سرقت 1.5 میلیارد دلار در ارزهای دیجیتال آسان است، نقد کردن آن تله است

هکرهای کره شمالی در فوریه 2025 حدود 1.5 میلیارد دلار از Bybit سرقت کردند. در حالی که خود هک به طور گسترده‌ای پوشش داده شده و تحلیل شده است، تعداد کمی به آنچه بعد از آن اتفاق افتاد و سرنوشت وجوه سرقت شده توجه کرده‌اند.

برای جابجایی تمام آن پول، هکرها نیاز داشتند به یک شبکه کامل از افرادی که مایل به مدیریت دارایی‌های سرقت شده بودند، تکیه کنند و زنجیره‌ای از روابط ایجاد کنند که کسی که آماده بود پول کافی خرج کند، می‌توانست به آن نفوذ کند.

این همان کاری است که ZachXBT، یک محقق بلاک‌چین با نام مستعار، انجام داد. او 349,700 USDC را سرمایه‌گذاری کرد و در هر سفارش تکمیل شده 5% ضرر را پذیرفت در حالی که به عنوان یک مشتری از یک شبکه پولشویی چینی عمل می‌کرد.

او در نهایت اطلاعاتی به دست آورد که به او کمک کرد بیش از 12 میلیون دلار از وجوه مرتبط با Bybit را ردیابی کند و طبق گفته‌های او، به Tether کمک کرد تا 442,000 USDT را مسدود کند.

تحقیقات او او را به شبکه‌ای رساند که او معتقد است بیش از 1 میلیارد دلار از سرقت‌های ارز دیجیتال مرتبط با گروه لازاروس کره شمالی را پولشویی کرده است، از جمله عواید حمله به Bybit.

پیامدهای تحقیقات او به یک بازار بسیار بزرگ‌تر برای خدمات مالی جنایی گسترش می‌یابد که مقامات آمریکایی در دو سال گذشته سعی در مختل کردن آن داشته‌اند.

در سپتامبر، وزارت خزانه‌داری ایالات متحده Xinbi Guarantee را تحریم کرد، بازاری که گفته می‌شود از سال 2022 بیش از 24 میلیارد دلار دارایی دیجیتال و ارز فیات را از طریق پلتفرم‌های خود پردازش کرده و به وضوح هکرهای کره شمالی را در میان بازیگران غیرقانونی شناسایی کرده است که از خدمات آن استفاده کرده‌اند.

وزارت خزانه‌داری همچنین تأیید کرد که جنایتکاران سعی کردند با انتقال از Huione به Xinbi پس از تحریم، عملیات خود را حفظ کنند و نشان داد که حذف یک بازار، روابط و تقاضایی را که در ابتدا از آن حمایت می‌کرد، از بین نمی‌برد.

باور کنید یا نه، هک کردن یک صرافی و سرقت وجوه در واقع آسان‌ترین بخش این جرم است. تبدیل ارز دیجیتال سرقت شده به ارز فیات یا شکل دیگری از قدرت خرید واقعی جایی است که کار دشوار می‌شود.

برای انجام این کار، هکرها به خدمات پرداخت و سایر روابط مشکوک تکیه می‌کنند که به محققان و ناظران اجازه می‌دهد مداخله کنند.

مشتری 349,700 دلاری

اف‌بی‌آی سرقت Bybit را در 26 فوریه 2025 به هکرهای کره شمالی نسبت داد و این فعالیت را به عنوان TraderTraitor شناسایی کرد و هشدار داد که دارایی‌های سرقت شده در حال تبدیل به بیت‌کوین و سایر ارزهای دیجیتال قبل از توزیع در هزاران آدرس بلاک‌چین هستند.

در حالی که شناسایی هکرها زمان زیادی نمی‌برد، شناسایی واسطه‌هایی که پول سرقت شده را مدیریت می‌کردند به کار تحقیقاتی بسیار بیشتری نیاز داشت.

طبق گفته ZachXBT، او این کار را زمانی آغاز کرد که بیش از 15 حساب در گروه‌های عمومی تلگرام و دیسکورد را دید که به دنبال کمک برای معاملات مرتبط با وجوه سرقت شده Bybit بودند، که نشان می‌دهد حداقل بخشی از فرآیند پولشویی بعدی شامل واسطه‌هایی بود که به طور علنی خدمات را درخواست یا ترتیب می‌دادند.

