1. 总体描述
俄罗斯 Telegram 洗钱服务 @FAST_CLEAN_BTC_BOT（下称「ML-bot」）的活动，恰恰始于 2022 年 4 月 6 日之后——那一天，HYDRA 暗网市场的服务器被执法机构查封。
ML-bot 一开始就展开了以其洗钱功能为重点的激进宣传。ML-bot 的交易对手（直接和间接的关联）是各种俄罗斯暗网市场：OMG!OMG!、BlackSprut、MEGA 等。
ML-bot 的比特币集群（根地址 18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT）包含 >200 个地址，并收到了 >4100 笔交易，总金额 >180 BTC。
2. 研究结果
ML-bot 利用 RenBTC DEX 上的铸造-销毁（mint-burn）循环，来洗白用户的犯罪资产，此后被洗白的资产被转入某个 CEX，之后再把干净的 BTC 转给用户。
根据 ML-bot 的描述，资产是从此前已洗白的钱中发放的，直接的关联被加以混淆，但集群分析给出了一个总体的图景。
作为研究的结果，识别出以下卷入洗钱过程的加密货币交易所充值地址：
- Binance：16qT6urvhRmVARFVsV5sJKXjuW5ZiLrvG1（25.34 BTC）；
- KuCoin：3GgCzgj2qR8neutTkiyMeuVDVxHrfd8xe6（9.24 BTC）；
- Huobi：17DCLX55J3TTh58NsvdtkRmWWCBKjdcfaq（29.78 BTC）；
- FTX：3ETFogh6AqY4t6ofjqQuNiQUifjeDypkGM（24.94 BTC）；
- Kraken：3PHLr246vZ2GQRW2dAHE73Szm2wMShKiSG（22.37 BTC）；
- OKX：3M27WCf8UTxpaHkuGiSvqKkJ6smeLAaLCX（2.33 BTC）；
- Gate：1ac7ycZJt8CAfHhTpD2YHJwdVLBUHR3kT（22.52 BTC）；
- MEXC：3NVjqGeJLn5JmmQjDaDoiZV98wY6MRsYm4（3.41 BTC）；
- Wisenex：34bBha2WgYQArXCdYyvprJjfBaxH8A4Xay（14.53 BTC）。
从各交易所到这些地址的交易，有助于识别 ML-bot 的管理者：
• 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka（BTC）；
• TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW（TRC20）。
3. 初步数据收集
俄罗斯 Telegram 洗钱服务 @FAST_CLEAN_BTC_BOT（下称「ML-bot」）的活动，恰恰始于 2022 年 4 月 6 日之后——那一天，HYDRA 暗网市场的服务器被执法机构查封。ML-bot 一开始就展开了以其洗钱功能为重点的激进宣传。ML-bot 的交易对手（直接和间接的关联）是各种俄罗斯暗网市场：OMG!OMG!、BlackSprut、MEGA 等。
第二阶段：
Match Systems 调查团队向 ML-bot 的地址
（1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P）
从我们的地址
（bc1q6efxz3q6w9983tqm7m6p3yhu59h062r6a53wc9）
发送了 BTC，交易 ID 为：
0c04c2bcf32c56511bb020468fcb2a6e46ce010de293069c63afd4509697da7d
第三阶段：
MatchSystems 调查团队在我们的交易之后，对 ML-bot 地址 1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P 上的资产进行了追踪。
地址 1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P 上的全部资产，都被发送到根地址为 18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT 的集群（包含 >200 个地址，并收到了 >4100 笔交易，总金额 >180 BTC）。
第四阶段：
接收「洗净」的币。以下交易被收到在为接收资金而填入的地址上：
- 9960308cd7ea7ab9dc3bfc5ccefa4d35733598f86d66d1b3fff07ebe921a898a（TRC20）— 来自地址 TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW；
- e971687765fc4edb2180d3e716ee73fa7af7fd5710fb7d5a0181e5c38ac9ba02（BTC）— 来自地址 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka。
4. 分析
