2021年8月19日，日本交易所 Liquid 熱錢包中價(jià)值 9,000 多萬(wàn)美元加密資產(chǎn)被盜，據(jù) PeckShield「派盾」統(tǒng)計(jì)包含：約 480 萬(wàn)美元的 BTC（107.43 枚）、3,250 萬(wàn)美元的 ETH、4,490 萬(wàn)美元的 ERC-20 代幣（近百種代幣：AAVE、UNI、LINK、SNX、USDC）、183 萬(wàn)美元的 TRON（含 USDT-TRON 和 2,393,334.86 枚 TRON）、1,290 萬(wàn)美元的 XRP（11,467,479 枚）。
據(jù) PeckShield「派盾」旗下反洗錢態(tài)勢(shì)感知系統(tǒng) CoinHolmes 顯示，截至目前 ETH 代幣暫未發(fā)生異動(dòng)，仍鎖在攻擊者的地址里。
攻擊者得手后，首先將 ERC-20 代幣快速轉(zhuǎn)入 UniSwap、SushiSwap、1inch 等 DEXs（去中心化交易所）中，通過(guò) DEXs 將所獲近百種代幣兌換為 ETH 或通過(guò) Ren 跨鏈橋兌換為 BTC，再將所兌換的 ETH 通過(guò)跨鏈橋轉(zhuǎn)至以太坊，最后從鏈上混幣器 Tornado.cash 流出，整個(gè)流程十分嫻熟，這一點(diǎn)也可以從攻擊者首先從處置 ERC-20 代幣看出。
由于所盜的 ERC-20 代幣中有些代幣流動(dòng)性較差，容易遭到發(fā)行商凍結(jié)、交易回滾或者硬分叉等方式阻礙代幣轉(zhuǎn)出，攻擊者首先依次將這些代幣轉(zhuǎn)入不需要 KYC、無(wú)需注冊(cè)登錄、即用即走的 DEXs，然后將大部分代幣轉(zhuǎn)換為主流代幣 ETH，并匯集到新地址，再?gòu)碾[私協(xié)議 Tornado.cash 流出。
從 Etherscan 上可以看出，自8月19日上午4時(shí)19分開始，攻擊者開啟「價(jià)值優(yōu)先」的掃蕩式兌換，首先從 USDT、USDC、DAI 等穩(wěn)定幣開始清空，然后趕在代幣被凍結(jié)前將它們轉(zhuǎn)入 DEXs。
這是迄今為止，第二起中心化機(jī)構(gòu)被盜通過(guò)去中心化機(jī)構(gòu)洗錢的安全事件。據(jù) PeckShield「派盾」統(tǒng)計(jì)，目前中心化機(jī)構(gòu)被盜后，通過(guò)去中心化服務(wù)進(jìn)行洗錢的案例還屈指可數(shù)，但類似的洗錢手段已經(jīng)在 DeFi Protocols（去中心化協(xié)議）攻擊、跑路中呈現(xiàn)出增長(zhǎng)的趨勢(shì)。
新興洗錢三部曲
攻擊者在得手后，大致將洗錢的流程分為三步：
1. 批量轉(zhuǎn)移：將所盜 ERC-20 資產(chǎn)轉(zhuǎn)入 DEXs，避免被凍結(jié)、回滾，同時(shí)將所盜資產(chǎn)進(jìn)行整合，為下一步實(shí)施清洗做準(zhǔn)備工作；
2. 批量?jī)稉Q：通過(guò) DEXs 或跨鏈橋?qū)?ERC-20 代幣兌換為 ETH 或 BTC，通過(guò)跨鏈橋?qū)⒓用苜Y產(chǎn)歸置，為批量轉(zhuǎn)移到隱私協(xié)議做準(zhǔn)備；
3. 隱蔽階段：將歸置后的 ETH 或 BTC 轉(zhuǎn)移到 Tornado Cash、Typhoon、Wasabi Wallet 等混幣工具中，混淆資產(chǎn)來(lái)源和最終收益者，抹除非法資產(chǎn)的痕跡，混淆資產(chǎn)源頭逃離追蹤。
Tornado Cash 是基于零知識(shí)證明在以太坊上實(shí)現(xiàn)的隱私交易中間件。它使用 zk-SNARK （Zero-Knowledge Succinct Non-Interactive Argument of Knowledge），能夠以不可追溯的方式將 ETH 以及 ERC20 代幣（目前支持 DAI，cDAI，USDC，USDT，WBTC）發(fā)送到任何地址。