او با چندی از آن حساب‌ها تماس گرفت و در نهایت رابطه‌ای با کسی که از نام مستعار تلگرام Jimmy Green استفاده می‌کرد، توسعه داد، که خود را به عنوان کسی معرفی کرد که به کمک در جابجایی ارز دیجیتال بین شبکه‌ها نیاز دارد.

در 6 مارس 2025، ZachXBT می‌گوید که یک آدرس جدید اتریوم را با 349,700 USDC تأمین مالی کرد و شروع به مبادله توکن مرتبط با دلار برای USDT در Tron از طریق این تماس کرد و شرایط مبادله نامطلوبی را پذیرفت در حالی که سعی می‌کرد خود را به عنوان یک مشتری معتبر معرفی کند.

349,700 USDC نمایانگر سرمایه‌ای بود که به معاملات اختصاص داده شده بود نه یک ضرر خالص تحقیقاتی افشا شده، در حالی که 5% که او می‌گوید در هر سفارش از دست داده، هزینه‌ای است که او آماده بود برای دسترسی به اطلاعاتی که تحلیل‌های معمول بلاک‌چین نمی‌توانستند ارائه دهند، بپذیرد.

این ترتیب همچنین خطر این را داشت که واسطه ممکن است با وجوه ناپدید شود.

هکرها به واسطه‌هایی وابسته هستند که ممکن است از آنها دزدی کنند و بدون حفاظت‌های تجاری قابل اجرا، شهرت و آشنایی شخصی به ویژه برای حفظ کارکرد این روابط اهمیت پیدا می‌کند.

این به زک ایکس بی تی راهی برای ورود به عملیات داد، زیرا مشتری که مایل به انجام معاملات مکرر بود، برای شخصی که خدمات را ارائه می‌داد، ارزش بیشتری پیدا کرد.

این رابطه در نهایت اطلاعاتی فراتر از آدرس‌های کیف پول تولید کرد، از جمله بحث‌هایی درباره حرکت‌های برنامه‌ریزی‌شده وجوه قبل از وقوع معاملات، که به زک ایکس بی تی اجازه داد تا اظهارات خصوصی را با فعالیت‌هایی که بعداً در بلاک‌چین‌های عمومی ثبت شده بودند، مقایسه کند.

در یک مورد، واسطه درباره انتقال وجوه به سولانا قبل از وقوع انتقال مربوطه بحث کرد، در حالی که تبادلات و ارتباطات کیف پول دیگر به‌طور ادعایی به شناسایی یک خوشه بزرگ‌تر از دارایی‌های مرتبط با سرقت بای‌بیت کمک کردند.

این یک نقطه عطف بزرگ در تحقیقات او بود، زیرا داده‌های زنجیره‌ای نمی‌توانند شخص پشت معامله یا نیت آن را شناسایی کنند. مکالمات خصوصی درباره یک معامله شواهد کلیدی درباره اینکه چه کسی آن را کنترل می‌کرد و برای چه چیزی از آن استفاده می‌کرد، فراهم کرد.

اگرچه تحقیقات زک ایکس بی تی هنوز به‌طور کامل با رکورد رسمی FBI مطابقت ندارد، اما هنوز یکی از مهم‌ترین تلاش‌های تحقیقاتی است که در مدتی دیده‌ایم. این نشان داد که روابط شخصی و تجاری می‌توانند شواهدی ارائه دهند که بلاک‌چین به تنهایی نمی‌تواند، و اینکه تاکتیک‌های مشابه می‌توانند به تحقیق و در نهایت حل سایر سرقت‌ها کمک کنند.

ردیابی 12 میلیون دلار با بازیابی آن متفاوت است

زک ایکس بی تی گفت که اطلاعات از رابطه‌اش با جیمی گرین به شناسایی یک خوشه با بیش از 12 میلیون دلار وجوه مرتبط با بای‌بیت کمک کرد، از جمله معاملات در چندین شبکه.

