هکرهای منتسب به کره شمالی در فوریه ۲۰۲۵ حدود ۱.۵ میلیارد دلار از صرافی بای‌بیت سرقت کردند؛ اما جابه‌جایی و تبدیل این دارایی‌ها به پول قابل‌استفاده، مسئله‌ای پیچیده‌تر از خود نفوذ به صرافی بود. گزارشی از CryptoSlate نشان می‌دهد شبکه‌ای از واسطه‌ها، صرافی‌ها و خدمات پرداخت برای انتقال این وجوه به کار گرفته شد؛ شبکه‌ای که در نهایت به نقطه ضعف مهاجمان تبدیل شد.
نفوذ به شبکه واسطه‌ها با ۳۴۹٬۷۰۰ یو‌اس‌دی‌سی
زک‌ایکس‌بی‌تی، پژوهشگر ناشناس حوزه بلاک‌چین، برای شناسایی مسیر بخشی از وجوه واردشده به این شبکه شد. او با استفاده از یک نشانی تازه در اتریوم، ۳۴۹٬۷۰۰ یو‌اس‌دی‌سی به معاملات اختصاص داد و پذیرفت در هر سفارش حدود ۵ درصد هزینه نامطلوب معامله را تحمل کند. این مبلغ، سرمایه‌ای بود که برای انجام عملیات تحقیقاتی کنار گذاشته شد و لزوماً به معنای زیان خالص نهایی نیست.
این پژوهشگر خود را به‌عنوان مشتری شبکه‌ای چینی معرفی کرد که از طریق گروه‌های عمومی تلگرام و دیسکورد خدمات انتقال رمزارز ارائه می‌داد. به گفته او، بیش از ۱۵ حساب در این گروه‌ها درباره معاملاتی مرتبط با وجوه سرقت‌شده از بای‌بیت فعالیت می‌کردند. او در ادامه با فردی با نام مستعار «جیمی گرین» ارتباط گرفت؛ فردی که خود را نیازمند جابه‌جایی رمزارز میان شبکه‌های مختلف نشان می‌داد.
این ارتباط اطلاعاتی فراتر از نشانی کیف‌پول‌ها در اختیار زک‌ایکس‌بی‌تی گذاشت. برای نمونه، در یک مورد واسطه پیش از انتقال وجوه به شبکه سولانا درباره آن صحبت کرد و بعد، جابه‌جایی متناظر روی بلاک‌چین ثبت شد. مقایسه گفت‌وگوهای خصوصی با داده‌های عمومی زنجیره، به شناسایی خوشه‌ای بزرگ‌تر از دارایی‌های مرتبط با حمله بای‌بیت کمک کرد.
زک‌ایکس‌بی‌تی می‌گوید این تحقیقات به ردیابی بیش از ۱۲ میلیون دلار از وجوه مرتبط با بای‌بیت منجر شد. او همچنین اعلام کرد تتر بعداً ۴۴۲ هزار یو‌اس‌دی‌تی مرتبط با این سرقت را مسدود کرد. این دو رقم نباید با یکدیگر یکی دانسته شوند: ردیابی بیش از ۱۲ میلیون دلار به معنای مسدود شدن کل این مبلغ نیست و مسدود شدن ۴۴۲ هزار یو‌اس‌دی‌تی نیز به معنای توقیف یا بازگرداندن آن به بای‌بیت نیست.
تفاوت ردیابی، مسدودسازی و بازیابی
اف‌بی‌آی در ۲۶ فوریه ۲۰۲۵ سرقت بای‌بیت را به هکرهای کره شمالی نسبت داد و این فعالیت را با عنوان «تریدر تریتور» معرفی کرد. این نهاد گفت دارایی‌های سرقت‌شده به بیت‌کوین و رمزارزهای دیگر تبدیل و میان هزاران نشانی بلاک‌چینی توزیع شده‌اند.
بلاک‌چین عمومی امکان مشاهده مسیر تراکنش را فراهم می‌کند، اما به‌تنهایی هویت فرد پشت یک نشانی یا هدف معامله را مشخص نمی‌کند. همچنین با انتقال دارایی میان کیف‌پول‌ها، شبکه‌های مختلف، متولیان و طرف‌های معاملاتی، هر مرحله می‌تواند به شواهد تازه یا فرآیند حقوقی جداگانه نیاز داشته باشد.
استیبل‌کوین‌هایی مانند یو‌اس‌دی‌تی و یو‌اس‌دی‌سی، چون توسط ناشر متمرکز اداره می‌شوند، یک نقطه مداخله احتمالی ایجاد می‌کنند. ناشر می‌تواند در شرایطی توانایی اداری مسدود کردن انتقال از نشانی‌های مشخص را داشته باشد. بیت‌کوین بومی چنین کنترل ناشر-محوری ندارد، هرچند دارایی‌های نگهداری‌شده نزد متولیان یا کلیدهای خصوصی قابل‌دسترسی ممکن است با مجوز قانونی محدود یا توقیف شوند.
بنابراین مشاهده وجوه، شناسایی افراد انتقال‌دهنده و به‌دست آوردن کنترل قانونی یا فنی بر دارایی، سه مرحله متفاوت هستند. حتی اگر یک موجودی شناسایی شود، ممکن است پیش از اقدام مؤثر به نشانی دیگری منتقل شود.
