer i Elliptic, oferują podobne narzędzia i usługi.

Według Toma Robinsona, współzałożyciela i dyrektora ds. danych Elliptic, większość światowych giełd Bitcoin używa oprogramowania firmy do monitorowania transakcji. Sprawdza, czy można je połączyć na przykład z portfelami ransomware, ciemnymi sklepami lub kradzieżą. Firma Elliptic pomogła dostarczyć dowody w kilku sprawach karnych, w tym w jednej z mężczyzną, który w ciemnej sieci kupował części do karabinów automatycznych AR-15 oraz w kilku nalotach narkotykowych.

Od czasu założenia firmy pięć lat temu, Robinson szacuje, że przy użyciu jej oprogramowania przeanalizowano transakcje bitcoinowe o wartości biliona dolarów — mimo że w historii było to tylko około 300 miliardów dolarów transakcji bitcoinowych. Dzieje się tak, ponieważ niektóre transakcje są wielokrotnie sprawdzane; Elliptic zaleca swoim klientom ponowne przeprowadzanie analiz starszych transakcji, ponieważ informacje o podejrzanych kontach są cały czas aktualizowane. Musisz ciągle sprawdzać, mówi Robinson.

Robinson nie wymieni swoich klientów, ale szybkie wyszukiwanie na USAspending.gov ujawnia, że ​​są wśród nich: US Drug Enforcement Administration, Internal Revenue Service, FBI oraz Immigration and Customs. Chainalysis współpracuje z nimi i nie tylko, w tym z organami nadzoru finansowego, takimi jak SEC. Chainalysis mówi również, że Europol i ponad połowa sił policyjnych w Europie korzysta z jego oprogramowania.

Zainteresowanie Departamentu Skarbu USA blockchainem odzwierciedla fakt, że krypto-przestępczość nie ogranicza się do napadów na monety i czarnych rynków. Chodzi również o oszustwa i uchylanie się od płacenia podatków. To będzie interesujący rok podatkowy, mówi Jeffrey Robinson. Po raz pierwszy w Stanach Zjednoczonych rozprawiają się z giełdami Bitcoin do celów podatkowych.

Sarah Meiklejohn i współpracownicy opracowali w 2013 r. techniki, na których opiera się większość dzisiejszej analizy kryptowalut. Andrzej Testa

Jak namierzyć niewykrywalne?

Wiele z tego, co robią te firmy, opiera się na technikach wprowadzonych przez Sarah Meiklejohn, a następnie na Uniwersytecie Kalifornijskim w San Diego i jej współpracowników w 2013 roku. Podstawowa idea jest prosta. Dokładnie badając aktywność blockchain, możesz zauważyć konta, które wydają się należeć do tego samego portfela Bitcoin, a zatem są kontrolowane przez ten sam podmiot. Proces ten nazywa się grupowaniem. Wiele adresów inicjujących tę samą transakcję może na przykład wyglądać jak jedna osoba lub organizacja konsolidująca mniejsze środki w jedną większą pulę. Innym znakiem ostrzegawczym jest to, że zmiana z transakcji Bitcoin jest kierowana z powrotem na konto inne niż to, z którego rozpoczęły się fundusze. Z czasem chaos układa się w regularne wzory.

Po połączeniu wielu kont z tym samym właścicielem możesz spróbować ustalić, kto jest tym właścicielem. Łączenie kont Bitcoin z tożsamościami w świecie rzeczywistym jest możliwe, ponieważ informacje mają tendencję do wyciekania. Regulowane giełdy kryptowalut – zazwyczaj te w Stanach Zjednoczonych lub Europie – muszą przestrzegać zasad „znaj swojego klienta” i przeciwdziałania praniu pieniędzy, które wymagają od ludzi przekazania tożsamości przed skorzystaniem z ich usług. Niektórzy ludzie są nawet tak nieostrożni, że publikują swoje rzekomo prywatne adresy Bitcoin na forach internetowych. Ludzie zapominają, że blockchain to tylko połowa równania, mówi Knottenbelt.

