如何使用区块链追踪暗网服务交易

  • 能追踪非法交易,就能追踪一切交易;而且是否“合法”,由追踪者来定义

去年我们演示过《在区块链上追踪比特币交易》的简单方法,本文是另一个同类演示。

⚠️请注意:和上一篇演示一样(使用的调查目标是俄罗斯特工),本次的演示也是使用明确非法的行为,但是,您必需知道,同样的方法能追踪到非法交易,就能追踪到任何交易。

人们对加密货币似乎有一个普遍的误解,感觉它终于可以摆脱国家的监控了。是的,这是个理想状态,也是加密货币创立者的伟大追求。

但是,事实上,不仅容易识别某些站点之间的关系,而且洋葱站点还会留下许多 “数字指纹”。尤其是比特币

请注意这里指的仅仅是开源调查。

在这个案例研究中,您将能看到:

  • 如何识别洋葱站点之间的联系(暗网)
  • 如何识别两个比特币地址之间的关系
  • 如何跟踪地址到注册交易所

为了直观地解释,下面这个图应该是您希望看到的:

暗网服务 —— 众多中的两个

本案例研究的两个主题是:银行网站 BancoPanama,销售匿名的 “离岸银行帐户”,以比特币交易;以及 Dark Web UnlockDevices,该服务允许您匿名解锁手机,也是通过比特币交易。

本案例的研究不是要确定这些网站是否是欺诈网站;而是要识别它们之间的关系,以表明它们是同一个人所有的,并追踪其区块链指纹到注册的加密货币交易所。

用于暗网洋葱站点的分析工具

在本案例研究中,我们将使用四个工具,它们是:

  1. Fresh Onions (http://zlal32teyptf4tvi.onion/)
  2. Wallet Explorer (https://www.walletexplorer.com/)
  3. Blockchain Explorer (https://www.blockchain.com/explorer)
  4. Tor Browser (https://www.torproject.org/)

这其中最重要的两个工具是 Fresh Onions 和 Wallet Explorer。

Fresh Onions 是网站搜寻器。它基本能告诉您洋葱站点上可能看不到的任何隐藏信息,对于识别我们正在寻找的任何“数字指纹”来说非常有用。

Wallet Explorer 也是个很有用的东西,因为它可以识别特定钱包拥有的所有比特币地址。在处理加密货币时,一个钱包可能拥有多个地址。

Blockchain Explorer 和 Tor 浏览器应该是您已经非常熟悉的平台了。您将需要 Tor 来打开任何洋葱链接。

识别暗网服务的“指纹”

这两个暗网洋葱站点之间的关系可以使用 Fresh Onion 进行识别。

我们正在寻找的相关详细信息是“ SSH指纹”;从本质上讲,它是站点携带的唯一标记。使用 Fresh Onions,您就可以看到所有其他拥有相同指纹的站点。

这表明我们之前确定的两个洋葱站点之间存在SSH关系。

现在来看一下区块链上的证据。

如何在交易中使用区块链取证

对暗网进行任何分析的第一步是定位加密货币地址。

这可能是多种货币,但在大多数情况下,比特币是加密货币世界的统治者,幸运的是,它有一个非常公开的区块链。

仅从一个比特币地址就可以知道很多事,例如:

  • 发生了多少笔交易
  • 钱来自哪里,有多少钱
  • 汇款到哪里以及汇了多少钱
  • 交易历史的时间表
  • 以及该钱包中的其他相关比特币地址

其中最后一个是 Wallet Explorer 能够解决的问题。使用此工具,您可以识别同一钱包拥有的任何其他比特币地址。

那么本案例中提到的两个网站之间有什么关系

当您通过该网站的“购买”部分访问其比特币地址时,可以确定两个主要地址:

1、以 XZ4jo 结尾的 “BancoPanama” 站点的地址

2、以 KUrE 结尾的 “Dark Web UnlockDevices” 站点的地址

这两个站点之间的关系是:它们来自同一钱包,这意味着它们是由同一实体或个人拥有的。

我是使用 Wallet Explorer 找到的。在其中您可以通过简单地在搜索功能中输入一个地址,然后显示整个钱包,以识别地址的双重所有权。使用简单的 “CNTRL F” 可同时显示两者。

现在,让我们看一下每个比特币地址的具体交易。

跟踪付款到交易所

在区块链上查看时,支付到这些帐户的交易就是正常交易的外观。

例如,在下面的交易中,你能看到资金从一个比特币地址转移到了以 KUrE 结尾的 Dark Web UnlockDevices 地址:

但是流出交易使用了更多地址

如您在上面的屏幕快照中所见,同一交易中包含多个地址。

对于此交易,以 Ndpe 结尾的关键接收方地址可以是以下两种情况之一:

  1. A bitcoin mixing service, or
  2. An exchange

对于暗网上的许多供应商而言,混合服务或加密不倒翁可确保匿名性,因为它实际上会扰乱地址和付款,这对用户而言非常理想,而不是执法部门。

Ndpe 是一个唯一地址,其大部分付款都通过比特币地址:1NDyJtNTjmwk5xPNhjgAMu4HDHigtobu1s

您可以在以下屏幕截图中看到这一点:

这个以 bu1s 结尾的比特币地址属于 Binance(已注册的加密货币交易所)。

您可以通过一个简单的 Google 搜索来看到这一点,该搜索还揭示了 Binance 本身的以下 Tweet:

关于 John McAfee 的加密货币使用调查,见《观察追踪者的思考方式:挖掘推特情报的基础教程(2)》。

Ndpe 地址的区块链分析

Ndpe 的地址属于钱包 000030bc2e

正如您在下面的屏幕快照中看到的那样,该钱包包含超过120,000个比特币地址,其中许多地址每天都在发生大量交易。

Ndpe 可能是交易所的比特币地址,或者它可能是一种使用非常广泛的比特币混合服务,这可以解释为什么其钱包中拥有大量比特币地址,大概是为了从本质上扰乱交易。

该钱包中的每个地址都使用交易所 Binance。在上面的屏幕截图中,前五个地址都显示了它们对 Binance 的最大支出。可以在区块链上看到这一点。

以下是 Fnhy 向 Binance 发出的最近一笔交易:

这是 sjjd 向 Binance 发出的最近一笔交易:

以下是 d6E1 向 Binance 发出的最近一笔交易:

以下是 3R3r 向 Binance 发出的最近一笔交易:

以下是 hEe9 向 Binance 发出的最近一笔交易:

如您所见,从这两个暗网洋葱站点到区块链上的 Ndpe 地址之间存在某种关系。

由于我们可以确定这两个暗网洋葱站点是由同一所有者运行的,因此该人很可能正在使用单一的不倒翁。

Ndpe 地址、同一钱包中的其他地址、以及Binance的以 bu1s 结尾的地址之间也存在持续的财务关系。

开源调查模式停止的地方

对于追踪者来说。在暗网和区块链上使用开源调查只是前奏。

一旦达到这一点,现在就取决于相关方以及加密货币交易所自己的内部管理了,以查找与暗网上的特定活动相关的任何帐户的注册详细信息

交易所是否姓党都不重要,因为拿到法庭手令也并不难。

关于反追踪,您可以在下面回顾一些教训:

Tracing an offshore bank and a dark web service using the blockchain — an OSINT investigation

发表评论

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据