او همچنین گزارش داد که تتر بعداً 442,000 USDT مرتبط با هک کره شمالی را مسدود کرد. این نشان داد که شناسایی سریع دارایی‌های سرقت‌شده، در حالی که هنوز از طریق توکن‌های تحت کنترل صادرکننده مانند USDT یا USDC قابل دسترسی هستند، می‌تواند برای بازیابی وجوه حیاتی باشد.

این دو مبلغ نباید با هم اشتباه گرفته شوند: ردیابی بیش از 12 میلیون دلار به این معنا نیست که کل مبلغ مسدود شده است، و مسدود کردن 442,000 USDT به این معنا نیست که توکن‌ها ضبط شده یا به بای‌بیت بازگردانده شده‌اند.

عدد خاص 442,000 USDT و ارتباط آن با تحقیقات زک ایکس بی تی از حساب او ناشی می‌شود، اگرچه تتر به‌طور جداگانه مسدودسازی‌های بزرگ‌تری را که به سرقت بای‌بیت مرتبط است، افشا کرده است.

فاصله قابل توجهی بین مشاهده ارز دیجیتال سرقت‌شده، شناسایی افرادی که آن را مدیریت می‌کنند و به‌دست آوردن کنترل قانونی یا فنی بر عواید وجود دارد.

بلاک‌چین‌های عمومی مانع از حرکت دوباره دارایی‌ها نمی‌شوند، به‌ویژه زمانی که از خدماتی عبور می‌کنند که از همکاری با محققان خودداری می‌کنند یا فراتر از دسترس مقامات مربوطه عمل می‌کنند.

استیبل‌کوین‌های مرکزی یک نقطه مداخله بالقوه ایجاد می‌کنند زیرا صادرکنندگان آن‌ها می‌توانند توانایی اداری برای محدود کردن انتقال‌ها از آدرس‌های مشخص‌شده را حفظ کنند.

بیت‌کوین بومی هیچ محدودیت معادل تحت کنترل صادرکننده ندارد، اگرچه مقامات هنوز می‌توانند دارایی‌های نگهداری‌شده توسط متولیان را محدود کنند یا کلیدهای کنترل آن‌ها را در صورت دسترسی و اختیارات قانونی لازم ضبط کنند.

این محققان را وابسته به دقت ردیابی بیش از آنچه که باید می‌کند، زیرا یک موجودی شناسایی‌شده باید همچنین در دسترس کسی باشد که توانایی فنی و اختیارات لازم برای اقدام را دارد.

در طول تلاش بازیابی بای‌بیت، احکام دادگاه و همکاری از واسطه‌های مالی می‌توانند دارایی‌ها را برای مدت طولانی پس از سرقت اولیه محدود کنند، بدون اینکه تضمینی برای بازیابی کامل وجود داشته باشد.

مشکل این است که ارز دیجیتال سرقت‌شده می‌تواند به‌طور فزاینده‌ای در حین حرکت بین کیف پول‌ها، زنجیره‌ها، متولیان و طرف‌های تجاری تکه‌تکه شود، با هر خدمت اضافی که ممکن است نیاز به منبع دیگری از شواهد یا یک فرآیند قانونی دیگر قبل از ادامه پیگیری داشته باشد.

به همین دلیل است که محققان می‌توانند ببینند وجوه کجا سفر کرده‌اند اما هیچ راهی برای متوقف کردن معامله بعدی یا بازیابی وجوه ندارند.

4 میلیارد دلار در پولشویی ارز دیجیتال

استفاده از واسطه‌های خارجی محدود به سرقت بای‌بیت نیست و سوابق اجرای قانون آمریکا تاریخ طولانی‌تری از تلاش‌ها برای شناسایی کسب‌وکارهایی که ارز دیجیتال سرقت‌شده را به دارایی‌هایی که مجرمان می‌توانند استفاده کنند، تبدیل می‌کنند، نشان می‌دهد.

در مارس 2020، وزارت دادگستری دو تبعه چینی، تیان یین یین و لی جیادونگ، را به پولشویی بیش از 100 میلیون دلار ارز دیجیتال متهم کرد، عمدتاً از طریق فعالیت‌های مرتبط با هک‌های صرافی.

