探讨涉及到影子网络的比特币转帐跟踪_跨链

探讨涉及到影子网络的比特币转帐跟踪

在比特币的转帐跟踪中，不仅必须依据链上数据信息对转帐传动链条开展财务审计，更关键的是将转帐线路上的各地址与实体线关联。文中先详细介绍一些有关的基本要素，再对于此事难题进行进一步的探讨，并主要详细介绍了影子网络中的比特币账户地址与实体线关系的有关难题。

一、概述比特币的找零体制-

比特币系统软件是沒有账户余额的定义的，它应用的是UTXO实体模型（Unspent Transaction Outputs，未应用过的交易輸出），在交易全过程中常常说的钱夹账户余额，事实上是一个钱夹地址的UTXO结合。

如果你“付款”比特币，并建立一次交易时，你务必将你付款地址上能够付款的额度（来源于该地址以前交易的輸出）做为新交易的键入。那样的地址很有可能不仅一个，你的比特币钱夹会暗暗找寻你钱夹中全部可供付款的輸出额度（很有可能来自于不一样地址），并把他们加在一起表明为钱夹可以用账户余额。

比特币手机客户端一开始只造成一百个该顾客专享地址的公钥（称之为公钥池），在建立找零地址的时候会优先选择应用这一百个地址中的某一个，但当这种地址都被应用以后，一百个之外新的找零地址便会被建立。

比特币在交易的时候会把消費时常用的地址（消費地址）的账户余额置零。当要付的额度低于可以用账户余额时，交易信息中务必告知比特币互联网零钱将被发送到的地址，即“找零地址”。找零地址很有可能是也很有可能并不是原来消費时常用的地址。此外消費地址所留有的剩下账款为此次交易的服务费，服务费沒有輸出地址，它将奖赏给将此次交易记帐取得成功的挖矿。

以A将比特币转帐给B为例子，若大家自主挑选付款后的找零地址，那麼一次转帐可发生下列二种状况：

1、将原来推送的地址设定为找零地址

将零钱回到原来的地址，那样可显著看得出A为交易的第三方支付公司。若A的真实身份变成大家都知道的目标时，B的真实身份也是有很有可能被推论出去。

因而，那样尽管便捷了A的管理方法，但却很有可能会导致A的隐私保护性减少，一定水平上还很有可能会危害到B的群体极化。

2、将找零地址更改成新转化成的地址C

要是没有进一步的信息，这时别人能够了解的是，有一个交易分拆了地址A的账户余额至地址B和C。而地址B或C的主人家很有可能是也很有可能并不是A。因为新地址C的添加，让全部交易的实情越来越更为扑朔离迷：哪一个地址意味着着被第三方支付公司，哪一个地址意味着着找到的零钱呢？

当全部多方都将零钱发送到新创建的地址时，要想将个人信息与地址相联络就务必搜集大量的信息，并消耗大量的資源。

二、比特币转帐跟踪的一些基本要素-

（一）朝向账户地址和朝向现金流法

交易数据统计分析关键有朝向账户地址和朝向现金流二种方式 。

朝向账户地址的方式 对于单一账户地址的收入支出状况开展剖析统计分析。单纯性采用朝向账户地址方式 的科学研究方法并不可取，缘故有下列三点：第一，账户地址中间的转帐关联没法表明账户地址在现金流中具有的功效；第二，比特币客户很有可能另外拥有好几个账户地址，假如账户地址中间不会有转帐关联，那麼这类科学研究方法就没法接到成果；第三，一个账户地址很有可能与总数诸多的账户地址开展过交易，会造成 统计分析展现实际效果欠佳的难题。

因而，应挑选对于交易现金流开展发掘，创建交易现金流跟踪追溯线路，以跟踪追溯线路上的资金流入为主导，融合账户地址交易收入支出状况，对现金流线路上参加交易的账户地址开展剖析科学研究。

（二）起点、跳板地址和锚地址

参考文献界定了起点、跳板地址和锚地址。

起点、跳板地址指客户或机构应用的，有非常少交易频次、用以资产迁移的账户地址。起点、跳板地址一般具有下列特点：

1、账户地址存留账户余额相当于0或等于0；

2、与现金流线路上别的账户地址对比人气值低，参加交易总数少；

3、账户地址的连接度与连出度，即收付款频次和支付频次大概相同。

而锚地址就是指现金流线路中拥有绝大多数拆分资产、节点度提高、交易頻率高的账户地址。

因为锚地址的节点度和交易頻率较高，意味着着锚地址被应用的頻率较高，故可将锚地址做为异常账户地址聚类算法中具备象征性的“锚”开展实体线关联关系、去密名化等实际操作，根据明确锚地址使用者的特性，明确全部异常账户地址聚类算法的特性。

