سرقت ارز دیجیتال پایان ماجرا نیست؛ بخش دشوارتر از زمانی آغاز میشود که هکرها شروع به جابهجایی و پولشویی داراییهای سرقتشده میکنند. بر اساس دادههای منتشرشده، در سال ۲۰۲۵ حدود ۳.۴ میلیارد دلار ارز دیجیتال به سرقت رفت و این رقم در نیمه نخست سال ۲۰۲۶ نیز به حدود ۱.۱ میلیارد دلار رسید.
- شش سال غارت مداوم؛ چگونه سرقت ارز دیجیتال به یک صنعت مستقل تبدیل شد؟
- چرخه ۴۵ روزه پولشویی؛ هکرها چگونه رد خودشان را گم میکنند؟
- فاز اول؛ روز ۰ تا ۵: جابهجایی سریع داراییها
- فاز دوم؛ روز ۶ تا ۱۰: انتقال میان شبکههای مختلف
- فاز سوم؛ روز ۲۰ تا ۴۵: نقد کردن تدریجی وجوه
- سال ۲۰۲۶؛ حملات بیشتر و اهداف متنوعتر
- چرا بازگرداندن ارزهای دیجیتال سرقتشده اینقدر دشوار است؟
- بلاک چین همهچیز را ثبت میکند اما چیزی را پس نمیدهد
بررسی الگوی انتقال این داراییها نشان میدهد مهاجمان معمولاً طی یک چرخه حدود ۴۵ روزه، وجوه سرقتشده را میان پروتکلهای دیفای، میکسرها، پلهای میانزنجیرهای، صرافیهای با احراز هویت محدود و بازارهای خارج از بورس جابهجا میکنند. هدف این فرایند، پیچیدهتر کردن مسیر تراکنشها و دشوارتر کردن بازیابی داراییهاست؛ بهطوری که در پایان این دوره، با وجود باقی ماندن رد تراکنشها روی بلاک چین، بازگرداندن وجوه در بسیاری از موارد بسیار دشوار میشود.
در ادامه، با استناد به گزارشی از کریپتو نیوز (Crypto.News)، مسیر پولشویی داراییهای سرقتشده را مرحلهبهمرحله بررسی میکنیم و توضیح میدهیم هکرها در این بازه ۴۵ روزه چگونه رد وجوه را میان شبکهها و پلتفرمهای مختلف پیچیده میکنند و چرا با گذشت زمان، شانس بازیابی سرمایه بهشدت کاهش پیدا میکند.
شش سال غارت مداوم؛ چگونه سرقت ارز دیجیتال به یک صنعت مستقل تبدیل شد؟
سرقت ارز دیجیتال دیگر یک مشکل مقطعی برای صنعت کریپتو نیست و طی سالهای اخیر به فعالیتی سازمانیافته و گسترده تبدیل شده است. دادههای ثبتشده توسط تحلیلگران بلاک چین نشان میدهد حجم داراییهای سرقتشده همچنان در سطح بالایی قرار دارد؛ بهطوری که این رقم در سال ۲۰۲۲ به ۳.۷ میلیارد دلار، در سال ۲۰۲۳ به ۱.۷ میلیارد دلار، در سال ۲۰۲۴ به ۲.۲ میلیارد دلار و در سال ۲۰۲۵ به ۳.۴ میلیارد دلار رسیده است. این آمار نشان میدهد با وجود نوسان سالانه در حجم سرقتها، هنوز نشانهای از فروکش کردن این تهدید دیده نمیشود.
نکته قابل توجه این است که تقریباً نیمی از کل داراییهای سرقتشده در سال ۲۰۲۵ به تنها یک حمله مربوط میشود: هک صرافی بایبیت (Bybit) در فوریه همان سال. مهاجمان در این حمله سازوکار امضای تراکنشهای کیف پول سرد صرافی را هدف قرار دادند و حدود ۱.۵ میلیارد دلار دارایی را به سرقت بردند؛ رخدادی که به بزرگترین سرقت ثبتشده در تاریخ صنعت ارزهای دیجیتال تبدیل شد.
این روند در نیمه نخست سال ۲۰۲۶ نیز ادامه پیدا کرد. بر اساس گزارش شرکت امنیتی بلاکاید (Blockaid)، در شش ماه نخست سال حدود ۱.۱ میلیارد دلار دارایی دیجیتال در ۲۱۲ حادثه امنیتی به سرقت رفت؛ رقمی که از نظر تعداد حملات، رکورد تازهای به شمار میرود.
بزرگترین سرقت این دوره در ۱۹ آوریل رخ داد؛ زمانی که مهاجمان با سوءاستفاده از یک آسیبپذیری در پروتکل ریاستیکینگ کلپ دائو (KelpDAO)، حدود ۲۹۳ میلیون دلار دارایی را به جیب زدند.
