“揭開” Tornado.Cash 的匿名面紗_ADO:TORN

隨著DeFi、NFT、跨鏈橋等項目的火熱發展，黑客攻擊事件也層出不窮。有趣的是，據慢霧統計，80%的黑客在洗幣過程中都使用了混幣平臺Tornado.Cash，本文以KuCoin被盜事件為例，試圖從追蹤分析過程中找到一絲揭開Tornado.Cash匿名性的可能。

事件概述

據KuCoin官網公告，北京時間2020年9月26日凌晨，KuCoin交易所的熱錢包地址出現大量異常的代幣提現，涉及?BTC、ETH?等主流幣以及LINK、OCEN等多種代幣，牽動了無數用戶的心。

圖?1

據慢霧AML團隊統計，本次事件被盜資金超2.7億美元，具體如下圖：

SEC指控Avraham Eisenberg從Mango Markets盜取1.16億美元:金色財經報道，美國證券交易委員會指控被稱為Mango Avi的Avraham Eisenberg策劃了對Mango Markets的攻擊，并從該加密貨幣交易平臺抽走1.16億美元。美國證券交易委員會表示，Eisenberg操縱MNGO代幣。他還面臨司法部和商品期貨交易委員會的指控。該機構在周五的一份聲明中說，對其他違反證券法的行為以及與被指控的不當行為有關的其他實體和人員的調查正在進行。美國證券交易委員會在投訴中說，Mango Markets已經停止營業。[2023/1/21 11:24:34]

圖2

值得注意的是，我們全面追蹤后發現黑客在這次攻擊事件中大量使用了Tornado.Cash來清洗ETH。在這篇文章中，我們將著重說明黑客如何將大量ETH轉入到Tornado.Cash，并對Tornado.Cash的轉出進行分析，以分解出被盜資金可能流向的地址。

Tornado.Cash?是什么？

河南將加快建設省區塊鏈產業園、元宇宙科創產業園:金色財經報道，1月14日，河南省第十四屆人民代表大會開幕，省長王凱作政府工作報告。在2023年重點工作安排中，報告提出，壯大數字經濟核心產業，開展先進計算、網絡安全等重點領域核心技術攻堅，建設國家新一代人工智能創新發展試驗區。加快省區塊鏈產業園、元宇宙科創產業園建設，推動衛星及應用產業發展。新建150個智能工廠和10家智能制造標桿企業，新增上云企業3萬家。[2023/1/14 11:11:52]

Tornado.Cash是一種完全去中心化的非托管協議，通過打破源地址和目標地址之間的鏈上鏈接來提高交易隱私。為了保護隱私，Tornado.Cash使用一個智能合約，接受來自一個地址的ETH和其他代幣存款，并允許他們提款到不同的地址，即以隱藏發送地址的方式將ETH和其他代幣發送到任何地址。這些智能合約充當混合所有存入資產的池，當你將資金放入池中時，就會生成私人憑據，證明你已執行了存款操作。而后，此私人憑據作為你提款時的私鑰，合約將ETH或其他代幣轉移給指定的接收地址，同一用戶可以使用不同的提款地址。

分析：Alameda在10月20日至11月2日從FTX提取超過15億美元資金:11月24日消息，據0xScope分析，在10月20日至11月2日期間（CoinDesk披露Alameda資產負債表之后），Alameda從FTX提取超過15億美元資金，位列第一。Genesis提取了約3億美元，但在FTX停止存款前一天存回4000萬美元。Jump也從FTX取出3億美元，且之后沒有存款。[2022/11/24 8:04:44]

如何轉入？

攻擊得手后，黑客開始大范圍地將資金分批轉移到各大交易所，但還沒來得及變現就被多家交易所凍結了。在經歷了白忙一場的洗錢后，黑客將目光轉向了DeFi。

據慢霧AML旗下MistTrack反洗錢追蹤系統顯示，黑客(0xeb31...c23)先將ERC20代幣分散到不同的地址，接著使用Uniswap、1inch和Kyber將多數ERC20代幣換成了ETH。

Pantera Capital CEO：比特幣的下一個牛市即將到來:金色財經報道，Pantera Capital首席執行官Dan Morehead認為，加密貨幣的寒冬將很快結束，比特幣價格將再次上漲。他提醒說，這樣的起伏是正常的，在過去十年中已經發生過多次，包括2018年的下跌和未來幾年的連續牛市。我們已經經歷了三個大熊市周期。實際上，我認為我們已經在6月份觸底，我們正在進入下一輪牛市。這可能會有困難，可能需要一段時間，但我認為我們進入了反彈的下一階段。在談到比特幣的未來價格時，Morehead預測，比特幣的價格將繼續以每年約2.5倍的速度上漲。盡管如此，他聲稱加密領域最近已經發生了變化，不再只圍繞比特幣和以太坊流通。（cryptopotato）[2022/9/8 13:16:38]