Chainalysis i Elliptic wykorzystują teraz uczenie maszynowe, aby pomóc w adresowaniu klastrów. Wkrótce może być nawet możliwe, że sztuczna inteligencja będzie nadzorować łańcuchy bloków w czasie rzeczywistym.

Wizualizacja danych wielkości ściany w Imperial College jest krokiem w tym kierunku. Niebiesko-żółta plątanina, która przyciągnęła uwagę Knottenbelta, była siecią przewracania monet, sekwencją transakcji celowo zaprojektowaną, aby utrudnić śledzenie poszczególnych monet. To tak, jak wrzucać pieniądze do słoika, potrząsać nimi, a potem znowu je wyciągać: kwota się nie zmienia, ale trudno powiedzieć, która moneta była która. Efekt jest taki sam, jak w przypadku przelewania pieniędzy przez bank w miejscu takim jak Kajmany, gdzie obowiązują surowe przepisy dotyczące tajemnicy bankowej.

Zawsze o krok do przodu

Jednak kubki niekoniecznie są oznaką działalności przestępczej. Niektórzy robią to po prostu ze względu na prywatność, mówi Knottenbelt. W każdym razie przestępcy mają lepsze sposoby na zacieranie śladów. W miarę jak granice prywatności Bitcoina stają się coraz bardziej widoczne, ludzie przenoszą się na nowe kryptowaluty, takie jak Zcash i Monero, które nie ujawniają prawie nic o transakcjach zarejestrowanych na ich łańcuchach blokowych.

Zcash używa tak zwanego dowodu z wiedzą zerową do weryfikacji transakcji. Jest to matematyczny sposób potwierdzenia, że ​​transakcja miała miejsce, bez ujawniania jakichkolwiek informacji o tym, kto był w nią zaangażowany lub ile zostało przetransferowanych. Zcash pozwala również na oddawanie monet i wydobywanie świeżych, co jest odpowiednikiem wymiany oznaczonych rachunków na czyste w banku.

Powiązana historia

Powiązana historia Oficjalne ograniczenia z września ubiegłego roku wywołały falę innowacji poniżej radaru.

Tymczasem Monero jest w rzeczywistości dużą siecią upadków. Kiedy chcesz przelać monety, twój adres miesza się z kilkoma innymi, aby nikt nie mógł powiedzieć, który z nich wydawał pieniądze.

Zcash i Monero z pewnością przenoszą prywatność na wyższy poziom. Ale to nie znaczy, że nigdy nie zdradzą swoich sekretów. Meiklejohn zwraca uwagę, że niechlujne zachowanie użytkownika, takie jak umieszczanie swojego prywatnego adresu na forach, ponownie pozostawi po sobie wyraźne ślady, podobnie jak w przypadku Bitcoina.

Co więcej, Monero daje użytkownikom możliwość przeprowadzania transakcji bez domieszania zaciemniających monet. Usuwa to prywatność dla tej konkretnej transakcji i daje badaczom sposób na wyplątanie, poprzez proces eliminacji, wszelkich mikserów, które następnie zawierają te monety. Malte Möser z Princeton University i współpracownicy szacują, że 62 procent danych wejściowych do transakcji Monero jest podatnych na tę analizę. Kiedy użytkownicy Zcash i Monero zaczną mieć wskazówki dotyczące krwotoku, tacy jak Meiklejohn i Möser będą gotowi.

Być może największym problemem dla organów ścigania jest jednak duża liczba nieuregulowanych giełd, na których przestępcy mogą zacierać ślady kradzieży poprzez pranie skradzionej kryptowaluty w inne formy bogactwa. Wiele giełd z zasady przeciwstawia się przepisom: na przykład BTC-e i usługa konwersji Shapeshift sprzedają się, obiecując, że nie będą żądać żadnej identyfikacji od swoich użytkowników. Założyciel Shapeshift, Erik Voorhees, szczególnie otwarcie mówi o politycznych implikacjach regulacji.