在實(shí)際應(yīng)用中，當(dāng)用戶將加密貨幣存入隱私池后即可獲得一筆存款憑證，此后用戶可以通過(guò)存款憑證向任何地址中提取先前存入的加密貨幣。由于在存款憑證的生成和使用時(shí)轉(zhuǎn)賬的數(shù)據(jù)都不包含憑證本身，因此可以保證存取款兩筆轉(zhuǎn)賬完全獨(dú)立。另外，由于中繼服務(wù)的存在，取款時(shí)的以太坊地址甚至不需要擁有支付轉(zhuǎn)賬費(fèi)用的 ETH，即可以提款至完全空白的地址。
事實(shí)上，Tornado Cash 并非無(wú)法破解的隱私協(xié)議。前段時(shí)間英國(guó)警方破獲的 DeFi 協(xié)議 StableMagnet Finance 跑路案反映出，在安全公司、交易所、社區(qū)和警方的聯(lián)動(dòng)下，通過(guò) CoinHolmes 反洗錢態(tài)勢(shì)感知系統(tǒng)對(duì)攻擊者資產(chǎn)進(jìn)行持續(xù)追蹤，在社區(qū)持續(xù)收集項(xiàng)目方信息，并積極與警方合作的情況下，警方可通過(guò)分析追蹤社區(qū)反饋的線索鎖定涉案相關(guān)成員，并在物證人證的幫助下，迫使涉案相關(guān)成員歸還存放在 Tornado Cash 中的 ETH。
據(jù) CoinHolmes 追蹤顯示，攻擊者將逾千萬(wàn)枚 XRP 分四次轉(zhuǎn)入其地址后，分三批分別轉(zhuǎn)入 Binance、Huobi、Poloniex 等交易所。

Liquid 通過(guò)反洗錢態(tài)勢(shì)系統(tǒng)追蹤到此信息后，緊急聯(lián)系這幾家中心化機(jī)構(gòu)將攻擊者地址設(shè)置黑名單，旨在緊急凍結(jié)被盜的 XRP 資產(chǎn)。
但在此之前攻擊者已經(jīng)通過(guò)交易所將部分 XRP 轉(zhuǎn)換為 BTC，據(jù) CoinHolmes 反洗錢態(tài)勢(shì)系統(tǒng)顯示，這些 XRP 已經(jīng)被轉(zhuǎn)換為 192 枚 BTC，并經(jīng)通過(guò)去中心化的混幣器 Wasabi 錢包流出。
Wasabi 錢包采用「CoinJoin」的方法，將多個(gè)用戶的交易匯總成一筆大額交易，其中包含多個(gè)輸入（input）和輸出（output）。隨著參與用戶的增長(zhǎng)，私密性與可靠性就越強(qiáng)。此外，Wasabi 錢包還采用「區(qū)塊過(guò)濾器」，通過(guò)下載整個(gè)數(shù)據(jù)塊進(jìn)一步打亂交易信息，來(lái)增強(qiáng)隱私性和抗審查性，這給相關(guān)執(zhí)法機(jī)構(gòu)追蹤此類資金的流轉(zhuǎn)帶來(lái)挑戰(zhàn)性。
隨著監(jiān)管部門對(duì)中心化機(jī)構(gòu)洗錢情況的嚴(yán)厲監(jiān)管，中心化機(jī)構(gòu)不斷提高 KYC 需求，使得中心化洗錢渠道遭到沉重打擊，去中心化工具越來(lái)越受到犯罪分?的青睞，越來(lái)越多的?法資?開始轉(zhuǎn)向去中心化渠道洗錢。PeckShield「派盾」建議相關(guān)執(zhí)法部門引?新的監(jiān)管?具和技術(shù)，為進(jìn)一步有效遏制利?虛擬貨幣的洗錢做準(zhǔn)備。
截至9月6日，CoinHolmes 監(jiān)控到攻擊者的 BTC 地址發(fā)生異動(dòng)，共轉(zhuǎn)出 90 BTC，CoinHolmes 將持續(xù)監(jiān)控被盜加密資產(chǎn)的轉(zhuǎn)移。

熱點(diǎn)：以太坊 BTC 虛擬貨幣 加密貨幣 幣看 代幣 ETH Huobi