این اتهامات نشان می‌دهد که چگونه افرادی که هک را انجام نمی‌دهند، می‌توانند نقش اساسی در جرم ایفا کنند.

اعلام تحریم‌های وزارت خزانه‌داری همچنین فاش کرد که تیان نزدیک به 1.4 میلیون دلار بیت‌کوین را به کارت‌های هدیه پیش‌پرداخت اپل آیتونز تبدیل کرده است، که نشان می‌دهد پولشویی می‌تواند در نهایت شامل ابزارهای خرده‌فروشی عادی باشد و نه خدمات مالی پیچیده‌ای که معمولاً با جرایم سایبری بین‌المللی مرتبط است.

همین نیاز اقتصادی در مقیاس بزرگتری از طریق بازارهایی که مجرمان را با بازرگانانی که خدمات تسویه، تبادل، پرداخت و سایر خدمات را ارائه می‌دهند، متصل می‌کند، عمل می‌کند.

در مه 2025، شبکه اجرای جرایم مالی وزارت خزانه‌داری، گروه هویونه مستقر در کامبوج را به عنوان یک مؤسسه مالی با نگرانی اصلی در زمینه پولشویی شناسایی کرد و دریافت که عملیات آن حداقل 4 میلیارد دلار عواید غیرقانونی را بین اوت 2021 و ژانویه 2025 پولشویی کرده است.

از این مبلغ، FinCEN حداقل 37 میلیون دلار ارز دیجیتال ناشی از سرقت‌های سایبری کره شمالی را شناسایی کرد، به همراه سایر عواید ناشی از کلاهبرداری‌های سرمایه‌گذاری و کلاهبرداری‌های سایبری.

عدد 4 میلیارد دلار نشان‌دهنده فعالیت‌های غیرقانونی در چندین دسته جرم است و 37 میلیون دلار نمایانگر حداقل بخش مرتبط با کره شمالی است که در یافته‌های این سازمان شناسایی شده است.

ارزیابی FinCEN همچنین نواقص جدی در کنترل‌های ضد پولشویی و تأیید مشتری در سراسر گروه را شناسایی کرد، از جمله تأیید اینکه بررسی‌های ناکافی اجازه داده‌اند که یک بخش به‌طور غیرمستقیم وجوه مرتبط با یک سرقت کره شمالی را دریافت کند.

اهمیت این یافته‌ها فراتر از هر معامله فردی است زیرا یک واسطه که دسترسی مکرر به خدمات پرداخت را ارائه می‌دهد، می‌تواند زیرساختی برای چندین مشتری مجرم شود و نیاز هر سازمان را به ساخت ترتیبات خود برای تبدیل دارایی‌های دزدیده شده کاهش دهد.

این فعالیت را در اطراف کسب‌وکارهایی متمرکز می‌کند که می‌توانند هدف تحریم‌ها، ضبط‌ها، محدودیت‌های روابط بانکی و سایر اقدامات اجرایی قرار گیرند.

بازار هویونه حجم قابل توجهی از معاملات و خدمات غیرقانونی را مدیریت کرد و اپراتورها سعی کردند پس از اختلال تلگرام در دسترسی به بخش‌هایی از شبکه، به فعالیت خود ادامه دهند.

این ارقام معاملات بازار و برآوردهای محدودتر FinCEN از عواید غیرقانونی شناسایی شده، دسته‌های مختلفی از فعالیت‌ها را اندازه‌گیری می‌کند و مهم است که تمام وجوهی که از طریق یک پلتفرم منتقل می‌شوند به عنوان عواید مجرمانه اثبات شده تلقی نشوند.

مشتریان جابجا شدند

مشکل این است که یک بازار مجرمانه می‌تواند زیرساخت خود را از دست بدهد بدون اینکه تقاضا برای خدماتش که سودآور بوده است، از بین برود، به‌ویژه زمانی که کاربران هنوز می‌توانند با تأمین‌کنندگان جایگزین تماس بگیرند.