Badacz bezpieczeństwa i kryptowalut Ross Anderson z Uniwersytetu Cambridge w Wielkiej Brytanii twierdzi, że te giełdy rozwijają się po części dlatego, że przepisy są nieskuteczne. Ogólnie rzecz biorąc, problem z przeciwdziałaniem praniu pieniędzy polega na tym, że nikt nie chce, aby robiono to dobrze, mówi. Jeśli jesteś bankiem miejskim, nie chcesz wiedzieć, że John Gotti jest klientem, więc banki nigdy nie tolerują prawa, które mówi, że ktokolwiek bankuje mafię, pójdzie do więzienia. Jeśli tak działa świat, dlaczego giełdy kryptowalut miałyby być inne?

Banki i firmy finansowe eksperymentują z wykorzystaniem kryptowalut do tworzenia płynniejszych systemów płatności. Ale technologia wspiera również nową generację nielegalnej działalności, zapewniając nowe sposoby kradzieży, szantażowania, popełniania oszustw i łamania międzynarodowych sankcji.

Cynizm Andersona co do chęci władz do działania skłonił go do samodzielnego sformułowania planu usunięcia systemu kryptoprzestępczego. Tworzy coś, co nazywa łańcuchem skaz – publiczną listę bitcoinów z wyraźnymi powiązaniami z działalnością przestępczą. To, co zamierzam zrobić, to opublikować listę wszystkich skradzionych bitcoinów i oprogramowania potrzebnego do jego wygenerowania, aby każdy mógł to sprawdzić samodzielnie, mówi. Giełdy zastanowiłyby się wtedy dwa razy nad obsługą skradzionych monet.

Nawet gdyby przepisy były bardziej rygorystyczne, nie jest jasne, czy miałoby to znaczenie. Nie sądzę, żeby zakazanie czegokolwiek nikomu nie pomogło, mówi Knottenbelt. Twierdzi, że wprowadzenie technologii do podziemia oznacza po prostu, że transakcje będą ukrywane, a nie jawnie transmitowane w Internecie, co jeszcze bardziej utrudni badaczom takim jak Meiklejohn analizę przepływów pieniężnych i znalezienie złodziei.

Co zaskakujące, okazuje się, że sama Meiklejohn nie przejmuje się zbytnio regulacją – lub jej brakiem. Kiedy już wyodrębnisz problem ze złymi giełdami działającymi poza typowymi jurysdykcjami, to w pewnym sensie wygrałeś, mówi. Weźmy na przykład BTC-e, giełdę z siedzibą w Rosji, o której wiadomo było, że zabrała dużo pieniędzy kryminalnych. Wygląda na to, że wielu operatorów ransomware używa BTC-e prawie wyłącznie. Tam też ostatnio widziano brakujące fundusze na Mt. Gox, zanim ślad zniknął.

Ale w lipcu 2017 roku została zamknięta. Władze USA aresztowały personel i skonfiskowały komputery w jednym z centrów danych giełdy, a podejrzany operator Alexander Vinnik został aresztowany. Najwyraźniej nie zamierzali odpowiadać na wezwania, mówi Meiklejohn. Z drugiej strony organy ścigania doskonale wiedzą, jak sobie z tym radzić.

Meiklejohn postrzega swoją pracę jako destylację kryptoprzestępstw do rodzaju przestępstwa znanego organom ścigania. Uzbrojona w wskazówki z Elliptic i innych, staromodna, dobra policja zrobi to, co umie najlepiej.

Największa cybernapad w historii

Na razie jednak cyberprzestępcy wciąż są o krok do przodu. Chociaż badacze mogą teraz obserwować kradzieże kryptowalut w sieciach blockchain w czasie zbliżonym do rzeczywistego, nie są w stanie połączyć ich ze światem rzeczywistym wystarczająco szybko, aby powstrzymać nawet monumentalne kapary.

