搜索

[11408] 2017-06-01_“数”说wannacry的比特币钱包

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-01_“数”说wannacry的比特币钱包 “ 数 ” 说 w a n n a c r y 的 比 特 币 钱 包 追 影 人   F r e e B u f   2 0 1 7 - 0 6 - 0 1 * 本 文 原 创 作 者 ： 追 影 人 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前         言 5 月 1 2 日 一 场 互 联 网 领 域 的 “ 巨 震 ” 席 卷 全 球 ， w a n n a c r y 蠕 虫 式 勒 索 软 件 已 惊 人 的 速 度 席 卷 上 百 国 家 ， 所 到 之 处 ， 哀 鸿 遍 野 ， 寸 草 不 生 （ 词 穷 编 不 下 去 了 ） ， 上 一 张 来 自 m a l w a r e t e c h 的 全 球 感 染 地 图 自 己 感 受 。 各 安 全 公 司 的 大 牛 们 从 感 染 初 期 便 开 始 进 行 样 本 分 析 ， 发 表 诸 多 技 术 分 析 文 章 ， 其 中 均 提 到 了 w a n n a c r y 使 用 的 三 个 比 特 币 账 户 ， 本 文 便 是 利 用 比 特 币 交 易 明 细 公 开 化 的 特 性 ， 从 数 据 的 角 度 扒 一 扒 这 三 个 账 户 的 秘 密 。 为 什 么 会 是 比 特 币 当 中 招 者 绝 望 ， 想 花 钱 买 平 安 时 ， 才 发 现 对 方 只 支 持 比 特 币 支 付 ， 这 让 日 常 用 惯 快 捷 支 付 的 客 户 们 情 何 以 堪 。 选 择 如 此 小 众 的 支 付 方 式 使 得 门 槛 提 升 ， 用 户 体 验 太 差 ， 让 不 少 到 手 的 鸭 子 飞 了 ， 这 也 一 定 程 度 上 影 响 了 病 毒 制 作 者 的 收 益 。 W h y ？ ？ ？ ！ ！ ！ 为 什 么 会 选 择 比 特 币 进 行 支 付 ？ 比 特 币 已 不 是 新 鲜 事 物 ， 自 诞 生 以 来 ， 便 凭 借 去 中 心 化 、 高 匿 名 性 的 优 势 快 速 发 展 ， 也 因 匿 名 性 吸 引 了 不 少 犯 罪 力 量 关 注 ， 给 比 特 币 的 发 展 带 来 不 少 争 议 。 勒 索 软 件 使 用 比 特 币 已 经 由 来 已 久 ， 安 全 公 司 曝 光 的 诸 多 勒 索 软 件 ， 为 了 反 追 踪 溯 源 绝 大 部 分 均 使 用 该 支 付 手 段 。 Q ： 比 特 币 帐 户 为 何 会 是 匿 名 的 ？ ： 比 特 币 帐 户 为 何 会 是 匿 名 的 ？ A ： 与 以 银 行 为 代 表 的 中 心 化 交 易 体 系 相 比 ， 比 特 币 采 用 分 布 式 结 构 将 所 有 交 易 记 录 分 布 存 储 在 不 同 的 区 块 链 中 ， 没 有 统 一 的 中 心 节 点 ， 且 所 有 交 易 记 录 均 公 开 。 同 时 用 户 可 无 需 实 名 认 证 ， 随 意 生 成 若 干 个 比 特 币 钱 包 地 址 ， 且 钱 包 之 间 的 转 帐 可 随 意 进 行 ， 无 需 中 间 机 构 认 证 ， 这 些 因 素 共 同 确 保 了 比 特 币 钱 包 的 高 匿 名 性 。 由 于 比 特 币 的 使 用 模 式 与 银 行 相 比 较 为 复 杂 ， 一 定 程 度 上 屏 蔽 了 很 多 潜 在 客 户 ， 为 了 降 低 使 用 门 槛 ， 满 足 市 场 需 求 ， 一 些 投 资 者 成 立 比 特 币 交 易 所 ， 来 提 供 货 币 兑 换 、 交 易 等 服 务 。 但 是 交 易 所 会 以 一 些 制 度 强 制 力 或 者 帐 户 安 全 性 为 名 ， 让 客 户 提 供 更 多 的 个 人 资 料 ， 这 在 一 定 程 度 上 降 低 了 比 特 币 钱 包 的 匿 名 性 。 这 也 导 致 勒 索 软 件 这 样 的 专 业 化 团 伙 会 尽 量 避 免 去 交 易 所 进 行 交 易 ， 而 选 择 地 下 市 场 交 易 。