در ژوئن 2026، وزارت دادگستری اعلام کرد که یک حساب رایانش ابری را که زیرساخت‌های پشتیبانی مورد استفاده توسط شرکت‌های تابعه گروه هویونه را که به‌طور ادعایی در انتقال عواید ناشی از کلاهبرداری، کلاهبرداری‌های سایبری و سایر فعالیت‌های مجرمانه درگیر بودند، ضبط کرده است.

این اقدام پس از محدودیت‌های قبلی ایالات متحده بر روی گروه انجام شد و فناوری را هدف قرار داد که از انتقال و پنهان‌سازی وجوه غیرقانونی پشتیبانی می‌کند.

حذف آن زیرساخت به‌طور خودکار روابط بین مشتریان و واسطه‌هایی که مایل به خدمت به آنها هستند را از بین نمی‌برد.

وزارت خزانه‌داری این محدودیت را به‌ویژه در تاریخ 9 سپتامبر به‌طور واضح بیان کرد، زمانی که بر روی Xinbi Guarantee تحریم وضع کرد و یک بازار غیرقانونی را توصیف کرد که سازمان‌های مجرم را با بازرگانانی که خدمات مالی، فناوری و سایر منابع مورد نیاز برای پشتیبانی از عملیاتشان را ارائه می‌دهند، متصل می‌کرد.

بر اساس گزارش وزارت خزانه‌داری، Xinbi از حدود سال 2022 معادل بیش از 24 میلیارد دلار دارایی دیجیتال و ارز فیات را پردازش کرده است، با خدماتی که عمدتاً از معاملات مربوط به بازارهای جنوب شرقی آسیا پشتیبانی می‌کند.

مقیاس این پلتفرم را برای تلاش‌های اجرایی علیه زیرساخت مالی وسیع‌تری که به سازمان‌های جنایی خدمت می‌کند، مرتبط می‌سازد.

وزارت خزانه‌داری همچنین گفت که مجرمان سایبری سعی کرده‌اند عملیات خود را با مهاجرت فعالیت‌ها از خدمات مرتبط با Huione به Xinbi حفظ کنند، پس از اقدام قبلی FinCEN، با این حال بازار جدید خدماتی به‌طور قابل‌توجهی مشابه به گروهی از مشتریان ارائه می‌دهد.

این نهادها یک بازار تجاری را توصیف کردند که در آن شرکت‌کنندگان می‌توانند به دنبال یک ارائه‌دهنده دیگر باشند زمانی که اجرای قانون، ترتیبات قبلی آن‌ها را کمتر قابل‌اعتماد می‌سازد.

در طول سرکوب Huione، تلگرام هزاران کانال مرتبط با Huione Guarantee را حذف کرد زیرا بازرگانان به بازارهای جایگزین منتقل شدند.

به همین دلیل، موفقیت یک سرکوب نمی‌تواند تنها با تعداد وب‌سایت‌ها، حساب‌ها یا سرورهای خاموش شده اندازه‌گیری شود، زیرا مشتریانی که هنوز به یک خدمت مالی غیرقانونی نیاز دارند می‌توانند سعی کنند دسترسی خود را از طریق ارائه‌دهندگانی که همچنان فعال هستند، بازسازی کنند.

این اختلال هنوز هزینه‌هایی را تحمیل می‌کند، به‌ویژه زمانی که موجودی‌ها مسدود می‌شوند، تسویه‌ها شکست می‌خورند یا طرف‌های معتبر در دسترس نیستند، اما انگیزه اقتصادی برای انتقال وجوه دزدیده شده ادامه دارد تا زمانی که جرم زیرین سودآور باقی بماند.

مشکل برای نهادهای اجرایی این است که این خدمات را در سراسر شبکه جایگزین‌های بالقوه به طور فزاینده‌ای گران و غیرقابل‌اعتماد کنند.

مسدودسازی‌های Tether شبکه‌های پولشویی رمزارز را به سمت گزینه‌های پرداخت دیگر سوق می‌دهد

اقدام اجرایی علیه Xinbi نشان می‌دهد که چگونه محدودیت‌های مالی می‌توانند عملیات جنایی را مختل کنند در حالی که کسب‌وکارهای مرتبط را به تغییر ترتیبات پرداخت خود وادار می‌کنند.

