贼喊捉贼,警惕「群友」盗币威胁
不管是熟人场景下的群友盗币,还是针对不特定对象的假钱包盗币,都是对我们行业的巨大危害。
撰文:Bitrace
「群友」是当前流行在加密货币投资者之间的一个社交 meme,对加密货币有着共同爱好的人们在网络群组与现实世界中建立起社群关系,彼此互相了解对方的生活习惯、地址信息、持仓明细等,在进行观念分享、场外交易或业务合作的过程中,建立起了丰富有趣的社区。
但本文并非要对加密社区的群友文化做社会学意义上的严肃考察,而是尝试通过披露真实案例,对群友盗币威胁做出警示——有时候,盗币并不需要太高的技术含量。
贼喊捉贼
2022 年 6 月,Bitrace 收到 A 省某丢币受害人的报告,声称自己遭到了假钱包盗币,刚刚通过线下面对面 OTC 方式购买到的价值 20 万美元的泰达币不翼而飞。
在沟通中,受害人表示自己是在 OTC 过程中亲手当场下载的钱包软件,并且按照钱包软件的提示备份了助记词,当天测试金额安全到账,所有的交易都能够快速进行,只是没想到第二天资金就被转走了。OTC 服务商提醒受害人可能下载到了假钱包,需要找数据分析公司进行追踪调查,于是受害人联系到了我们。
Bitrace 的分析人员最初认为这确实是一起常见的假钱包盗币案件——毕竟几乎所有假钱包受害人都认为搜索引擎的钱包关键词第一行结果是官网,但很快不常见的事情接二连三地发生了。
钱包公司反馈受害人下载的文件确实是正版钱包软件;同时链上资金分析也显示,被盗的资金并没有如同其他假钱包赃款那样,被快速转入网赌平台热钱包地址,或是进入为非法资金清洗提供服务的第三方担保交易平台地址,而是停停走走在链上绕了一个大圈;仿佛盗币者知道这一笔加密资金并不需要清洗似的,最后甚至有部分资金流回了 OTC 服务商的资金关联地址。
但还来不及疑惑,调查人员就发现,这起事件的资金与 Bitrace 正在协助 B 省某地执法单位调查的另一起案件的地址资金产生了交集。该案件的受害人被盗经历与 A 省受害人几乎完全一致——线下面对面 OTC 交易、当场下载钱包、交易完成后被盗、被盗后以假钱包盗币名义报案。
同一组作案地址,同样的手法,两个不同省份的受害人,此时一个大胆的想法涌上心头。
后续的配合侦查与警方执法过程按下不表,最终嫌疑人供述的结果是,他们只是在受害人抄写备份钱包助记词的过程中,安排人偷偷在受害人背后用手机拍下了屏幕,并在整个过程中暗示或明示受害人,他可能下载的是带后门的钱包,把锅甩给钱包公司。
至此真相大白,只是有些黑色幽默。
三人成虎
2023 年 11 月 21 日,有 KOL 在社交媒体中发文表示,自己在 TP 钱包中存放的两种价值 11000 美元的加密货币被盗,考虑到自己的助记词都是离网存储,被安全地抄写在自己的密码本中,只有钱包公司有权限接触到他的助记词,于是认为是该钱包公司监守自盗。
一时间引发了大量其他投资者的共鸣,纷纷提到自己使用该钱包被盗的经历,热度极高,许多网友也转发声援,对 TP 钱包口诛笔伐,仿佛这家公司已是业界毒瘤。
由于受害人公开了自己的地址,Bitrace 的调查人员得以对这起事件展开初步分析。
受害人地址中同时有两种资产丢失,首先排除的是授权盗币可能,因为针对波场钱包的授权盗币往往只以泰达币为目标,且不会盗取主链代币;
被转移的 TRX 系整数,接着排除假钱包盗币可能,因为这不符合假钱包团伙的 「一键划转」、「吃干抹净」的工作原则,此外更何况这个钱包已经使用了很久都没有发生过被盗,且盗币者并没有使用专业盗币团伙常用的资金清洗手法;
受害人的地址资金交互情况复杂,在被盗前与大量对手方发生交易,且资金规模庞大,因此我们推测其中交易对手方或合作伙伴盗币等熟人作案可能性较高。
综上,Bitrace 通过两个地址的链上活动便大致判断出了后续调查的方向,并主动联系加入了包括受害人与 TP 钱包在内的三方调查群组。
