Sijoitusmaailmaa on hallinnut tänä vuonna keskustelu inflaatiosta sekä keskuspankkien kiristystoimista. Viime aikoina myös Ukrainan kriisi on noussut yhä enemmän tapetille. Taustalla on tapahtunut paljon muutakin. Viiden miljardin dollarin Bitcoin-hakkerointi on yksi tapauksista, joka on jäänyt yllättävän pienelle huomiolle. Käydään tätä hämmästyttävää casea läpi seuraavaksi.
Bitfinexin kohtalokas päivä elokuussa 2016
Tässä artikkelissa käsitelty tapaus sai alkunsa jo reilut viisi vuotta sitten, elokuussa 2016. Bitfinex-pörssi oli tuolloin yksi markkinoiden suurimmista toimijoista. Joku lukijoista ei välttämättä tiedä, että Bitfinexin taustalla oleva iFinex hallinnoi myös Tetheriä, joka on noin 80 miljardin dollarin arvoinen stablecoin. Vaikka Bitfinex on pörssinä jäänyt mm. Coinbasen sekä Binancen varjoon, se on Tetherin vuoksi yhä yksi markkinoiden tärkeimpiä pelureita.
Siirrytään sitten itse hakkerointiin.
Bitfinexin maine sai kohtalokkaan kolauksen elokuun 2. päivänä vuonna 2016. Toistaiseksi tuntematon taho onnistui hakkeroimaan 120.000 bitcoinia Bitfinexin lompakoista. Tämä siitä huolimatta, että bittirahat olivat suojattu ns. multi-signature-lompakoissa. Transaktion hyväksymiseen vaadittiin useamman tahon kuittaus.
Itse hakkeroinnin syy on yhä mysteeri. Bitfinexin teknisenä kumppanina toiminut BitGo ei ole myöntänyt, että heidän järjestelmäänsä olisi murrettu. Bitfinex ei ole myöskään julkaissut detaljitason selvitystä tapahtuneesta.
Bitcoinin kurssi oli tapahtumahetkellä noin 650 dollaria. Hakkeroinnin hintalappu oli siis nykyiseen markkinaan suhteutettuna varsin vaatimaton, 78 miljoonaa dollaria. Jos 120.000 bitcoinia muutetaan tämän päivän kurssille, niin iskun summaksi muodostuu viisi miljardia dollaria. Se tekee hakkeroinnista merkittävän tapauksen talousrikosten historiassa.
Hakkeroinnin seurauksena bail-in
Bitfinexin hakkeroinnilla oli välittömiä vaikutuksia markkinaan. Bitcoinin kurssi putosi noin 20 prosenttia heti tapahtuman jälkeen. Sijoittajat hermostuivat välittömästi myös muiden pörssien potentiaalisista riskeistä. Hyvästä syystä.
Suurin isku kohdistui Bitfinexin asiakkaisiin. Pörssi joutui turvautumaan bail-in -ratkaisuun, joka voi olla termintä tuttu Kyproksen pankkikriisistä vuonna 2013. Bail-in on bail-outin vastakohta eli bail-inissa asiakkaat joutuvat maksajan rooliin eikä kuoppaa täytetä ulkopuolisella rahalla esim. valtion toimesta.
Näin tapahtui myös Bitfinexissä. Pörssi joutui leikkaamaan peräti 36 prosenttia asiakkaidensa saldoja pysyäkseen pinnalla menetysten jälkeen. Bitcoineja menettäneet käyttäjät saivat vastineeksi BFX-tokeneita, jotka oli mahdollista konvertoida emoyhtiön osakkeiksi.
Vuoden 2016 jälkeen ei tapahtuneesta ole kuultu juuri mitään. Kaikki muuttui helmikuun alussa tänä vuonna.
Rikollisten pidätys
Ensimmäinen merkki tapauksen ratkaisusta havaittiin helmikuun 1. päivänä, kun ~95.000 Bitfinexistä varastettua bitcoinia siirrettiin uuteen osoitteeseen. Analyytikot luulivat ensin hakkerin heränneen talviunilta. Viikkoa myöhemmin selvisi, että kyse oli viranomaisten toimenpiteestä.
Yhdysvaltain oikeusministeriö tiedotti 8. helmikuuta pidättäneensä kaksi henkilöä epäiltynä rahanpesusta liittyen Bitfinex-hakkerointiin. Kyseessä on New Yorkissa asuva pariskunta; Ilya Lichtenstein (34) sekä hänen vaimonsa Heather Morgan (31). Kaksikosta Morgan on sittemmin vapautettu takuita vastaan, mutta hänen aviomiehensä istuu edelleen sellissä.
Uutinen herätti paljon hämmennystä sosiaalisessa mediassa. Etenkin tapaus Heather Morgan. Hän ei nimittäin ole mikään tyypillinen hakkeri. Kyseessä on Razzlekhan-niminen wannabe-räppäri, joka käyttää Twitter-bionsa perusteella myös titteleitä Surrealist Artist sekä Fashion Designer.
Voit tsekata meininkiä esim. alla olevalta videolta.
Eikä tässä vielä kaikki. Morgan on kaiken lisäksi monivuotinen Forbes-lehdin kolumnisti ja kirjoittanut mm. artikkelin otsikolla ‘Experts Share Tips To Protect Your Business From Cybercriminals’. Ironiaa on vaikea olla näkemättä.
Aviopuoliso Ilya Lichtenstein ei ole myöskään piilotellut missään pimeässä kellarissa. Lichtenstein on tunnettu startup-sijoittaja, ja kaksikko on esiintynyt viime vuosina lukemattomissa some-postauksissa. Kaiken lisäksi he asuivat New Yorkissa suurin piirtein oikeusministeriön naapurissa.
