PeckShield: Làm sáng tỏ vụ việc của Bộ Tư pháp Hoa Kỳ chống lại một công ty chấp nhận OTC của Trung Quốc vì tội rửa tiền

Tiêu đề gốc: "PeckShield: Giải mã vụ rửa tiền của Bộ Tư pháp Hoa Kỳ đối với người chấp nhận OTC Trung Quốc"

Nguồn gốc: PeckShield

Ngày 02 tháng 3 năm 2020, Bộ Ngoại giao Hoa Kỳ of Justice Với lý do âm mưu rửa tiền và thực hiện chuyển tiền trái phép, hai công dân Trung Quốc tên Tian Yinyin và Li Jiadong đã bị khởi tố và phong tỏa toàn bộ tài sản. Nguyên nhân là vì trong khoảng thời gian từ tháng 12/2017 đến tháng 4/2019, cả hai đã giúp đỡ Lazarus Group, một tổ chức hacker có liên kết với chính phủ Triều Tiên, cung cấp dịch vụ rửa tiền trị giá hơn 100 triệu USD.

Vì Bộ Tư pháp Hoa Kỳ không tiết lộ nguồn gốc cụ thể của số tiền bị đánh cắp này nên đường dẫn giao dịch tiền điện tử liên quan đến rửa tiền và thậm chí cả người liên quan Li Jiadong cũng tuyên bố rằng mình chỉ là nạn nhân nên vụ án này đã trở thành tâm điểm của thảo luận sôi nổi trên các phương tiện truyền thông và trong công chúng.

Những sàn giao dịch nào đã bị đánh cắp (nguồn tiền bị đánh cắp), con đường rửa tiền cụ thể của tin tặc (quá trình cam kết) là gì và hai người chấp nhận Tian và Li đã tham gia ở giai đoạn nào (thu thập bằng chứng chuỗi)?

Vì Bộ Tư pháp Hoa Kỳ không tiết lộ tên và địa chỉ của sàn giao dịch bị đánh cắp cũng như các chi tiết chính về sự tham gia của Tian và Li, công ty bảo mật blockchain PeckShield đã ngay lập tức can thiệp vào việc theo dõi nghiên cứu và phân tích, chỉ dựa trên 20 địa chỉ do Hoa Kỳ công bố. Bộ Tư pháp Truy tìm lại, thu thập bằng chứng và khôi phục toàn bộ vụ án thông qua đồ họa và văn bản trực quan.

  (Nguồn: Tài liệu truy tố của Bộ Tư pháp Hoa Kỳ)  

  Như minh họa trong hình trên, điều đã xảy ra là được tóm tắt đơn giản là:   

Tin tặc Bắc Triều Tiên Tổ chức Lazarus Group lần đầu tiên tấn công bốn sàn giao dịch tài sản kỹ thuật số bằng cách lấy khóa riêng của trao đổi thông qua lừa đảo. Sau đó, tin tặc sử dụng Peel Chain và các phương pháp khác để chuyển tài sản bị đánh cắp sang bốn sàn giao dịch khác, VCE1 sang VCE4; và sau đó là tin tặc Sau đó sử dụng Peel Chain để chuyển tài sản vào tài khoản của sàn giao dịch VCE5 và VCE6 của hai người chịu trách nhiệm rửa tiền, cuối cùng chuyển đổi chúng thành tiền hợp pháp để hoàn tất toàn bộ quá trình. Bộ Tư pháp Hoa Kỳ lần này đã truy tố Tian Yinyin và Li Jiadong, những kẻ chịu trách nhiệm cho đợt rửa tiền vừa qua.   

Trong các trang tiếp theo, PeckShield sẽ bắt đầu từ nguồn của sàn giao dịch bị đánh cắp, tiến hành phân tích và phân tích một cách có hệ thống các đường hướng rửa tiền cụ thể của tin tặc, đồng thời xem xét và giải mã toàn bộ vụ việc cho bạn.