最后的调查结果不出所料,确实系熟人作案,受害人的朋友趁受害人不备,偷偷抄写了他的密码本,进而完成了盗币动作与业余的资金清洗活动。TP 钱包也方才勉强摆脱嫌疑。
而之所以说是「勉强」,正是因为假钱包盗币团伙业务是如此的庞大,以至于某些无辜的钱包公司反复蒙受冤屈,即使这一次解释清楚,也还会有下一次,与下下一次。
区分群友盗币与假钱包盗币
群友盗币与假钱包盗币在形式上多有一致,例如:
都是地址管理权限丢失,会有同时多种带笔资产被非法转移;都不会在链上看到可疑的授权交易,转账方式也并非「transferFrom」;都存在一定的养鱼期,在获取钱包权限的初期不会贸然转移资产,以防打草惊蛇。
但大同之下仍有小异,以下是 Bitrace 在过去数千起丢币案件分析过程中总结出来的规律,任何一个具备基础区块链知识的投资者都能够充分了解:
-
假钱包盗币的产业化与自动化程度极高,在获取受害人钱包权限后,都是从后台一键划转获取资金的,因此几乎不可能出现留一部分偷一部分的情况。相反,群友盗币多为手动,疏漏很多,多笔资产转移间隔较长;
-
假钱包盗币的洗钱渠道要么是网赌平台地址,要么是第三方担保交易平台,这类机构缺乏 KYC 机制,是犯罪分子的洗钱天堂。而群友盗币往往准备不足,得手后要么囤币发呆,要么就近使用第三方去中心化交易平台,甚至直接向中心化交易平台转账,十分业余;
-
假钱包盗币的养鱼一般通过多重签名进行,被多签的受害人地址只能存入不能转出,受害人在不知情情况下将可能持续转入。而群友盗币不可能使用这个方法。
最后
不管是熟人场景下的群友盗币,还是针对不特定对象的假钱包盗币,都是对我们行业的巨大危害,在打击这类非法活动的过程中,投资者本人、钱包公司、加密基础设施以及政府部门都不能置身事外。
比推快讯
更多 >>- 截至4月26日,MicroStrategy持有21.44万枚比特币,总成本75.4亿美元
- Glassnode:市场下跌期间持有0.01-0.1 BTC的实体余额增长最为显著
- 预测平台Polymarket用户押注赵长鹏的刑期将不超过一年
- 24,673枚ETH从未知钱包转移到Coinbase Institutional
- 金融科技公司 Stripe 集成 Avalanche 的 Core 钱包
- TD Cowen:Consensys 与 SEC 关于以太坊是否是证券的诉讼“将需要数年时间”
- EigenLayer 公布代币空投计划,其中 15% 分配给质押者
- EigenLayer已在 GitHub 上发布白皮书,空投或将于5月10日上线
- Kamino基金会将推出KMNO质押,质押Multiplier最高可提升至3倍
- Coinbase将在 Solana 网络上添加对Neon EVM (NEON) 的支持
- 5万枚GNO转入Gnosis Treasury钱包地址,价值超1600万美元
- 疑似孙宇晨地址再次从Binance转出8170枚ETH,约合2592万美元
- EigenLayer疑似开通Eigen Foundation官方账户
- 加密交易生态系统LazyBear完成400万USDT战略融资,DWF Labs等参投
- 美国九只现货比特币ETF今日净流出超1.4亿美元,贝莱德连续3天未增持或减持BTC
- 某巨鲸向Coinbase存入400枚BTC,若全部出售将获利215万美元
- OSL ETF及托管业务负责人:香港对以太坊早有明确定义,并不是证券
- friend.tech v2预计将推迟至5月2日发布
- 数据:第一季度Filecoin FVM TVL超过6亿美元
- 华夏基金:预计首批香港比特币现货ETF首发规模将超1.25亿美元
- Nansen:过去 30 天内,Tether、USDC 和 DAI 交易量超过 Visa 2023 年的月度平均水平
