PlusToken部分BTC被混淆處理後，從OTC渠道賣出

區塊鏈第一大資金盤項目 PlusToken 自從被證實跑路後，其吸納的加密貨幣資產流向就一直牽動著廣大用戶的心，尤其是 BTC 部分的資產。PeckShield 在上一篇《圖文追蹤 PlusToken 資產轉移行蹤（二）》中，發現 PlusToken 兩個主要 BTC 錢包地址出現異動，共計2.85萬個 BTC 發生轉移，主要目的是將資金打散。

自北京時間 2019 年 08 月 20 日以來，PeckShield 數字資產護航系統 (AML) 監測到眾多跑路地址上的資金髮生匯聚，91,779個原屬於多簽地址的 BTC 被集中匯聚到5個單簽地址中，再由單簽地址進行轉移。

通過跟進分析被轉移的 BTC 資產，特別是被切分為0.1—10 數額不等的 BTC 交易，PeckShield 安全人員發現部分資金並沒有直接流入交易所，而是通過類似 ChipMixer 的工具進行混淆，再通過場外 OTC 的渠道賣出。

下文會對 PlusToken BTC 資產最近的流向做進一步展開分析。

原屬於多簽地址上的 BTC 集中匯聚

08 月 23 日晚 19 點 40 分，PeckShield 監測到眾多 PlusToken 跑路資產發生匯聚，資金來源都是《圖文追蹤 PlusToken 資產轉移行蹤（一）》中提到暫存 BTC 的多簽地址，截至 08 月 26 日，所有多簽地址上的資產共計91,779個 BTC 都被集中匯聚到5個單簽地址中。

以下是部分交易示例：

圖示1: BTC 資產匯聚交易

圖示2: BTC 資產匯聚交易

為了讓大家更加直觀的了解這部分資金流向，PeckShield 數字資產護航系統 (AML) 製作了如下資產匯聚路徑圖：

圖示3: 多簽地址資產匯聚圖

BTC 資產轉移分析

在過去的十多天里，PeckShield 監控中的 PlusToken 關鍵地址中的 BTC 被不斷切分、分散，其他地址上的資產也被用同樣的方式進行轉移。據不完全統計，過去兩周內，約57,751個 BTC 被最終切分成0.1-10 BTC 不等的小額分散轉移。

目前大多數被切分成小額的 BTC 還暫存在不同地址中，由於 BTC 地址的特性，無法確定這部分資產已流入交易所。但其中也有少部分資產 PeckShield 安全人員發現通過類似 ChipMixer 的工具進行混淆，再通過場外 OTC 渠道的方式賣出。

如下，125nvL 開頭的地址轉出一筆交易，該地址是由 31odn4 開頭的 PlusToken 主要錢包地址轉移資產生成的。

圖示4: 125nvL 開頭的地址資產轉出

之後這筆資產經過多次轉移由 37K1qd 開頭的地址切分分散轉移至若干地址：

圖示5: 資產分散轉移至若干地址

繼續追蹤發現，被切分成小額的 BTC 與其他 UTXO 一起作為輸入進行了清洗，例如如下的交易：

圖示6: 切分為小額的資產被清洗

輸入輸出前後的 BTC 數額相同，輸入雜亂無序，但仔細觀察輸出，會發現有跡可循：

最小的輸出在0.001 BTC 左右；

有眾多相同 BTC 數額的輸出，例如0.20122882等；

存在大量 BTC 數額翻倍的輸出，例如0.20122882，0.40245764等；

圖示7: 清洗存在某種特徵

這裡要簡單介紹下比特幣混淆器，雖然比特幣作為一種加密貨幣存在良好的匿名性，但是因為其交易全部公開在區塊鏈中，只要定位到源地址，就可以一直追溯該地址上的資金流向，當地址與人物身份產生某種關聯時，比特幣就不在匿名性的特點了。基於這種需求，慢慢出現了可以幫助用戶隱藏交易信息的服務，可以進一步的提高隱私和匿名性，這種工具叫做比特幣混淆器。

簡言之，比特幣混淆器就是通過某種方法匹配用戶需要混淆的數額，將隨機數量的比特幣發送到用戶地址，直到用戶請求發送的總數額到達指定地址。一般混淆器都支持將一筆大額比特幣輸入混淆成若干小額比特幣輸出和若干小額比特幣輸入混淆成大額輸出等。

雖然混淆的比特幣數額隨機，但不同方法也是有跡可循的，例如 ChipMixer，混淆後的比特幣數額都在0.001—8.192之間，且存在眾多1.024倍數的數額。

此前 PeckShield 安全人員在追蹤5月份幣安交易所被盜的7,000多 BTC 時，就發現有眾多 BTC 最終是通過 ChipMixer 混淆後由黑客轉出的，如下是部分幣安被盜 BTC 資產混淆後數額統一變為2.048。

圖示8: 幣安被盜 BTC 通過 ChipMixer 混淆

綜合以上的分析，我們認為部分 PlusToken BTC 資產已通過類似 ChipMixer 的工具進行混淆，再通過場外 OTC 渠道的方式賣出。為了逃避資產追蹤和交易所的凍結，跑路方不斷設障，採用了資產多層轉移切分—混淆—場外 OTC 賣出的方式進行洗幣。

via：PeckShield

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！