Xóa bỏ hình ảnh và văn bản: Vụ rửa tiền của người chấp nhận OTC

Thông thường, sau khi tin tặc thực hiện thành công một cuộc tấn công, quy trình rửa tiền được chia thành ba bước:

1) Giai đoạn xử lý (Placement): Những kẻ trục lợi bất hợp pháp sẽ sắp xếp tài sản bị đánh cắp và thực hiện dọn dẹp theo từng lớp cho bước tiếp theo. sự chuẩn bị;

2) Giai đoạn phân tách (Layering): Phân lớp là giao dịch mang tính hệ thống, là quy trình mang tính kỹ thuật và quan trọng nhất trong toàn bộ quy trình, dùng để nhầm lẫn giữa nguồn tài sản và người hưởng lợi cuối cùng, biến tài sản phi pháp ban đầu thành “hợp pháp”. thu nhập";

3) Giai đoạn tích hợp (Tích hợp): Các tài sản rửa được chuyển đi "hợp pháp". Sau đó, dấu vết tài sản bất hợp pháp thuộc sở hữu của kẻ tấn công đã bị xóa sạch và sẽ không thu hút sự chú ý của các bộ phận liên quan. s bận tâm.

 Theo thông tin do Bộ Tư pháp Hoa Kỳ cung cấp, 4 sàn giao dịch đã bị đánh cắp. Nhóm bảo mật PeckShield đã truy tìm dữ liệu trên chuỗi của 20 địa chỉ Bitcoin được liên kết của Tian và Li. Dựa trên các đặc điểm hành vi trên chuỗi này, kết hợp với PeckShield Thông tin dữ liệu của cơ sở dữ liệu bị đánh cắp của sàn giao dịch cuối cùng đã bị khóa đối với bốn sàn giao dịch sau:  

   (Lưu ý: Sau sự sụp đổ của sàn giao dịch Bter vào năm 2017, tài sản của nó đã được một sàn giao dịch khác tiếp quản, chúng tôi vẫn sử dụng tên của Bter ở đây)  

Sau khi tìm ra nguồn gốc của tiền bị đánh cắp, Chúng ta hãy cùng nhìn vào con đường rửa tiền và dòng tài sản bị đánh cắp. Tin tặc chia hoạt động rửa tiền thành ba bước:

1. Giai đoạn xử lý: đưa tài sản vào hệ thống làm sạch

Trên Bter , Bithumb, Upbit Trong vòng vài tháng sau khi sàn giao dịch Youbit bị đánh cắp, những kẻ tấn công bắt đầu sử dụng nhiều cách khác nhau để tiêu hủy lợi nhuận bất hợp pháp của chúng. Chuyển tài sản sinh lời vào các tài khoản mà bạn có thể kiểm soát để chuẩn bị cho bước dọn dẹp tiếp theo.

2. Giai đoạn phân tách: phân lớp và gây nhầm lẫn các nội dung để thoát khỏi sự theo dõi

Trong quá trình phân tách, những kẻ tấn công cố gắng sử dụng các phương tiện kỹ thuật của Peel Chain để liên tục chia tài sản trong tay chúng thành những tài sản nhỏ và chuyển đổi những tài sản nhỏ này được gửi vào sàn giao dịch. Trong hình bên dưới, chúng tôi đã chọn một quy trình phân tách tương đối điển hình. Quy trình cho 2.000 BTC đầu tiên được trình bày chi tiết như sau (Các quy trình giao dịch khác cũng tương tự. sẽ không lặp lại nữa).

