PlusToken资产转账图文追踪（一）：BTC部分有1

PeckShield对PlusToken的BTC主钱包地址进行分析后发现，目前有72708个BTC暂存于20多个主地址，存在进一步流入交易所的洗钱可能； 已知有 540 个 BTC 流入 Bittrex 交易，因此比特币转移财产，有 663 个 BTC 流入火币交易所，可能已经洗白成功。

比特币篇

6月29日，PlusToken被用户反映无法提币，项目方也被媒体曝跑路。 该项目被称为“币圈第一基金”，涉及资金超过200亿元，用户超过300万，影响范围非常广，危害巨大。

鉴于此，区块链安全公司派克盾（PeckShield）介入PlusToken资金追踪调查，开始对PlusToken钱包涉及的几个关键地址进行锁定、监控和追踪。

在详细介绍PlusToken链上的资金流向之前，PeckShield安全人员整理了PlusToken支持的部分主流币种的钱包地址和当前余额：

14BWH开头的地址是PlusToken在BTC上的主钱包地址。

PeckShield安全人员发现，该地址在2019年3月14日至5月26日期间处于活跃状态，期间共有95228个BTC流向该地址，全部被转出清空。

PeckShield数字资产保驾护航系统（AML）通过锁定跟踪该地址绘制出如下资金流向图：

可以看出，该地址的资金已被汇总并转移至多个地址，其中部分地址为疑似提现地址； 有些是临时转账地址； 还有一些流向交易所。 下面将重点介绍BTC资产转账中出现的这几类地址：

1.疑似提币地址

从交易行为来看，首地址以3LnMR开头，符合用户的提现特征。 转入的BTC来自PlusToken主钱包地址。 每笔转账包含多个收款人比特币转移财产，收到的BTC数量基本是1比1少。

第二个 1B67M 地址接收的 BTC 主要来源于 PlusToken 主钱包，其大多是 100—1000 BTC 不等的整数数额，之后该地址把 BTC 多次转往 3LnMR 和 3Asbt 开头的两个地址。

以16eR1和3Asbt开头的两个地址与以3LnMR开头的地址类似。 这四个地址有一个共同点。 基本上，他们在多笔交易中将资金从余额大的地址分配到分散的小地址，分散的资金也比较少。 而且，这些转账都发生在6月29日停止充提功能之前，初步判断疑似是用户的提现地址。

2. 转账地址

我们发现，在这些临时转账地址中，有两个特殊地址。 这些地址中的大部分资金每笔交易分成100 BTC，并转移到新地址。 然后多个新地址将转移的BTC聚合到另一个新地址中，直到这个地址上的BTC数量达到数百到数千。

这些地址也有一个共性，它们会不定期的将相同数量的资金转移到几个新的地址，目的只是为了分散和聚合，以逃避资产跟踪和锁定。 但此类地址上散落的资金多为临时地址，很可能存在进一步流入交易所的洗钱活动。

3. 转入兑换地址

据PeckShield安全人员统计，以14BWH开头的PlusToken钱包地址的二级地址1C7Ar属于Bittrex交易所，共有540个BTC转入Bittrex交易所，另外两个二级地址3D9he和34xja是转移到火币交易所。 663比特币。

这类地址已经与交易所关联，一般都是洗钱。 不过，由于这些交易发生在6月29日曝光之前，因此很难确定，但很有可能这部分流入交易所的资金已被盗用。 洗钱成功了。

概述

PeckShield分析PlusToken的BTC主钱包地址后发现，目前有72708个BTC暂存于20多个主地址，存在进一步洗钱进入交易所的可能； 已知有540个BTC流入Bittrex交易所，663个BTC流入火币交易所，可能已经洗白成功； 部分资金可能在PlusToken跑路前就已经被用户撤走。

值得一提的是，PeckShield安全人员分析发现，目前存储BTC的20多个主要地址均为3开头的P2SH地址，P2SH地址常用于多重签名。 分析可能的原因是，这部分地址在PlusToken核心组手中，需要多人同时提供私钥才能使用，意味着这里面有很多不可控因素部分资金，比如团队纠纷等，成本也比较高。

PeckShield数字资产护航系统（AML）基于对各大公链生态数据的全面挖掘和分析，积累了大量的高风险黑名单数据库。 研究所、社区治理单位等合作伙伴，对黑客洗钱行踪进行全链条、全时、反伪装等分步跟踪和实时阻断。