- 6个巨鲸地址在市场下跌期间抛售超4.4万枚ETH,价值约合1.4亿美元
- CONSENSYS 称 SEC 执法总监于 2023 年 3 月批准了调查以太坊的正式命令
- 美国缓刑办公室建议对CZ缓刑五个月
- FOX:美SEC主席在过去一年认定ETH为未经注册的证券
- BCB Group在法国获得数字资产和电子货币许可证
- Tether Evo战略投资Blackrock Neurotech公司2亿美元
- HKbitEX与上海技术交易所启动上技所跨境技术贸易港澳服务中心
- 欧盟10国拟推进将数字资产市场法纳入本国法律
- 华夏基金为香港首批现货加密ETF规模最大的发行方
- Web3人才网络Braintrust推出AI招聘平台AIR
- 币安在菲禁令可能有利于当地加密货币市场发展
- 某鲸鱼地址向币安存入33383枚ETH
- 加拿大总理提议对股票和加密货币征收资本利得税
- 沉睡2年的鲸鱼地址向Lido存入1300枚ETH
- Covalent已通过私人交易购入FTX破产财团持有的CQT代币
- Web3 游戏初创公司 GFAL 筹集 330 万美元种子轮融资
- 孙宇晨:预测美国SEC将在5月份拒绝以太坊ETF
- USDC上周交易量达4560亿美元超越USDT的890亿美元交易量
- Visa:Circle的USDC在稳定币交易量超越USDT
- Manta联创:参与Renew Paradigm的11个Manta生态项目将根据NFT销毁分配其总代币供应量的3%
- Jupiter LFG Launchpad第二期项目UpRock公布UPT代币公平分配路线图
- Uniswap在Taiko主网上部署Uniswap V3的提案正式通过
- 老虎证券支持首批虚拟资产现货ETF零佣金交易
- QCP Capital:经济增长放缓和通胀持续升温的滞胀组合进一步削弱美联储降息可能性
比推专栏
更多 >>- IOSG Weekly Brief|Base社交协议王国:消费者应用沉淀下的海量用户和数十亿TVL #222
- NEAR:为何AI需要Web3?Web3究竟会给AI带来什么样的颠覆式进步
- Polkadot 的未来升级方向 “JAM” 究竟是什么?
- Chainlink Labs新增战略联盟成员,本周有哪些大事件呢?|Chainlink 周报
- 比特币成长的代价
- Meta 开放 MR 系统授权,联想华硕加盟;黄仁勋:别买车,买机器人!;12306:别信!任何「加速包」都没用| 极客早知道
- 炒虚拟货币血本无归,委托人要求返还投资款,法院:损失自担!
- 终于,比特币挖开了黄金的“墙角”?
- 比特币减半完成Runes符文协议上线,前十项目都有哪些?10个工具助你打新和发现Alpha项目
- 一种估算比特币泡沫大小的科学方法
观点
项目
比推热门文章
- 截至4月26日,MicroStrategy持有21.44万枚比特币,总成本75.4亿美元
- Glassnode:市场下跌期间持有0.01-0.1 BTC的实体余额增长最为显著
- 预测平台Polymarket用户押注赵长鹏的刑期将不超过一年
- 24,673枚ETH从未知钱包转移到Coinbase Institutional
- 金融科技公司 Stripe 集成 Avalanche 的 Core 钱包
- TD Cowen:Consensys 与 SEC 关于以太坊是否是证券的诉讼“将需要数年时间”
- EigenLayer 公布代币空投计划,其中 15% 分配给质押者
- EigenLayer已在 GitHub 上发布白皮书,空投或将于5月10日上线
- Kamino基金会将推出KMNO质押,质押Multiplier最高可提升至3倍
- Coinbase将在 Solana 网络上添加对Neon EVM (NEON) 的支持