Q ： 比 特 币 交 易 记 录 里 能 获 得 什 么 ？ ： 比 特 币 交 易 记 录 里 能 获 得 什 么 ？ A ： 银 行 的 交 易 记 录 只 能 由 交 易 参 与 者 查 看 ， 而 比 特 币 的 交 易 记 录 则 是 全 网 公 开 ， 至 于 为 什 么 要 这 样 做 ， 感 兴 趣 的 童 鞋 可 以 查 阅 比 特 币 的 交 易 原 理 。 有 很 多 网 站 提 供 比 特 币 交 易 记 录 的 查 询 功 能 ， 在 这 推 荐 b t c . c o m ， 在 该 网 站 上 可 以 查 看 任 何 钱 包 、 区 块 、 矿 产 等 基 本 信 息 。 在 交 易 记 录 上 , 我 们 可 以 很 容 易 获 取 与 本 次 交 易 相 关 联 的 前 后 交 易 记 录 ， 这 样 我 们 沿 着 上 下 游 一 直 追 溯 就 可 以 获 取 完 整 的 比 特 币 流 向 。 Q ： 获 取 到 完 整 交 易 链 后 ， 我 们 能 够 干 什 么 ？ ： 获 取 到 完 整 交 易 链 后 ， 我 们 能 够 干 什 么 ？ A ： 与 银 行 转 账 一 样 ， 比 特 币 账 户 的 转 账 次 数 也 是 无 限 制 的 ， 且 转 账 额 度 无 限 。 通 常 电 信 诈 骗 集 团 为 了 逃 避 打 击 ， 常 将 大 笔 交 易 化 整 为 零 ， 分 转 入 多 个 账 户 ， 然 后 跨 境 转 出 ； 而 比 特 币 账 户 无 国 籍 属 性 ， 且 每 个 人 都 可 以 注 册 N 个 账 户 ， 这 更 加 降 低 了 成 本 ， 犯 罪 集 团 会 使 用 大 量 账 户 进 行 转 账 操 作 ， 从 而 提 升 分 析 者 挖 掘 有 价 值 信 息 的 成 本 。 需 要 强 调 的 是 ， 比 特 币 的 交 易 记 录 以 区 块 的 形 式 进 行 存 储 ， 而 不 是 一 对 一 存 储 ， 这 就 会 导 致 如 下 图 形 式 的 记 录 出 现 。 从 这 条 记 录 上 我 们 只 能 看 到 输 入 输 出 ， 无 法 精 确 到 是 哪 一 个 账 户 转 给 哪 一 个 账 户 ， 所 以 这 也 给 分 析 工 作 带 来 一 定 干 扰 。 在 下 一 节 中 就 可 以 体 会 到 分 析 过 程 的 复 杂 性 ， 其 交 易 资 金 流 并 非 简 单 的 链 条 关 系 就 能 描 述 清 楚 ， 而 是 复 杂 的 树 型 结 构 ， 甚 至 是 庞 大 的 图 。 准 备 数 据 源 巧 妇 难 为 无 米 之 炊 。 在 对 数 据 分 析 前 首 先 要 做 的 就 是 数 据 采 集 ， 曾 经 有 人 在 我 评 论 下 称 我 为 “ f r e e b u f 爬 虫 帝 ” ， 这 次 依 旧 老 套 路 上 p y t h o n 爬 虫 来 扒 数 据 ， 具 体 的 技 术 细 节 就 不 再 重 复 。 针 对 p y 爬 虫 的 编 写 大 体 分 两 个 路 子 ： 1 、 基 于 u r l 2 、 b s 4 等 p y t h o n 库 的 爬 虫 ； 2 、 基 于 s c r a p y 等 框 架 的 爬 虫 。 推 荐 新 手 使 用 方 法 一 进 行 编 写 ， 这 样 可 以 通 过 一 次 次 的 碰 壁 更 清 楚 的 了 解 爬 虫 的 架 构 和 底 层 技 术 细 节 ； 而 老 司 机 便 可 选 用 效 率 更 高 中 间 件 更 加 完 善 的 各 类 框 架 来 进 行 数 据 采 集 。 在 本 次 爬 取 中 为 了 去 重 引 入 r e d i s 来 处 理 重 复 数 据 ， 使 用 m y s q l 数 据 库 进 行 本 地 化 存 储 数 据 ， 数 据 分 析 则 由 s q l 语 句 直 接 完 成 。 本 次 分 析 的 交 易 记 录 均 来 自 于 逆 向 获 取 的 w a n n a c r y 硬 编 码 的 三 个 比 特 币 账 户 ：