آمارهای تیآرام لبز (TRM Labs) نیز تصویر مشابهی از افزایش حملات ارائه میدهد. این شرکت در نیمه نخست سال ۲۰۲۶ مجموعاً ۲۰۷ حادثه امنیتی را ثبت کرده که بیش از دو برابر تعداد موارد ثبتشده در مدت مشابه سال قبل است.
چرخه ۴۵ روزه پولشویی؛ هکرها چگونه رد خودشان را گم میکنند؟
پس از سرقت، مهاجمان معمولاً الگوی نسبتاً مشخصی را برای جابهجایی و پولشویی داراییها دنبال میکنند. محققان امنیتی این روند را یک چرخه حدود ۴۵ روزه توصیف میکنند که در سه مرحله اصلی پیش میرود:
فاز اول؛ روز ۰ تا ۵: جابهجایی سریع داراییها
در پنج روز نخست، اولویت اصلی مهاجمان سرعت است. ارزهای سرقتشده معمولاً بهسرعت از طریق پروتکلهای دیفای مبادله میشوند و در این بازه، فعالیت مرتبط با این وجوه در برخی موارد تا ۳۷۰ درصد افزایش پیدا میکند.
پس از آن، بخشی از داراییها به سرویسهای میکسر منتقل میشود. این سرویسها با تجمیع و جابهجایی تراکنشها، دنبال کردن مسیر وجوه از مبدا تا مقصد را دشوارتر میکنند.
فاز دوم؛ روز ۶ تا ۱۰: انتقال میان شبکههای مختلف
از روز ششم تا دهم، داراییها با استفاده از پلهای بینزنجیرهای به بلاک چینهای دیگر منتقل میشوند. سپس بخشی از این وجوه وارد صرافیها و پلتفرمهایی میشود که الزامات احراز هویت (KYC) بسیار ضعیف و کمتری دارند.
این جابهجایی میان چند شبکه و پلتفرم مختلف، مسیر ردیابی داراییها را پیچیدهتر میکند و شناسایی مقصد نهایی وجوه را برای تیمهای تحقیقاتی دشوارتر میسازد.
فاز سوم؛ روز ۲۰ تا ۴۵: نقد کردن تدریجی وجوه
در مرحله پایانی، معمولاً از روز بیستم تا چهلوپنجم، هکرها شروع به نقد کردن داراییها در مبالغ کوچکتر میکنند. بر اساس گزارش، این تراکنشها اغلب کمتر از ۵۰۰ هزار دلار هستند تا احتمال عبور از آستانههای گزارشدهی کاهش پیدا کند.
برای این کار از پلتفرمهای بدون احراز هویت، صرافیهای فوری، بازارهای OTC چینیزبان و سرویسهای ضمانتی مانند بازار تحریمشده هویون (Huione) استفاده میشود.
در پایان این چرخه، داراییها از شبکهها، میکسرها و حوزههای قضایی متعددی عبور کردهاند. به همین دلیل، هرچند ماهیت شفاف بلاک چین همچنان امکان دنبال کردن بخشی از مسیر تراکنشها و حتی نسبت دادن آنها به مهاجمان را فراهم میکند، بازگرداندن وجوه در عمل بسیار دشوار میشود.
نمونه روشن این مسئله هک بایبیت است. با وجود استفاده این صرافی از متخصصان امنیتی و هکرهای کلاهسفید برای ردیابی داراییها، کمتر از ۵ درصد از وجوه سرقتشده در نهایت بازیابی شد.
سال ۲۰۲۶؛ حملات بیشتر و اهداف متنوعتر
در سال ۲۰۲۶، دامنه حملات گستردهتر شده است. در کنار سوءاستفاده از آسیبپذیری پروتکلهایی مانند کلپ دائو، تنها در ماه آوریل حدود ۶۴۱.۶۷ میلیون دلار ارز دیجیتال به سرقت رفت که یک رکورد ماهانه محسوب میشود.
گروههای هکری وابسته به کره شمالی، از جمله شبکههای مرتبط با لازاروس (Lazarus)، حدود ۵۵ درصد از خسارتهای ثبتشده در نیمه نخست سال ۲۰۲۶ را به خود اختصاص دادهاند. در همین حال، آمار شرکت امنیتی سرتیک (CertiK) که حملات فیشینگ و تخلیه کیف پولهای شخصی را نیز در محاسبات خود لحاظ میکند، مجموع خسارت این دوره را حدود ۱.۳۲ میلیارد دلار در ۳۴۴ حادثه برآورد کرده است.
ماجرای اخیر کلدکارد (Coldcard) نیز نشان داد که روشهای مهاجمان برای سرقت بیت کوین در حال تغییر است. در این حمله، مهاجم با سوءاستفاده از Seedهای ضعیف تولیدشده توسط برخی کیف پولها، حدود ۱۱۶ میلیون دلار بیت کوین را سرقت کرد و سپس شروع به تجمیع و جابهجایی داراییها کرد.