Koko kuvio tuntuu uskomattomalta. Eikä tässä vielä kaikki.
FBI löi viimeisen naulan arkkuun saatuaan pääsyn Lichtensteinin käyttämän pilvipalvelun tilille. Hän säilytti siellä satoja dokumentteja rahanpesuun liittyen sekä mm. informaatiota tuhansista Bitcoin-osoitteista. FBI pystyi yksinkertaisesti tyhjentämään kaksikon hallussa olleet varat. Tähän juuri liittyi edellä mainittu siirto 1. helmikuuta.
Monivuotinen rahanpesuprosessi
Yhdysvaltain oikeusministeriö on siis takavarikoinut noin 95.000 bitcoinia tapaukseen liittyen. ”Bitcoin Bonnie & Clyde” onnistuivat pesemään noin 25.000 bitcoinia viiden vuoden aikana. He olivat luoneet lukuisia feikki-identiteettejä, tilejä eri pörsseihin, käyttäneet mixer-palveluita ym.
Vaikka kaksikko vaikuttaa monien mielestä kaikkea muuta kuin kyberrikollisilta, niin ainakin toinen heistä käytti sofistikoituneita menetelmiä jälkien peittelyyn. Alla olevalla Coin Bureaun videolla käydään läpi tätä prosessia. Tsekkaa se kohdasta 8:57 alkaen, jos haluat tietää tarkemmin.
Bitcoin soveltuu noin lähtökohtaisesti erittäin huonosti rikolliseen käyttöön. Tämä johtuu sen pseudonyymistä lohkoketjusta. Bitcoin ei ole siis anonyymi eikä täysin avoin, vaan niiden välimaastossa. Lohkoketjun data on kyllä avointa transaktioiden osalta, mutta emme tiedä kenen mikäkin lompakko on.
Rikollisten on saatava jälkensä hävitettyä myös digitaalisessa maailmassa. Pörssien käyttö ei onnistu, koska suurien summien muuttaminen euroiksi tarkoittaisi aina KYC-prosessia. Vaikka sen saisikin suoritettua esim. feikki-ID:llä, niin hakkerointitapauksissa käytetyt Bitcoin-osoitteet lähetetään nopeasti kaikkiin suuriin pörsseihin. Jos niihin siirretään varoja ko. osoitteista, ne lukitaan välittömästi.
Eri kryptovaluutoille on olemassa ns. mixer-palveluita. Ne sekoittavat lähetetyn transaktion muiden käyttäjien transaktioiden kanssa, jolloin jälkiä seuraava taho saadaan kadotettua. Näin ainakin teoriassa. Viranomaisilla on nykyisin käytössä todella hyviä tekoälyalgoritmeja selvittämään monimutkaisia polkuja. Hakkeroitujen varojen hävittäminen on todella vaikeaa.
Edellä mainittu kaksikko joutuikin myös turvautumaan mm. Amazon- ja Playstation-lahjakortteihin yrittäessään muuttaa varastettuja bitcoineja dollareiksi.
Paljon avoimia kysymyksiä
Ilya Lichtenstein ja Heather Morgan vaikuttavat äkkiseltään syyllisiltä rahanpesuun, mistä heitä toistaiseksi syytetään. Lichtensteinin hallussa olleet dokumentit ovat varsin painava aineisto häntä vastaan. Onko Morgan ollut sitten täysillä tässä kuviossa mukana, siitä ei ole toistaiseksi vielä tietoa.
Herää kuitenkin kysymys, onko kaksikko todella myös itse hakkeroinnin takana? Heather Morganilla vaikuttaisi ainakin olevan social engineering -taitoja, jotka voivat olla yksi syy hakkeroinnin turvajärjestelmien pettämiseen. Morgan on pitänyt myös luennon aiheesta vuonna 2019.
On mahdollista, että kaksikolla oli apuna yksi tai useampi taho varsinaisen hakkeroinnin suorittamiseen. Tästä ei ole toistaiseksi vielä tarkempaa tietoa.
Oma lukunsa on myös takavarikoitujen bitcoinien kohtalo. Bitfinexillä ja sen taustayhtiöllä on ollut omat hankaluutensa Yhdysvaltain viranomaisten kanssa. Ifinex sai mm. vuosi sitten New Yorkin syyttäjänviranomaisten kanssa aikaan sopimuksen, mikä maksoi sille 18,5 miljoonaa dollaria.
Asian tekee mielenkiintoiseksi myös Bitcoinin järkyttävä arvonnousu. Takavarikoidut ~95.000 bitcoinia ovat noin 3,5 miljardin dollarin arvoiset, mutta itse hakkerointi oli dollareissa alle 80 miljoonaa. Kuittaako Yhdysvaltain oikeusministeriö varat Bitfinexille takaisin dollareissa, bitcoineissa vai ei missään valuutassa?
On myös mahdollista, että jokainen uhri joutuu hakemaan erikseen menetettyjä varoja takaisin. Lisää spekulointia aiheesta mm. tässä artikkelissa.
Moni odottaa myös suurella mielenkiinnolla, millaisia lausuntoja Lichtensteinin ja Morganin puolustusasianajajilta kuullaan. Kaksikkoa uhkaa jopa 20 vuoden linnatuomio.
Bitfinexin hakkerointi on kaikin puolin hämmästyttävä tapaus. Ei mikään ihme, että Netflix on jo tilannut dokumentin tapahtuneesta. Kyseessä on monien mielestä kryptoskenen merkittävin hakkerointi surullisen kuuluisan Mt. Goxin jälkeen. Vuonna 2014 tapahtuneen hakkeroinnin konkurssipesää selvitellään vielä tänäkin päivänä. Mt. Goxista varastettiin eri arvioiden mukaan 750.000–850.000 bitcoinia, joista noin 200.000 saatiin palautettua.
