تحلیل رفتار مجرمان سایبری در ۲۰۲۵
تحلیل رفتار مجرمان سایبری در ۲۰۲۵: افزایش استفاده از میکسرها و صرافی‌های غیرمتمرکز
یک تحلیل عمیق از رفتار جدید هکرها و علت افزایش استفاده از ابزارهای ناشناس‌سازی، با مثال‌های واقعی و بررسی الگوهای تراکنشی.
در سال ۲۰۲۵ شاهد تغییر محسوس در رفتار هکرها و مجرمان سایبری هستیم. اگر در گذشته مقصد اصلی تراکنش‌های سرقتی، صرافی‌های متمرکز بود، اکنون نقشه کاملاً عوض شده است. استفاده از میکسرها، DEXها و حتی پروتکل‌های مبتنی بر DeFi به بالاترین سطح خود رسیده است.
اما چرا این رفتار تغییر کرده؟
پاسخ در یک جمله خلاصه می‌شود: افزایش فشار قانونی روی صرافی‌های متمرکز. امروزه تقریباً تمام پلتفرم‌های متمرکز، سیستم‌های KYC سخت‌گیرانه دارند و درخواست اطلاعات پلیس را به سرعت پاسخ می‌دهند. بنابراین هکرها برای فرار از شناسایی، ترجیح می‌دهند مسیر پول را به سمت ابزارهایی ببرند که هیچ‌کس مالک رسمی آن نیست.
استفاده از میکسرها باعث می‌شود جریان پول به صدها آدرس تقسیم شود و دوباره تجمیع شود؛ این عمل یک لایه پیچیدگی ایجاد می‌کند اما مسیر را کاملاً محو نمی‌کند. چون بلاکچین شفاف است و اگر تحلیل‌گر بداند دنبال چه الگوهایی می‌گردد، حتی حرکت‌های درهم‌شده هم قابل بازیابی هستند.
الگوی دیگری که در سال ۲۰۲۵ مشاهده می‌شود، افزایش استفاده از DEXها برای انجام Swapping سریع است؛ به‌خصوص از ETH به USDT یا برعکس. این کار دو هدف دارد: تغییر شبکه و تغییر دارایی، که هر دو مرحله می‌تواند زمان شناسایی را طولانی‌تر کند.
اما نکته مهم این است:
در تمام موارد بررسی‌شده طی ماه‌های اخیر، هکرها در نهایت مجبور شده‌اند دارایی را به نوعی نقد کنند—و همین نقطه ضعف اصلی آن‌هاست. تحلیل‌گران حرفه‌ای از این نقطه برای شناسایی حلقه اصلی پول و ارتباطات آن استفاده می‌کنند.
بلاگ‌ها و مقالات
مشاهده همه
Gas Funding Analysis چیست؟
فرض کنید در یک پرونده کلاهبرداری رمزارزی، دارایی سرقت‌شده به پنج کیف پول متفاوت منتقل شده است. این کیف پول‌ها ظاهراً ارتباط مستقیمی با یکدیگر ندارند. هرکدام آدرس مستقل، تاریخچه متفاوت و مجموعه‌ای از تراکنش‌های جداگانه دارند. اما هنگام بررسی دقیق‌تر متوجه می‌شویم که همه آن‌ها پیش از اولین انتقال، مقدار کمی ETH از یک آدرس مشترک دریافت کرده‌اند. آیا این اتفاق تصادفی است؟ آیا پنج کیف پول توسط یک شخص کنترل می‌شوند؟ یا آدرس مشترک صرفاً متعلق به یک صرافی یا سرویس تأمین Gas است؟ این پرسش‌ها نقطه آغاز Gas Funding Analysis هستند؛ روشی برای بررسی ارتباطات احتمالی میان آدرس‌ها از طریق تحلیل منابع تأمین کارمزد شبکه.
Chain Hopping چیست؟
یک تصور قدیمی درباره ردگیری رمزارز وجود دارد: «کافی است دارایی را به شبکه دیگری ببریم تا رد آن گم شود.» اما Blockchain Forensics امروز بسیار فراتر از بررسی یک Explorer واحد رفته است. پژوهش‌های ۲۰۲۶ نیز دقیقاً به همین تحول اشاره می‌کنند. یک مقاله ارائه‌شده در کنفرانس IEEE ICBC توضیح می‌دهد که DeFi، Bridgeهای غیرمتمرکز و Chain Hopping، تحقیقات را از یک مسئله محلی روی یک زنجیره به یک مسئله چندزنجیره‌ای و پیچیده تبدیل کرده‌اند. Doi مطالعه دیگری در اوت ۲۰۲۶ نیز یک چارچوب Forensic برای ردیابی دارایی در محیط‌های چندلایه و میان Layer 1 و Layer 2 پیشنهاد کرده است. MDPI بنابراین Chain Hopping مسیر را سخت‌تر می‌کند؛ اما سخت‌ترشدن با ناپدیدشدن کامل ردپا یکسان نیست.
Wash Trading چیست و چگونه می‌توان معاملات ساختگی را روی بلاکچین شناسایی کرد؟
حجم معاملات یکی از اولین اعدادی است که هنگام بررسی یک Token یا بازار دیده می‌شود. فرض کنید یک Token تازه ایجادشده در مدت کوتاهی: $20,000,000 Trading Volume ثبت کرده باشد. در نگاه اول ممکن است تصور کنیم هزاران معامله‌گر در حال خریدوفروش آن هستند. اما اگر بخش قابل توجهی از این معاملات توسط مجموعه کوچکی از Walletهای مرتبط ایجاد شده باشد چه؟ اینجا مفهوم Wash Trading اهمیت پیدا می‌کند. در یک بررسی منتشرشده در ۲۴ سپتامبر ۲۰۲۶، Bitquery با روش تحلیلی خود معاملات DEX در شش شبکه را بررسی کرد و گزارش داد بخش بزرگی از حجم مورد بررسی، معیارهای آن‌ها برای معاملات غیرواقعی را داشته است. این یافته یک حکم عمومی درباره کل بازار نیست، اما نشان می‌دهد حجم ثبت‌شده روی زنجیره را نباید بدون تحلیل ساختار معاملات معادل تقاضای واقعی دانست. Bitquery
چگونه رفتار کیف پول صرافی را از کیف پول شخصی تشخیص دهیم؟
در بسیاری از تحقیقات Blockchain Forensics یک سؤال مهم مطرح می‌شود: آیا این آدرس متعلق به یک کاربر عادی است یا بخشی از زیرساخت یک صرافی؟ این سؤال ساده به نظر می‌رسد، اما پاسخ همیشه ساده نیست. یک صرافی ممکن است هزاران یا حتی میلیون‌ها Deposit Address داشته باشد و ساختار مدیریت وجوه آن با یک Wallet شخصی تفاوت زیادی داشته باشد. از طرف دیگر، صرفاً داشتن تعداد زیاد تراکنش نیز ثابت نمی‌کند یک آدرس متعلق به Exchange است. برای تحلیل صحیح باید رفتار آدرس بررسی شود.
