防人之心不可无，警“群友”盗币威胁
作者：Bitrace
「群友」是当前流行在加密货币投资者之间的一个社交meme，对加密货币有着共同爱好的人们在网络群组与现实世界中建立起社群关系，彼此互相了解对方的生活习惯、地址信息、持仓明细等，在进行观念分享、场外交易或业务合作的过程中，建立起了丰富有趣的社区。
但本文并非要对加密社区的群友文化做社会学意义上的严肃考察，而是尝试通过披露真实案例，对群友盗币威胁做出警示——有时候，盗币并不需要太高的技术含量。
贼喊捉贼
2022年6月，Bitrace收到A省某丢币受害人的报告，声称自己遭到了假钱包盗币，刚刚通过线下面对面OTC方式购买到的价值20万美元的泰达币不翼而飞。
在沟通中，受害人表示自己是在OTC过程中亲手当场下载的钱包软件，并且按照钱包软件的提示备份了助记词，当天测试金额安全到账，所有的交易都能够快速进行，只是没想到第二天资金就被转走了。OTC服务商提醒受害人可能下载到了假钱包，需要找数据分析公司进行追踪调查，于是受害人联系到了我们。
Bitrace的分析人员最初认为这确实是一起常见的假钱包盗币案件——毕竟几乎所有假钱包受害人都认为搜索引擎的钱包关键词第一行结果是官网，但很快不常见的事情接二连三地发生了。
钱包公司反馈受害人下载的文件确实是正版钱包软件；同时链上资金分析也显示，被盗的资金并没有如同其他假钱包赃款那样，被快速转入网赌平台热钱包地址，或是进入为非法资金清洗提供服务的第三方担保交易平台地址，而是停停走走在链上绕了一个大圈；仿佛盗币者知道这一笔加密资金并不需要清洗似的，最后甚至有部分资金流回了OTC服务商的资金关联地址。
但还来不及疑惑，调查人员就发现，这起事件的资金与Bitrace正在协助B省某地执法单位调查的另一起案件的地址资金产生了交集。该案件的受害人被盗经历与A省受害人几乎完全一致——线下面对面OTC交易、当场下载钱包、交易完成后被盗、被盗后以假钱包盗币名义报案。
同一组作案地址，同样的手法，两个不同省份的受害人，此时一个大胆的想法涌上心头。
后续的配合侦查与警方执法过程按下不表，最终嫌疑人供述的结果是，他们只是在受害人抄写备份钱包助记词的过程中，安排人偷偷在受害人背后用手机拍下了屏幕，并在整个过程中暗示或明示受害人，他可能下载的是带后门的钱包，把锅甩给钱包公司。
至此真相大白，只是有些黑色幽默。
三人成虎
2023年11月21日，有KOL在社交媒体中发文表示，自己在TP钱包中存放的两种价值11000美元的加密货币被盗，考虑到自己的助记词都是离网存储，被安全地抄写在自己的密码本中，只有钱包公司有权限接触到他的助记词，于是认为是该钱包公司监守自盗。
一时间引发了大量其他投资者的共鸣，纷纷提到自己使用该钱包被盗的经历，热度极高，许多网友也转发声援，对TP钱包口诛笔伐，仿佛这家公司已是业界毒瘤。
由于受害人公开了自己的地址，Bitrace 的调查人员得以对这起事件展开初步分析。
受害人地址中同时有两种资产丢失，首先排除的是授权盗币可能，因为针对波场钱包的授权盗币往往只以泰达币为目标，且不会盗取主链代币；
被转移的TRX系整数，接着排除假钱包盗币可能，因为这不符合假钱包团伙的 「一键划转」、「吃干抹净」的工作原则，此外更何况这个钱包已经使用了很久都没有发生过被盗，且盗币者并没有使用专业盗币团伙常用的资金清洗手法；
受害人的地址资金交互情况复杂，在被盗前与大量对手方发生交易，且资金规模庞大，因此我们推测其中交易对手方或合作伙伴盗币等熟人作案可能性较高。
综上，Bitrace通过两个地址的链上活动便大致判断出了后续调查的方向，并主动联系加入了包括受害人与TP钱包在内的三方调查群组。
最后的调查结果不出所料，确实系熟人作案，受害人的朋友趁受害人不备，偷偷抄写了他的密码本，进而完成了盗币动作与业余的资金清洗活动。TP钱包也方才勉强摆脱嫌疑。
而之所以说是「勉强」，正是因为假钱包盗币团伙业务是如此的庞大，以至于某些无辜的钱包公司反复蒙受冤屈，即使这一次解释清楚，也还会有下一次，与下下一次。
区分群友盗币与假钱包盗币
群友盗币与假钱包盗币在形式上多有一致，例如：
都是地址管理权限丢失，会有同时多种带笔资产被非法转移；都不会在链上看到可疑的授权交易，转账方式也并非「transferFrom」；都存在一定的养鱼期，在获取钱包权限的初期不会贸然转移资产，以防打草惊蛇。
但大同之下仍有小异，以下是Bitrace在过去数千起丢币案件分析过程中总结出来的规律，任何一个具备基础区块链知识的投资者都能够充分了解：
- 假钱包盗币的产业化与自动化程度极高，在获取受害人钱包权限后，都是从后台一键划转获取资金的，因此几乎不可能出现留一部分偷一部分的情况。相反，群友盗币多为手动，疏漏很多，多笔资产转移间隔较长；
- 假钱包盗币的洗钱渠道要么是网赌平台地址，要么是第三方担保交易平台，这类机构缺乏KYC机制，是犯罪分子的洗钱天堂。而群友盗币往往准备不足，得手后要么囤币发呆，要么就近使用第三方去中心化交易平台，甚至直接向中心化交易平台转账，十分业余；
- 假钱包盗币的养鱼一般通过多重签名进行，被多签的受害人地址只能存入不能转出，受害人在不知情情况下将可能持续转入。而群友盗币不可能使用这个方法。
最后
不管是熟人场景下的群友盗币，还是针对不特定对象的假钱包盗币，都是对我们行业的巨大危害，在打击这类非法活动的过程中，投资者本人、钱包公司、加密基础设施以及政府部门都不能置身事外。
