本篇主要集中解读 Ronin Network 安全事件反分析及工具方法介绍。
事件背景
工具及方法
在正式开始反分析之前，先介绍一个高效的工具和一套有效应对复杂情况的分析方法。
（MistTrack 反追踪系统示例图）
MistTrack 反追踪系统是一套由慢雾科技创建的专注于打击加密货币活动的 SaaS 系统，具有资金风险评分模块、交易行为分析模块、资金溯源追踪模块、资金监控模块等核心功能。
AML Risk Score
MistTrack 反追踪系统主要从地址所属实体、地址历史交易活动、慢雾恶意钱包地址库三方面为其计算 AML 风险评分。当地址所属实体为高风险主体（如混币平台）或地址与已知的风险主体存在资金来往时，系统会将该地址标记为风险地址。同时，结合慢雾恶意钱包地址库中的恶意地址数据集，对已核实的勒索、盗币、钓鱼欺诈等非法行为的涉案地址进行风险标记。
报告：亚洲游戏玩家占据80%的Web3游戏市场:金色财经报道，根据DappRadar与日本加密货币公司Pacific Meta联合进行的一项研究，预计亚洲游戏玩家将占据Web3游戏市场的绝大部分。该研究发现，亚洲已经拥有17亿玩家，占全球游戏人口的55%，并且可能占所有Web3游戏玩家的80%。
报告还显示，总计1000名受访者中有40%的人了解区块链游戏；在了解此类游戏的人中，近57%的人表示Web3游戏“看起来很有趣”，而只有大约10%的人表示它们看起来很无聊。[2023/4/14 14:02:25]
Address Labels
MistTrack 反追踪系统积累了超 2 亿个钱包地址标签，地址标签主要包含 3 个分类：
（1）它归属于什么实体，如 Coinbase、Binance
（2）它的链上行为特征，如 DeFi 鲸鱼、MEV Bot 以及 ENS
（3）一些链下情报数据，如曾使用过 imToken/MetaMask 钱包
Investigations
美众议员提出旨在标准化勒索软件报告要求的法案:金色财经报道，11月10日，美国众议院金融服务委员会资深共和党人Patrick McHenry提出了《勒索软件和金融稳定法案》。该法案旨在为遭受勒索软件攻击的金融机构制定“规则”。其中包括要求向财政部的金融犯罪执法网络报告此类攻击，以及只要他们真诚地提供此类报告，就可以免于监管执法。该法案还要求支付超过10万美元赎金的金融机构获得财政部的特别授权。另一方面，将要求财政部对这些勒索软件攻击的信息保密。[2021/11/11 6:45:30]
追踪和识别钱包地址上的加密资产流向，实时监控资金转移，将链上和链下信息整合到一个面板中，为司法取证提供强有力的技术支持。
（MistTrack 追踪分析示例图）
通过标记 1 千多个地址实体、2 亿多个地址标签，10 万多个威胁情报地址，以及超过 9000 万个与恶意活动相关的地址，MistTrack 为反分析和研究提供了全面的情报数据帮助。通过对任意钱包地址进行交易特征分析、行为画像以及追踪调查，MistTrack 在反分析评估工作中起到至关重要的作用。
报告：央行对金融市场的干预正在支撑股票、黄金和比特币:金色财经报道，根据Ecoinometrics的最新报告，从短期来看，尽管3月出现下跌以及5月发生了减半，从年初至今比特币仍上涨了70％，而标准普尔500指数上涨了2％。黄金价格上涨了35％，上个月升至新高。该报告评估称，以比特币计价，标准普尔500指数下跌了40%。而标普500指数实际上在3月下跌35%，为大萧条以来最大跌幅。报告称，中央银行对金融市场的干预正在支撑所有资产：股票、黄金和比特币。[2020/8/12]
MistTrack 可以满足常见的反分析场景，而遇到复杂特殊的情况就需要其他的方法辅助分析。从区块链反资金态势中我们可以看到很多被黑事件发生后，在 ETH/BSC 链上的资金都不约而同地流向了一片灰暗之地——Tornado.Cash，Tornado.Cash 已成为 ETH/BSC 链上反的主战场。
新的手法需要新的分析方法，对 Tornado.Cash 转出分析的需求变得越来越普遍，此处我们将提出一个针对 Tornado.Cash 资金转出的分析方法：
记录目前已知的信息，已知信息包括转入 Tornado.Cash 总数，第一笔 Tornado.Cash 存款时间，第一笔 Tornado.Cash 存款的区块高度。
