By:Lisa@慢雾队

随着DeFi、NFT、路桥等项目蓬勃发展，黑客攻击事件也层出不穷。 有趣的是，根据慢雾的统计，80%的黑客在自助洗衣店使用Tornado.Cash。 这篇文章以KuCoin的被盗事件为例，试图从跟踪分析的过程中找出Tornado.Cash匿名的可能性。

事件概要

据KuCoin官网消息，北京时间2020年9月26日凌晨，KuCoin交易所热钱包地址发生大量异常代币取现，涉及BTC、ETH等主要货币和LINK、OCEN等多个代币，引起无数用户的关注。

图1

根据慢雾AML团队的统计，这次事件中被盗的资金超过了2亿7000万美元。 具体如下图所示。

图2

值得注意的是，经过我们全面跟踪，黑客在这次攻击事件中大量使用Tornado.Cash清洗了ETH。 本文重点说明黑客如何将大量ETH转入Tornado.Cash，分析Tornado.Cash的转出，以分解被盗资金可能流向的地址。

Tornado.Cash是什么？

Tornado.Cash是一种完全中心化的非托管协议，通过打破源地址和目标地址之间的链接来提高交易的隐私性。 为了保护隐私，Tornado.Cash使用智能合约，允许从一个地址接收ETH和其他代币的存款，并划到不同的地址。 也就是说，用隐藏目的地的方法将ETH和其他令牌发送到任意地址。 这些智能合约充当资产中存储的所有池。 将资金放入池(即存款)时，会生成私有凭据(随机密钥)以证明已执行存款操作。 然后，该个人凭据将成为您提款时的私钥，合同将ETH或其他令牌转移到指定的接收方，同一用户可以使用不同的提款目的地。

怎么转入？

攻击成功后，黑客开始大范围分割资金并转移到各交易所，但还没多久就被多家交易所冻结了。 在经历了无谓的洗钱之后，黑客盯上了DeFi。

根据慢雾AML旗下的MistTrack反洗钱跟踪系统，黑客(0xeb31.c23 )首先将ERC20令牌分散到不同的地址，然后使用Uniswap、1inch、Kyber进行大部分EB

图3

大多数ERC20令牌在转换为ETH后，合并到了以下主要地址。

表1

在完全跟踪了ETH和ERC20令牌之后，我们整理了资金如何在黑客地址之间移动，资金如何进入Tornado.Cash。

图4

黑客按时间顺序向Tornado.Cash转账资金的详细情况如下。

表2

搬到哪里了？

预想

1 .巨额ETH进入Tornado.Cash后，可追踪的特征就会集中显现出来。 2 .黑客性急行为分析预计，黑客将资金存入Tornado.Cash后将立即提款，或在下次收款时提款。 3、分析攻击者使用硬币清洗平台的方式和行为，可以获得资金的转移目的地。

可能的链上行为

1 .资金从Tornado.cash转移的时间范围与黑客将资金转移到Tornado.cash的时间范围大致相同。 移交晚于转入。 2 .在一定期间内，从Tornado.Cash转出的资金持续转入同一地址。

验证

以黑客地址(0x34a.c6b )为例：

如表2结果所示，黑客为了在2020-10-2316336006336028~2020-10-2610336032336024 (utc )间每次储存100 ETH、115次，每次储存11，500 eth

图5

其次，查看_Tornado.Cash:100 ETH_合同的交易记录，地址(0x34a.c6b )在同一时间段(2020-10-243:0:07 ) 6:2836033 )

图6

如果看到这个地址(0x82e.398 )这个时间段的交易哈希，就会发现这个地址并没有把ETH退给自己，而是作为合同调用方，把ETH都退给了地址)0xa4a.22f )。

图7

图8

同样，黑客的地址(0x34a…) c6b )通过Tornado.Cash被提款分散到了其他地址。 具体如下。

表3

比对结果显示，从Tornado.Cash扣划到表3的6个地址的金额与黑客的存款额11，500 ETH一致，这似乎验证了我们的预想。 关于其他地址的分析方法也是同样的。

接下来，我们将继续跟踪分析这6个地址。 根据MistTrack反洗钱跟踪系统，黑客将部分资金以50~53 ETH的速度转移到ChangeNOW、CoinSwitch、Binance等交易平台，其他资金进入第二层后黑客仍在上述交易。

图9

总结

这篇文章解释了黑客是如何使用Tornado.Cash来清洗被盗的ETH的，分析结果让我思考Tornado.Cash是否真的是完全匿名的。 另一方面，既然可以分析部分退款方，就表示不存在绝对匿名性。 另一方面，具备匿名性，Tornado.Cash可能不适合在短时间内混合这么大规模的资金。

目前，KuCoin正式表示，与交易所、项目方、执法机构和安全机构合作回收了约2.4亿美元的资金。 从各种攻击事件来看，DeFi可能成为黑客资金转移的通道。 现在监管越来越近，有合规需求的项目方可以考虑访问使用DeFi也无法逃脱的慢动作AML系统(aml.slowmist.com)。