Неделя вечер. Корпоративна мрежа е компрометирана почти без шум. Милиони клиентски записи – имейли, пароли, данни за карти – са ексфилтрирани, сортирани и качени за продажба в добре познат „fraud shop“ в киберпрестъпен форум.

В следващите дни малки престъпни екипи изкупуват части от този „инвентар“ – тестват логини, превземат акаунти, източват точки за лоялност и пускат автоматизирани carding скриптове срещу онлайн търговци.

Успешните удари се насочват към mule акаунти и дигитални портфейли. Оттам средствата се събират, консолидират и се превръщат в долар-обвързани дигитални активи, готови за бързо прехвърляне през борси, блокчейни и граници.

Именно тук започва зоната на припокриване между киберсигурността и финансовите престъпления.

Защо това вече е проблем не само за IT, а и за AML и fraud екипите

Дълги години пробивите в сигурността и мерките срещу пране на пари съществуваха в отделни „светове“.

• Incident response екипите се фокусираха върху форензика, ограничаване и уведомяване

• Compliance и AML екипите следяха банкови преводи, поведение на клиенти и санкционни списъци

Stablecoin-базираната схема за „изпиране“ свързва тези два свята директно. Тя превръща кражбата на данни в ончейн парични потоци, които не са нито чисто „кибер“, нито чисто „финансови“ в класическия смисъл.

Икономиката на пробива: как откраднатите данни стават пазарен продукт

От пробив до „стока“

След първоначалния достъп до пощенска система, база данни или платежна инфраструктура, реалната работа тепърва започва. Данните се:

• декриптират (ако е нужно),

• сортират,

• и разделят по стойност.

Така се появяват:

• списъци с логини,

• „fullz“ (пълни профили с лични и финансови данни),

• card dumps,

• готови пакети за достъп до конкретни услуги.

Всичко това се продава в специализирани пазари и частни канали.

„Crime as a Service“ екосистемата

Съвременните киберпрестъпни пазари напомнят раздробена финансова система:

• Initial Access Brokers продават VPN и RDP достъп

• Продавачи на данни предлагат подготвени списъци

• Carder-и извършват реалните измами

• Mule мрежи движат средства

• Crypto специалисти „изпират“ печалбата

В края на веригата почти винаги стои stablecoin.

Защо долар-обвързаните активи са толкова привлекателни

Долар без банка

Stablecoin-ите дават експозиция към щатския долар без нужда от:

• банкова сметка,

• KYC документация,

• риск от бързо блокиране.

За престъпни групи в санкционирани или високорискови юрисдикции това е огромно предимство.

Скорост и „регулаторен арбитраж“

• Трансфери за минути, не дни

• Различни нива на контрол между борси и блокчейни

• Възможност да се започне от слабо регулирани платформи и постепенно да се стигне до по-реномирани

Когато регулаторният натиск се увеличи, престъпните мрежи просто адаптират маршрута.

Основните „пътища“ на изпирането

Път 1 – Директно изнудване и ransom в stablecoin-и

Все повече ransomware групи предпочитат долар-обвързани активи вместо BTC. Причината е проста – няма валутен риск между искането и плащането.

Макар общите плащания по ransomware да намаляха през 2024 г., крипто активите остават доминиращият метод там, където плащане все пак се случва.

Път 2 – Carding и account takeover → конвертиране в stablecoin

Традиционният модел:

• измамни покупки,

• източване на акаунти,

• препродажба на стоки.

Успешните средства се събират и се конвертират в stablecoin-и, готови за движение през борси и P2P платформи.

Път 3 – Пряк удар по корпоративна крипто инфраструктура

Когато целта вече държи дигитални активи (fintech, борса, loyalty система), атаката прескача класическите измами.
Активите се консолидират в няколко ликвидни stablecoin-а и започва фазата на „слояване“.

Ончейн инфраструктурата: как се замъглява следата

Mixers, peel chains и DeFi

• Mixers обединяват средства от много източници

• Peel chains „обелват“ малки суми през множество адреси

• DeFi протоколи маскират движението като нормална ликвидност или yield

Bridges, OTC и P2P off-ramps

Stablecoin-ите рядко остават на една верига.
Cross-chain мостове и OTC посредници добавят нови слоеве сложност, преди средствата да стигнат до фиат.

Какво показват реалните разследвания

При разбиване на darknet пазари и нерегулирани борси се вижда повтарящ се модел:

• малък брой ключови услуги,

• settlement в stablecoin-и,

• силна зависимост от определени търговски двойки.

В редица случаи прекъсването на тези финансови „релси“ води до рязък спад в приходите на престъпните пазари.

Как да реагират екипите по сигурност, измами и AML

Превръщане на моделите в типологии

Ефективните екипи превеждат тези схеми в конкретни сигнали:

• бърза консолидация в stablecoin след публичен пробив,

• повтарящо се използване на конкретни мостове и DeFi пулове,

• нетипични движения около двойки като BTC/USDT.

Свързване на breach telemetry с ончейн данни

C2 домейни, ransom бележки и таймлайни от пробива често имат ончейн отражение.
Свързването на тези точки превръща реакцията от локална в стратегическа.

Засилване на on- и off-ramp контролите

Борси и финтех платформи са критични възли. Диференцирани KYC нива, динамични лимити и активен мониторинг на stablecoin потоците могат значително да намалят риска.

Cтабилните дигитални долари като новия фронт

Пътят от компрометирана база данни до „изпрани“ средства все по-рядко минава през кеш или класически BTC. Stablecoin-ите са новият стандарт за киберпрестъпните пазари.

Организациите, които интегрират ончейн анализ в incident response и AML процесите си, печелят ключово предимство. Те не просто реагират на пробиви, а разбират как престъпните икономики работят в реално време – и къде могат да бъдат прекъснати.