动态 | 新第三方审计报告显示USDC完全由美元支持:Circle在其官方博客发布了最新的由独立会计师事务所Grant Thornton（致同会计师事务所）审计的USDC储备报告。报告指出，截至2019年3月31日11:59（UTC），已发行及流通246586876 USDC，托管账户中持有246590714美元，截至报告发布时，已发行和未发行的USDC代币总额不超过托管账户中所持有的美元余额。[2019/4/20]
将参数填入我们准备的分析面板（https://dune.com/awesome/Tornado-withdraw-analysis）。
得到初步的 Tornado.Cash 提款数据结果，再使用特征分类的方式对数据结果做进一步筛选。
筛选后的结果是一批疑似黑客转出的结果集，取概率最高的结果集并对它进行验证。
Tornado.Cash 转出分析结论。
IMF报告：加密资产在金融体系中占比尚小，但潜在风险需创新性监管合作:近日，国际货币基金组织IMF发布最新的《全球金融稳定报告》。报告称，加密资产的总市值不到G4国家央行合并资产负债表的3％，加密货币目前对法定货币或货币政策执行所构成的挑战尚非常有限。随着更广泛的采用和技术改进，一些加密资产可能会更好地履行货币的功能，从而给法定货币造成竞争压力。加密资产背后的技术有可能提高金融市场基础设施的效率。然而，加密资产受到了欺诈、安全漏洞和运营失败的影响，而且牵涉到非法活动。目前，加密资产似乎并未造成金融稳定风险，但是如果它们的使用变得更为广泛却没有适当的保护措施，那么它们就可能造成这种风险。[2018/4/29]
（Dune Dashboard - Tornado.Cash 转出分析）
通过这个 Tornado.Cash 资金转出的分析方法，我们已成功分析出 Ronin Network 等多个安全事件从 Tornado.Cash 转出后的资金详情。
显而易见，这个 Tornado.Cash 资金转出的分析方法同样存在局限性：
转入 Tornado.Cash 的数量分类也是一个匿名集，资金量越大相应的匿名集数量越少，资金量越小则相反。所以对于资金量小的分析难度更大。
而在 BTC 链上，通过区块链反资金态势我们可以看到 ChipMixer 和 Blender 是黑客的常用平台。Blender 目前已被美国财政部制裁，站点已不可用，这里不再做进一步的探讨。
ChipMixer 流入资金量巨大，我们同样需要提出一个针对 ChipMixer 资金转出的分析方法。
识别 ChipMixer 的提款特征。
输入地址类型
输出地址类型
输入数额特征
版本
锁定时间
bech32(bc1q...)
所有的输入数额都满足 Chips(即 0.001 ?* 2 的 n 次方，n < 14)的要求
区块高度 - 1/区块高度 - 2/区块高度 - ?3
根据上述提款特征对相应时间段的结构化区块数据进行扫描和筛选，得到这个时间段内 ChipMixer 的提款记录。
对提款记录数据归类结果集，取概率最高的结果集并对它进行验证。
ChipMixer 转出分析结论。
反分析详述
根据上述方法，针对 Ronin Network 安全事件做出以下分析：
黑客地址：0x098B716B8Aaf21512996dC57EB0615e2383E2f96（ETH 链）
攻击手续费来源：SimpleSwap
资金转移：
（Ronin Bridge Exploiter 资金转移时间线）
ETH 资金转移：
黑客获利资金流向主体详情如下表：
注：其他未做统计的流向资金为洗币过程损失。
Tornado.Cash 资金转移：
注：数据有效时间截止于 7 月 20 日。
BTC 资金转移：
注：0.1 BTC 以下转移额不做统计。
ChipMixer 资金转移：
注：0.1 BTC 以下转移额不做统计。
总结
以上便是关于 Ronin Network 安全事件反分析以及工具方法介绍的全部内容，至此，关于?2022?上半年区块链安全及反分析报告的四篇完整解读已全部完成，可以直接点击顶部专题合集#区块链安全与反报告浏览查看。
完整报告下载：
https://www.slowmist.com/report/first-half-of-the-2022-report.pdf
慢雾科技
个人专栏
阅读更多
金色早8点
Bress
PANews
链捕手
财经法学
成都链安
Odaily星球日报
区块律动BlockBeats
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。