Les étapes du blanchiment d'argent

Les spécialistes de Match Systems ont mené une enquête sur un cas dans lequel la victime, à la suite d'une « dust attack » (attaque de pellicules), a envoyé par inadvertance 50 mille jetons USDT à l'adresse de cryptomonnaie de l'escroc. Vous trouverez plus d'informations sur les « dust attacks » (attaques de pellicules) dans l'article au lien.
À la suite de la demande de la victime, tout d'abord, des mesures opérationnelles ont été menées pour marquer l'adresse de l'attaquant comme « fonds volés » dans tous les principaux analyseurs de blockchain, et une notification urgente a également été envoyée au sujet de l'appartenance de l'adresse de l'attaquant à des activités illégales, à toutes les principales plateformes d'échange de cryptomonnaies. Ces mesures augmentent la chance de bloquer temporairement les fonds volés lorsqu'ils sont envoyés vers les plateformes. De plus, l'adresse de l'attaquant, vers laquelle les fonds de la victime ont été envoyés, a été placée sous surveillance spéciale par Match Systems.
Quelques jours après le vol, l'attaquant a commencé à déplacer les fonds volés depuis une adresse qui avait précédemment reçu un marquage « fonds volés » à 100 % à la suite des actions opérationnelles de Match Systems.
Le schéma général du mouvement des fonds volés est présenté dans la visualisation.

Passons-le en revue dans l'ordre.

1. Depuis l'adresse primaire, l'attaquant a envoyé les 50 mille USDT volés à l'adresse suivante, depuis laquelle a commencé le mouvement circulaire des fonds volés vers 5 nouvelles adresses de l'attaquant. Ainsi, l'attaquant a progressivement déplacé les fonds volés entre 5 adresses en cercle plus de 20 fois. Après cela, les fonds volés ont quitté les limites de ce cercle, en allant vers l'adresse nouvelle suivante.

Les actions ci-dessus n'ont pas permis à l'attaquant de « blanchir » les fonds volés. La composition des fonds reçus à l'adresse après la sortie du « cercle » est à 100 % des « fonds volés ».

2. Après avoir quitté le « cercle », l'attaquant a envoyé les 50 mille USDT volés vers une longue chaîne fermée de transactions composée de 50 nouvelles adresses. Au deuxième tour, l'attaquant a transféré les fonds vers l'étape suivante.

Les actions ci-dessus n'ont pas non plus permis à l'attaquant de « blanchir » les fonds volés. La composition des fonds reçus à l'adresse après la sortie d'une longue chaîne de transactions est à 100 % des « fonds volés ».

3. Après la sortie d'une longue chaîne de transactions, l'attaquant a mélangé les 50 mille USDT volés avec 50 mille autres USDT à une nouvelle adresse. Ensuite, il les a envoyés séparément par 50 mille USDT vers 2 nouvelles adresses et les a de nouveau mélangés. Puis l'attaquant a mélangé 100 mille USDT avec 100 mille autres USDT à une nouvelle adresse (ayant reçu 200 mille USDT à une seule adresse).

Les actions ci-dessus ont permis à l'attaquant de « blanchir » partiellement les fonds volés en les fusionnant avec d'autres fonds qui n'étaient pas marqués comme « fonds volés ». La composition des fonds reçus à l'adresse après la sortie de cette chaîne de transactions est de 25 % de « fonds volés ».

4. Après la fusion, les 200 mille USDT reçus ont été envoyés vers la blockchain BitTorrent en utilisant le « BitTorrent-Chain ERC20 Smart Contract », où les fonds ont de nouveau été divisés en les 50 mille USDT d'origine et 150 mille USDT ont été ajoutés pour le mélange, puis transférés à nouveau vers la blockchain Tron vers 2 nouvelles adresses.

Les actions ci-dessus ont permis à l'attaquant de « blanchir » complètement les fonds volés en les faisant passer par une autre blockchain (cette technique est souvent utilisée par les attaquants pour dissimuler rapidement les traces d'un délit). La composition des fonds reçus à l'adresse après la sortie de la blockchain BitTorrent est à 0 % des « fonds volés ».

5. Après avoir achevé le transfert inter-chaînes (après la sortie du pont BitTorrent de retour vers la blockchain Tron), l'attaquant a envoyé les 50 mille USDT volés vers 1 cercle composé de 5 nouvelles adresses, après quoi il les a mélangés avec 100 mille autres USDT à l'intérieur du cercle et a sorti 50 mille USDT du cercle vers une nouvelle adresse séparément.

6. Après avoir quitté le tour suivant de transferts, les 50 mille USDT volés ont été envoyés vers l'adresse finale, où les fonds ont de nouveau été mélangés avec 150 mille autres USDT qui avaient précédemment quitté la blockchain BitTorrent (cela a été mentionné au point 4). Ensuite, les fonds d'un montant de 200 mille USDT ont été envoyés vers le service de prêt de cryptomonnaies « JustLend.org ».

En conséquence, les fonds volés sont restés « propres ». La composition des fonds reçus à l'adresse après la sortie de cette chaîne de transactions est à 0 % des « fonds volés ».

Dans cet article, à l'aide d'un exemple réel, diverses méthodes utilisées par les attaquants dans le « blanchiment » et le retrait des fonds volés ont été examinées. Cette liste n'est pas exhaustive, car il existe d'autres méthodes impliquant l'utilisation de mixeurs de cryptomonnaies, de services de swap, l'acheminement de fonds à travers des plateformes d'échange de cryptomonnaies ou des services d'échange à faible niveau de contrôle AML, et d'autres. Ces informations sont fournies uniquement à titre informatif et ne doivent pas être utilisées à des fins illégales. L'auteur de l'article n'est pas responsable de l'utilisation et de l'application ultérieures des informations fournies.