سری از مسدودسازی‌های Tether بیش از ۴۵ میلیون دلار در USDT را در حداقل ۲۲ کیف پول مرتبط با عملیات Xinbi محدود کرد.

این بازار با گفتن به کاربران که به سمت USDD، یک ساختار استیبل‌کوین که مکانیزم مسدودسازی آدرس کنترل‌شده توسط صادرکننده مشابه USDT را ارائه نمی‌دهد، حرکت خواهد کرد، پاسخ داد.

این یک تغییر مهم بود زیرا توانایی مسدود کردن یک توکن می‌تواند برای محققان ارزشمند باشد زمانی که مظنون به عواید در دسترس مدیریت صادرکننده باقی می‌ماند، در حالی که مشتریانی که سعی در اجتناب از این محدودیت‌ها دارند، انگیزه‌ای برای حرکت به سمت ابزارهایی با کنترل‌های متفاوت دارند.

این حرکت نشان می‌دهد که چگونه محدودیت‌ها در یک بخش از سیستم پرداخت می‌تواند معاملات را به سمت دیگری هدایت کند و محققان را ملزم به پیگیری هر دو دارایی و کسب‌وکارهایی کند که به آن‌ها دسترسی می‌دهند.

در طول سرکوب سپتامبر، مقامات همچنین زیرساخت‌های مرتبط با Xinbi را هدف قرار دادند و بیش از ۵۲ میلیون دلار در رمزارز را محدود کردند، در حالی که برداشت‌ها تسریع شد و بازارهای رقیب به‌طور گزارش شده شروع به محدود کردن بازرگانان مرتبط با پولشویی کردند.

این تحولات با مسدودسازی ۴۴۲,۰۰۰ USDT که ZachXBT به هکرهای کره شمالی نسبت می‌دهد، متفاوت است، زیرا گزارش‌های عمومی تأسیس نمی‌کند که همان آدرس‌ها، شرکت‌کنندگان یا وجوه درگیر بوده‌اند.

هر دو مورد نشان می‌دهد که عملیات جنایی به واسطه‌های مالی وابسته هستند که خدمات آن‌ها می‌تواند فرصت‌هایی برای مداخله ایجاد کند حتی پس از اینکه سرقت اصلی کامل شده است.

جایی که یک صادرکننده توکن می‌تواند دارایی‌ها را مسدود کند، قرار گرفتن در معرض مربوطه ممکن است موجودی نگهداری شده در یک آدرس قابل شناسایی باشد. جایی که یک بازار به چندین گروه جنایی خدمت می‌کند، آسیب‌پذیری آن ممکن است به زیرساخت، روابط بازرگانی و ترتیبات تسویه‌ای که از آن مشتریان حمایت می‌کند، گسترش یابد.

هر دو مسیر می‌تواند توانایی حرکت و استفاده از پول دزدیده شده را بدون هزینه یا ریسک اضافی کاهش دهد.

افراد پشت انتقالات جایگزین کردنشان دشوارتر است

تحقیق ZachXBT تأثیرگذار بود زیرا او توصیف کرد که چگونه یک رابطه پرداخت شده اطلاعاتی درباره افرادی که معاملات را ترتیب می‌دهند، تولید کرد.

واسطه‌های جنایی که به‌طور مکرر رمزارز دزدیده شده را مدیریت می‌کنند، شهرت تجاری ایجاد می‌کنند، طرف‌های مورد علاقه را تأسیس می‌کنند و می‌آموزند که کدام خدمات می‌توانند معاملات را بدون تداخل با عواید کامل کنند.

این روابط می‌توانند با گذشت زمان یک عملیات را مؤثرتر کنند، به‌ویژه زمانی که مشتریان نیاز به انتقال مقادیر زیادی پول بدون افشای هویت خود یا خطر اینکه یک طرف مقابل دارایی‌ها را نگه دارد، دارند.

با این حال، آن‌ها همچنین وابستگی‌هایی ایجاد می‌کنند که در صورت ناپدید شدن یک ارائه‌دهنده معتبر، به‌سرعت قابل تکرار نیستند، به‌ویژه اگر گزینه‌های جایگزین هزینه‌های بالاتری دریافت کنند، وجوه مشکوک را رد کنند یا کمتر قابل اعتماد باشند.