依据锚地址特点，应用PageRank优化算法用以异常账户地址聚类算法中锚地址的获取。PageRank优化算法对于网页页面连接度测算一个网页页面被浏览几率的作法，可用以处理相近的异常账户地址聚类算法中高节点度锚地址的发现问题。

（三）资产拆分个人行为

资产拆分个人行为指将每笔超大金额资产拆分成好几份小额贷款资产，再聚集至一个账户地址的交易方式，实际存有下列特点：

1、现金流跟踪追溯线路上存有好几个进出度相同的起点、跳板地址；

2、在超大金额资产拆分的现金流跟踪追溯线路中，拆分出的每单资产额度相仿，由起点、跳板地址在一段时间内短暂性拥有；

3、分多笔拆分资产根据多键入交易转换为一笔资产，輸出至同一个账户地址；

4、分多笔拆分资产的輸出账户地址节点度高过现金流线路上别的账户地址。

（四）虚拟货币洗黑钱

虚拟货币可能是犯罪嫌疑人选购或盗窃而成的，洗黑钱者必须藏匿此个人行为留有的财务审计案件线索。以盗窃虚拟货币为例子，犯罪嫌疑人会先将偷回来的虚拟货币（如比特币）转至由洗黑钱者有着的地址上，但这一地址依然不足整洁，因为它和受害人的地址有显著联络。

洗黑钱者再应用混币服务项目将自身关键货币的交易地址和混币服务项目池中的临时性地址做交换以抵抗交易图普剖析，那样便能够在没有暴露的前提条件下恰当地清除钱夹地址间的财务审计案件线索。

这儿的混币就是指在一个交易中包括很多的键入和輸出，将交易信息错乱打撒，进而增加找到键入与輸出中间关联性的难度系数。为了更好地防止被追踪检测，洗黑钱者一般都是会采用混币实际操作。

最终，将洗“白”的虚拟货币融合进流行的交易所、OTC等虚拟货币金融体制；或将其换取为货币后再转到特定金融机构账户；或将其转到冷钱包中，那样就可以随时随地将冷钱包中的虚拟货币便捷地发给所有人了。

三、根据链上数据信息跟踪比特币的转帐

可选用Bitcoin Core手机客户端做为数据来源，由该手机客户端联接至别的运作该手机客户端的可靠节点，开展交易数据信息的同歩；也可根据各比特币区块浏览器的API来获得转帐数据信息，随后对其开展剖析。因为互联网技术上存有着很多的这种文章内容，文中就不会再过多阐释了。

必须留意的是，交易所的本人账户有一个比特币储蓄地址，当比特币存进该地址后再转币转走交易所时，一般并不是从这一储蓄地址转站出，只是从交易所的别的生疏地址转出，且这一/这种生疏地址（可能是一个钱夹的好几个UTXO）还很有可能另外转出好几个客户的比特币，这促使全部转帐传动链条无法财务审计和跟踪。

在比特币的转帐跟踪中，更关键的是将转帐线路上的各地址与实体线关联，下边将主要对于此事开展详细介绍。

四、账户地址与实体线关联

（一）开展账户地址实体线关系的一般方式

在比特币交易数据统计分析行业，因为本人或机构可另外拥有和应用好几个账户地址，故应用实体线定义取代了易与账户地址造成搞混的传统式“客户”定义，来界定应用比特币的本人或机构。将账户地址与实体线创建关联方交易，是比特币账户地址去密名化的关键工作中。

异常账户地址聚类算法中的锚地址的人气值高，因而在不明锚地址隶属实体线真实身份信息的前提条件下，可运用社会工程学、转帐关联发掘等方法，获得锚地址与实体线的关联方交易：

1、社会工程学方法：比特币交易随着着人的当然个人行为，如购买商品、要求捐助等，因而实体线与账户地址关联的非故意泄漏是难以避免的。可由各比特币社区论坛中的探讨帖、社区论坛客户个人签名、社交媒体等信息源，搜集账户地址的信息标识。这也是各种虚拟货币交易所的标识服务项目的业务流程构思。

2、转帐关联发掘方法：此方法源于传统式经济发展犯罪案的侦察构思。在账户地址A的交易记录中，假如发生与账户地址B的经常交易往来，可觉得两账户地址存有强关联性。这时账户地址A可承继账户地址B与实体线的关联方交易。

因而，可对于社交媒体和虚拟货币社区论坛、小区等开展有关的信息监管工作中，按时搜集解决潜在性的账户地址标识，进而进行账户地址实体线信息的关系，做为虚拟货币转帐跟踪的数据信息支撑点。

