作者:Lisa@慢霧AML團隊
原標題:《鏈上追蹤:洗幣手法科普之Tornado.Cash》
前段時間,我們發布了鏈上追蹤:洗幣手法科普之PeelChain,今天繼續該系列。這次的主題是混幣器Tornado.Cash。
隨著黑客盜幣事件愈演愈烈,Tornado.Cash也變得越來越“有名”,大多數黑客在獲利后都毫不留情地將“臟幣”轉向Tornado.Cash。我們曾對Tornado.Cash的匿名性進行過探討,詳見:慢霧AML:“揭開”Tornado.Cash的匿名面紗。而今天以一個真實案例來看看這名黑客是怎么通過?Tornado.Cash?洗幣的。
基礎知識
Tornado.Cash是一種完全去中心化的非托管協議,通過打破源地址和目標地址之間的鏈上鏈接來提高交易隱私。為了保護隱私,Tornado.Cash使用一個智能合約,接受來自一個地址的ETH和其他代幣存款,并允許他們提款到不同的地址,即以隱藏發送地址的方式將ETH和其他代幣發送到任何地址。這些智能合約充當混合所有存入資產的池,當你將資金放入池中時,就會生成私人憑據,證明你已執行了存款操作。而后,此私人憑據作為你提款時的私鑰,合約將ETH或其他代幣轉移給指定的接收地址,同一用戶可以使用不同的提款地址。
Celer cBridge支持ConsenSys L2網絡Linea:7月19日消息,Celer宣布為ConsenSys L2網絡Linea提供cBridge橋接支持。用戶可以在Linea、BNB Chain、Avalanche、Polygon之間進行BNB、BUSD、AVAX和MATIC代幣跨鏈。
據昨日報道,Linea發推稱,已向社區開放主網Alpha版本訪問權限。開發者和RPC端點可以訪問該Rollup和ETH橋UI。支持ERC20的跨鏈橋將在未來幾周內推出。[2023/7/19 11:04:00]
案例分析
今天要分析的是一個真實案例,當受害平臺找到我們時,在Ethereum、BSC、Polygon三條鏈上的被盜資金均被黑客轉入?Tornado.Cash,所以我們主要分析?Tornado.Cash?的部分。
數據:某地址今日凌晨轉移20萬億枚SHIB,價值約1.76億美元:5月17日消息,Etherscan數據顯示,北京時間今日01:51至01:53,0x73af開頭地址將20萬億枚SHIB分4筆轉入0x40b3開頭的地址,價值共計約1.76億美元。目前0x73af地址仍持有2.6萬億枚SHIB。[2023/5/17 15:08:15]
黑客地址:
0x489...1F4(Ethereum/BSC/Polygon)
0x24f...bB1(BSC)
Ethereum部分
借助慢霧MistTrack反洗錢追蹤系統,我們先對地址進行一個大概的特征分析。
從部分展示結果來看,可以看到交易行為里黑客使用較多的除了Bridge就是混合器Mixer,這些對我們分析黑客畫像十分重要。
烏茲別克斯坦屏蔽包括Binance、FTX在內的多個加密交易平臺:金色財經報道,烏茲別克斯坦國家透視項目局周三表示,加密貨幣交易所Binance的網站在烏茲別克斯坦被封鎖了。Binance的東歐負責人Gleb Kostarev證實,自8月9日以來,烏茲別克斯坦的用戶無法訪問該網站。此外,Huobi、FTX、Bybit等也被封鎖了。該公司在一份聲明中說,Binance目前正在與烏茲別克斯坦當局就該交易所在該國的地位進行談判。(Coindesk)[2022/8/11 12:19:33]
接著,我們對Ethereum上的資金與行為進行深入分析:據慢霧MistTrack反洗錢追蹤系統的分析,黑客將2450ETH以?5x10ETH+24x100ETH的形式分批轉入?Tornado.Cash,將198ETH轉入FixedFloat,這讓我們繼續追蹤?Tornado.Cash?部分留了個心眼。
PlatON正式接入跨鏈錢包Coin98:6月1日消息,PlatON宣布與跨鏈錢包Coin98達成合作,并已接入Coin98 Super App。Coin98將在PlatON高性能公鏈及生態系統中提供一站式無縫跨鏈體驗,雙方將憑借在Web3和隱私數據安全領域的豐富經驗,為200余萬用戶提供GameFi、NFT、DeFi等應用入口。[2022/6/1 3:56:51]
既然想要嘗試追蹤黑客從?Tornado.Cash?轉出的地址,那我們就得從Ethereum上第一筆資金轉入?Tornado.Cash?的時間點開始,我們發現第一筆10ETH和第二筆10ETH間的時間跨度較大,所以我們先從跨度小的100ETH開始分析。
