PlusToken暴走资金：28500个比特币变了，一笔交易还有彩蛋

6月29日，区块链最大融资项目PlusToken被用户反映无法提币，随后6名创始团队成员因涉嫌网络诈骗在瓦努阿图被捕。 PeckShield在上一篇文章《PlusToken资产转移追踪图（一）》中初步追踪统计了1203笔流入交易所的BTC。

北京时间2019年8月12日起，PeckShield数字资产押运系统（AML）检测到PlusToken的两个主要BTC钱包地址发生变化，共计转出28500个BTC。 其中，以33FKcwFh开头的主钱包地址向4个新地址转账22922个BTC，金额分别为4922、5000、6000、7000。 这部分资金目前还没有进一步划转，目前还不确定是否已经流入交易所。 同时，PeckShield发现另一个被监控的以1M1Tfsvb开头的转账地址通过多次零散的小额转账共转账5575个BTC。 目前还不确定是否已经流入交易所。 不过比特币转移目的填写什么，ETH、EOS、XRP等其他币种资产暂未出现异常走势。

下面将进一步分析BTC资产的流向。 文末有彩蛋，不要错过哦！ 经PeckShield确认比特币转移目的填写什么，PlusToken已知的BTC资产聚合地址有3个：

图一：比特币资产聚合信息

5527枚比特币被多次分散转移

8月12日晚19时27分，PeckShield在聚合地址14BWH6Gm开头的转账地址（1M1Tfsvb开头）检测到资产频繁转账。 为了让大家更直观的了解这部分资金的流向，派盾数字资产保驾护航系统（AML）制作了如下资产流转路径图：

图2：1M1Tfsvb起始地址资产转移示意图

其资产转让分为两个阶段：

1）经过多次转账，大量资产从39fXUWCy开头的地址转出，新地址的BTC数量约为1000枚。

图3：1M1Tfsvb起始地址资金转出

2）新地址上的BTC再次分散，最终于8月14日23:00-24:00转入50-200个BTC的多个地址。 由于BTC地址的特性，目前无法确认这部分资金已经流入交易所。

图 4：转移到多个地址的资金从 50-200 BTC 不等

转移了 22922 个比特币

同时，PeckShield安全人员发现，另一个33FKcwFh开头的PlusToken钱包聚合地址中的资产在8月13日发生变化，8月14日11时54分通过14gKbB4A开头的地址转移到4个地址。 这些地址暂存4922、5000、6000、7000个BTC，这部分资金还没有进一步划转。

图5：33FKcwFh开头地址的资产发生变化

蛋

在PlusToken资产转移过程的后续分析中，PeckShield安全人员发现了一笔有趣的交易，发生在8月15日00:08。

图 6：一个有趣的交易

如上图所示，交易发起方为18888888开头的地址，接收方为PlusToken的主资金聚合地址。 转出的BTC数量很少，交易单上显示“Sorry, we have run”。

据PeckShield分析，此次交易在链上标记了PlusToken资金聚合地址，其目的主要为两点：

PeckShield数字资产护航系统（AML）基于对各大公链生态数据的全面挖掘和分析，积累了大量的高风险黑名单数据库。 研究所、社区治理单位等合作伙伴，对黑客洗钱行踪进行全链条、全时、反伪装等分步跟踪和实时阻断。

参考：

[1] 币安学院。 什么是粉尘攻击。