账户地址实体线关系在“明网”中的探讨和实践活动较多，故文中将简略详细介绍在“影子网络”中账户地址的实体线关系难题。

（二）影子网络中账户地址与实体线关联

1、影子网络技术性介绍-

现阶段更为时兴的影子网络技术性各自为Tor、Freenet和I2P，影子网络中的绝大多数內容都集中化在这三类影子网络中。

（1）Tor

Tor的全名是“The Second Generation Onion Router”，是现阶段运用更为普遍的密名通信系统之一，以青年志愿者出示洋葱路由器做为无线中继节点的方法普遍地布署在因特网中。Tor是一种根据虚链接的低延迟密名通信系统，由第一代洋葱路由系统软件改善而成。第二代洋葱路由互联网除开能够防窃听和数据流量剖析等进攻，还具备前向安全性、延迟时间小、多要求共享资源链接、分布式系统文件目录网络服务器等特性。

洋葱网络由很多洋葱路由器构成，客户在连接洋葱网络前，必须在当地安裝圆葱代理商，代理会在洋葱网络中任意挑选n个洋葱路由器做为分享节点，并创建通讯途径传送数据。数据信息在被分享时会被无线中继节点以通讯途径的反方向次序逐级数据加密n层，进到洋葱网络后，数据文件历经每一个无线中继节点的时候会被该节点破译，得到下一个无线中继节点的IP地址再再次往前传送，抵达最后一跳节点时，数据文件以密文方式传送至客户。针对客户而言，只了解数据信息是由Tor互联网最后一跳节点传送而成，并不了解真实的数据信息发布者。

与之同样，分享数据文件从目地节点传回的情况下，会依照次序被逐层数据加密，即每一次传输到一个洋葱路由器时就被数据加密一次，直至最后抵达客户的圆葱代理商，圆葱代理会对该数据文件开展逐层破译，随后以密文方式发给客户的应用软件。历经以上逐层加解密的实际操作，每一个洋葱路由器只了解通讯途径中与自身邻近的前一跳和后一跳节点信息，因而服务项目的群体极化能够获得确保。

（2）Freenet

Freenet是一个分布式系统密名信息储存和检索系统，做为最开始被应用的流行影子网络之一，Freenet相对性于别的影子网络有着迅速的速率和可靠性。

Freenet是一个单独的互联网，客户能够根据Freenet密名的共享文档、访问和公布“Freesite”（只有在Freenet互联网中浏览的网址）、在社区论坛中发帖子，不必担心被核查。Freenet并不是服务器代理，并不可以像Tor一样容许密名地浏览互联网。因为沒有中间网络服务器，Freenet 的工作方式拥有非常大的不一样：Freesite不兼容Javascript，服务端脚本制作等。

Freenet 是区块链技术的，难以黑客攻击，而且其节点中间的通讯是数据加密的，因而要掌握谁在要求一些信息及其要求的內容是啥，是极为艰难的。因而Freenet能够在客户提交、要求和搜索资源时确保其群体极化。

（3）I2P

I2P是一种根据P2P的密名通信系统，其上运作着多种多样的安全性密名程序流程，适用的运用包含密名的Web访问、blog、电子邮箱、即时聊天、文件分享等。与别的密名浏览专用工具不一样的是，I2P 根据不一样的隧道施工将正中间节点和总体目标节点隔开出去，即某一节点运作了I2P并并不是一个密秘，密秘的是节点客户根据I2P密名互联网推送了哪些信息，信息发给了谁。

I2P密名的关键是蒜头路由器（一种洋葱路由的组合），根据将好几个信息逐层数据加密、装包，历经传送隧道施工逐层破译后抵达总体目标节点。I2P与Tor 最关键的差别取决于通讯无线信道的设计方案不一样：Tor应用的是一条可双重传送的通讯无线信道开展传送，而 I2P应用好几条单边传送的隧道施工，依据其功效是接纳/推送信息分成键入/輸出隧道施工。此外，Tor互联网有着建造的根据文件目录服务项目的管理中心节点，为此来管理方法全部Tor互联网，而I2P选用彻底分布式系统的构架。

（4）以上三者的优点

Tor的优点有：有着很多客户人群，在学界和网络黑客人群中被关心较多；解决了一些I2P并未处理的互联网经营规模难题；有丰厚的资产、有大量的开发人员来适用技术性的发展趋势；选用性能卓越的节点搭建链接，出示带宽测试和低延迟，网站打开速度快。

Freenet的优点有：分布式系统的数据储存方法，容许客户在任何时刻从原节点和好几个备份数据节点取回来数据信息（即便原节点线下）；有效、高效率的数据信息分散化体制。

