作者:Lisa@慢雾AML团队
原标题:《链上追踪:洗币手法科普之Tornado.Cash》
前段时间,我们发布了链上追踪:洗币手法科普之PeelChain,今天继续该系列。这次的主题是混币器Tornado.Cash。
随着黑客盗币事件愈演愈烈,Tornado.Cash也变得越来越“有名”,大多数黑客在获利后都毫不留情地将“脏币”转向Tornado.Cash。我们曾对Tornado.Cash的匿名性进行过探讨,详见:慢雾AML:“揭开”Tornado.Cash的匿名面纱。而今天以一个真实案例来看看这名黑客是怎么通过?Tornado.Cash?洗币的。
基础知识
Tornado.Cash是一种完全去中心化的非托管协议,通过打破源地址和目标地址之间的链上链接来提高交易隐私。为了保护隐私,Tornado.Cash使用一个智能合约,接受来自一个地址的ETH和其他代币存款,并允许他们提款到不同的地址,即以隐藏发送地址的方式将ETH和其他代币发送到任何地址。这些智能合约充当混合所有存入资产的池,当你将资金放入池中时,就会生成私人凭据,证明你已执行了存款操作。而后,此私人凭据作为你提款时的私钥,合约将ETH或其他代币转移给指定的接收地址,同一用户可以使用不同的提款地址。
BNB Chain预计将于6月12日进行Luban硬分叉升级:5月25日消息,BNB Chain 预计将在区块高度 29,020,050 处进行网络升级,预计将于北京时间 6 月 12 日 05:30 到达。Luban 硬分叉包含三种不同的币安智能链 (BSC) 演化提案 (BEP):BEP-126、BEP-174 和 BEP-221,它们的共同目标是为用户打造更快、更安全的网络。[2023/5/25 10:39:44]
案例分析
今天要分析的是一个真实案例,当受害平台找到我们时,在Ethereum、BSC、Polygon三条链上的被盗资金均被黑客转入?Tornado.Cash,所以我们主要分析?Tornado.Cash?的部分。
黑客地址:
币安现货现已与金融信息平台TradingView集成:5月18日消息,币安发布公告称,币安现货现已与金融信息平台TradingView集成。此次整合将允许币安用户通过使用其币安账户连接到平台,直接在 TradingView 的浏览器和桌面应用程序中在币安现货市场上交易加密货币。
去年底报道,币安期货现已与金融信息平台TradingView集成。[2023/5/18 15:11:39]
0x489...1F4(Ethereum/BSC/Polygon)
0x24f...bB1(BSC)
Ethereum部分
借助慢雾MistTrack反追踪系统,我们先对地址进行一个大概的特征分析。
从部分展示结果来看,可以看到交易行为里黑客使用较多的除了Bridge就是混合器Mixer,这些对我们分析黑客画像十分重要。
Web3风险投资工作室SuperLayer推出2500万美元基金 Polygon领投:金色财经报道,Web3风险投资工作室SuperLayer宣布了一项新的2500万美元的基金,由锚定投资者和战略合作伙伴Polygon领投。
SuperLayer于2021年10月推出,得到了Animoca Brands的Yat Siu和安德森·霍洛维茨(Andreessen Horowitz)的克里斯·迪克森(Chris Dixon)等投资者的支持,专注于资助和支持使用RLY协议实现令牌化经济的品牌和公司。[2022/8/18 12:34:34]
接着,我们对Ethereum上的资金与行为进行深入分析:据慢雾MistTrack反追踪系统的分析,黑客将2450ETH以?5x10ETH+24x100ETH的形式分批转入?Tornado.Cash,将198ETH转入FixedFloat,这让我们继续追踪?Tornado.Cash?部分留了个心眼。
Arbitrum聘请Andrew Saunders担任首位首席营销官:金色财经报道,Arbitrum 已聘请亚马逊全球品牌营销团队前负责人Andrew Saunders担任其第一任首席营销官。在 Offchain Labs,Saunders 将领导和监督全球所有的营销和传播工作。[2022/8/16 12:29:18]
既然想要尝试追踪黑客从?Tornado.Cash?转出的地址,那我们就得从Ethereum上第一笔资金转入?Tornado.Cash?的时间点开始,我们发现第一笔10ETH和第二笔10ETH间的时间跨度较大,所以我们先从跨度小的100ETH开始分析。
