مثال على بحث مبنيّ على تحقيق فريق Match Systems في نشاط خدمة تيليجرام الروسية لغسل الأموال @FAST_CLEAN_BTC_BOT

1. وصف عام

بدأ نشاط خدمة تيليجرام الروسية لغسل الأموال @FAST_CLEAN_BTC_BOT (المشار إليها فيما يلي — بوت غسل الأموال) مباشرة بعد 6 أبريل 2022 – يوم اعتقال جهات إنفاذ القانون لخوادم السوق المظلمة HYDRA.

بدأ بوت غسل الأموال منذ البداية إعلانًا عدوانيًا مع التركيز على وظائف غسل الأموال فيه. والأطراف المقابلة (الروابط المباشرة وغير المباشرة) لبوت غسل الأموال هي أسواق مظلمة روسية مختلفة: OMG!OMG! وBlackSprut وMEGA وغيرها.

يضمّ تجمّع البيتكوين لبوت غسل الأموال (العنوان الجذر 18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT) أكثر من 200 عنوان وتلقّى أكثر من 4100 معاملة بإجمالي يتجاوز 180 BTC.

2. نتائج البحث

يستخدم بوت غسل الأموال دورة سكّ-حرق (mint-burn) على RenBTC DEX لغسل الأصول الإجرامية للمستخدمين، وبعدها تُحوَّل الأصول المغسولة إلى منصّة مركزية (CEX)، وبعدها يُحوَّل BTC النظيف إلى المستخدمين.

وفقًا لوصف بوت غسل الأموال، تُصدَر الأصول من أموال سبق غسلها وتُموَّه الروابط المباشرة، لكن تحليل التجمّع يعطي رؤية عامة.

حُدّدت عناوين إيداع منصات التداول التالية المتورّطة في عملية غسل الأموال نتيجة البحث:

• Binance: 16qT6urvhRmVARFVsV5sJKXjuW5ZiLrvG1 (25.34 BTC)؛
• KuCoin: 3GgCzgj2qR8neutTkiyMeuVDVxHrfd8xe6 (9.24 BTC)؛
• Huobi: 17DCLX55J3TTh58NsvdtkRmWWCBKjdcfaq (29.78 BTC)؛
• FTX: 3ETFogh6AqY4t6ofjqQuNiQUifjeDypkGM (24.94 BTC)؛
• Kraken: 3PHLr246vZ2GQRW2dAHE73Szm2wMShKiSG (22.37 BTC)؛
• OKX: 3M27WCf8UTxpaHkuGiSvqKkJ6smeLAaLCX (2.33 BTC)؛
• Gate: 1ac7ycZJt8CAfHhTpD2YHJwdVLBUHR3kT (22.52 BTC)؛
• MEXC: 3NVjqGeJLn5JmmQjDaDoiZV98wY6MRsYm4 (3.41 BTC)؛
• Wisenex: 34bBha2WgYQArXCdYyvprJjfBaxH8A4Xay (14.53 BTC).

المعاملات من منصات التداول إلى هذه العناوين قد تساعد على تحديد مدير بوت غسل الأموال:
• 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka (BTC)؛
• TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW (TRC20).

3. جمع البيانات الأولي

بدأ نشاط خدمة تيليجرام الروسية لغسل الأموال @FAST_CLEAN_BTC_BOT (المشار إليها فيما يلي — بوت غسل الأموال) مباشرة بعد 6 أبريل 2022 – يوم اعتقال جهات إنفاذ القانون لخوادم السوق المظلمة HYDRA. بدأ بوت غسل الأموال منذ البداية إعلانًا عدوانيًا مع التركيز على وظائف غسل الأموال فيه. والأطراف المقابلة (الروابط المباشرة وغير المباشرة) لبوت غسل الأموال هي أسواق مظلمة روسية مختلفة: OMG!OMG! وBlackSprut وMEGA وغيرها.

المرحلة الثانية:

أرسل فريق تحقيق Match Systems‏ BTC إلى عنوان
بوت غسل الأموال (1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P)
من عنواننا
(bc1q6efxz3q6w9983tqm7m6p3yhu59h062r6a53wc9)
عبر معرّف المعاملة:
0c04c2bcf32c56511bb020468fcb2a6e46ce010de293069c63afd4509697da7d

المرحلة الثالثة:

تتبّع فريق تحقيق MatchSystems الأصول على عنوان بوت غسل الأموال 1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P بعد معاملتنا.
أُرسلت جميع الأصول من العنوان 1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P إلى التجمّع ذي العنوان الجذر 18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT (يضمّ أكثر من 200 عنوان وتلقّى أكثر من 4100 معاملة بإجمالي يتجاوز 180 BTC).

المرحلة الرابعة:

تلقّي العملات “النظيفة”. وردت المعاملات التالية على العناوين المُدخَلة لتلقّي الأموال:

• 9960308cd7ea7ab9dc3bfc5ccefa4d35733598f86d66d1b3fff07ebe921a898a (TRC20) — من العنوان TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW؛
• e971687765fc4edb2180d3e716ee73fa7af7fd5710fb7d5a0181e5c38ac9ba02 (BTC) — من العنوان 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka.

