近期，區塊鏈安全事件頻發，無論是 DeFi、跨鏈橋、NFT 還是交易所，都損失慘重。除了對事件發生的原因進行技術分析以警示，我們也應將視線看向被盜資產方面。加密貨幣的匿名屬性，使其難免被用于洗錢和資產轉移，隨著各國政策的更新與完善，擁抱監管與合規必是未來的一個趨勢，因此，對被盜資產流向及攻擊者洗幣手法進行分析、對鏈上動態進行實時監測顯得尤為重要，
慢霧 AML 團隊利用旗下 MistTrack 反洗錢追蹤系統 ，以近期發生的其中兩個事件為例，通過剖析攻擊者的洗幣手法及資產的流向來窺見一二，
XSURGE 攻擊事件
概述
2021 年 8 月 17 日 3:13 AM，XSURGE 官方發布關于 SurgeBNB 漏洞的聲明，稱由于 SurgeBNB 合約不可更改且已被放棄，因此無法修補該漏洞，但強烈建議用戶盡快移出 SurgereBNB，該漏洞隨時可能被攻擊者觸發，
不幸的是，在 3:59 AM，官方就表示遭遇攻擊。
事件相關地址
通過比對相似合約，我們還發現了其他攻擊者資訊。
資金流向分析
經過分析，本次事件是由于其合約的 sell 函數導致了重入漏洞，也就是說攻擊者通過不斷買賣的操作，以更低的代幣價格獲取到了更多的 SURGE 代幣，那攻擊者具體是怎樣進行獲利并轉移資金的呢？
我們以攻擊者 1 創建的合約為例來分析攻擊者的獲利過程，首先，8 月 16 日 19:39:29(UTC)，攻擊者 1 在幣安智能鏈 (BSC) 創建了攻擊合約 1，閃電貸借出 10,000 BNB 后購買 SURGE 代幣，多次以“賣出再買入”的方式來回交易，最后獲利 12,161 BNB，接著分別創建了合約 2-6，以同樣的方式獲利，最終攻擊者 1 獲利 13,112 BNB。
攻擊成功后，黑客并沒有持幣觀望等待時機，而是直接開始轉移資金，想洗錢獲利，經過兩層大的轉移，黑客輕而易舉地將資金轉移到了交易所：
第一層洗幣 ：將資金不等額分散到多個地址
攻擊者先是將獲利的 13,112 BNB 隨機分成了兩大部分，將一部分 BNB 以不等的金額陸續轉出到不同地址，將另一部分 BNB 先通過 PancakeSwap、1inch 換成 ETH 后再轉出到不同地址，最終 13,112 BNB 被轉移到下圖的 30 個不同地址。
第二層 洗幣：將資金直接或分批兌換轉移
經過對 30 個地址資金轉移的不斷分析，我們漸漸總結出了攻擊者的轉移方式主要有以下幾種：
1、將 BNB 直接換成 ETH，直接或分批轉到幣安，
2、部分 BNB 換成 ETH 轉到幣安，部分 BNB 轉到其他地址，匯聚后一起換成 ETH，再分批轉到幣安，以地址 (0x77b…22d) 為例：
3、ETH 直接或分批分層轉到幣安
截至目前，13,112 BNB 均轉移至幣安，
思考 ：不難看出，該事件的攻擊者轉出資產的核心方式還是“兌換、匯集、分批、多層”，最終大部分資金都到了幣安交易所，但這并不意味著目前大部分被盜資產脫離攻擊者的控制，此刻就非常需要全球交易所以合規的方式聯合起來，阻斷攻擊者的黑資產變現行為。
StableMagnet 跑路事件
概述
臺北時間 6 月 23 日凌晨，幣安智能鏈 (BSC) 上穩定幣兌換自動做市商 StableMagnet 卷走用戶 2400 萬美元跑路。然而在事件發生前，部分用戶曾收到匿名組織發來的信件，信件中暗示 StableMagnet 將 Rug Pull，但用戶只是半信半疑沒有做出過多舉動。2400 萬美元被帶走的同時，用戶的錢包也被洗劫，官方網站、電報群、推特全都“查無此人”。從震驚無措中緩過來的受害者們立刻聯絡起來，社區部分“科學家”們自發組建了核心調查組，聯合幣安的力量，展開了一場跌宕起伏的自救行動，
事件相關地址
項目方跑路地址：0x8bea99d414c9c50beb456c3c971e8936b151cb39
