随着黑客盗币事件愈演愈烈，Tornado.Cash也变得越来越“有名”，大多数黑客在获利后都毫不留情地将“脏币”转向Tornado.Cash。今天以一个真实案例来看看这名黑客是怎么通过Tornado.Cash洗币的。基础知识
Tornado.Cash是一种完全去中心化的非托管协议，通过打破源地址和目标地址之间的链上链接来提高交易隐私。为了保护隐私，Tornado.Cash使用一个智能合约，接受来自一个地址的ETH和其他代币存款，并允许他们提款到不同的地址，即以隐藏发送地址的方式将ETH和其他代币发送到任何地址。这些智能合约充当混合所有存入资产的池，当你将资金放入池中时，就会生成私人凭据，证明你已执行了存款操作。而后，此私人凭据作为你提款时的私钥，合约将ETH或其他代币转移给指定的接收地址，同一用户可以使用不同的提款地址。案例分析
今天要分析的是一个真实案例，当受害平台找到我们时，在Ethereum、BSC、Polygon三条链上的被盗资金均被黑客转入Tornado.Cash，所以我们主要分析Tornado.Cash的部分。黑客地址：0x489...1F4(Ethereum/BSC/Polygon)0x24f...bB1(BSC)Ethereum部分
研究：约有760万南非人是加密投资者:金色财经消息，加密货币交易所KuCoin的一项研究显示，22%的南非成年人口（约760万人）是加密投资者。根据这项研究，72%的受访者表示他们通过社交媒体获取有关特定加密项目的信息。该研究还发现，65%的加密投资者“认为加密是金融的未来”。[2022/6/17 4:35:07]
借助慢雾MistTrack反追踪系统，我们先对地址进行一个大概的特征分析。
从部分展示结果来看，可以看到交易行为里黑客使用较多的除了Bridge就是混合器Mixer，这些对我们分析黑客画像十分重要。接着，我们对Ethereum上的资金与行为进行深入分析：据慢雾MistTrack反追踪系统的分析，黑客将2450ETH以5x10ETH+24x100ETH的形式分批转入Tornado.Cash，将198ETH转入FixedFloat，这让我们继续追踪Tornado.Cash部分留了个心眼。
声音 | 比特币ATM提供商Athena：哥伦比亚的委内瑞拉人是ATM的最大用户:比特币自动取款机（ATM）现在开始在全球普及，你可以在世界各地找到比特币ATM，但是大多数都在美国境内，事实上超过50%。然而，南美也是比特币ATM在激增的大陆，委内瑞拉和哥伦比亚等国现在拥有一些机器，让用户可以使用比特币现金、莱特金和以太坊等。据Bitcoin.com称，负责生产众多比特币ATM的Athena公司对哥伦比亚境内比特币自动取款机的使用进行了广泛研究。根据Athena的说法，哥伦比亚的委内瑞拉人是ATM的最大用户，紧随其后的是从事技术或营销工作的自由职业者。Athena拉丁美洲主管Matias Goldenh?rn表示：“尽管整个地区都在回升，哥伦比亚的交易量更大——交易更多，日常生活中使用加密货币的人也更多。哥伦比亚有很多自由职业者接受比特币付款，他们使用我们的ATM以法定货币取款；然后有人向委内瑞拉汇款，他们也在使用比特币。这是我们目前在哥伦比亚拥有的两个主要用户。”（CryptoDaily）[2020/2/8]
声音 | Josh Rager：若想以低于1万美元积累比特币 大多数人是难以成功抄底的:加密货币分析师Josh Rager发推称，如果有兴趣以低于1万美元的价格积累更多比特币的话，记住，大多数人是无法成功抄底的。慢慢地缩小规模也许是明智的，但这完全取决于你自己。但比特币很有可能在触底后剧烈反弹，其中大部分将由大型投资者提前交易。[2019/7/25]
既然想要尝试追踪黑客从Tornado.Cash转出的地址，那我们就得从Ethereum上第一笔资金转入Tornado.Cash的时间点开始，我们发现第一笔10ETH和第二笔10ETH间的时间跨度较大，所以我们先从跨度小的100ETH开始分析。
定位到Tornado.Cash:100ETH合约相对应的交易，发现从Tornado.Cash转出的地址非常多。经过慢雾MistTrack的分析，我们筛选出了符合时间线和交易特征的地址。当然，地址依然很多，这需要我们不断去分析。不过很快就出现了第一个让我们饶有怀疑的地址。
