防人之心不可無！分析最新詐騙手法「做賊喊抓賊」，如何預防「群友盜幣」？

市場 ‐ 2023.11.28 ‐ By PANews

文章探討了加密貨幣投資者間的社交現象「群友」，並以盜幣案例警示投資者，盜幣並不需高技術。群友盜幣和假錢包盜幣有區別，需保護自己。

「群友」是目前流行在加密貨幣投資人之間的一個社交迷因，對加密貨幣有著共同愛好的人們在網路群組與現實世界中建立起社群關係，彼此互相瞭解對方的生活習慣、地址資訊、持倉明細等，在進行觀念分享、場外交易或業務合作的過程中，建立起了豐富有趣的社群。

但本文並非要對加密社群的群友文化做社會學意義上的嚴肅考察，而是嘗試透過揭露真實案例，對群友盜幣威脅做出警示——有時候，盜幣並不需要太高的技術含量。

賊喊捉賊

2022 年 6 月，Bitrace 收到 A 省某丟幣受害人的報告，聲稱自己遭到了假錢包盜幣，剛剛透過線下面對面 OTC 方式購買到的價值 20 萬美元的泰達幣（$USDT）不翼而飛。

在溝通中，受害人表示自己是在 OTC 過程中親手當場下載的錢包軟體，並且按照錢包軟體的提示備份了助記詞，當天測試金額安全到帳，所有的交易都能夠快速進行，只是沒想到第二天資金就被轉走了。OTC 服務商提醒受害人可能下載到了假錢包，需要找數據分析公司進行追蹤調查，於是受害人聯繫到了我們。

Bitrace 的分析人員最初認為這確實是一起常見的假錢包盜幣案件——畢竟幾乎所有假錢包受害人都認為搜索引擎的錢包關鍵詞第一行結果是官網，但很快不常見的事情接二連三地發生了。

錢包公司回饋受害人下載的文件確實是正版錢包軟體；同時鏈上資金分析也顯示，被盜的資金並沒有如同其它假錢包贓款那樣，被快速轉入網賭平台熱錢包地址，或是進入為非法資金清洗提供服務的第三方擔保交易平台地址，而是停停走走在鏈上繞了一個大圈；彷彿盜幣者知道這一筆加密資金並不需要清洗似的，最後甚至有部分資金流回了 OTC 服務商的資金關聯地址。

但還來不及疑惑，調查人員就發現，這起事件的資金與 Bitrace 正在協助 B 省某地執法單位調查的另一起案件的地址資金產生了交集。該案件的受害人被盜經歷與 A 省受害人幾乎完全一致——線下面對面 OTC 交易、當場下載錢包、交易完成後被盜、被盜後以假錢包盜幣名義報案。

同一組作案地址，同樣的手法，兩個不同省份的受害人，此時一個大膽的想法湧上心頭。

後續的配合偵查與警方執法過程按下不表，最終嫌疑人供述的結果是，他們只是在受害人抄寫備份錢包助記詞的過程中，安排人偷偷在受害人背後用手機拍下了螢幕，並在整個過程中暗示或明示受害人，他可能下載的是帶後門的錢包，把鍋甩給錢包公司。

至此真相大白，只是有些黑色幽默。

三人成虎

2023 年 11 月 21 日，有 KOL 在社交媒體中發文表示，自己在 TP 錢包中存放的兩種價值 11,000 美元的加密貨幣被盜，考慮到自己的助記詞都是離網儲存，被安全地抄寫在自己的密碼本中，只有錢包公司有權限接觸到他的助記詞，於是認為是該錢包公司監守自盜。

一時間引發了大量其它投資人的共鳴，紛紛提到自己使用該錢包被盜的經歷，熱度極高，許多網友也轉發聲援，對 TP 錢包口誅筆伐，彷彿這家公司已是業界毒瘤。

由於受害人公開了自己的地址，Bitrace 的調查人員得以對這起事件展開初步分析。

受害人地址中同時有兩種資產丟失，首先排除的是授權盜幣可能，因為針對波場錢包的授權盜幣往往只以 $USDT 為目標，且不會盜取主鏈代幣；
被轉移的 TRX 是整數，接著排除假錢包盜幣可能，因為這不符合假錢包團伙的「一鍵划轉」、「吃乾抹淨」的工作原則，此外更何況這個錢包已經使用了很久都沒有發生過被盜，且盜幣者並沒有使用專業盜幣團伙常用的資金清洗手法；
受害人的地址資金互動情況複雜，在被盜前與大量對手方發生交易，且資金規模龐大，因此我們推測其中交易對手方或合作夥伴盜幣等熟人作案可能性較高。

綜上，Bitrace 透過兩個地址的鏈上活動便大致判斷出了後續調查的方向，並主動聯繫加入了包括受害人與 TP 錢包在內的三方調查群組。

最後的調查結果不出所料，確實是熟人作案，受害人的朋友趁受害人不備，偷偷抄寫了他的密碼本，進而完成了盜幣動作與業餘的資金清洗活動。TP 錢包也方才勉強擺脫嫌疑。

而之所以說是「勉強」，正是因為假錢包盜幣團伙業務是如此的龐大，以至於某些無辜的錢包公司反復蒙受冤屈，即使這一次解釋清楚，也還會有下一次，與下下一次。

區分群友盜幣與假錢包盜幣

群友盜幣與假錢包盜幣在形式上多有一致，例如：都是地址管理權限丟失，會有同時多種帶筆資產被非法轉移；都不會在鏈上看到可疑的授權交易，轉帳方式也並非「transferFrom」；都存在一定的養魚期，在獲取錢包權限的初期不會貿然轉移資產，以防打草驚蛇。

但大同之下仍有小異，以下是 Bitrace 在過去數千起丟幣案件分析過程中總結出來的規律，任何一個具備基礎區塊鏈知識的投資人都能夠充分瞭解：

假錢包盜幣的產業化與自動化程度極高，在獲取受害人錢包權限後，都是從後台一鍵划轉獲取資金的，因此幾乎不可能出現留一部分偷一部分的情況。相反，群友盜幣多為手動，疏漏很多，多筆資產轉移間隔較長；
假錢包盜幣的洗錢渠道要麼是網賭平台地址，要麼是第三方擔保交易平台，這類機構缺乏 KYC 機制，是犯罪分子的洗錢天堂。而群友盜幣往往準備不足，得手後要麼囤幣發呆，要麼就近使用第三方去中心化交易平台，甚至直接向中心化交易平台轉帳，十分業餘；
假錢包盜幣的養魚一般透過多簽錢包進行，被多簽的受害人地址只能存入不能轉出，受害人在不知情情況下將可能持續轉入。而群友盜幣不可能使用這個方法。