Versenyfutás az idővel: pénzmosás-védelem vs. hackerek
A svájci blokklánc-elemző cég, a Global Ledger legújabb jelentése szerint 2025 első felében 119 kriptós hack során több mint 3,01 milliárd dollárt loptak el, ami meghaladja a 2024-es év teljes összegét. Még riasztóbb a növekvő volumen mellett a sebesség is. A jelentés elemezte az egyes támadásokhoz kapcsolódó onchain adatokat, és nyomon követte, milyen gyorsan mozgatták a támadók a pénzeszközöket mixerek, hidak és központosított tőzsdék segítségével. A kutatók az első incidens és a pénzmosási végpont közötti időt feltérképezve megállapították, hogy az ellopott pénzek átmosása ma már percek alatt megtörténik, gyakran még azelőtt, hogy a hackelés nyilvánosságra kerülne.
A hackerek egyre gyorsabban, a rendszerek nem tudják tartani a lépést velük
A Global Ledger adatai szerint az esetek közel 23%-ában a pénzmosás már teljesen befejeződött, mire a támadás vagy sebezhetőség nyilvánosságra került. Sok más esetben a lopott pénzeszközök már mozgásban voltak, mire az áldozatok rájöttek, mi történt. Ezekben az esetekben is már késő lehet észbekapni. Az is látható, hogy a hackerek egyre gyorsabbak és ügyesebbek lesznek a lopott kriptovaluták tisztára mosásában, miközben a pénzmosás elleni (AML) rendszerek és a különféle szolgáltatók egyre nehezebben tudnak lépést tartani velük.
A jelentésben megvizsgált leggyorsabb esetben a pénzeszközöket négy másodperccel a támadás után már el is mozgatták és a teljes pénzmosás kevesebb mint három perc alatt befejeződött. Összességében a pénzmosások 31,1%-a 24 órán belül befejeződött a lopás után, míg a támadások nyilvánosságra hozatala átlagosan 37 órát vett igénybe. A jelentés szerint a támadók általában 15 órával a támadás után mozdítják meg a pénzeszközöket, így gyakran 20 órás előnyre tesznek szert, mielőtt bárki észrevenné őket. A 10 vizsgált incidensből 7 esetben (68,1%) a pénzeszközök már mozgásban voltak, mire a hackelést nyilvánosságra hozták. És a esetek közel egynegyedében (22,7%) a pénzmosási folyamat már teljesen befejeződött, mire belső vagy nyilvános bejelentés történt. Ennek eredményeként 2025 első felében a lopott pénzeszközök mindössze 4,2%-át sikerült visszaszerezni.
A jelentésből az is kiderült, hogy 2025 első hat hónapjában az összes átmosott kriptovaluta 15,1%-a központosított tőzsdéken (CEX) keresztül haladt át, és hogy a megfelelőségi csapatoknak gyakran csak 10–15 percük van a gyanús tranzakciók blokkolására, mielőtt a pénzeszközök elvesznek. A központosított tőzsdék továbbra is a támadók leggyakrabban célba vett behatolási pontjai, 2025-ben a teljes veszteség 54,26%-áért ezek voltak felelősek, ami messze meghaladja az okosszerződések kihasználását (17,2%) és a személyes pénztárcákból való lopást (11,67%).
A hackerek fejlődésével a tőzsdék által gyakran alkalmazott bejelentés/jegy alapú megfelelési folyamatok már nem elegendőek. A jelentés azt javasolja, hogy a tőzsdéknek valós idejű, automatizált felügyeleti és reagálási rendszereket kell bevezetniük, amelyek felismerik és megakadályozzák az illegális tevékenységeket, mielőtt a pénzeszközöket tisztára mossák. Sebességre csak sebesség lehet a válasz. Ha három perc alatt végigmegy egy pénzmosási folyamat, akkor ezen az időkereten belül kell reagálniuk a szolgáltatóknak. A Donald Trump által az Egyesült Államokban július 18-án aláírt GENIUS törvény is még szigorúbb AML-elvárásokat fogalmaz meg és gyorsabb reagálási követelményeket ír elő a tőzsdéknek és más szolgáltatóknak.
Milyen jövő vár a nyílt forráskódú szoftverek fejlesztőire?
De felmerül az örök kérdés, vajon a szolgáltatók és fejlesztők felelősségre vonhatóak azért, mert nem akadályozták meg az illegális tevékenységeket? Jelenleg úgy tűnik, hogy a többség szerint igen. A Tornado Cash mixere fejlesztőjének, Roman Stormnak a perében az amerikai ügyészek a tárgyalás során kijelentették, hogy Stormnak lehetősége volt olyan ellenőrző mechanizmusokat bevezetni, amelyek megakadályozhatták volna az illegális felhasználást, de úgy döntött, hogy ezeket nem vezeti be. Az ügyészek azt állítják, hogy a Tornado Cash nevű platform több mint 1 milliárd dollárnyi illegális tranzakciót segített elő. Ha elítélik Stormot, akár 45 év börtönbüntetésre is számíthat. Az ő ügye fordulópont lehet a nyílt forráskódú fejlesztés világában is. Sokan azzal érvelnek, hogy egy fejlesztő büntetőeljárás alá vonása kódírásért, különösen egy olyan decentralizált protokoll esetén, mint a Tornado Cash, veszélyes precedenst teremt, amely visszavetheti az innovációt és alááshatja a szoftverek szabadságát.