1 1 5 p 7 U M M n g o j 1 p M v k p H i j c R d f J N X j 6 L r L n   1 2 t 9 Y D P g w u e Z 9 N y M g w 5 1 9 p 7 A A 8 i s j r 6 S M w   1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 另 外 有 部 分 安 全 厂 商 分 析 显 示 ， w a n n a c r y 在 连 接 T O R 网 络 后 ， 会 动 态 为 每 个 用 户 获 取 一 个 比 特 币 收 款 账 户 ， 这 样 每 台 受 害 者 的 电 脑 都 会 得 到 不 同 的 付 款 地 址 ， 分 析 人 员 也 无 法 统 计 攻 击 者 使 用 了 多 少 个 付 款 地 址 ， 牵 扯 到 的 勒 索 金 额 也 无 法 确 切 统 计 。 显 然 这 已 经 超 出 本 次 分 析 的 能 力 ， 所 以 本 文 只 对 上 面 的 三 个 账 户 进 行 分 析 。 选 取 b t c . c o m 网 站 作 为 交 易 记 录 的 数 据 源 ， 对 相 关 数 据 进 行 爬 取 分 析 ， 爬 虫 爬 取 数 据 的 路 线 大 致 如 下 ： 由 钱 包 地 址 ， 可 获 取 该 钱 包 的 所 有 交 易 明 细 。 由 钱 包 页 面 的 交 易 明 细 可 以 进 入 某 次 交 易 的 详 情 页 面 。 交 易 信 息 都 记 录 在 区 块 上 ， 而 与 本 次 交 易 相 关 联 的 区 块 （ 即 比 特 币 的 上 / 下 次 交 易 信 息 ） 的 链 接 ， 同 样 可 在 本 页 面 获 取 （ 上 图 红 色 区 域 ） 。
由 此 可 知 ， 我 们 只 要 不 断 去 迭 代 追 溯 交 易 的 上 下 游 ， 就 可 以 获 得 整 个 比 特 币 的 运 动 轨 迹 ， 即 资 金 流 向 。 这 样 岂 不 是 可 以 查 到 这 三 个 账 户 的 资 金 去 向 吗 ？ 很 遗 憾 ， 截 至 发 稿 前 ， 这 三 个 账 户 没 有 资 金 流 出 ， 即 没 有 构 成 下 游 来 供 分 析 者 追 查 。 Q ： 为 何 收 了 钱 却 不 用 呢 ？ ： 为 何 收 了 钱 却 不 用 呢 ？ A ： 我 们 不 妨 大 开 脑 洞 猜 测 一 下 ： m a y b e 1 : 这 次 事 情 波 及 范 围 太 广 ， 远 超 作 案 者 预 期 ， 导 致 心 怯 不 敢 用 钱 ；   m a y b e 2 ： 这 三 个 钱 包 只 是 掩 护 ， 从 t o r 网 络 动 态 获 取 的 钱 包 地 址 才 是 作 案 者 真 实 使 用 的 ；   m a y b e 3 ： 作 案 者 根 本 就 不 是 为 了 钱 而 来 的 。 m a y b e 4 : . . . . . . . ( 欢 迎 大 家 一 起 在 评 论 区 大 开 脑 洞 ) 至 此 ， 我 们 无 法 对 资 金 的 去 向 进 行 分 析 ， 但 是 既 然 上 游 是 可 以 查 的 ， 不 妨 让 我 们 一 起 看 看 汇 入 这 三 个 账 户 的 钱 都 是 怎 么 来 的 吧 ！ ！ ！ “ 数 ” 说 w a n n a c r y 交 易 记 录 爬 虫 主 要 收 集 两 类 信 息 ： 1 、 交 易 区 块 基 本 信 息 、 交 易 区 块 基 本 信 息 2 、 交 易 明 细 、 交 易 明 细 由 于 交 易 区 块 中 记 录 的 账 户 并 非 一 对 一 ， 往 往 出 现 多 对 多 的 形 式 ， 所 以 在 存 储 时 按 条 存 储 ， 分 输 入 、 输 出 两 类 。 分 析 一 ： 攻 击 者 账 户 交 易 基 本 信 息 分 析 一 ： 攻 击 者 账 户 交 易 基 本 信 息 对 三 个 账 户 进 行 收 集 ， 三 个 账 户 共 有 3 0 0 次 交 易 ， 共 5 3 2 个 输 入 账 户 ， 3 7 9 0 个 输 出 账 户 。
从 交 易 次 数 可 以 看 出 , 1 2 日 w a n n a c r y 爆 发 后 , 1 3 日 迎 来 了 第 一 个 交 易 高 峰 , 共 6 1 次 。 随 着 1 5 日 （ 星 期 一 ） 的 到 来 ， 许 多 公 司 可 能 出 于 恢 复 业 务 的 需 要 ， 选 择 花 钱 买 平 安 ， 迎 来 了 最 高 峰 8 4 次 。 三 个 账 户 余 额 分 布 图 可 以 看 出 金 额 基 本 均 分 ， 从 一 定 程 度 上 可 以 看 出 程 序 内 部 对 各 账 户 的 选 择 是 随 机 的 。 其 账 户 具 体 金 额 为