資金流向分析
經過分析，此次問題出在智能合約調用的底層函數庫 ，而項目方在底層函數庫 SwapUtils Library 中植入了后門，一開始就為跑路做好了準備。收割 資金，利用漏洞，卷走資金，一切就從下圖的交易開始了………
在這筆交易中，項目方帶走了超 800 萬枚 BSC-USD、超 720 萬枚 USDC 以及超 700 萬枚 BUSD，資金到手，項目方沒有過多停頓，立馬就開始轉移資金。
第一層 洗幣：少部分兌換后，將資金等額分散到多個地址
為了后續更統一方便地轉移，項目方先將 1,137,821 BUSD 換成 1,137,477 USDC，將 781,878 BUSD 換成 781,467 BSC-USD。
接著分別將 BUSD、USDC、BSC-USD 等額分散到以下地址：
第二層 洗幣：部分資金兌換后進行跨鏈并轉入混幣平臺，部分資金直接轉入幣安
BUSD 部分
根據分析，上圖中的一部分 BUSD 換成 91 anyBTC 跨鏈到地址 A(bc1…gp0)，
一部分 BUSD 換成 60 anyBTC 跨鏈到地址 B(bc1…kfu)，
USDC 部分
根據分析，上圖中的一部分 USDC 兌換為 anyETH，跨鏈到 5 個以太坊地址，
另一部分 USDC 兌換為 USDT，跨鏈到 5 個以太坊地址，
接著，將 ETH 都轉移到了地址 C(0xfa9…d7b) 和地址 D(0x456…b9f)，
而這兩個地址，少部分轉到了第一層表格中的地址，多數轉移到了 Tornado.Cash。
而 USDT 被換成 DAI，一部分停留在地址，一部分已轉到混幣平臺 Tornado.Cash，
BSC-USD 部分
上圖中的 BSC-USD 資金，皆分批轉到了幣安，
據了解，事件發生后幾天，幣安提供了嫌犯可能在香港的有效線索，社區調查者的線索也指向香港，但嫌犯在明知身份已泄露的情況下仍拒絕配合。受害者們只能將眼光轉向警方，好在分別于香港、英國實現了立案，正在焦灼之時，英國警方立即受理并對該事件展開行動，在社區與匿名組織給出的有效資訊支持下，警方開啟了抓捕行動。值得慶幸的是，在社區與英國警方的聯合力量下，回收了 90% 資產，并抓獲了部分嫌疑人，這也是 DeFi 攻擊史上首次由警方發起鏈上退款的事件，
思考 ：不難看出，Tornado.Cash 等混幣服務系統、閃兌平臺以及一些免 KYC 的中心化機構，目前都是洗錢的重災區，另外，在該跑路事件中英國警方起到了非常重要的作用，每個平臺應該將合規與安全監管重視起來，必要時與監管執法機構合作，打擊不法行為。
總結
經過上述分析，不難發現幣安似乎很受攻擊者的青睞，作為全球領先的加密貨幣交易所之一，幣安最近遭遇了多個國家的監管風波，8 月 6 日，幣安 CEO 趙長鵬在推特上表示，幣安將從被動合規轉向主動合規，隨后幣安上線了一系列擁抱合規的平臺安全策略，監管的意義在某些攻擊事件中也不言而喻，例如 Tether 對被盜的 USDT 的凍結、慢霧聯合交易所對被盜資金的凍結，
在合規監管方面，慢霧發布了 AML 系統，交易平臺接入 AML 系統后，一方面交易平臺在收到相關盜幣資金時會收到提醒，另一方面可以更好地識別高風險賬戶，保持平臺合規性，避免平臺陷入涉及洗錢的境況， 作為行業領先的安全公司，慢霧始終關注著每一件安全事件，當攻擊事件發生后，我們會迅速采集攻擊者相關的地址錄入到 AML 系統，并進行持續監控與拉黑， 目前，慢霧 AML 系統旗下的惡意地址庫已涵蓋從暗網到全球數百個交易所的有關內容，包含 BTC、ETH、EOS、XRP、TRX、USDT 等惡意錢包地址，數量已突破 10 萬，可識別地址標簽近 2 億， 為追蹤黑客攻擊、洗幣行為提供了全面的情報支撐，
歡迎點擊 此 免費試用慢霧 AML 系統，通過監測鏈上活動的實時動態，提高整個平臺的風控安全與合規等級，
