Крипто-кримінал: як світ намагається зламати фінансові схеми постачальників дитячої порнографії та викрити злочинців

• Чому Chainalysis взялася за ринок CSAM
• Як змінився крипторинок CSAM за останні чотири роки
• Чому продавці CSAM можуть довго вести злочинну діяльність
• Як правоохоронці виявляють постачальників CSAM
• Аналіз блокчейна допомагає врятувати дитину
• Як краще використовувати блокчейн для боротьби зі CSAM 

Чому Chainalysis взялася за ринок CSAM

Аналітики Chainalysis вважають, що ринок CSAM залишається недостатньо вивченою частиною криптозлочинної екосистеми. Індустрія загалом усвідомлює, що існують цифрові простори, де CSAM можна купувати та продавати за допомогою криптовалюти. Також є відомі випадки, коли правоохоронні органи закривали крипторинки CSAM, як-от Welcome to Video.

Зокрема, менеджер гарячої лінії в Internet Watch Foundation (IWF) Тамсін Макнеллі зазначає, що "віртуальна валюта є домінуючим вибором для покупців і продавців комерційного контенту сексуального насильства над дітьми".

Тому аналітики Chainalysis вирішили вперше зробити комплексне об’єктивне вимірювання екосистеми CSAM-криптовалют. Для цього команда проаналізувала понад 400 ідентифікованих гаманців постачальників CSAM, які були активними у 2020-2023 роках.

"Ми спостерігали понад 10 тис. гаманців, які надсилали кошти на гаманці постачальників CSAM у 2023 році. Для цілей цього аналізу ми позначаємо як покупців із зображенням сексуального насильства", - зазначено у звіті. 

Аналітики Chainalysis кажуть, що ідентифікувати постачальників сексуального насильства дуже важко, оскільки більшість уникає реклами навіть у даркнеті, адже ця форма злочину вважається особливо огидною. 

"Наприклад, практично всі ринки даркнету прямо забороняють продаж цього матеріалу", - говориться у репорті.  

Загалом команда Chainalysis змогла дослідити, як змінювався ринок CSAM останні роки. Зокрема, аналітики виявили, що у 2023 році обсяг цього злочинного бізнесу з використанням крипти зменшився. Але водночас з цим, зросла досвідченість продавців дитячої порнографії щодо виявлення злочинного контенту та його видалення. 

"Для транзакцій постачальники CSAM використовують засоби, як змішувачі та монети конфіденційності, зокрема, Monero", - говорять аналітики Chainalysis. 

Як змінився крипторинок CSAM за останні чотири роки

У звіті Chainalysis зазначено, що масштаби ринку CSAM досягли піку в 2021 році після низької активності в 2020-му. При цьому аналітики виділили п’ять рівнів системи ціноутворення, який використовують постачальники злочинного контенту. Ярусна система виглядає так:

• Рівень 1 - $10-20. 
• Рівень 2 -  $20–35. 
• Рівень 3 - $35-50. 
• Рівень 4 - $50-70. 
• Рівень 5 - $70. 

"Вищі рівні є дорожчими та надають користувачам більший обсяг контенту, а часто й більш екстремальний контент, в контексті однієї покупки", - говориться у звіті. 

При цьому команда Chainalysis зазначає, що в останні роки покупки на рівнях 4 і 5 зменшились, тоді як частка CSAM-транзакцій для 1 і 2 цінових рівнів зросла. Це може свідчити про декілька тенденцій:

• CSAM, який поширюється, стає менш екстремальним або надається менше матеріалу за кожну покупку.  
• Ринок може бути переповнений вмістом, що призводить до падіння цін за всіма напрямками незалежно від екстремального вмісту. 

Також дослідники виявили, що строк "тривалості життя" середнього активного постачальника дитячої порнографії зростає. Так, у 2023 році продавці CSAM проявляли активність 884 дні проти 560 днів у 2022 році. 

"Однак у 2023 році з’явилося відносно мало нових постачальників CSAM - лише 43, порівняно зі 112 у 2022 році", - зазначено у звіті.  

Чому продавці CSAM можуть довго вести злочинну діяльність

За словами авторів дослідження, стійкість крипторинку CSAM зростає тому, що вони активно приховують свою діяльність. Зокрема, для цього використовуються інструменти анонімності в Інтернеті, наприклад, Tor. 

Також постачальники CSAM активно використовують криптовалюту для фінансових операцій. В основному їх вибір стосується найпопулярнішої "конфіденційної монети" Monero. 

Для розуміння: в анонімних "монетах" блокчейни використовують унікальні функції підвищення конфіденційності. Це ускладнює відстеження потоків коштів або розпізнавання їх початкового джерела.

В основному постачальники CSAM використовують Monero в миттевих обмінниках, щоб відмити брудні гроші. Цей тренд значно виріс за останні кілька років.