由于向用户支付的是此前已洗白的资金、且资产被稀释，追踪具体交易只有在资金进入 bot 集群之前才有意义。此后的分析工作，仅借助 ML-bot 集群中所包含的、非个人化的工具来进行。
我们的调查团队追踪了资金流出 ML-bot 集群的路径，并确定大部分资产被转入了 RenBTC 桥。
为了找出通往 RenBTC 项目地址的源头交易，与其后以 RenBTC 代币形式被兑换的资产之间的关联，使用了 MatchSystems 的分析工具 Drawbridge。
Drawbridge 的工作原理，可归结为：对源头资产、与其在经过 RenBTC 桥之后的对应物的一组因素进行比对。
作为对 ML-bot 集群分析的结果，揭示出其运作的一套方案，如下图所示。
具体例子：
- 我们的资金：bc1q6efxz3q6w9983tqm7m6p3yhu59h062r6a53wc9；
- 发往 ML-bot 地址的交易 0c04c2bcf32c56511bb020468fcb2a6e46ce010de293069c63afd4509697da7d；
- ML-bot 的一次性地址：1B1XnbaDUehX2B1hH77kBj9JFzW1g4Jn2P；
- 发往 ML-bot 集群的交易 9eab1b7b609b7620cd7137804faad446a1ac630d4c4627d128c2b6dd3c598920；
- ML-bot 集群中的资产接收方：1H17AgGngwiUTnMjKvhzUxwzBLxphQMj88（包含在根地址为（18oxDVbE9BDNn1LLdy5CGAP7HUr4fGVFBT 的集群中）；
- ML-bot 集群发往 RenBTC 的众多交易之一：5c9a0d3cf7e4c8a51bd6560a5139c2ceab0f46c463981e0755ab544facea6d6a；
- RenBTC：3LVVAj5cLjYRKsAWgSjn7pNKoDxT5XMa1L；
- 由 DrawBridge 匹配出的、来自 RenBTC 桥、带有 RenBTC 代币的铸造（mint）交易（BSC）：0x4c512826228960 0cf3942345e4cc55446e1dce09e76f18f13 13f8eac44c2a28d；
- 由 DrawBridge 匹配出的 RenBTC 代币接收方（BSC），地址：0x6e5f03731bc53debe3ad673ec9436053a500e22d；
- 由 DrawBridge 匹配出的、发往 RenBTC 桥、带有 RenBTC 代币的销毁（burn）交易（BSC）：0xed41e5941f0a46fac0ac032916a46abb951e24345b9e6cebb2e71b7bdbdb9400；
- RenBTC：0x95de7b32e24b62c44a4c44521eff4493f1d1fe13；
- 由 DrawBridge 匹配出的、从 RenBTC 提取 BTC 的交易：36f5553753c68104f6be77de52518905e35096683865f742044ee9cada393504；
- 由 DrawBridge 匹配出的 BTC 接收方：3PHLr246vZ2GQRW2dAHE73Szm2wMShKiSG（此处为 Kraken 交易所的充值地址）。
14-17。在没有关于这些交易所账户活动信息的情况下，从技术角度显然无法做到。由于无从获取这些信息，我们采用了逆向分析，其起点是把被洗白资金发送给 ML-bot 客户的那个发送方地址。
把 BTC 资金发往地址 bc1qnf6ztm0x04rt6ykfe4xg9pzutunz0khcenw6ra 的，是地址 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka。
地址 1N3NbYPSEhgy7A27P6d5wS5bXeCfWEXxka 在 >95 笔转入交易中收到了 >70 BTC，其中来自交易所的直接交易带来了 >50 BTC，具体如下（若干示例）：
把 TRC20 上的 USDT 发往地址 TJMvcabnCp46XoUveDCfAxyUDhmC8p6KPS 的，是地址 TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW。
地址 TJQh8iEvZMj48p9atwmzB7F7aCySwpQSKW 在 >85 笔转入交易中收到了 >380k USDT，其中来自交易所的直接交易带来了 >340k USDT，具体如下（若干示例）：
应特别关注该地址上 TRX 的接收，因为它是在 TRC20 上进行交易所必需的。这些资产来自两家交易所：
- KuCoin：ac3cc2329e4afe08dd95516d397c466ec57a465b037ff771905e6099831c58ab；
- Binance：1c1e0cd1346596607ace16622abe5d6db0c9e3624b4d3e81bd6048583c941986。
发起这些交易的一方，可能与 ML-bot 的管理直接相关。
