【情报实战】利用区块链追踪非法交易：以穆勒起诉俄罗斯GRU特工为例

近年来，比特币等加密货币被不法分子、恐怖分子、特工，甚至一些政府情报机构用来洗钱、转移资金颠覆政权、扰乱选举、扰乱社会秩序。

虽然许多人出于合法目的使用虚拟货币BTC区块链查询，但该技术对不良行为者来说是一种诱人的工具，因为它可以用来帮助规避制裁和金融监管，并在进行交易时保护他们的身份。

值得庆幸的是，这些行为不能完全匿名。

虚拟货币虽然具有匿名性的特点，但其区块链应用降低了加密货币使用中的匿名性。 区块链是一种去中心化的公共分类账，其中包含与特定加密货币有关的每笔交易。

在这篇论文中，作者希望为 OSINT 调查人员提供一个跟踪区块链交易的框架，前提是他们有一个特定的地址或交易日期和他们想要查看的金额。

要进行相关的追踪工作，我们首先需要有一个区块链资源管理器或者查询工具，比如：

1. 区块链

2.链挖

例如，2018 年 7 月，穆勒起诉了 12 名俄罗斯 GRU 特工。 2016 年 2 月 1 日前后，恰好 0.026043 BTC 被发送到一个未知地址。 这足以让我们找到这笔确切的交易，或许还能更多地了解 GRU 代理人购买了什么以及在哪里购买。

首先，让我们尝试查找发生在 2016 年 2 月 1 日的交易。为此，我们需要打开我们的区块链浏览器并在比特币区块浏览器中输入各种参数。

自 2009 年以来发生了数亿笔比特币交易，单个区块可以包含多笔交易。 因此，首先寻找特定日期的交易可能是一个猜谜游戏。

在进行此类工作时，我通常会尝试从高数字开始。 例如，下面是 BTC 区块链上第 100,000 个区块的屏幕截图。 该区块创建于 2010 年 12 月 29 日 11:57:43。 从那里，我们知道我们可能会显着增加区块高度，以允许交易在 2016 年开始。

为了节省时间，我们一直在猜测区块高度，并尝试第 400,000 次，让我们找到 2016 年 2 月 25 日。我们现在知道我们需要稍微降低区块高度。 不断输入不同的区块高度，直到您到达 2016 年 2 月 1 日的第一个区块BTC区块链查询，即区块 396049。

视频 1：

现在我们位于 2016 年 2 月 1 日的第一个区块，我们需要查看一整天的所有交易，直到找到匹配 0.026043 BTC 的交易。

为此，请单击块 396049 的哈希部分，然后按 Ctrl-F 以查看该块上是否有任何交易与 0.026043 BTC 匹配。 如果没有交易与该金额匹配，则转到下一个块并检查该块中的金额。 执行此操作时，请记录哪些交易与 0.026043 完全对应，因为可能会发送多个“确切”数量的比特币。

视频 2：

当您继续搜索相关交易时，请在到达第 396103 列时慢慢来。当您滚动以单击下一个块时，您可能会注意到两个选项。 当两个块在相似的时间生成时，就会发生这种情况，从而生成一个孤立的块。 对于本练习，只需单击第一个块链接即可继续。

继续检查每个块的数量，直到您在 2016 年 2 月 2 日到达第一个块。这可能需要一段时间，因为每小时有很多块。

最终，您将用大约 0.026043 的数量标记一天中的两个区块 - 区块 396060 和区块 396123。正如您在下面的视频中看到的，区块 396123 的交易正好是 0.026043 BTC，而区块 396060 的交易量0.02604322。

视频 3：

视频 4：

进一步查看来自区块 396123 的交易，时间为 11:13:42，

1LQv8aKtQoiY5M5zkaG8RWL7LMwNzVaVqR 转移两个不同数量的 BTC

发送到两个地址

- 0.026043 BTC 到 1NZ4MSeYcDKFiPRt8h7VK6XMhShwzhCzCp 和 4.54325747 BTC 到 1AK79g9gpvZ8jn2C9MsWQpijMFA5JaTdqP（点击下方放大图片）：

由于 1LQv8aKtQoiY5M5zkaG8RWL7LMwNzVaVqR 发送了确切数量的 1NZ4MSeYcDKFiPRt8h7VK6XMhShwzhCzCp，我认为这个地址比区块 396060 中的其他交易更有可能与俄罗斯黑客有关。

为了确认这是 Mueller 起诉书中提到的交易，我在 1 月 31 日和 2 月 2 日重复了这些相同的步骤，以确保没有其他交易导致恰好转移 0.026043 BTC。 没有其他人这样做过，我非常有信心在 2016 年 GRU 代理使用地址 1LQv8aKtQoiY5M5zkaG8RWL7LMwNzVaVqR。

现在我们已经完成了使用比特币区块浏览器追踪比特币地址所需的步骤，让我们看看你们是否可以全部复制这些步骤以从 Mueller 的第二份起诉书中找到另一个 GRU 代理人。 一个地址。

更新于 2019 年 2 月 5 日

上周五发表这篇文章后，我们收到了大量尝试这种技术并提供替代方法的读者的回复。 其中之一是 Tinfoil 雪人替代品，它特别令人印象深刻：

本质上，Tinfoil Snowman 建议使用 Google 索引，您可以通过谷歌搜索您要查找的 BTC 的确切数量以及 YYYY-MM-DD 格式的日期来查找交易。 通过使用此解决方法，您可以跳过上面概述的许多繁琐过程。 下面我添加了一个示例，说明如何在穆勒的第一份起诉书中使用这种技术：

视频 5：

布伦娜史密斯在推特上：@bsmith_1853

Brenna Smith 是加州大学伯克利分校法学院人权调查实验室本科研究生，美国国务院金融反恐办公室实习生，专门研究虚假信息和非法使用加密货币和恐怖组织在社交媒体上的活动。

之前的相关阅读：