"Традиційні CEX завжди були найбільшими одержувачами коштів, надісланих незаконними службами, зокрема постачальниками CSAM. Однак за останні роки миттєві обмінники, які підтримують Monero, скоротили розрив. Таким чином можна допустити, що гаманці постачальників CSAM можуть частіше використовувати Monero для цілей відмивання грошей, навіть якщо вони продовжують отримувати основну частину платежів клієнтів у біткоїнах", - говориться у дослідженні.

При цьому деякі продавці CSAM майже повністю відмовилися від прямого надсилання на CEX. Замість цього вони надсилають кошти лише в миттєві обмінники, які підтримують Monero. Це може допомагати постачальникам CSAM вижити довше на злочинному крипторинку.

Але використовувати Monero не так вже й легко, як здається на перший погляд. Загалом у 2023 році лише 52% гаманців вендорів CSAM надсилали кошти на миттєві обмінники, сумісні з відомою анонімною "монетою". 

"Чому це число не вище? Одна з причин: порівняльна складність використання Monero. Багато бірж не підтримують цю криптовалюту", - говорять у Chainalysis. 

Важливо відзначити, що використання миттєвого обмінника не обов’язково забезпечує анонімність користувачів. Деякі миттєві обмінники мають KYC та інші процеси відповідності, включаючи моніторинг транзакцій. 

"Багато хто виконує запити правоохоронних органів, пов’язані з розслідуваннями, включно із випадками сексуального насильства проти дітей", - кажуть у Chainalysis.

Як правоохоронці виявляють постачальників CSAM

Свого часу використовуючи інструменти аналізу блокчейну, спеціальні агенти Служби внутрішньої безпеки (HSI) та детективи Департаменту поліції Нью-Йорка (NYPD) змогли ідентифікувати адміністратора масштабного сервісу CSAM у даркнеті. Це допомогло врятувати дитину, яка стала жертвою одного з клієнтів сервісу. 

Команда змогла розкрити злочин завдяки знайденій веб-адресі, що була нашкрябана на аркуші паперу. Цю записку правоохоронці знайшли під час обшуку квартири самотнього сексуального злочинця. 

Все почалось у 2019 році, коли детектив поліції Нью-Йорка, який працював з кібервідділом HSI, заарештував місцевого жителя. Під час проведення обшуку в квартирі підозрюваного слідчі виявили дещо цікаве: поруч з комп’ютером лежала записка, де була написана веб-адреса в TOR. 

Детектив відвідав веб-сайт у даркнеті і виявив каталог форумів і веб-сайтів, присвячених CSAM. На одній платформі користувачі могли купувати заборонену відеопродукцію, а також влаштовувати зустрічі з неповнолітніми жертвами. Всі операції за ці злочини оплачувалось в біткоїнах.

Слідчі вирішили відправити невеликий платіж у біткоїнах на адресу, надану сервісом, та спілкувалися з адміністратором сайту. Детектив видавав себе за користувача, який шукає контент CSAM. Він пообіцяв надіслати повний платіж після того, як адміністратор підтвердить отримання початкової транзакції. 

Коли адміністратор підтвердив, що отримав біткоїни, детектив знав, що адреса справді належить адміністратору злочинного сервісу, тож він припинив спілкування. Далі аналітики спостерігали, куди далі адміністратор перемістить кошти. Зрештою адміністратор відправив біткоїн на однорангову біржу (P2P). 

Після цього розслідування оперативники змогли встановити особу злочинця. Виявилося, що адміністратор дарквебу проживає за межами США.

Аналіз блокчейна допомагає врятувати дитину

Робота оперативної групи HSI ще не була завершена. Завдяки прозорій структурі блокчейнів, дослідники змогли спостерігати за тим, як адміністратор сайту CSAM отримував біткоїни від клієнтів та куди їх надсилав їх далі.

"Розуміння незаконного потоку криптовалюти дозволяє правоохоронним органам розкривати складні розслідування", - пояснив Ентоні В., спеціальний агент HSI.

Переглядаючи біткоїн-гаманець адміністратора дарквебу, слідчі побачили ще одну адресу, з якої надходили біткоїни. Суми транзакцій свідчили про покупку відео із зображенням сексуального насильства. 

Як краще використовувати блокчейн для боротьби зі CSAM 

Наразі криптовалюта відіграє важливу роль у багатьох формах злочинів, включаючи сексуальні злочини проти неповнолітніх. Тому правоохоронці мають вивчати сучасні технології, зокрема, інструменти аналізу блокчейну. Такі підходи дозволять ідентифікувати та аналізувати адреси криптовалют, щоб в результаті знаходити злочинців та затримувати їх.

Однак біржі криптовалют також відіграють важливу роль. Вони можуть:

• використовувати інструменти моніторингу транзакцій біржі; 
• отримувати сповіщення в режимі реального часу, якщо їхні користувачі здійснюють транзакції з будь-якими адресами, визначеними як належні постачальнику CSAM;  
• повідомляти про незаконні транзакції відповідним органам. 

"Біржі також можуть допомогти, співпрацюючи з правоохоронними органами, коли агенти запитують інформацію", - зазначають аналітики Chainalysis.