بازار بزرگ‌تر خدمات مالی مجرمانه
پرونده بای‌بیت بخشی از بازاری گسترده‌تر برای تبدیل رمزارزهای سرقت‌شده به ابزارهای قابل‌استفاده است. وزارت خزانه‌داری آمریکا در ماه مه ۲۰۲۵ اعلام کرد گروه هوی‌آن در فاصله اوت ۲۰۲۱ تا ژانویه ۲۰۲۵ دست‌کم ۴ میلیارد دلار عواید غیرقانونی را جابه‌جا کرده است. در این برآورد، دست‌کم ۳۷ میلیون دلار رمزارز مرتبط با سرقت‌های سایبری کره شمالی شناسایی شد.
خزانه‌داری آمریکا در سپتامبر نیز «شینبی گارانتی» را تحریم کرد و گفت این بازار از حدود سال ۲۰۲۲ بیش از ۲۴ میلیارد دلار دارایی دیجیتال و ارز فیات را پردازش کرده است. این رقم کل فعالیت‌های پردازش‌شده را نشان می‌دهد و نباید تمام آن را عواید مجرمانه قطعی دانست. مقام‌های آمریکایی همچنین گفتند پس از محدودیت‌های اعمال‌شده علیه هوی‌آن، برخی فعالیت‌ها به شینبی منتقل شد.
در پرونده دیگری، وزارت دادگستری آمریکا در مارس ۲۰۲۰ دو شهروند چینی، تیان یین‌یین و لی جیا‌دونگ، را به پول‌شویی بیش از ۱۰۰ میلیون دلار رمزارز، عمدتاً مرتبط با هک صرافی‌ها، متهم کرد. این پرونده‌ها نشان می‌دهد افرادی که مستقیماً حمله سایبری را انجام نمی‌دهند نیز می‌توانند در تبدیل دارایی‌های دزدیده‌شده به پول یا کالا نقش اساسی داشته باشند.
اقدام علیه زیرساخت‌ها نیز لزوماً تقاضا برای این خدمات را از بین نمی‌برد. در ژوئن ۲۰۲۶ وزارت دادگستری آمریکا از توقیف یک حساب رایانش ابری خبر داد که زیرساخت پشتیبان برخی شرکت‌های وابسته به هوی‌آن را میزبانی می‌کرد. با این حال، مشتریان و واسطه‌ها ممکن است برای ادامه فعالیت به ارائه‌دهندگان جایگزین روی بیاورند.
فشار بر استیبل‌کوین‌ها و تصویر فعلی بازار
پس از تحریم شینبی، بیش از ۴۵ میلیون دلار یو‌اس‌دی‌تی در دست‌کم ۲۲ کیف‌پول مرتبط با فعالیت‌های این مجموعه مسدود شد. طبق گزارش منبع، این بازار به کاربران اعلام کرد به سمت یو‌اس‌دی‌دی حرکت خواهد کرد؛ تغییری که به تفاوت سازوکار کنترل و امکان مسدودسازی در میان استیبل‌کوین‌ها مربوط است. در همان دوره، مقام‌ها بیش از ۵۲ میلیون دلار رمزارز مرتبط با شینبی را نیز محدود کردند.
بر اساس داده‌های بازار Moneyiar در ۱۱ اکتبر ۲۰۲۶، قیمت موناد با نماد MON برابر ۰٫۰۲۵۵۷۷۵۹۴۱ دلار بود و طی ۲۴ ساعت ۳٫۶۸ درصد افزایش داشت، اما بازده هفت‌روزه آن ۲۳٫۷۳ درصد منفی بود. دسیمل (DEL) با قیمت ۰٫۳۹۹۰۷۲۸۰۷۹ دلار در ۲۴ ساعت ۲٫۹۷ درصد رشد و در هفت روز ۱٫۴۱ درصد افت کرد. بیلیونز نتورک (BILL) با قیمت ۰٫۰۱۳۹۹۷۱۹۳۹ دلار، ۰٫۵۹ درصد کاهش روزانه و ۱۰٫۰۴ درصد افزایش هفت‌روزه داشت. فان‌توکن (FUN) نیز با قیمت ۰٫۰۰۸۷۶۶۳۰۷۱ دلار، در ۲۴ ساعت ۰٫۵۳ درصد و در هفت روز ۱۱٫۹۴ درصد رشد کرد.
اهمیت تحقیقات زک‌ایکس‌بی‌تی در این است که نشان می‌دهد رابطه تجاری با واسطه‌ها می‌تواند اطلاعاتی درباره افراد، زمان‌بندی انتقال‌ها و خدمات مورد استفاده فراهم کند؛ اطلاعاتی که تحلیل زنجیره به‌تنهایی ارائه نمی‌دهد. برای هکرها، سرقت دارایی پایان کار نیست: تا زمانی که واسطه‌ای برای تبدیل، انتقال یا خرج کردن آن وجود نداشته باشد، ارزش عملی وجوه سرقت‌شده همچنان در معرض محدودیت و شناسایی قرار دارد.