定位到Tornado.Cash:100ETH合约相对应的交易,发现从?Tornado.Cash?转出的地址非常多。经过慢雾MistTrack的分析,我们筛选出了符合时间线和交易特征的地址。当然,地址依然很多,这需要我们不断去分析。不过很快就出现了第一个让我们饶有怀疑的地址。
纳指期货跌1%,标普500指数期货跌0.73%:行情显示,纳指期货跌1%,标普500指数期货跌0.73%,道指期货跌0.58%。(金十)[2022/7/11 2:04:48]
据慢雾MistTrack的分析,地址将?Tornado.Cash?转给它的ETH转到地址,接着把ETH分为三笔转到了FixedFloat。
当然,这也可能是巧合,我们需要继续验证。
继续分析,接连发现三个地址均有同样的特征:
A→B→FixedFloat
A→FixedFloat
在这样的特征佐证下,我们分析出了符合特征的地址,同时刚好是24个地址,符合我们的假设。
Polygon部分
如下图,黑客将获利的365,247MATIC中的部分MATIC分7次转到?Tornado.Cash。
而剩下的25,246.722MATIC转到了地址,接着追踪这部分资金,我们发现黑客将25,246.721MATIC转到了FixedFloat,这让我们不禁思考黑客在Polygon上是否会以同样的手法来洗币。
我们首先定位到Tornado:100,000MATIC合约与上图最后三笔对应的交易,同时发现从?Tornado.Cash?合约转出的地址并不多,此时我们可以逐个分析。
很快,我们就发现了第一个让我们觉得有问题的地址。我们看到了熟悉的FixedFloat地址,不仅?FixedFloat?转MATIC到地址,从地址转出资金的接收地址也都将MATIC转给了?FixedFloat。
分析了其他地址后,发现都是一样的洗币手法,这里就不再赘述。从前面的分析看来黑客对FixedFloat实在独有偏爱,不过这也成了抓住他的把柄。
BSC部分
下面我们来分析BSC部分。BSC上黑客地址有两个,我们先来看地址:
黑客地址分17次转了1700ETH到?Tornado.Cash,时间范围也比较连贯。就在我们以为黑客会故技重施的时候,发现并非如此。同样,经过慢雾MistTrack的分析与筛选,我们筛选出了符合时间线和交易特征的地址,再进行逐个突破。
分析过程中,地址引起了我们的注意。如图,据慢雾MistTrack显示,该地址将?Tornado.Cash?转给它的ETH转出给了SimpleSwap。
继续分析后发现,换汤不换药,虽然黑客换了平台,手法特征却还是类似:
A→SimpleSwap
A→B→SimpleSwap
另一个黑客地址是以10BNB为单位转到了?Tornado.Cash。
而在这个地址的洗币手法中,黑客选择了另一个平台,不过手法依然类似。这里就不再一一分析。
总结
本文主要由一个真实案例开启,分析并得出在不同的链上黑客是如何试图使用Tornado.Cash来清洗盗取的资金,本次洗币手法具有极相似性,主要特征为从Tornado.Cash提币后或直接或经过一层中间地址转移到常用的混币平台。当然,这只是通过Tornado.Cash洗币的其中一种方法,更多手法仍等着我们发现。
标签:ADOORNTORTORNpolkadot钱包下载CornucopiasImpostors BloodTORN价格
近日,艺人吴宗宪与“WEEX”唯客数字货币交易所携手合作,成为这家交易所的全球形象代言人,将陆续出席各种品牌宣传活动.
1900/1/1 0:00:00作者:Superphiz?编译:0x22D,律动BlockBeats以太坊合并是2022年Crypto行业最重要的事件之一,是以太坊转向PoS的开始.
1900/1/1 0:00:00作者:Nancy?去年此时,PANews发文全景式解析了NFT生态,盘点了当时主导市场且具有成长潜力的项目。时隔一年,无论是NFT的交易体量、用户规模,还是生态应用都发生了质的变化.
1900/1/1 0:00:00作者|木沐有这么一句话,“牛市最容易亏钱,而熊市才是真正的捡钱的时候”,不少人感到困惑为什么感觉像是反着来的?牛市怎么能亏,熊市不是应该割肉吗?不过对于那些真正穿越过牛熊的人来说是深有体会的.
1900/1/1 0:00:00来源:A16Z作者:MaggieHsu编译:阿法兔编译本文的主要目的:从零到一建立一个创业项目,首先除了要验证关键假设和需求外,还需要面对如何打开市场,进行冷启动.
1900/1/1 0:00:00从功能上来说,避险资产指的是可以对冲市场动荡或货币贬值的工具,最典型的代表是黄金。众所周知,比特币向来有“数字黄金”的称号,这也是支持者提出的最大卖点之一,因为它总量固定,理论上来说,可以比黄金.
1900/1/1 0:00:00