定位到Tornado.Cash:100ETH合約相對應的交易,發現從?Tornado.Cash?轉出的地址非常多。經過慢霧MistTrack的分析,我們篩選出了符合時間線和交易特征的地址。當然,地址依然很多,這需要我們不斷去分析。不過很快就出現了第一個讓我們饒有懷疑的地址。
微策略新任CFO:不會改變比特幣計劃,不打算出售任何比特幣:金色財經消息,MicroStrategy(微策略)新任CFO Andrew Kang表示,盡管最近比特幣有所下跌,但微策略不會改變比特幣計劃,不打算出售任何比特幣。(wsj)[2022/5/19 3:26:41]
據慢霧MistTrack的分析,地址將?Tornado.Cash?轉給它的ETH轉到地址,接著把ETH分為三筆轉到了FixedFloat。
當然,這也可能是巧合,我們需要繼續驗證。
繼續分析,接連發現三個地址均有同樣的特征:
A→B→FixedFloat
A→FixedFloat
在這樣的特征佐證下,我們分析出了符合特征的地址,同時剛好是24個地址,符合我們的假設。
Polygon部分
如下圖,黑客將獲利的365,247MATIC中的部分MATIC分7次轉到?Tornado.Cash。
而剩下的25,246.722MATIC轉到了地址,接著追蹤這部分資金,我們發現黑客將25,246.721MATIC轉到了FixedFloat,這讓我們不禁思考黑客在Polygon上是否會以同樣的手法來洗幣。
我們首先定位到Tornado:100,000MATIC合約與上圖最后三筆對應的交易,同時發現從?Tornado.Cash?合約轉出的地址并不多,此時我們可以逐個分析。
很快,我們就發現了第一個讓我們覺得有問題的地址。我們看到了熟悉的FixedFloat地址,不僅?FixedFloat?轉MATIC到地址,從地址轉出資金的接收地址也都將MATIC轉給了?FixedFloat。
分析了其他地址后,發現都是一樣的洗幣手法,這里就不再贅述。從前面的分析看來黑客對FixedFloat實在獨有偏愛,不過這也成了抓住他的把柄。
BSC部分
下面我們來分析BSC部分。BSC上黑客地址有兩個,我們先來看地址:
黑客地址分17次轉了1700ETH到?Tornado.Cash,時間范圍也比較連貫。就在我們以為黑客會故技重施的時候,發現并非如此。同樣,經過慢霧MistTrack的分析與篩選,我們篩選出了符合時間線和交易特征的地址,再進行逐個突破。
分析過程中,地址引起了我們的注意。如圖,據慢霧MistTrack顯示,該地址將?Tornado.Cash?轉給它的ETH轉出給了SimpleSwap。
繼續分析后發現,換湯不換藥,雖然黑客換了平臺,手法特征卻還是類似:
A→SimpleSwap
A→B→SimpleSwap
另一個黑客地址是以10BNB為單位轉到了?Tornado.Cash。
而在這個地址的洗幣手法中,黑客選擇了另一個平臺,不過手法依然類似。這里就不再一一分析。
總結
本文主要由一個真實案例開啟,分析并得出在不同的鏈上黑客是如何試圖使用Tornado.Cash來清洗盜取的資金,本次洗幣手法具有極相似性,主要特征為從Tornado.Cash提幣后或直接或經過一層中間地址轉移到常用的混幣平臺。當然,這只是通過Tornado.Cash洗幣的其中一種方法,更多手法仍等著我們發現。
原文來自:coindesk作者:HolynKanake 翻譯:Moni 史蒂夫·喬布斯,蘋果公司創始人,真正的技術天才.
1900/1/1 0:00:00通證經濟是“去中心化自治組織”的第一個現實世界實施,為組織管理從個權到分散式共治提供了新的範式。當個體的日常任務由協議提供支持,而不是由經理和員工管理.
1900/1/1 0:00:003月19日,YugaLabs在推特上公布其新項目“Otherside”的宣傳視頻。BoredApeYachtClub的無聊猿與眾多NFT角色空中“會晤”,更像是拉開了“猿宇宙”的序幕.
1900/1/1 0:00:002022年2月11日至2月20日,為期10天的ETHDenver會議在美國丹佛市順利落幕。這是目前規模最大、持續時間最長的ETH活動.
1900/1/1 0:00:00來源:海外獨角獸 作者:程天一 代碼和軟件已經占據了我們的生活,但是使用代碼創作出的生成藝術在過去很多年中始終被低估。2021年夏天開始的?NFT?和ArtBlocks熱潮改變了這一點.
1900/1/1 0:00:00作者:PackyMcCormick來源:《SolanaSummer》——NotBoringbyPackyMcCormick火星財經注:原文首發于2021年8月在幾個月前.
1900/1/1 0:00:00