4. التحليل

نظرًا للمدفوعات للمستخدمين من أموال سبق غسلها ولتخفيف الأصول، فإن تتبّع معاملات محدّدة لا معنى له إلا قبل دخول الأموال إلى تجمّع البوت. ويُجرى مزيد من العمل التحليلي فقط باستخدام أدوات مجهولة الهوية مضمّنة في تجمّع بوت غسل الأموال.

تتبّع فريق تحقيقنا مسار الأموال الخارجة من تجمّع بوت غسل الأموال وحدّد أن معظم الأصول حُوّلت إلى جسر RenBTC.

وللعثور على الروابط بين المعاملات المصدرية إلى عناوين مشروع RenBTC والأصول المحوّلة لاحقًا على شكل رموز RenBTC، استُخدمت الأداة التحليلية Drawbridge من MatchSystems.

ويتلخّص مبدأ عمل Drawbridge في مقارنة مجموعة عوامل الأصول المصدرية ونظيرها بعد المرور عبر جسر RenBTC.

ونتيجةً لتحليل تجمّع بوت غسل الأموال، كُشف مخطّط عمله، الموصوف في الرسم أدناه.

مثال ملموس:

1. أموالنا: bc1q6efxz3q6w9983tqm7m6p3yhu59h062r6a53wc9؛
2. المعاملة 0c04c2bcf32c56511bb020468fcb2a6e46ce010de293069c63afd4509697da7d إلى عنوان بوت غسل الأموال؛
3. العنوان لمرّة واحدة لبوت غسل الأموال: 1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P؛
4. المعاملة 9eab1b7b609b7620cd7137804faad446a1ac630d4c4627d128c2b6dd3c598920 إلى تجمّع بوت غسل الأموال؛
5. مستلِم الأصول في تجمّع بوت غسل الأموال: 1H17AgGngwiUTnMjKvhzUxwzBLxphQMj88 (مضمَّن في التجمّع ذي العنوان الجذر (18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT)؛
6. واحدة من معاملات كثيرة لتجمّع بوت غسل الأموال إلى RenBTC: 5c9a0d3cf7e4c8a51bd6560a5139c2ceab0f46c463981e0755ab544facea6d6a؛
7. RenBTC: 3LVVAj5cLjYRKsAWgSjn7pNKoDxT5XMa1L؛
8. طابقتها Drawbridge بمعاملة سكّ (BSC) برموز RenBTC من جسر RenBTC: 0x4c512826228960 0cf3942345e4cc55446e1dce09e76f18f13 13f8eac44c2a28d؛
9. طابقتها Drawbridge بمستلِم رموز RenBTC (BSC)، العنوان: 0x6e5f03731bc53debe3ad673ec9436053a500e22d؛
10. طابقتها Drawbridge بمعاملة حرق (BSC) برموز RenBTC إلى جسر RenBTC: 0xed41e5941f0a46fac0ac032916a46abb951e24345b9e6cebb2e71b7bdbdb9400؛
11. RenBTC: 0x95de7b32e24b62c44a4c44521eff4493f1d1fe13؛
12. طابقتها Drawbridge بمعاملة سحب BTC من RenBTC: 36f5553753c68104f6be77de52518905e35096683865f742044ee9cada393504؛
13. طابقتها Drawbridge بمستلِم BTC: 3PHLr246vZ2GQRW2dAHE73Szm2wMShKiSG (وهو في هذه الحالة عنوان إيداع منصّة Kraken).

14-17. لا يمكن ذلك من الناحية التقنية بوضوح دون معلومات عن أنشطة حسابات هذه المنصّات. ونظرًا لعدم الوصول إلى المعلومات، طبّقنا التحليل العكسي، حيث كانت نقطة الانطلاق عنوان مرسِل الأموال المغسولة إلى عميل بوت غسل الأموال.

مرسِل الأموال بـ BTC إلى العنوان bc1qnf6ztm0x04rt6ykfe4xg9pzutunz0khcenw6ra كان العنوان 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka.

تلقّى العنوان 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka أكثر من 70 BTC في أكثر من 95 معاملة واردة، بينما تلقّت المعاملات المباشرة من منصات التداول أكثر من 50 BTC، وتحديدًا (أمثلة قليلة):

مرسِل USDT بـ TRC20 إلى العنوان TJMvcabnCp46XoUveDCfAxyUDhmC8p6KPS كان العنوان TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW.

تلقّى العنوان TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW أكثر من 380 ألف USDT في أكثر من 85 معاملة واردة، بينما تلقّت المعاملات المباشرة من منصات التداول أكثر من 340 ألف USDT، وتحديدًا (أمثلة قليلة):

وينبغي إيلاء اهتمام خاص لتلقّي TRX على هذا العنوان، إذ إنه لازم لإجراء المعاملات في TRC20. وقد أتت هذه الأصول من منصّتين:

• KuCoin: ac3cc2329e4afe08dd95516d397c466ec57a465b037ff771905e6099831c58ab؛
• Binance: 1c1e0cd1346596607ace16622abe5d6db0c9e3624b4d3e81bd6048583c941986.

قد يكون مرسِل هذه المعاملات مرتبطًا مباشرةً بإدارة بوت غسل الأموال.