圖3

大部分ERC20代幣兌換成ETH后，被整合到了以下主要地址：

過去24小時Dogecoin大宗交易增加近45%:金色財經報道，根據IntoTheBlock數據，過去 24 小時內Dogecoin大宗交易增加近45%，Dogecoin鯨魚或大戶持有者正在行動。大型交易激增通常與鯨魚買賣活動的增加有關，交易通常超過100,000美元。在此之前，有高達6億的Dogecoin被轉移到Robinhood的四個獨立交易中。根據Dogewhale的提醒，其中最大的一筆交易有299,000,000個DOGE被轉移，而其他的交易分別有100,000,000個DOGE被轉移。根據WhaleStats的報告，Dogecoin在過去24小時內位列前100名BSC鯨魚中購買最多的資產。在過去24小時內，Dogecoin也是前1000名和4000名BSC鯨魚中使用最多的智能合約之一。（u.today）[2022/6/26 1:31:26]

表1

在對ETH和ERC20代幣進行完整追蹤后，我們梳理出了資金是如何在黑客地址間移動，并分解出了資金是以怎樣的方式進入Tornado.Cash。

圖4

黑客將資金按時間先后順序轉入Tornado.Cash的詳情如下：

表2?

轉到了哪？

猜想

1.?巨額的ETH進入?Tornado.Cash，會集中表現出一些可追蹤的特征。

2.以黑客急于變現的行為分析，猜想黑客將資金存入Tornado.Cash后會隨即提款，或下次存入時提款。

3.分析攻擊者使用洗幣平臺的方式和行為，可以獲得資金的轉移地址。

可能的鏈上行為

1.資金從?Tornado.Cash轉出的時間范圍與黑客將資金轉入Tornado.Cash的時間范圍近似。

2.一定時間段內，從Tornado.Cash?轉出的資金會持續轉出到相同地址。

驗證

以黑客地址(0x34a...c6b)為例：

如表2結果所述，黑客在?2020-10-2316:06:28~2020-10-2610:32:24?(UTC)間，以每次100ETH，存115次的方式將?11,500?ETH存入?Tornado.Cash。為了方便說明，我們只截取了該地址在2020-10-243:00:07~6:28:33(UTC)間的存款記錄，如下圖：

圖5

接著，我們查看Tornado.Cash:100ETH合約的交易記錄，找到地址(0x34a...c6b)在同一時間段的存款記錄，下圖紅框地址(0x82e...398)在此時間段內大量提款的異常行為引起了我們的注意。

圖6

查看該地址(0x82e...398)在此時間段的交易哈希，發現該地址并沒有將ETH提款給自己，而是作為一個合約調用者，將ETH都提款到了地址?(0xa4a...22f)。

圖7

圖8

同樣的方式，得出黑客地址(0x34a...c6b)經由Tornado.Cash提款分散到了其他地址，具體如下：

表3

經過核對，發現從Tornado.Cash提款到表3中六個地址的數額竟與黑客存款數額11,500ETH一致，這似乎驗證了我們的猜想。對其他地址的分析方法同理。

接著，我們繼續對這六個地址進行追蹤分析。據MistTrack反洗錢追蹤系統展示，黑客將部分資金以50~53ETH不等轉向了ChangeNOW、CoinSwitch、Binance等交易平臺，另一部分資金進入第二層后也被黑客轉入了上述交易平臺，試圖變現。

圖9

總結

本文主要說明了黑客是如何試圖使用Tornado.Cash來清洗盜竊的ETH，分析結果不由得讓我們思考：Tornado.Cash真的完全匿名嗎？一方面，既然能分析出部分提款地址，說明不存在絕對的匿名；另一方面，匿名性是具備的，或許只是Tornado.Cash不適合在短時間內混合如此大規模的資金而已。

截止目前，KuCoin官方表示已聯合交易所、項目方、執法和安全機構追回約2.4億美元資金。從各種攻擊事件看來，DeFi或許已成為黑客轉移資金的通道，而今監管已至，合規化的腳步愈發逼近，有合規需求的項目方，可以考慮接入慢霧AML系統(aml.slowmist.com)，即使黑客使用了DeFi，也無處遁形。

By：Lisa@慢霧AML團隊

Tags：ADOASHTORNCASHADOGEDASHDtorn幣暴跌BNB Cash

世界幣