EigenWallet: как атомарные свопы BTC–XMR превращаются в инструмент отмывания похищенной криптовалюты северокорейскими группировками

Профессиональные хакерские группы всё чаще используют для сокрытия похищенных активов не только традиционные миксеры, но и децентрализованные механизмы обмена Bitcoin на Monero. В ряде расследований подобная активность связывается с группами, которые принято относить к северокорейскому кластеру, включая Lazarus Group и аффилированных с ней операторов.

Одним из регулярно встречающихся элементов такой инфраструктуры становится EigenWallet, ранее известный как UnstoppableSwap. Платформа позволяет проводить атомарные обмены BTC на XMR без использования централизованной биржи и прохождения стандартных процедур идентификации клиента. Специалисты Match Systems проанализировали работу этой инфраструктуры и выделили основные модели предоставления ликвидности, стоящие за подобными обменами.

Как работает EigenWallet

EigenWallet представляет собой некастодиальную платформу для атомарных свопов между Bitcoin и Monero. Доступ к её инфраструктуре возможен в том числе через сеть Tor, что затрудняет установление местоположения и идентификацию пользователей.

При классическом обмене пользователь передаёт активы централизованному сервису, который принимает одну криптовалюту и отправляет другую. В случае атомарного свопа обмен происходит непосредственно между сторонами посредством специального криптографического протокола. Операция либо исполняется полностью, либо отменяется: одна из сторон не может получить активы, не выполнив свою часть сделки.

Такая архитектура снижает зависимость от централизованного посредника, но одновременно создаёт серьёзные сложности для расследований. EigenWallet не хранит средства пользователей в обычном понимании и не выступает единственным контрагентом по всем операциям. Ликвидность для обменов предоставляют независимые участники, каждый из которых может использовать собственную инфраструктуру и отдельную схему пополнения резервов.

Для злоумышленника процесс выглядит следующим образом: BTC поступают на одноразовый депозитный адрес атомарного свопа, после чего он получает XMR. Прямая транзакционная связь между Bitcoin и Monero отсутствует, а дальнейшее движение XMR скрывается механизмами конфиденциальности самой сети Monero.

Основные модели предоставления ликвидности

Проведённый Match Systems анализ показал, что за внешне одинаковыми обменами BTC на XMR могут стоять разные поставщики ликвидности. На текущий момент выявлено как минимум шесть основных моделей обработки полученных BTC и последующего пополнения резервов XMR.

Первая модель связана с использованием Lightning Network и крупных централизованных бирж. Полученные в рамках атомарных свопов BTC разделяются на небольшие партии и направляются в Lightning Network. Для этого открываются платёжные каналы Lightning Network, через которые средства проходят дальнейшую обработку — преимущественно с использованием Lightning-нод, связанных с OKX и Kraken. Предположительно, эти централизованные биржи используются для конвертации поступивших через Lightning Network BTC и последующего восстановления запасов XMR, необходимых для проведения новых обменов. В одном из проанализированных массивов на эту модель приходилась основная часть операций EigenWallet.

Вторая модель предполагает использование специализированной децентрализованной инфраструктуры для приобретения XMR. Поставщик ликвидности проводит полученные BTC через кроссчейн-протокол MayaChain и инфраструктуру LiFi, после чего выводит активы в экосистему Hyperliquid. Там для приобретения Monero используется специализированный сервис, позволяющий покупать XMR без прямого взаимодействия с классической централизованной биржей. Такая схема усложняет атрибуцию, поскольку движение средств распределяется между несколькими протоколами, блокчейнами и техническими адресами.

Третья модель включает Wasabi Wallet, Hyperliquid и KuCoin. Полученные BTC сначала направляются в Wasabi Wallet, где прямая связь между входящими и исходящими транзакциями разрывается. Результаты демиксинга, проведённого аналитиками Match Systems, позволяют с высокой степенью вероятности предположить, что после выхода из миксера средства частями по 0,1–0,25 BTC поступают в Hyperliquid и обмениваются на USDT в сети Arbitrum One. Затем активы партиями примерно по 10–15 тыс. USDT переводятся на KuCoin. Предположительно, там приобретается XMR для пополнения ликвидности и проведения следующих атомарных свопов.

