快速概览
结语
本文探讨了如何利用加密货币（特别是比特币）进行洗钱活动。文章描述了一个真实的调查案例，该案例追踪了一笔可疑交易，该交易使用了多个地址和“侧录”技术——即在每次转账时扣除少量金额。区块链分析工具帮助揭示了地址之间的关联，包括与勒索软件相关的地址。文章论证了追踪交易历史和了解找零地址对于检测非法金融活动的重要性。
关键点
- 描述了一起利用盗刷法洗钱的比特币案件。
- 每笔交易都会抽取一部分资金，并将剩余部分发送到下一个地址。
- 所有相关地址均使用变更地址，表明由同一实体控制。
- 与勒索软件有关的地址是洗钱链的一部分。
- 所有洗钱所得最终都回到了币安交易所的地址。
- WalletScan 等区块链分析工具对于追踪模式至关重要。
常见问题解答
- 加密货币洗钱中的“撇脂”指的是什么？
- 盗刷是指通过一系列地址转移资金，每个地址保留一部分资金，从而增加追踪难度。
- 为什么找零地址在追踪比特币交易中很重要？
- 找零地址用于接收交易中剩余的资金，其重复使用可能表明对地址的共同控制。
- 勒索软件地址是如何确定的？
- 公开评论和交易记录将该地址与之前的勒索软件活动联系起来。
目录
走进加密货币洗钱的迷宫
对于加密货币而言，匿名性的吸引力往往与洗钱等非法活动的阴暗面交织在一起。了解区块链交易的复杂性对于执法机构和致力于打击金融犯罪的金融机构至关重要。 Cybertrace 本文分析比特币地址是否卷入洗钱活动，重点关注臭名昭著的“盗刷”手段。通过真实案例和实例，我们将阐明追踪可疑交易的技术，揭示区块链分析在打击金融欺诈中的关键作用。
现在让我们直接开始吧。
什么是加密货币洗钱？
加密货币洗钱是指利用加密货币或相关服务来掩盖与犯罪活动相关的资产的来源、所有权或转移。其目的通常是在非法资金被存储、转移或转换为其他资产之前，使其看起来与原始来源的关联性降低。
犯罪分子可能通过多个钱包、交易所、跨链桥、代币互换、混币服务或由洗钱者控制的账户转移加密货币。这些转移操作会使调查更加复杂，但并不一定会删除底层区块链记录。在公共区块链上，加密货币调查人员仍然可以追踪交易轨迹，并识别与已知服务的联系点。
区块链上哪些迹象表明存在洗钱活动？
任何单一的交易模式都不能证明发生了洗钱行为。调查人员会综合考虑所有可查到的交易活动，并寻找以下迹象：
- 资金分散在多个钱包中或迅速集中起来
- 通过新创建的地址进行重复转账
- 接触勒索软件、暗网市场、混币服务或其他高风险实体
- 在不同区块链或加密货币之间快速转移
- 经过一系列复杂的转账后，存款进入交易所
一种有时被称为“剥离链”的转账模式，是指在将剩余资金转移到新地址的同时，将较小金额转移到其他地方。这种做法可以用来掩盖资金流动，但也可能出于合理的技术原因而进行类似的操作。
区块链分析可以识别关联关系和调查线索，但并不能自动确定钱包控制者或证明犯罪意图。交易数据应结合可靠的归属信息和区块链之外的证据进行评估。了解更多关于加密货币追踪的工作原理。
调查
我们的调查始于对另一家公司关联的一笔比特币 (BTC) 交易的尽职调查请求。该交易显示，大约 14,000 美元从一个地址发送到了另一个地址。使用区块链扫描器发现，发送地址属于知名的币安加密货币交易所。根据区块链扫描器网站上一些匿名用户的评论，该地址本身用于交易所客户从其账户中提现资金。接收地址似乎只是一个随机地址，没有任何已知的关联信息。因此，我们发现了一个币安提现地址向一个我将要提及的随机地址发送资金的情况。
加密自助洗衣店：如何追踪比特币洗钱活动
所以最初的交易很可能是提取资金，这里没有什么有趣的。该交易所提款地址之前有数千笔交易，而且从所有账户来看似乎都无害。提现地址（以下简称地址 1）几乎没有任何活动，但几天后，它将资金转移到第二个地址（地址 2），然后该地址将资金转移到第三个、第四个、第五个和然后是第六。
在 WalletScan 中搜索所有地址后发现，地址 5 与勒索软件相关。
在发现勒索软件地址的暂定链接后，我们进一步研究了该地址的交易历史记录。
连接点：如何追踪加密货币洗钱活动
交易记录
进一步研究所有地址的交易历史发现，地址6之前有数千笔交易，并且所有交易都输入到该地址，这有力地表明它是一个交易所地址。
对各个网站上发布的个人评论的进一步研究表明，地址 6 归币安所有。
因此，资金轨迹以勒索软件相关地址结束，该地址将资金发送到币安交易所。
交易金额
进一步深入研究基金交易表明：
地址 1 收到了价值 14,000 美元（当时）的 BTC，然后将价值 11,200 美元的 BTC 发送到地址 2
