BTC/HKD-0.1%
ETH/HKD-0.32%
LTC/HKD+1.08%
DOT/HKD+0.62%
ADA/HKD+0.19%
SOL/HKD-0.33%
XRP/HKD+0.86%
DOGE/US+1.14%這次的主題是混幣器Tornado.Cash。
隨著黑客盜幣事件愈演愈烈，Tornado.Cash也變得越來越“有名”，大多數黑客在獲利后都毫不留情地將“臟幣”轉向Tornado.Cash。我們曾對Tornado.Cash的匿名性進行過探討，詳見：慢霧AML：“揭開”Tornado.Cash的匿名面紗。而今天以一個真實案例來看看這名黑客是怎么通過Tornado.Cash洗幣的。
基礎知識
Tornado.Cash是一種完全去中心化的非托管協議，通過打破源地址和目標地址之間的鏈上鏈接來提高交易隱私。為了保護隱私，Tornado.Cash使用一個智能合約，接受來自一個地址的ETH和其他代幣存款，并允許他們提款到不同的地址，即以隱藏發送地址的方式將ETH和其他代幣發送到任何地址。這些智能合約充當混合所有存入資產的池，當你將資金放入池中時，就會生成私人憑據，證明你已執行了存款操作。而后，此私人憑據作為你提款時的私鑰，合約將ETH或其他代幣轉移給指定的接收地址，同一用戶可以使用不同的提款地址。
案例分析
今天要分析的是一個真實案例，當受害平臺找到我們時，在Ethereum、BSC、Polygon三條鏈上的被盜資金均被黑客轉入Tornado.Cash，所以我們主要分析Tornado.Cash的部分。
Avalanche鏈上總鎖倉量跌至64.8億美元，7天跌幅40.35%:5月17日消息，據DefiLlama數據顯示，當前Avalanche鏈上總鎖倉量已跌至64.8億美元，24小時跌幅為13.97%，7天跌幅40.35%。[2022/5/17 3:22:52]
黑客地址：
0x489...1F4(Ethereum/BSC/Polygon)
0x24f...bB1(BSC)
Ethereum部分
借助慢霧MistTrack反洗錢追蹤系統，我們先對地址進行一個大概的特征分析。
從部分展示結果來看，可以看到交易行為里黑客使用較多的除了Bridge就是混合器Mixer，這些對我們分析黑客畫像十分重要。
接著，我們對Ethereum上的資金與行為進行深入分析：據慢霧MistTrack反洗錢追蹤系統的分析，黑客將2450ETH以?5x10ETH+24x100ETH的形式分批轉入Tornado.Cash，將198ETH轉入FixedFloat，這讓我們繼續追蹤Tornado.Cash部分留了個心眼。
以太坊鏈上逾1541萬枚USDC從火幣轉入FTX:Whale Alert數據顯示，北京時間10月21日20:19:28，以太坊鏈上15418260枚USDC（價值超過1541.8萬美元）從火幣（0x83a12795開頭地址）轉入FTX（0x2faf487a44開頭地址）。[2020/10/21]
既然想要嘗試追蹤黑客從Tornado.Cash轉出的地址，那我們就得從Ethereum上第一筆資金轉入Tornado.Cash的時間點開始，我們發現第一筆10ETH和第二筆10ETH間的時間跨度較大，所以我們先從跨度小的100ETH開始分析。
定位到Tornado.Cash:100ETH合約相對應的交易，發現從Tornado.Cash轉出的地址非常多。經過慢霧MistTrack的分析，我們篩選出了符合時間線和交易特征的地址。當然，地址依然很多，這需要我們不斷去分析。不過很快就出現了第一個讓我們饒有懷疑的地址。
獨家 | 比特幣鏈上活躍度上升，未確認交易數22240筆:金色財經報道，據歐科云鏈OKLink鏈上數據顯示，BTC鏈上活躍度上升。截至上午11時，BTC全網難度為16.95T，全網算力為121.30EH/s，較前日下降3.62EH/s，全網算力呈上升趨勢。未確認交易數近22240筆。[2020/8/11]
據慢霧MistTrack的分析，地址將?Tornado.Cash轉給它的ETH轉到地址，接著把ETH分為三筆轉到了FixedFloat。
當然，這也可能是巧合，我們需要繼續驗證。
繼續分析，接連發現三個地址均有同樣的特征：
BTC鏈上發生一筆1194枚BTC的大額轉賬:據OKLink區塊鏈瀏覽器數據顯示，BTC鏈上于2020-04-06 21:18 發生一筆1194.99991568枚 BTC 的大額交易。3Lrktg9（地址開頭）將1194.99991568枚 BTC(約合8556438.396251936美元)轉向37p3PS1(地址開頭)等的多個地址下。[2020/4/6]
A→B→FixedFloat
A→FixedFloat