Четвёртая модель использует THORChain, Litecoin и популярный сервис мгновенного обмена. BTC дробятся на небольшие суммы, эквивалентные приблизительно 2–3 тыс. долларов, после чего через THORChain обмениваются на LTC. Далее создаются цепочки из более чем 20 последовательных Litecoin-транзакций, средства из которых направляются в сервис мгновенного обмена для покупки XMR. Для ускоренного подтверждения применяется механизм CPFP — Child Pays for Parent. Последняя транзакция в цепочке предусматривает повышенную комиссию, стимулируя майнеров включить весь пакет связанных неподтверждённых транзакций в один блок. В результате интересующая транзакция становится видна аналитикам практически одновременно с её подтверждением, когда соответствующий обменный ордер в сервисе мгновенного обмена уже передан в обработку. Дополнительно оператор использует отдельные сессии, прокси-IP-адреса и одноразовые XMR-адреса для каждого обмена.

Пятая модель использует биржу Remitano и инфраструктуру NEAR Intents. Оба сервиса выполняют одну и ту же функцию — перевод полученных в результате атомарного свопа BTC в активы сети BNB Smart Chain, преимущественно BTCB, а также ETH и USDT. Часть средств проходит через Remitano, часть — через NEAR Intents, после чего активы выводятся на единый депозитный адрес MEXC. Предположительно, биржа используется для приобретения XMR и последующего восполнения ликвидности, необходимой для проведения новых атомарных свопов.

Шестая модель предполагает более простую схему с использованием THORChain и последующим выводом активов на KuCoin. Вероятно, биржа также используется для приобретения XMR и пополнения ликвидности.

Перечисленные модели относятся к основным поставщикам ликвидности, способным обрабатывать отдельные атомарные свопы объёмом от 1 BTC и выше. Помимо них, в экосистеме EigenWallet присутствуют и более мелкие поставщики, работающие с небольшими суммами.

Почему такие схемы сложно остановить

Главная проблема заключается в распределённом характере инфраструктуры. EigenWallet предоставляет технический механизм атомарного обмена, однако непосредственную ликвидность обеспечивают независимые участники. Один поставщик использует Lightning Network, другой — миксер и Hyperliquid, третий — THORChain и цепочки LTC-транзакций.

Поэтому блокировка одного маршрута не останавливает работу всей системы. Поставщик может изменить последовательность сервисов, выбрать другой блокчейн или перераспределить ликвидность между несколькими площадками. Одноразовые адреса, Tor, прокси-серверы и небольшие размеры отдельных операций дополнительно сокращают время, доступное для реагирования.

Новая задача для блокчейн-аналитики

EigenWallet показывает, как меняется инфраструктура отмывания криптовалюты. Вместо единого централизованного обменника формируется сеть независимых поставщиков ликвидности, каждый из которых использует собственную комбинацию миксеров, мостов, DEX-протоколов и бирж.

В таких условиях недостаточно обнаружить только депозитный адрес атомарного свопа. Необходимо идентифицировать конкретного поставщика ликвидности, установить его операционные адреса и определить, каким образом он приобретает XMR для проведения следующих сделок.

Как отмечают в Match Systems, именно точки пополнения ликвидности — централизованные биржи, сервисы мгновенного обмена и отдельные кроссчейн-протоколы — остаются потенциально уязвимыми элементами подобных схем. Однако успешная блокировка средств требует практически моментального выявления транзакций и оперативной координации между аналитическими компаниями, обменными сервисами и правоохранительными органами.

По мере роста популярности атомарных свопов такие платформы, вероятно, будут всё чаще использоваться профессиональными киберпреступными группами. Это требует перехода от анализа отдельных транзакций к исследованию всей экономики ликвидности, обеспечивающей обмен похищенных BTC на конфиденциальные активы.