Największy cybernapad w historii miał miejsce o 3 nad ranem czasu japońskiego w styczniowy poranek tego roku. Ktoś lub, co bardziej prawdopodobne, ktoś uciekł z wartą ponad pół miliarda dolarów cyfrową walutą o nazwie NEM z tokijskiej giełdy kryptowalut Coincheck. Nikt na giełdzie nie podniósł alarmu do pory obiadowej, a sprawcy mieli ośmiogodzinną przewagę.

Kiedy wiadomość w końcu dotarła do wiceprezesa Fundacji NEM, Jeffa McDonalda w Tulsa w stanie Oklahoma, trafił prosto do sieci. Środki zostały pobrane z portfela oprogramowania podłączonego do Internetu — niezabezpieczonej szafki do przechowywania, której zdaniem Coincheck używał tylko z powodu usterki w innym miejscu systemu. To tak, jakby zostawić kartę bankomatową z zapisanym na niej numerem PIN, mówi Alexandra Tinsman, dyrektor ds. komunikacji Fundacji NEM. Wszystkie 523 miliony skradzionych monet trafiły najpierw na jedno konto, a następnie zostały podzielone na kilka innych.

Aby powstrzymać złodziei przed wypłatą łupów na fiducjarną walutę, zespół NEM pospieszył z oznaczeniem skradzionych monet i zaalarmowaniem giełd. Dzień po włamaniu zespół NEM zidentyfikował i opublikował adresy 11 kont, na które trafiły środki. Każdy został oznaczony tagiem coincheck_stolen_funds_do_not_accept_trades : owner_of_this_account_is_hacker. Ale ponieważ nie wiedzieli, kto jest właścicielem kont, zespół NEM nie był w stanie zrobić nic więcej niż tylko spróbować zablokować wyjścia.

Nastąpiła gra w oczekiwanie. Nie mogąc początkowo spieniężyć skradzionych monet z sieci NEM, złodzieje przenieśli je wokół niej. Wszystkie te ruchy były widoczne na publicznym blockchainie. Zespół NEM wyśledził monety do Kanady, a następnie obserwował, jak niektóre z nich wracają do Japonii. Ale chociaż NEM nigdy nie spuszczał oczu z zaznaczonych notatek, złodzieje i tak uciekli. W końcu udało im się dotrzeć do nieuregulowanej wymiany i wypłacić co najmniej połowę skradzionych monet. W marcu zespół NEM ogłosił, że rezygnuje z pościgu.

Urażony masową kradzieżą, Coincheck ogłosił, że nie będzie już handlować Zcash, Monero ani Dash, inną anonimową walutą. To jedna z pierwszych giełd, które odcinają te monety.

Posunięcie Coincheck jest częścią większego wysiłku, aby wprowadzić prawo i porządek na tej nowej granicy pieniądza. Rząd USA bawi się pomysłem stworzenia czarnej listy adresów kryptowalut, które są powiązane z grupami przestępczymi, takimi jak terroryści, handlarze narkotyków i pogromcy sankcji. Jedną z możliwości jest to, że zajmowanie się adresami z czarnej listy stałoby się nielegalne.

Złodzieje NEM na razie uciekli. Ale technologia przyszłości może ich jeszcze usidlić. W miarę ulepszania technik i narzędzi kryminalistycznych, wcześniej przeoczone dowody wyjdą na światło dzienne, jak ślady DNA na miejscu zbrodni sprzed lat. Za każdym razem, gdy władze zamykają Silk Road lub BTC-e, wysyła to sygnał, mówi Jeffrey Robinson: Dostaną pozostałe, jeden po drugim.

Douglas Heaven jest niezależnym pisarzem mieszkającym w Londynie.

ukryć