鏈上追蹤：洗幣手法科普之 Peel Chain_BTC

前段時間，我們發布了一篇 Bitfinex 被黑案件細節分析的文章，引起了劇烈的討論。文中提到了一種洗幣方式——剝離鏈（Peel Chain）技術，借此事件寫一些與鏈上追蹤相關的文章給大家學習。

什么是 Peel Chain

剝離鏈（Peel Chain）——是指一種通過一系列冗長的小額交易來清洗大量加密貨幣的技術。這種洗幣方式通常從一個“臟”地址開始，該地址可能與非法活動有關，例如地址 A 將資金轉到地址 B 和 C，而轉移到地址 B 的數額多數情況下是極小的，轉移到地址 C 的數額占大部分，地址 C 又將資金轉到 D（小額）和 E（大額），依次類推，直至形成以很小的數額轉移到很多地址的情況。而這些地址上的數額，要么以 Peel Chain 的方式繼續轉移，要么轉到交易/暗網平臺，要么停留在地址，要么通過混幣平臺轉出。

8月Avalanche鏈上NFT銷售額不足90萬美元，創過去12個月最低記錄:金色財經報道，據Cryptoslam數據顯示，8 月Avalanche鏈上銷售額僅為875,540.47美元，創下自2021年8月以來最低記錄。歷史數據顯示，Avalanche鏈上銷售額歷史最高點發生在2021年1月，當月銷售額為150,845,317.49美元。[2022/9/1 13:02:53]

案例分析

2016 年 8 月 3 日，知名加密貨幣交易所 Bitfinex 發公告稱，黑客入侵了其系統并盜走約 119,755 枚比特幣。事發當時價值約 6000 萬美元，按今天的價格計算，被盜總額約為 45 億美元。據慢霧 AML 旗下反洗錢追蹤系統?MistTrack 分析，黑客最初將被盜資產分散存儲在 2072 個錢包地址中，經 MistTrack 標記如下圖。

行情 | 比特幣鏈上交易額位于近60日高位:據Tokenview數據顯示，近24小時比特幣鏈上交易額為201.72萬?BTC，較近七日均值上漲48.76%，鏈上交易額持續位于近60日高位，其中單筆金額超過100 BTC的大額轉賬共計518筆，環比上升2.57%。充值到交易所的比特幣交易筆數為4698筆,充值金額為21936.05 BTC；從交易所提現的筆數為1515筆，提現金額為12520.48 BTC，交易所充值指標有所回落，提現指標小幅上升。[2019/10/31]

從 2017 年 1 月開始，黑客開始密集轉移資產。我們對 2072 個地址進行分析后，發現黑客將大部分地址上的資金都進行了轉移，而轉移方式正是我們今天要說的剝離鏈（Peel Chain）。

動態 | 未來十年或會出現運行在區塊鏈上的跨國企業或小型經濟體:FT中文網刊文《比特幣第二個十年》，文中提到，2009年1月3日，中本聰在比特幣創世區塊中寫下了當天泰晤士報的頭版標題：財政大臣將開啟對銀行業的第二輪緊急援助。比特幣已經過去了十年。在第一個十年里，比特幣發展可劃分三個階段：

2009年初到2013年底，比特幣完成了從0到1的積累，從極客的玩具變為跨國匯兌的工具。

2013年12月，比特幣價格從1100美元開始下跌，最低跌破200美元，直到2017年初才回到1000美元以上。

2017年初到2018年底，以太坊驅動的首次數幣發行（ICO）投機熱開啟了加密貨幣市場的新一輪牛市。比特幣價格從1000美元啟動，在2017年底接近20000美元后開始下跌，目前在4000美元左右震蕩。

當前加密貨幣總市值是五年前的13倍，若行業能在未來十年內重現過去五年的增長，十年內全球加密貨幣總市值將有機會突破10萬億美元，這可能會出現運行在區塊鏈上的跨國企業或小型經濟體。[2019/1/8]

以黑客地址 19Xs96FQJ5mMbb7Xf7NXMDeHbsHqY1HBDM 為例：

動態 | 鏈上母基金與麓谷高新創投成立高科產業發展基金:11月23日，湖南區塊鏈產業園落戶長沙高新區，同時由鏈上母基金與麓谷高新創投共同發起并成立了第一期星輝5億高科產業發展基金，鏈上母基金李建武與麓谷高新創投胡湘勇進行了基金成立的簽約，未來將會成立多期產業發展基金。長沙市委副書記、市長、湖南湘江新區黨工委書記胡忠雄、長沙高新區管委會主任譚勇參加了并舉行了揭牌儀式，同時信息產業園書記肖勇軍對《長沙高新區促進區塊鏈產業發展的若干政策》進行了詳細解讀，區塊鏈企業和機構都可獲各項優惠補貼。[2018/11/24]

據 MistTrack 反洗錢追蹤系統顯示，約 30.668 BTC 從 Bitfinex 交易平臺轉到黑客地址（19X...BDM），再通過兩次直線轉移將 BTC 轉移到地址（3CA...AcW）。

再來看地址（3CA...AcW）的資金流向：

首先，地址（3CA...AcW）將 30.6675 BTC 分為小額 2.27 BTC 和大額 28.39 BTC 分別轉到地址 1 和地址 2；接著，地址 1 將 2.27 BTC 分為小額 0.16 BTC 和大額 2.11 BTC 分別轉到地址 3 和地址 4；地址 3 再以同樣的方式將 0.16 BTC 分別轉到地址 5 和地址 6，其他地址同理。

為了更直觀的展示，我們截取了資金流向的一部分，讓大家更理解這種洗幣方法。

從上圖可以看到，資金被轉移到兩個地址，接著兩個地址分別又轉到另兩個地址，數額越來越小，出現的地址也越來越多，只至最后有部分資金通過 wasabi 混幣轉出或轉到 Hydra Market 暗網市場。當然，這還只是一小部分的資金流向，但我們不難看出，為了躲避追蹤，黑客非常有“耐心”。

我們再以另一個黑客地址 1BprR3VRh8AsJVXFR8uNzzZJnyMhF1gyQE 為例，更多地了解 Peel Chain 手法的特征。

據區塊鏈瀏覽器顯示，該黑客地址盜走了 271.22 BTC。我們接著以大額轉移地址為目標進行追蹤：

……

雖然中間省略了部分轉移情況，但我們還是能清楚地看出 Peel Chain 手法的特征：

一般從一個單一的“臟”地址開始；

通常不斷拆分到兩個地址；

以大額和小額進行拆分；

資金停留或混幣或進入交易所/暗網平臺。

總結

剝離鏈（Peel Chain）技術常常被黑客使用，一方面是因為每次單獨轉移的金額很小，幾乎不會引發交易平臺的風控提醒，另一方面是由于這種洗幣鏈路極度冗長和復雜，會使他們盜取的資產變得極難追蹤。

對于一些復雜冗長的剝離鏈（Peel Chain），黑客通常使用計算機程序自動化該過程。盡管如此，我們仍可以使用腳本及追蹤工具來追蹤此類事件。憑借支持多幣種、數量超 10 萬的惡意地址庫，慢霧 AML 旗下反洗錢追蹤系統 MistTrack 將幫助加密貨幣交易平臺、用戶個人等追蹤溯源，實時監控拉黑黑客地址并聯動各大交易平臺凍結資金，為資金安全更好地保駕護航。

相關鏈接：

https://en.bitcoin.it/wiki/Privacy

https://aml.slowmist.com/mistTrack.html

Tags：BTC比特幣AINEELNMBTC價格比特幣匯率兌換人民幣blockchain.infowallet恢復PEEL幣

ETH