W 2016 roku w jednym włamaniu zniknęło z giełdy Bitfinex prawie 120 000 bitcoinów. Przez sześć lat złodziej wydawał się nie do znalezienia — dopóki FBI nie otworzyło jednego pliku w chmurze i nie przeprowadziło największej konfiskaty pieniędzy w historii Stanów Zjednoczonych. Sprawcą okazał się przedsiębiorca technologiczny, a jego żoną — ekscentryczna raperka nazywająca siebie “Krokodylem z Wall Street”. Oto historia napadu na Bitfinex i Razzlekhan: o tym, jak blockchain nigdy nie zapomniał.
Włamanie
Sierpień 2016. Bitfinex, jedna z największych giełd bitcoina na świecie, z siedzibą w Hongkongu, zostaje rozpruty od środka. Napastnik wykorzystuje lukę w zabezpieczeniach i w krótkim czasie przenosi około 119 754 bitcoinów do portfeli, które kontroluje. Wartość w tamtym momencie: mniej więcej 72 miliony dolarów.
Wiadomość uderza jak bomba. Kurs bitcoina spada tego samego dnia o jakieś 20%. To jedna z największych kradzieży giełdowych od czasów Mt. Gox i znów przekaz brzmi: twoje monety na giełdzie są tak bezpieczne, jak najsłabsze ogniwo jej kodu. Ale ta sprawa jest wyjątkowa nie z powodu włamania. Wyjątkowe jest to, co przez sześć lat nie nastąpiło — i co nagle nastąpiło.
Kto zapłacił rachunek
Pierwszym, który przyjął cios, nie był złodziej, lecz klient. Bitfinex postanowił rozłożyć stratę na wszystkich użytkowników: każdy — także ci, którzy nie mieli nic wspólnego ze zhakowanymi portfelami — oddał około 36% swojego salda. W zamian klienci dostali tokeny BFX, które firma później odkupiła albo zamieniła na udziały.
Ostatecznie klienci wyszli więc na swoje — ale zwróć uwagę na zasadę: na nielicencjonowanej giełdzie bez obowiązkowego oddzielenia środków klientów i bez pokrycia hack może oznaczać, że ty dopłacasz do kradzieży u kogoś innego. Nie jesteś chronionym oszczędzającym; jesteś współponoszącym ryzyko.
Sześć lat ciszy
Po włamaniu wydarzyło się coś dziwnego: prawie nic. Skradzione bitcoiny w większości leżały nieruszone w portfelach złodzieja. Analitycy on-chain latami obserwowali te adresy jak tykającą bombę — każdy widział, że pieniądze tam są, bo blockchain jest jawny, ale nikt nie wiedział, kto ma klucze.
A gdy pieniądze tam leżały, były warte coraz więcej. Łup, który w 2016 roku wart był około 72 milionów dolarów, wraz ze wzrostem kursu bitcoina urósł do miliardów. Złodziej siedział na fortunie, której bał się dotknąć. Bo za każdym razem, gdy przesunąłby monetę, zostawiałby ślad, który już nigdy by nie zniknął.
Najmniej prawdopodobna para
Złodziejem okazał się Ilya Lichtenstein, ksywa “Dutch”: urodzony w Rosji amerykański przedsiębiorca technologiczny, ten typ niepozornego człowieka, którego zignorowałbyś na startupowym after party. Ale twarzą, którą świat zapamiętał, była twarz jego żony.
Heather Morgan za dnia była bizneswoman i — to nie żart — aktywną na LinkedInie i w Forbesie ekspertką piszącą o tym, jak firmy powinny chronić się przed cyberprzestępcami i oszustwami. Wieczorami była “Razzlekhan”, samozwańczą raperką, która nazywała siebie “Krokodylem z Wall Street” i nagrywała dziwaczne teledyski na ulicach Nowego Jorku, w tym ostentacyjnie przed New York Stock Exchange.
Nazywała siebie Krokodylem z Wall Street — a w międzyczasie pisała dla Forbesa artykuł o tym, jak przeciwdziałać oszustwom i cyberprzestępczości.Publiczna persona Heather ‘Razzlekhan’ Morgan udowodnione
Ironia była pełna: kobieta budująca wizerunek doradczyni od cyberprzestępczości potajemnie pomagała prać zysk z jednej z największych cyberkradzieży w historii. Gdy sprawa wybuchła, jej beznadziejne teledyski w jeden dzień stały się wirusowe — ale prawdziwa historia siedziała w blockchainie.
Pralnia
Mniej więcej od 2017 roku para zaczęła przesuwać łup i robiła to z arsenałem sztuczek, który akt oskarżenia opisał później drobiazgowo. Siekali strumień na tysiące drobnych transakcji (chain-hopping), przepuszczali monety przez rynki darknetu, takie jak AlphaBay i Hydra, zakładali konta na fałszywe tożsamości, zamieniali bitcoina na inne monety i z powrotem, a część przerabiali na fizyczne złoto.