地址 2 随后向地址 8,400 发送了价值 3 美元的 BTC
地址 3 转发 5,600 美元至地址 4
地址 4 转发 2,800 美元至地址 5
地址 5 将 2,800 美元全部发送至地址 6
每笔款项都比前一笔少了2,800美元，这意味着每个地址都保留了相同的金额。鉴于这种重复行为，这是一个强有力的指标，应该结合其他关联证据进行评估。那么，每个地址都用这些钱做了什么呢？
未交易输出？
我们先来快速了解一下背景知识。比特币采用UTXO（未花费交易输出）模型；比特币交易会将选定的UTXO全部花费。当输入金额超过支付金额和交易手续费时，剩余部分通常会发送到发送方控制的找零地址。
这是如何运作的？假设您有一个 10 BTC 的钱包，并且想要购买 8 BTC 的东西。当您选择发送 8 BTC 给收件人时，另外 2 BTC 将转到新的第三个地址，即“更改地址”，该地址也归您所有。找零地址通常会将找零发送回您拥有的第一个地址。
许多区块扫描仪网站不显示交易的更改地址部分，因此请注意，每笔 BTC 交易都会发生这种情况。
调查变更地址
区块扫描仪显示，1-5 号地址的每个地址只有两笔交易：接收和发送资金。然后我们开始深入研究交易以查看更改地址。
我们发现，当地址 1 向地址 2 发送 11,200 美元时，它也向第三个地址发送了 2,800 美元，而这个地址竟然是地址 6！同样地，地址 2 向地址 6 发送了 2,800 美元，并在同一笔交易中将剩余的钱发送给了地址 3。其他地址也都是如此，每个地址都向地址 6 发送了 2,800 美元，并将剩余的钱依次发送给了其他地址。
令人困惑？
让我们想象一下。我们最初将资金轨迹视为一条直线：
但我们发现资金通过多条线路流动，最终全部流向地址 6。
一旦发现这种模式，我们就知道这笔钱正在被洗钱。这里的资金流动是典型的“撇脂”或“剥离链式”洗钱模式，也是最常用的洗钱方法之一。
撇取意味着资金从一个帐户发送到另一个帐户，由同一个人拥有，每个地址从顶部“略读”一点，并将一小部分资金发送到同一个最终接收者。从收款人的角度来看，他们正在从不同地址接收多笔资金转账。收件人看不到所有这些地址都相互链接。
我们如何知道这些地址（不包括币安地址）属于同一个人所有？因为每个地址都是前一笔交易的找零地址。
如果地址 1 将资金发送到地址 6（预期接收者），并在同一交易中将其余资金发送到地址 2，则意味着 2 实际上是更改后的地址。地址2将钱发送给6，其余的钱发送给3，4和5继续这种模式。因为它们都改变了地址，这意味着它们都属于同一个人。因此，地址 1 的所有者也是勒索软件附属地址 5 的所有者。
因此，尽管我们不知道该人的身份，但我们看到他们从币安提取资金，进行洗钱（在此过程中使用勒索软件地址），然后将所有资金发送回币安。
回顾一下，我们展示了如何跟踪资金、识别洗钱活动、更改地址和窃取模型。这个例子并不独特，调查人员很可能在自己的调查中看到相同的特征。
掌握了这些知识后，我们必须记住，随着数字环境的发展，金融犯罪分子的手段也在不断变化。这就是为什么理解和欣赏区块链分析和新工具（如 Cybertrace的 WalletScan.
通过了解窃取策略的复杂性并利用区块链取证的力量，调查人员也将不断发展并保持对竞争对手的优势。
访客作者
关于作者：
Tom Caliendo 是《开源情报指南》的作者，该书重点介绍具有或不具有计算机技能的调查人员如何使用 OSINT。
Tom 是一位网络安全记者，报道新兴威胁和互联网的隐藏层面；他是研究和文学公司 Brockett Consulting（brockettconsulting.com ）的联合创始人。
Tom 是一名终生调查员，热衷于教育他人了解 OSINT 的潜力。他在不同的调查领域拥有执照并经验丰富，包括私人调查、加密货币调查、档案研究、道德黑客和家谱。
他住在弗吉尼亚州，是一名园丁、蜜蜂爱好者，也是追逐五岁孩子的专家。
他的书在亚马逊上有售——https: //www.amazon.com/Open-Source-Intelligence-Guide-Anything/dp/B0C9SH1NWL
在 Tom 的网站上关注他 – TheOsintGuide.com
Twitter – https://twitter.com/DeepWebOsint
Instagram – https://www.instagram.com/theosintguide_book/
Substack – https://substack.com/@theosintguide