1) Một trong những địa chỉ của kẻ tấn công trước đây đã kiếm được 1.999 BTC, trước tiên hãy chia số lượng tài sản lớn này thành 1.500 + 500 BTC;

2) 1.500 BTC được chia thành ba địa chỉ, mỗi địa chỉ 500 BTC. Tại thời điểm này, 2.000 BTC ban đầu được chia thành 4 địa chỉ mới. , và số dư trong địa chỉ ban đầu đã trở về 0;

3) 500 BTC được chuyển đổi thành 20~50 BTC và được giao dịch để nạp tiền Yobit, và thay đổi số tài sản còn lại sang địa chỉ mới, sau đó hoàn tất việc nạp tiền;

4 ) Lặp lại bước 3 bằng cách sử dụng địa chỉ mới cho đến khi tất cả 500 BTC ban đầu được gửi vào sàn giao dịch. Trong quá trình này, kẻ tấn công cũng gửi hồ sơ vào các sàn giao dịch khác, chẳng hạn như Bittrex, KuCoin và HitBTC.

Sau khi kẻ tấn công trải qua hàng trăm quy trình phân tách như vậy, tất cả tài sản BTC bất hợp pháp ban đầu đã chảy vào các sàn giao dịch lớn, hoàn thành hoạt động rửa tiền ban đầu.

Như được hiển thị trong hình bên dưới, phân tích sâu hơn của chúng tôi cho thấy rằng sau khi hoàn thành hoạt động rửa tiền ban đầu, kẻ tấn công xảo quyệt đã không trực tiếp chuyển số tiền đó vào ví của chính mình mà một lần nữa sử dụng phương pháp Peel Chain để chuyển số BTC thu được bất hợp pháp ban đầu sang OTC theo đợt, trao đổi để thanh lý. Kẻ tấn công chỉ tách hàng chục BTC khỏi tài khoản chính mỗi lần và gửi vào tài khoản OTC để lấy tiền mặt, sau hàng chục, hàng trăm thao tác cuối cùng hắn đã nhầm lẫn thành công và làm sạch hàng nghìn BTC.

3. Giai đoạn sáp nhập: Tích hợp tài sản và chờ cơ hội rút tiền

Sau khi hoàn thành hoạt động rửa tiền ở bước trước, kẻ tấn công bắt đầu cố gắng rút số tiền thu được bất hợp pháp thông qua việc bán OTC.

Trong quá trình được mô tả trong hình trên, từ ngày 28 tháng 11 đến ngày 20 tháng 12 năm 2018, kẻ tấn công đã gửi tổng cộng 3.951 BTC vào Huobi và Coincola của Tian Yinyin hơn một trăm lần. 9,8 BTC còn lại cuối cùng đã được rút tiền mặt trong tài khoản OTC và vẫn được lưu trữ trong địa chỉ chuyển tuyến của kẻ tấn công.

Kết luận

Tóm lại, Nhóm bảo mật PeckShield đã tiến hành phân tích bằng cách theo dõi một lượng lớn dữ liệu trên chuỗi và làm rõ thông tin chi tiết về vụ rửa tiền của người chấp nhận OTC này. Các sàn giao dịch nạn nhân là Bter, Bithumb, Upbit và Youbit. Theo thống kê chưa đầy đủ, thiệt hại đã vượt quá ít nhất 300 triệu USD. Sau khi cuộc tấn công thành công, hacker đã thực hiện hoạt động rửa tiền phi tập trung chuyên nghiệp, kỹ lưỡng và phức tạp theo ba bước , và cuối cùng đã thành công. Đã hoàn thành việc rút tiền một phần.

PeckShield tin rằng khi tin tặc đánh cắp tài sản và sau đó rửa tiền, cho dù quy trình có phức tạp và phức tạp đến đâu, chúng thường sử dụng các sàn giao dịch như một phần của kênh rút tiền. Điều này chắc chắn đặt ra các yêu cầu đối với hoạt động kinh doanh KYC và KYT của các sàn giao dịch tài sản kỹ thuật số lớn. Các sàn giao dịch nên tăng cường xem xét hoạt động chống rửa tiền và tuân thủ quỹ.

Liên kết gốc: https://mp.weixin.qq.com/s/wWrm3gwT72Pc8Nxw-1OiSw

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia