PlusToken暴跌一周年：昔日“币圈余额宝”如何盗走20万比特币？

北京时间6月24日，在国人欢度端午节之际，789,534枚ETH的链上转账引起了业界的关注，因为这些ETH是数字领域最大的PlusToken活动中涉及的ETH资产。货币领域到目前为止。 在沉寂许久之后，这些ETH在一个特殊的时间节点开始了新的活动。

关于PlusToken崩盘的具体日期可能众说纷纭，但业内基本认为，2019年6月底是这场涉及逾200亿元的数字货币骗局崩盘的大致时间框架。 算起来，PlusToken崩盘一周年已经过去了。 至今，案件本身及相关数字货币的归属仍存在诸多迷雾，善后事宜仍悬而未决。 北京联安长期参与PlusToken相关比特币和ETH资金的洗钱过程跟踪，尤其是比特币洗钱分析，并与相关机构紧密合作，做出业内最全面的分析。 在此，让我们回顾一下PlusToken暴跌那一年，相关数字货币基金的走势的一些痕迹。

昔日“币圈余额宝”席卷币圈，余波未消

其实，在PlusToken崩盘前，人人喊打、让受害者不安的并不是魔鬼。 当时，它被认为是赚钱的利器。

PlusToken当时声称是仅次于imToken的全球第二大数字货币钱包，整个团队也非常神秘。 在早期的白皮书中，它用此类项目的惯用套路说，它是由来自三星和谷歌多年经验的原创技术团队组成。 位于韩国首尔的研发实验室。

在其最初的官方宣传资料中提到，创始人是谷歌AlphaGo算法研究员LEO，联合创始人是三星团队的核心技术金钟仁。 PlusToken甚至声称谷歌和三星占其17%的股份。 最后懒得重新包装，直接说：不管团队是谁，只要中本聪不现身赚钱就行！ 当时PlusToken风头正劲，很多人都想过，好像就是这么个道理！

当时网上有很多关于PlusToken的介绍，赚钱的“原理”，甚至还有各种操作视频，而且这些不仅是官方制作的，也是很多人推荐介绍的. 究其原因，PlusToken本身就具有传销性质。

PlusToken建立了所谓的两种收益方式，一种叫静态收益，或者“聪明狗”收益，即存币到PlusToken就可以享受“每月10%的稳定收益”，另一种是“币币”。圆余额宝”的名号即由此而来。 说白了，这是一个常见的P2P套路，以高息为名的非法集资。 在P2P领域，我们常说年化收益率敢推10%、15%，所以要提高警惕。 在数字货币领域更是雪上加霜。 比如PlusToken 10%的月收益本该敲响警钟，但还是有很多人上当。

同时，PlusToken还设计了动态的收益模型，即所谓的“共享”收益，具有传销性质。 从其官方宣传资料来看，直接列出了一个十层级的收入结构。

所以，那个时候，你会发现大量的“老师”出没于各个社区，他们热情地向你推荐PlusToken这个巨大的投资机会，生怕不能带领你一起走向繁荣。

上图是当时PlusToken的宣传资料之一。 你今天看起来好笑，但正是这个口号，让今天很多投资者像打了鸡血一样成为受害者，他们可能会参与到传销过程中，成为加害者。 .

暴跌一年后，资金频繁转移成为行业热点

PlusToken的结局我们已经知道了，那就是崩盘，但大家可能还对这场骗局的盛况和涉及的资产规模感到有些模糊。 通过相关线索，我们已经摸清了PlusToken最大资产类型比特币的钱包结构，可以从链上数据的角度详细分析其涨跌过程。

据统计，我们可以发现，PlusToken虽然是2018年上线的，但其大规模流入比特币是从2019年2月开始的，抛开可能出现的反复流入流出，比特币累计流入超过20万枚。

在钱包结构管理方面，PlusToken大致由两个地址集群组成，围绕三个热钱包地址进行日常操作。 这两个地址簇中包含的大部分地址都是PlusToken用户分配的充值地址，总数超过53万个。 三个热钱包地址从2018年8月到2019年6月按时间顺序切换。同时，热钱包中收集的比特币将进一步转移到其他一些地址，频率低但数量大，类似于收藏从热钱包到冷钱包。 最终PlusToken崩盘，大量数字资产留在相关地址，随后这些地址的实际控制人开始了长达一年的资产转移和洗钱过程，直到今天才全部完成。

在今年的洗钱过程中，北京联安通过ChainsMap链上溯源系统持续跟进，并多次通过新闻通讯与行业同步最新动态。 接下来，让我们回顾一下我们当时发布的时事通讯片段。 审查一般过程。

2019 年 6 月 30 日：

当时PlusToken的主要钱包资产分布在三个地址，分别是：

31odn4***（68562 个比特币）

14BWH6***（95228 个比特币）

33FKcw***（37922 个比特币）

2019 年 8 月 13 日：

PlusToken相关地址中33FKcw开头的地址通过转账产生了两笔巨大的UTXO（分别为15000和22848比特币）。

2019 年 8 月 14 日：

13日拆除的两个UTXO在8月14日拆分为9个新地址。

其中，以33FKcw开头的主钱包地址向四个新地址转入22922个BTC，金额分别为4922、5000、6000、7000；

另一个主要钱包地址将 22,922 BTC 转移到五个新地址，金额从 2,000、2,800、3,000、3,400 和 3,800 不等。

2019 年 8 月 17 日：

紧接着，8月17日18:00之后比特币怎么崩盘的，这些地址又被转移了，不过都转移到了一个新生成的地址上。 18日晚11点至凌晨，上述地址再次开始转账，主要是由于大量的拆分工作，被进一步拆分为1到1个不等的大量独立小地址。 10 比特币。

2019 年 8 月 18 日：

截至18日，已从Plustoken钱包地址向新地址转入共计37922枚比特币，并分小额转出29805枚BTC。

2019 年 8 月 28 日：

ChainsMap安全人员后续分析发现，这几天发生了大量被拆解的地址。 这两天频繁被分成大量0.1-10个BTC的小地址比特币怎么崩盘的，进一步聚合转出。

这些资金并没有直接流入交易所，而是通过像ChipMixer这样的工具进行混合，然后通过OTC渠道卖出。

2019 年 8 月 23 日：

近期，PlusToken的另一大资产钱包14BWH6开始大量拆分转账操作，收录到1Li4mU开头的地址，已转出33706个BTC。

2019 年 8 月 29 日：

1Li4mU开头的地址在今天凌晨3点10分发生变化再次拆分转账，并将相关比特币转入今天如下地址，

1Npr4Z*** (1932比特币)

1Nrwpr*** (2433BTC)

1FEYD9*** (1937比特币)

1BWvR7*** (3222比特币)

1QEEdd*** (1140BTC)

2019 年 8 月 30 日：

从1Li4mU开头的地址拆分出来的几笔大额比特币昨天下午和今天凌晨再次拆分，被拆分成个位数的BTC存放在大量新生成的地址中。

凌晨4点后，上述部分地址再次开始分裂，并持续产生大量个位数的BTC。 29日凌晨开始的相关大额比特币转账，大部分已拆分为不足20个BTC，相关比特币暂存于单独地址。

2019 年 9 月 10 日：

1Li4mU开头的地址又开始转账了。 从昨晚22:20开始，已有3笔大额BTC转入独立地址，共计约4000个BTC，累计转入12646个BTC。 今天11:00之后，这批大额BTC又开始拆分和转移。 相关流程还在进行中，个位数的BTC已经被拆分。

1Li4mU开头的地址创建于今年8月23日，当天收到33705个比特币，账户地址已减至4233个。

2019 年 9 月 16 日：

PlusToken的另一大资产钱包1H2zrV***地址，以14BWH6开头，也以类似的策略开始拆分。 晚间23:08，同一区块连续转出4笔3000~3800 BTC的大额转账。 策略特点 与之前类似，每次转账拆分到300个左右的新地址。

2019 年 9 月 17 日：

北京联安的链上监控系统发现，1Li4mU一开始又转移了，基本“清空”了。

2019 年 9 月 20 日：

PlusToken曝光后ETH资产的第一次变动，0xef13a2开头的地址向0xe380e0开头的地址转了20008个ETH，目前还没有检测到有流入交易所，主钱包地址中的789534个ETH还没有变化.

2019 年 12 月 19 日：

789524 ETH 从以 0xf4a2 开头的 Plustoken 地址转移到未知的 0x997114***

2020 年 2 月 12 日：

北京时间2月12日凌晨4点34分后，PlusToken昨日开始进一步拆分与洗钱相关的BTC。 将11999个BTC拆分成7组大额比特币后，进一步拆分为个位数到两位数。 比特币的数字。 另外，PlusToken还有一个地址有7000多个比特币，很可能在不久的将来会有进一步的动作。

2020 年 3 月 6 日：

虽然昨天开始转账的两个PlusToken相关地址在时间上基本同步，但从今天的进一步行为来看，最初的策略略有不同。 其中，一批1000个BTC一次性分到几个地址，然后逐渐分成三位数和两位数； 另一批继续转账，剥离出三位数的BTC。 , 进一步拆分策略。

2020 年 6 月 25 日：

北京时间6月24日晚间，PlusToken案涉案ETH在连续两次转出789534枚ETH后，通过52笔交易进一步拆分并转移至新地址的35000多枚ETH，其中最大份额为9925枚，最小份额在100枚左右，根据其之前对比特币的行为模型类比，这很可能是一系列扑朔迷离的洗钱过程的开始。

以上只是PlusToken相关数字货币转账的一个片段，但每一次转账都会引起受害者和行业的关注。 那段时间，PlusToken甚至成了比特币价格暴跌的罪魁祸首。 有人惊呼“PlusToken又在砸市场了”。 甚至，相关安全机构将PlusToken洗钱活动的热度与比特币价格曲线进行了对比，认真分析。 那么PlusToken是如何洗钱的，真的有这么厉害吗？

PlusToke的链上洗钱：专业、耐心，但市场影响力可能被夸大

总体而言，PlusToken的洗钱流程非常专业，总体策略如下：

1. 从初始地址分阶段转出超过1000 BTC的超大UTXO

2. 对大的UTXO做几十层的并行转账或拆分，从最小的到单个BTC拆解成大量的UTXO

3、不同阶段大量UTXO拆分后的UTXO进一步混淆拆分

4. 最后会收集几十个UTXO进入交易所

5. 从开始到进入交易所，通常需要经过40层以上的转账

2019年，这个1Li4mU开头的地址可以说是当年最知名的巨鲸地址之一，媒体提及也是当年最热门的地址之一。 事实上，它是PlusToken相关资金的聚集地址，但在众目睽睽之下，依然冷静地按照节奏分批洗钱。

他们的“底气”来自于他们复杂的洗钱过程。 通过ChainsMap系统追溯这个过程，我们可以看到，每批比特币进入洗钱过程后，都会立即被一层层分裂，通常是连续分裂成两半，如果没有专业的技术手段，往往很难分析这个过程。

在这个过程中，最麻烦的是不同批次的比特币被拆分后，相对少量的比特币被混淆和重新拆分。 如果用人工分析，这个过程根本就搞不清楚。

由于某些原因，虽然最后还是贯穿了整个过程，但是这里不能一步步介绍详细的过程和细节。 相信读者已经可以了解它的基本特点。 那么，在这样的过程下，PlusToken 是不是在比特币近一年的价格下跌中“砸盘”的名义？

因为PlusToken涉及的比特币数量特别多，人们自然担心这些比特币可能会有一下子被砸的危险。 不过，通过前面介绍的PlusToken洗钱的大致脉络，我们也看到，这并不是一个快速的“砸”过程。 其中一个33000个比特币的资产，用了几个月的时间才被清空，整个过程最后也是以几十个比特币为单位进行分配。 这是一个渐进和舒缓的过程。 此外，中间的主要交易很可能是场外交易，涉及场内交易的交易从时间到节奏将进一步分散。 恐怕很难形成连续的过程。 “砸盘”的合力。

结局：骗局没有尽头

从基金或骗局的角度来看，PlusToken自崩盘以来已经走到了尽头，但从法律和社会影响的角度来看，它的结局还没有到来，很多受害者还在努力挽回损失。 此案的司法行动和处理还在进行中，在此不再赘述。

我们想说的是，PlusToken崩盘的结束并不代表数字货币骗局的结束。 即使在PlusToken崩盘之后，仍然有关于PlusToken重启的故事，或者出现了一个名为“PlusToken 3.0”的新骗局。 该骗局仍然吸引了许多投资者，包括一些 PlusToken 的受害者。

PlusToken之后，又出现了新型的数字货币基金，“搬砖”似乎已经成为一种经典的诈骗模式，屡试不爽，包括最近曝光的所谓“伊朗交易所”骗局。

虽然过去一年没有发生过规模大于PlusToken的案件，但我们发现数亿、上亿的大案依然多次发生，数字资产诈骗正在从一种新型犯罪向新型犯罪转变的犯罪。 经常与传统的经济犯罪相结合。

在这样的背景下，一方面，数字货币相关案件涉及的潜在受害人不断扩大。 他们不了解数字货币，也没有听说过PlusToken等案例，这使得他们很容易被所谓的“致富新机”所骗。 另一方面，对于一线司法机关来说，在各类案件中也更频繁地发布数字货币相关线索，改进此类案件的侦破手段成为亟待解决的问题。

在专题结束之际，再次提醒大家，在人类交流频繁的社会中，骗局永无止境，随时可能以新形式、新方法、新模式出现在你面前。 请保持常识，高度警惕承诺过高回报率的“暴富机会”，以免成为下一次骗局的受害者，成为更加理性成熟的投资者。

与此同时，就在我们准备发布这个话题的时候，PlusToken案中涉及的ETH又开始了分裂进程。