三 个 账 户 的 第 一 笔 交 易 i d 为 c c e 7 8 0 e e 9 1 f 0 e d a 8 6 d 7 3 3 f 8 f a 9 3 e 2 3 e b 6 7 6 e a 1 d d 4 3 c 0 8 2 2 3 5 3 5 0 1 d e 6 1 4 1 4 e c e 9 ， 转 入 1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 账 户 。 图 1 1 . p n g
其 中 最 大 的 交 易 发 生 在 下 图 ， 有 1 . 9 9 9 B T C 。 最 小 的 则 只 有 0 . 0 0 0 0 0 5 6 3 B T C 。 分 析 二 ： 资 金 流 分 析 二 ： 资 金 流 我 们 提 取 账 户 1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 的 所 有 交 易 记 录 ， 画 出 资 金 关 系 图 。 P S ： 红 色 点 ： 交 易 区 块 ； 绿 色 点 ： 比 特 币 钱 包 账 户 ； 蓝 色 线 ： 资 金 由 钱 包 输 入 ； 橙 色 线 ： 资 金 输 出 到 钱 包 。 该 图 很 明 显 看 出 位 于 中 心 的 节 点 便 是 账 户 1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 ， 局 部 放 大 图 。
然 后 顺 着 这 个 账 户 的 所 有 交 易 记 录 向 上 追 溯 （ 由 于 数 据 量 太 大 ， 只 追 溯 一 部 分 ） ， 得 到 的 关 系 图 如 下 。 如 此 复 杂 的 图 已 经 很 难 从 中 找 到 关 系 了 。 。 。 。 希 望 大 牛 给 出 一 个 解 决 方 案 为 了 降 低 难 度 ， 简 化 问 题 。 现 只 对 i d 为 f 2 5 d 1 a b 8 5 c 8 8 9 d 6 0 1 f 3 9 8 1 c 7 b d 3 d 3 3 c 5 5 e 9 1 e c 5 4 9 c f 4 6 d 6 9 1 0 4 b b e f 3 0 3 6 1 c 8 1 e 的 交 易 记 录 进 行 追 溯 ， 并 且 只 沿 第 一 个 输 入 账 户 向 上 追 溯 ， 即 只 把 第 一 个 输 入 账 户 的 前 一 个 交 易 块 作 为 追 溯 路 径 ， 而 不 对 其 他 输 入 项 进 行 追 溯 ， 这 样 会 减 少 节 点 规 模 。 共 提 取 1 8 4 笔 交 易 ， 涉 及 账 户 5 4 4 6 个 ， 有 一 笔 交 易 是 来 源 于 挖 矿 3 4 3 7 5 1 8 a e f 7 0 2 7 6 e 2 b 0 1 0 1 d 7 5 5 6 e 4 3 6 a 4 c b 0 0 f c 4 d d a 6 b 5 d b 9 8 2 2 b 9 a a f b 9 1 b e 5 2 。
上 图 为 根 据 上 述 数 据 绘 制 的 交 易 关 系 全 局 图 ， 可 以 看 到 虽 然 经 过 了 一 定 的 简 化 ， 依 旧 形 成 了 复 杂 的 图 。
局 部 放 大 图 可 以 看 到 很 多 绿 点 连 接 同 一 个 红 点 形 成 树 状 结 构 ， 这 代 表 同 一 笔 交 易 由 多 个 账 户 共 同 完 成 。 红 点 为 交 易 记 录 块 ， 绿 点 为 钱 包 ， 蓝 线 为 转 出 ， 橙 线 的 转 入 ， 这 样 我 们 就 可 以 得 到 一 条 如 上 图 所 示 的 资 金 流 向 图 。 写 在 最 后 由 于 w a n n a c r y 的 三 个 账 户 并 没 有 发 生 任 何 的 转 出 行 为 ， 所 以 不 能 顺 着 资 金 的 下 游 流 向 来 进 行 分 析 ， 这 是 本 文 的 遗 憾 之 处 。 而 对 于 比 特 币 账 户 的 匿 名 性 ， 并 不 能 确 保 在 任 何 时 候 均 有 效 ， 在 本 次 勒 索 软 件 事 件 发 生 后 ， 一 些 数 据 分 析 师 则 表 示 比 特 币 在 一 定 情 况 下 是 可 以 追 溯 的 ， 只 是 需 要 更 多 的 数 据 和 成 本 来 完 成 。 大 数 据 时 代 ， 只 要 有 行 为 发 生 就 会 被 记 录 ， 通 过 不 同 渠 道 来 源 的 数 据 汇 合 分 析 后 ， 也 许 就 会 破 除 数 据 的 匿 名 性 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理