To złoto dostało niemal bajkowy zwrot: część zamieniono na złote monety, które Morgan dosłownie zakopała. Śledczy odkopali je później w pewnym miejscu w Kalifornii. Były wśród tego nawet bony podarunkowe Walmartu. Pranie pieniędzy jak zabawa — i właśnie ta zabawa okazała się ich zgubą, bo każdy ruch stał nieusuwalnie w księdze.
Plik w chmurze
Punkt zwrotny przyszedł nie wraz z nalotem, lecz z ekranem logowania. Na początku 2022 roku śledczy uzyskali, na podstawie nakazu, dostęp do konta Lichtensteina w chmurze. Znaleźli tam rzecz nie do pomyślenia: plik z listą ponad 2000 adresów portfeli, na których leżały skradzione bitcoiny — razem z odpowiadającymi im kluczami prywatnymi.
Złodziej trzymał klucze do własnego skarbca w pliku w chmurze. Jedno logowanie i gra się skończyła.
Z tymi kluczami władze mogły zrobić to, na co sam złodziej się nie odważył: przenieść pieniądze. Jednym ruchem odzyskały około 94 000 bitcoinów. Sześć lat nietykalności skończyło się plikiem tekstowym.
Największa konfiskata w historii
8 lutego 2022 roku Ilya Lichtenstein i Heather Morgan zostali zatrzymani w Nowym Jorku. Amerykański Departament Sprawiedliwości ogłosił, że skonfiskował bitcoiny o wartości około 3,6 miliarda dolarów — wówczas największą konfiskatę finansową w historii resortu. Później doszły do tego jeszcze setki milionów.
“Krokodyl z Wall Street” i jej mąż, przekonani, że popełnili idealną zbrodnię, nagle sami siedzieli w celi — złapani dokładnie przez tę technologię, którą sądzili, że pokonali.
Wyrok
W sierpniu 2023 roku oboje przyznali się do spisku w celu prania pieniędzy, a Lichtenstein potwierdził, że to on był pierwotnym hakerem Bitfinexa. W listopadzie 2024 roku zapadły wyroki: Ilya Lichtenstein dostał pięć lat więzienia, Heather Morgan osiemnaście miesięcy. Dzięki wzrostowi kursu bitcoina państwo odzyskało tymczasem skradzioną wartość rzędu dziesięciu miliardów dolarów — zdecydowanie największy odzysk w historii.
Historia doczekała się, nieuchronnie, dokumentu Netflixa. Ale jej trwałe znaczenie nie tkwi w teledyskach ani w zakopanym złocie. Tkwi w sześciu latach, gdy pieniądze wydawały się nietykalne, i w jednym logowaniu, które rozwikłało wszystko.
Co udowodnił ten napad
Napad na Bitfinex obala największy mit o krypto: że jest anonimowe. Prawda jest odwrotna. Blockchain to trwała, jawna pamięć — każda moneta, którą para przesunęła, zostawiała ślad cierpliwie czekający na nich sześć lat. Zostali złapani nie mimo technologii, lecz przez technologię. Dla tych, którzy sądzą, że skradzione krypto po prostu znika: złodzieje siedzieli na miliardach, których ledwo mogli wydać.
Jest i druga lekcja, dla każdego, kto wybiera, gdzie trzyma swoje monety. Gdy zhakowano Bitfinex, rachunek dostali klienci — wymuszona obniżka o 36% na saldzie każdego z nich. Porównaj to z tym, jak Bybit w 2025 roku wchłonął jeszcze większy hack, a żaden klient nic nie stracił. Różnica leży w rezerwach, transparentności i w tym, czy środki klientów są chronione. Właśnie dlatego europejska regulacja MiCAR wymaga, by licencjonowana giełda oddzielała środki klientów od majątku własnego i przechowywała je w sposób weryfikowalny — tak, by rachunek za włamanie nie wylądował po cichu u ciebie.
Krokodyl z Wall Street sądziła, że jest sprytniejsza niż system. Ale księga niczego nie zapomina, a skarbiec złodzieja jest tak samo kruchy jak jeden źle schowany plik. Pytanie, które zostawia ten napad, jest podwójne: jak dobre są zabezpieczenia twojej giełdy — i kto pokryje szkodę, jeśli mimo wszystko coś pójdzie nie tak?
Źródła
Przyznanie się do winy i metody prania (chain-hopping, AlphaBay/Hydra, fałszywe tożsamości, złoto): US DOJ. Zatrzymanie i konfiskata 3,6 mld USD (największa w historii), luty 2022: Washington Post. Wyroki (Ilya 5 lat, Heather 18 miesięcy) i ~10 mld USD odzyskane: TRM Labs, Bloomberg. Persona Razzlekhan, zakopane złote monety i sama sprawa: TIME, NBC News.