این وابستگی‌ها همچنین به محققان یک منبع دیگر از شواهد ارائه می‌دهند زیرا یک ارائه‌دهنده خدمات می‌تواند آنچه را که درباره معاملات آینده، سایر شرکت‌کنندگان و زیرساخت پرداخت مورد نیاز برای تکمیل یک سفارش می‌داند، فاش کند.

محققان هنوز باید اطلاعات را با فعالیت‌های قابل مشاهده و سایر سوابق آزمایش کنند و این واقعیت که یک آدرس وجوهی مرتبط با یک سرقت دریافت می‌کند، نیت یا دانش دریافت‌کننده را ثابت نمی‌کند.

اما مقایسه ارتباطات خصوصی با حرکات بعدی بلاک‌چین می‌تواند عدم قطعیت را به شیوه‌هایی کاهش دهد که ردیابی معاملات به تنهایی نمی‌تواند.

سابقه اجرایی گسترده‌تر نشان می‌دهد که جذاب‌تر کردن خدمات مالی مجرمانه نیاز به بیش از صرفاً از بین بردن دوره‌ای وب‌سایت‌های آن‌ها دارد، زیرا مشتریان و مشوق‌های تجاری که از این خدمات حمایت می‌کنند، می‌توانند از تجهیزات مورد استفاده برای ارائه آن‌ها فراتر بروند.

توقیف دارایی‌ها، محدود کردن دسترسی مالی، پیگرد قانونی ارائه‌دهندگان خدمات و شناسایی افرادی که کنترل ترتیبات تسویه را دارند، می‌تواند این محاسبه را تغییر دهد، اگرچه نقطه‌ای که در آن این هزینه‌ها از درآمد ناشی از خدمت به مشتریان غیرقانونی بیشتر می‌شود، در بین کسب‌وکارها متفاوت خواهد بود.

این همچنین دلیل این است که ارزش دلاری یک سرقت ارز دیجیتال نمی‌تواند به‌طور خودکار به‌عنوان پولی که به‌طور موفقیت‌آمیز به درآمد قابل خرج برای دولت مسئول تبدیل شده است، در نظر گرفته شود، چه رسد به اینکه به‌عنوان مقدار تأیید شده‌ای برای هر هزینه نظامی یا دولتی خاص استفاده شود.

سرقت اصلی، مقدار منتقل شده از طریق آدرس‌های واسطه، ارزش موفقیت‌آمیز تبدیل شده به اشکال دیگر قدرت خرید و مقدار نهایی که توسط مقامات بازیابی شده‌اند، معیارهای جداگانه‌ای هستند که نیاز به شواهد جداگانه دارند.

برای هکرهای کره شمالی، تکیه بر خدمات پولشویی پس از موفقیت در نفوذ اولیه، خطراتی را اضافه می‌کند، زیرا به دست آوردن کنترل بر دارایی‌های سرقت شده نیاز به دیگران برای پذیرش، تبادل و در نهایت خرج کردن آن‌ها را از بین نمی‌برد.

نفوذ گزارش شده ZachXBT نشان می‌دهد که چگونه این نیاز می‌تواند یک رابطه مشتری را به یک فرصت تحقیقاتی تبدیل کند، در حالی که اقدامات ایالات متحده علیه Huione و Xinbi نشان می‌دهد که چگونه کسب‌وکارهای اطراف می‌توانند به اهداف اجرایی تبدیل شوند حتی زمانی که مشتریان مجرم سعی می‌کنند به مکان‌های دیگر مهاجرت کنند.

نقطه ضعف اساسی این است که سرقت ارز دیجیتال و استفاده از آن در عمل متفاوت است و دومی هنوز به ترتیبات تجاری وابسته است که شرکت‌کنندگان آن دارای دارایی‌ها، شهرت‌ها و منافع مالی برای محافظت هستند.

تلاش‌های هکرهای کره شمالی برای قابل خرج کردن آن پول می‌تواند آن‌ها را دوباره به روابطی بکشاند که نیاز به اعتماد دارند و افرادی که آن را فراهم می‌کنند، چیزی برای از دست دادن دارند.