声音 | 赵余：抵押EOS投票对于持币人是利益最大化的选择:EOS LaoMao 的赵余在《宁话区块链》之全球EOS节点答疑的节目中称 “投票给那些积极参与技术讨论和社区治理或者说技术实力比较强的 BP 节点团队，对于整个 EOS 的网络安全和长期生态，都是一件有意义的事情，对于持币人本身也是利益最大化的选择。举一个最近的例子，就在前段时间，ECAF 紧急冻结了一批有被盗风险的账户，需要前 21 个 BP 节点协作把这批账户加入黑名单，但是某些 BP 节点当时直接联系不到人，这就导致黑名单冻结出问题，一批账户因此损失了资金。这件事也给整个 EOS 网络的信誉也带来了负面影响，尽管当时 EOS 本身的黑名单机制的不完善，也是导致上面讲到的这个问题的原因之一，但这多少说明了一些问题。如果持币者都本着认真负责的态度行驶自己的投票权利，像这种关键时刻掉链子的节点，应该会越来越少，进而整个 EOS 网络也会变得更加安全、更加稳定，最终的受益人还是那些认真投票的持币者。”[2018/7/31]
韩国规定与虚拟货币‘职务相关’的公务员必须向其所属部门负责人进行申报个人是否拥有虚拟货币:今日韩国國民權益委員會发布了关于虚拟货币的公文，根据公文内容：从事虚拟货币工作或曾经从事虚拟货币工作的公务人员必须向其机构负责人报告个人拥有虚拟货币的事实。國民權益委員會将此公文发送给了每一个政府部门和公共机构。[2018/2/12]
据慢雾MistTrack的分析，地址将Tornado.Cash转给它的ETH转到地址，接着把ETH分为三笔转到了FixedFloat。
当然，这也可能是巧合，我们需要继续验证。继续分析，接连发现三个地址均有同样的特征：A→B→FixedFloatA→FixedFloat
在这样的特征佐证下，我们分析出了符合特征的地址，同时刚好是24个地址，符合我们的假设。
Polygon部分
如下图，黑客将获利的365,247MATIC中的部分MATIC分7次转到Tornado.Cash。
而剩下的25,246.722MATIC转到了地址，接着追踪这部分资金，我们发现黑客将25,246.721MATIC转到了FixedFloat，这让我们不禁思考黑客在Polygon上是否会以同样的手法来洗币。我们首先定位到Tornado:100,000MATIC合约与上图最后三笔对应的交易，同时发现从Tornado.Cash合约转出的地址并不多，此时我们可以逐个分析。
很快，我们就发现了第一个让我们觉得有问题的地址。我们看到了熟悉的FixedFloat地址，不仅FixedFloat转MATIC到地址，从地址转出资金的接收地址也都将MATIC转给了FixedFloat。
分析了其他地址后，发现都是一样的洗币手法，这里就不再赘述。从前面的分析看来黑客对FixedFloat实在独有偏爱，不过这也成了抓住他的把柄。BSC部分
下面我们来分析BSC部分。BSC上黑客地址有两个，我们先来看地址：
黑客地址分17次转了1700ETH到Tornado.Cash，时间范围也比较连贯。就在我们以为黑客会故技重施的时候，发现并非如此。同样，经过慢雾MistTrack的分析与筛选，我们筛选出了符合时间线和交易特征的地址，再进行逐个突破。分析过程中，地址引起了我们的注意。如图，据慢雾MistTrack显示，该地址将Tornado.Cash转给它的ETH转出给了SimpleSwap。
继续分析后发现，换汤不换药，虽然黑客换了平台，手法特征却还是类似：A→SimpleSwapA→B→SimpleSwap
另一个黑客地址是以10BNB为单位转到了Tornado.Cash。
而在这个地址的洗币手法中，黑客选择了另一个平台，不过手法依然类似。这里就不再一一分析。
总结
本文主要由一个真实案例开启，分析并得出在不同的链上黑客是如何试图使用Tornado.Cash来清洗盗取的资金，本次洗币手法具有极相似性，主要特征为从Tornado.Cash提币后或直接或经过一层中间地址转移到常用的混币平台。当然，这只是通过Tornado.Cash洗币的其中一种方法，更多手法仍等着我们发现。而想要更有效率更准确地分析出结果，必然得借助工具。凭借超2亿个钱包地址标签，慢雾MistTrack反追踪系统能够识别全球主流交易平台的各类钱包地址，如用户充值地址、温钱包地址、热钱包地址、冷钱包地址等。通过MistTrack反追踪系统可对任意钱包地址进行特征分析和行为画像，在反分析评估工作中起到至关重要的作用，为加密货币交易平台、用户个人等分析地址行为并追踪溯源提供了强有力的技术支撑。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。