نکته قابل توجه این بود که تمام این تراکنشها روی بلاک چین قابل مشاهده بودند، اما مشاهده مسیر وجوه به معنای امکان بازگرداندن آنها نبود. همین موضوع یکی از ویژگیهای اصلی بیت کوین را برجسته میکند:
تراکنشها شفاف و قابل ردیابیاند، اما پس از تأیید، امکان برگشت آنها وجود ندارد. در نتیجه، حتی زمانی که مسیر حرکت داراییهای سرقتشده مشخص است، متوقف کردن یا بازگرداندن آنها لزوماً امکانپذیر نیست.
چرا بازگرداندن ارزهای دیجیتال سرقتشده اینقدر دشوار است؟
در میان روشهای موجود برای متوقف کردن جریان داراییهای سرقتشده، فریز کردن استیبل کوینهای متمرکز یکی از معدود ابزارهایی است که بارها کارایی خود را نشان داده است. شرکتهایی مانند تتر (Tether) و سیرکل (Circle) میتوانند آدرسهای مشخص را در سطح قرارداد هوشمند مسدود کنند و در نتیجه، تتر یا یواسدی کوین موجود در آن آدرسها دیگر قابل انتقال نخواهد بود.
همین قابلیت باعث شده مهاجمان حرفهای معمولاً خیلی سریع استیبل کوینهای سرقتشده را به داراییهایی مانند اتریوم یا بیت کوین تبدیل کنند. آنها با این کار ریسک نوسان قیمت را میپذیرند، اما در عوض از محدودهای خارج میشوند که صادرکننده میتواند مستقیماً دارایی را مسدود کند.
این تفاوت، یک تناقض مهم در ساختار بازار کریپتو را نشان میدهد. داراییهایی که مقاومت بیشتری در برابر سانسور و مسدودسازی دارند، معمولاً برای مهاجمان جذابترند؛ در مقابل، داراییهایی که کنترل بیشتری روی آنها وجود دارد، شانس بالاتری برای فریز و بازیابی دارند. به همین دلیل، بخش زیادی از فرآیند پولشویی به مسابقهای برای تبدیل سریع داراییهای قابلمسدودسازی به داراییهایی تبدیل میشود که امکان کنترل مستقیم آنها وجود ندارد.
در عمل، مهمترین عامل در مقابله با سرقت ارز دیجیتال، پیشگیری و واکنش سریع است. صرافیها و شرکتهای تحلیل بلاک چین معمولاً زمانی میتوانند در مسیر وجوه مداخله کنند که داراییها وارد پلتفرمهای قانونی و منطبق با مقررات شوند. به همین دلیل، مهاجمان در مراحل ابتدایی پولشویی اغلب به سراغ پروتکلهای دیفای و میکسرها میروند؛ محیطهایی که امکان فریز مستقیم داراییها در آنها وجود ندارد.
تحریم میکسرها و سرویسهایی مانند هویون میتواند هزینه و پیچیدگی پولشویی را افزایش دهد، اما لزوماً این جریان را متوقف نمیکند. در بسیاری از موارد، مهاجمان صرفاً مسیر خود را به سمت سرویسها و پلتفرمهای جایگزین تغییر میدهند. از طرف دیگر، چرخه حدود ۴۵ روزه جابهجایی وجوه باعث میشود زمانی که فرآیندهای حقوقی و همکاریهای بینالمللی وارد مرحله اجرایی میشوند، بخش عمده داراییها از چندین شبکه و پلتفرم عبور کرده و به مقصدهای بعدی منتقل شده باشند.
بلاک چین همهچیز را ثبت میکند اما چیزی را پس نمیدهد
مهمترین نکتهای که از الگوی این حملات میتوان گرفت، سرعت بالای جابهجایی داراییهای سرقتشده است. مهاجمان معمولاً ظرف چند روز وجوه را میان چند شبکه، پروتکل و سرویس مختلف منتقل میکنند؛ در حالی که هماهنگی میان صرافیها، شرکتهای امنیتی و نهادهای قانونی زمان بیشتری میبرد. همین فاصله زمانی باعث میشود با گذشت هر روز، شانس بازیابی داراییها کاهش پیدا کند.
شفافیت بلاک چین این امکان را فراهم میکند که مسیر بسیاری از تراکنشها حتی مدتها پس از سرقت نیز قابل ردیابی باشد، اما قابل مشاهده بودن وجوه الزاماً به معنای امکان متوقف کردن یا بازگرداندن آنها نیست. به همین دلیل، در بسیاری از حملات، پیشگیری و واکنش سریع همچنان مؤثرترین راه برای کاهش خسارت است.
برای کاربران، استفاده از کیف پولهای معتبر، نگهداری امن از عبارت بازیابی و خودداری از اتصال کیف پول به پلتفرمها و قراردادهای ناشناس میتواند بخشی از ریسک را کاهش دهد. برای صرافیها و پروژهها نیز شناسایی سریع حمله و هماهنگی فوری با شرکتهای تحلیل بلاک چین و صادرکنندگان استیبل کوین میتواند شانس مسدود کردن بخشی از داراییهای سرقتشده را افزایش دهد.