I2P的优点有：彻底的分布式系统和生态系统理论；应用好几条单边链接传送数据；节点挑选根据持续剖析和较为节点的特性，而不是根据节点自称为的特性；密名互联网较小，沒有被很多封禁或回绝服务；适用TCP和UDP传送。

总的来说，Tor做为开发设计较早的密名通讯专用工具，它的名气较高，应用人群比较普遍；Freenet有效地分派了数据库管理，而且适用本地下载；I2P应用的密名技术性比较繁杂，群体极化较高。

因为Tor的应用比较普遍，下边大家关键对其开展一些剖析。

2、Tor密名互联网的网站域名搜集

因为暗网的防御性、群体极化和管控难度系数大等特性，给互联网的监管和剖析产生了非常大的艰难。遭遇的关键艰难大概有下列三个层面：第一，浏览暗网的速率受限制。因为浏览暗网必须独特手机软件Tor，而Tor的联接全过程必须开展数据加密和破译，这造成 浏览暗网速率十分迟缓。第二，隐藏服务地址无法搜集。为了更好地避开跟踪，隐藏服务服务提供商一般 会在短期内内维护保养其服务情况，造成 隐藏服务地址常常更改，总数不确定性且生命期短暂性；第三，暗网具备群体极化，传统式网上调查技术性没法跟踪暗网中客户的IP地址与真正真实身份。

隐藏服务地址十分关键，对地址的获得是取得成功浏览暗网的第一步。为了更好地应用程序流程来开展一些自动化技术剖析，大家应用Onionscan来获得隐藏服务地址等信息。Onionscan由Sarah Jamie Lewis开发设计，是用go语言表达撰写的，它是一个强劲的开源系统暗网资源测试工具，能够协助稽查人员检验和跟踪暗网，还可以协助隐藏服务营运商发觉安全隐患。

3、找寻代管隐藏服务的服务器IP地址-

Tor密名互联网中的隐藏服务一样非常容易遭受黑客入侵，配备不善的服务也会曝露服务器IP地址等信息。虽然寻找代管隐藏服务的服务器IP地址与找寻比特币账户地址实体线中间沒有很大的关联，但多掌握一些信息仍然有益于BTC的转帐跟踪。

（1）SSH协议书与SSH密匙指纹识别

SSH协议书是Secure Shell的简称，它是一种专业为远程登陆对话和别的互联网服务出示安全防范措施的协议书。SSH协议书能够合理地避免 远程访问全过程中的信息泄露难题。在传统式互联网服务与客户的互动全过程中，他们一般 会在互联网内以密文的方式传输动态口令和数据信息，而网络黑客就可以捕获这种数据信息。再再加上这种互联网服务所应用的身份验证体制中也存有比较严重的难题，因此 他们通常非常容易遭受中介人（MITM）进攻。根据应用SSH，你能对全部必须传送的数据信息开展数据加密解决。这样一来，“重放攻击”这类方式就不太可能完成了，并且也可以合理地避免 DNS和IP蒙。

为了更好地合理地防止重放攻击，管理人员在根据SSH远程桌面连接服务器的情况下，SSH会转化成服务器指纹识别并要求储存。服务器的管理人员能够将SSH密匙指纹识别发给手机客户端，来协助手机客户端在初次登陆时认证服务器的真实有效。在初次联接取得成功以后，服务器每一次都是会认证手机客户端推送的SSH密匙是不是与服务器端储存的相符合。

简单点来说，SSH密匙指纹识别便是一串可以意味着服务器公共性密匙的标识符编码序列。你能用它来鉴别服务器和机器设备真实身份的真实有效。

（2）找寻代管隐藏服务的服务器IP地址

上文提及的OnionScan可以从开启了SSH协议书的暗网隐藏服务中搜集SSH密匙指纹识别，随后大家根据Shodan百度搜索引擎的API来检索这种密匙指纹识别，看一下在“明网”中是不是有相符合的SSH密匙指纹识别存有，即查询根据一般数据连接浏览到的服务器（“明网”中的服务器）在与暗网隐藏服务互动时，是不是应用的是一样的SSH密匙。

假如的确存有这类状况，则表明某台服务器另外代管了“暗网网址”和“明网网址”，那样便可投射出暗网隐藏服务、明网中的网址及其每个IP地址中间的关联。而参考文献出示了一些防止上述所说情况被检测到的方法。