在這樣的特征佐證下，我們分析出了符合特征的地址，同時剛好是24個地址，符合我們的假設。
Polygon部分
如下圖，黑客將獲利的365,247MATIC中的部分MATIC分7次轉到Tornado.Cash。
動態 | 2019年BTC鏈上交易總額達到3.9萬億美元:Tokenview公布2019年各公鏈交易總額，前十分別為：BTC（3.908萬億美元）、USDT（1.446萬億美元）、BCH（3156.54億美元）、SC（1909.171億美元）、ETH（1422.65億美元）、LTC（1067.33億美元）、ZCASH（531.81億美元）、DOGE（432.05億美元）、NEO（390.40億美元）、BSV（390.34億美元）。[2020/1/6]
而剩下的25,246.722MATIC轉到了地址，接著追蹤這部分資金，我們發現黑客將25,246.721MATIC轉到了FixedFloat，這讓我們不禁思考黑客在Polygon上是否會以同樣的手法來洗幣。
我們首先定位到Tornado:100,000MATIC合約與上圖最后三筆對應的交易，同時發現從Tornado.Cash合約轉出的地址并不多，此時我們可以逐個分析。
很快，我們就發現了第一個讓我們覺得有問題的地址。我們看到了熟悉的FixedFloat地址，不僅?FixedFloat轉MATIC到地址，從地址轉出資金的接收地址也都將MATIC轉給了FixedFloat。
分析了其他地址后，發現都是一樣的洗幣手法，這里就不再贅述。從前面的分析看來黑客對FixedFloat實在獨有偏愛，不過這也成了抓住他的把柄。
BSC部分
下面我們來分析BSC部分。BSC上黑客地址有兩個，我們先來看地址：
黑客地址分17次轉了1700ETH到Tornado.Cash，時間范圍也比較連貫。就在我們以為黑客會故技重施的時候，發現并非如此。同樣，經過慢霧MistTrack的分析與篩選，我們篩選出了符合時間線和交易特征的地址，再進行逐個突破。
分析過程中，地址引起了我們的注意。如圖，據慢霧MistTrack顯示，該地址將Tornado.Cash轉給它的ETH轉出給了SimpleSwap。
繼續分析后發現，換湯不換藥，雖然黑客換了平臺，手法特征卻還是類似：
A→SimpleSwap
A→B→SimpleSwap
另一個黑客地址是以10BNB為單位轉到了Tornado.Cash。
而在這個地址的洗幣手法中，黑客選擇了另一個平臺，不過手法依然類似。這里就不再一一分析。
總結
本文主要由一個真實案例開啟，分析并得出在不同的鏈上黑客是如何試圖使用Tornado.Cash來清洗盜取的資金，本次洗幣手法具有極相似性，主要特征為從Tornado.Cash提幣后或直接或經過一層中間地址轉移到常用的混幣平臺。當然，這只是通過Tornado.Cash洗幣的其中一種方法，更多手法仍等著我們發現。
而想要更有效率更準確地分析出結果，必然得借助工具。憑借超2億個錢包地址標簽，慢霧?MistTrack反洗錢追蹤系統能夠識別全球主流交易平臺的各類錢包地址，如用戶充值地址、溫錢包地址、熱錢包地址、冷錢包地址等。通過MistTrack反洗錢追蹤系統可對任意錢包地址進行特征分析和行為畫像，在反洗錢分析評估工作中起到至關重要的作用，為加密貨幣交易平臺、用戶個人等分析地址行為并追蹤溯源提供了強有力的技術支撐。
近日,Polkadot創始人GavinWood做客TheDefiant播客,和主持人Camila聊了聊一些非常有趣的話題,包括：同為分片.
1900/1/1 0:00:00發生在歐洲的這場危機依然在持續,雖然明面上雙方仍然僵持不下,但是可以看出烏方在口風上有一定的松動。不過,這是不是為了拖延時間未可知。在危機之初,烏克蘭就積極尋求各類援助.
1900/1/1 0:00:00為什么人類一直想要創造元宇宙?數千年前,柏拉圖曾經對游戲與神的關系緣起做過解釋。他認為,神之所以創造人類,是因為這件事情可以娛神,人類在游戲的過程中,給神帶來了歡樂.
1900/1/1 0:00:00金色財經報道,北京時間3月17日消息,Fantom基金會宣布,將對Fantom網絡進行快照同步、數據存儲、智能合約三個部分的升級,升級主要為了提高網絡的任務處理能力.
1900/1/1 0:00:002021年是數字人民幣試點快速推進的一年,在冬奧會順利應用之后,數字人民幣的試點將進一步擴大。今年兩會期間,數字人民幣再一次成為熱點話題,多位兩會代表針對數字人民幣提出建議,其中“立法”成為輿論.
1900/1/1 0:00:00要點： 機構投資者終于開始推動加密貨幣的進一步增長。最近的報告顯示,70-80%的人計劃在短期內進行分配投資組合。上一個周期錯過的投資急需的基礎設施和入口現在有了.
1900/1/1 0:00:00
以太坊交易所