由图中得知，运作程序流程后大家发觉了一些出示隐藏服务的服务器IP地址，他们各自坐落于荷兰、法国和西班牙。

由图中得知，在某台服务器上出示了3个隐藏服务，相匹配了3个暗网网址。

4、应用暗网网络爬虫收集情报

当应用Tor电脑浏览器去浏览互联网时，客户能够应用Tor来防止网址追踪她们的IP地址。在一切正常状况下，数据流量将根据最少3个不一样的中继器：通道节点/无线路由器（Entry guard）、无线中继节点/无线路由器（Middle relay）、出入口节点/无线路由器（Exit Node）。下面的图为浏览某暗网社区论坛时，服务器与该社区论坛中间的互联网链接：

能够发觉，在联接的无线中继控制回路的第一个IP地址一直同样的。它是Tor的一切正常实际操作。联接的无线中继控制回路中的第一个节点一般 被称作“通道节点/无线路由器”。它是一个迅速且平稳的节点，而且可能在大家的无线中继控制回路中保持两到三个月，用于抵御破译密名进攻。其他的无线中继会在大家每一次浏览新的网站时更改，这种无线中继会一起出示详细的个人隐私保护。

在这儿，大家应用网络爬虫来开展暗网的资源搜集。在一般网页爬虫的开始添加两行编码，另外维持Tor电脑浏览器的打开，依据上文所搜集的Tor密名互联网的网站域名，就能全自动爬取这种网址的数据信息了。

下面的图表明了应用网页爬虫爬取某暗网社区论坛数据信息时服务器对外开放所表明的IP地址。由此可见大家的公网IP已变成某一Tor密名互联网的出入口节点的IP，其地址坐落于德国纽伦堡：

对于不一样的暗网基本数据类型，如暗网销售市场、暗网社区论坛，应设计方案不一样的爬虫框架。

在BTC转帐跟踪中，若某一BTC地址在暗网中（如社区论坛）也发生了，那麼大家就可以依据它所属网页页面的信息来为它打上标识，并进一步依据有关信息试着将该BTC地址与实体线关联，这就涉及到到暗网的情报搜集。

5、对所搜集的暗网资源开展剖析,

最先，对行为主体文字数据信息开展实效性分辨。

在获得的文章正文文字中，有一些文字是失效的，会提升劳动量并防碍文本分类的速率，因而以下的文字应标识成失效隐藏服务：（1）网页页面文章正文文字內容过短，难以对网页页面隐藏服务开展区别类型，应视作失效文字；（2）隐藏服务內容是网页页面服务器的默认设置app启动页，没法区别暗网隐藏服务內容的默认设置app启动页也视作失效；（3）网页页面早已打不开的更不太可能做为文本分类的根据。

次之，对数据信息內容开展解决。

为了更好地避开稽查人员的调研与跟踪，暗网数据信息內容存有着单词拼写不正确、标点杂乱无章、非英语的规范标识符多及其英文大小写错乱等难题，这种难题比较严重危害归类准确度。因而必须对数据信息內容开展相对应的解决。

比如，应用Python的langdetect来鉴别文章正文语言表达，大部分隐藏的网页页面使用英文开展沟通交流，有一些则应用德语或法语及其中文，这儿关键对英语网站开展剖析；应用BeautifulSoup来删掉繁杂的非标的特点标识符；应用正则表达式来删掉沒有使用价值的简易标点；应用pyenchant来对英语词开展拼读改错；应用nltk库的SnowballStemmer提取英文派生词；应用nltk库的WordNetLemmatizer开展英文词性复原；及其开展大小写转换，除掉像“in”、“an”等沒有现实意义的语气助词、代词等，只保存对归类具备协助的形容词和专有名词。

最终，选用常见的优化算法对数据信息內容开展归类。

可应用KNN、svm算法、随机森林或朴素贝叶斯等方式 对数据信息內容开展归类。但是，目前分类方法的精准度与精确度也不高，还必须对分类方法开展进一步的科学研究与改善。因而，依据早期挑选和归类状况，有时候仍然必须人力的干预。

在剖析的全过程中，另外必须对公布內容的客户开展纪录，并依照以上归类状况升级其相匹配的标识等信息。

那样，在BTC的转帐跟踪中便可得到大量的信息，将转帐线路上的各BTC地址与实体线开展更深层次的关系，促使实体线的肖像更为清楚。

五、总结

文中简略详细介绍了BTC的转帐跟踪，主要探讨了暗网中的比特币账户地址与实体线关系的有关难题，这也许能为管控组织 出示一点参照。

因为暗网自然环境的多元性，为了更好地防止电子计算机遭受故意进攻，不建议非专业人员在暗网中开展有关的实际操作。

公布方：XBITRUS

苏文杰. XBITRUS

标签：

区块链热门资讯