火星财经APP（微信：hxcj24h）一线报道，3月22日20时，火星公开课特别版「火星号嘉宾有约3月开讲啦」第4期在火星社群正式开启。本期主题为「数字资产合规化机遇和反洗钱挑战，以美国司法部诉讼OTC承兑商案例为例」，由火星财经代理总编辑猛小蛇深度对话PeckShield联合创始人兼AML产品负责任人Jeff Liu。

Jeff Liu在分享中还原「美国司法部诉讼OTC承兑商案」前因后果。他表示，“如下图所示，事情经过初步看为：北韩黑客组织 Lazarus Group 先通过钓鱼获取交易所私钥等手段，攻击了四个数字资产交易所；之后黑客用 Peel Chain 等手法把所窃的资产转入另外4个交易所，VCE1 到 VCE4；再然后黑客又使用 Peel Chain 把资产转移到负责洗钱的两位责任人的交易所 VCE5 和 VCE6 的账户中，最后换成法币完成整个过程。美国司法部这次起诉的就是最后一环负责洗钱的田寅寅和李家东。”

根据下图，PeckShield团队发现黑客一般在攻击得手后，都会分三大步进行洗钱操作。

1）处置阶段（Placement）：非法获利者将被盗资产整理归置并为下一步实施分层清洗做准备；

2）离析阶段（Layering）：Layering 是一个系统性的交易，也是整个流程中最关键技术含量最高的一个过程，用于混淆资产来源和最终收益者，使得当初的非法资产变成“合法所得”；

3）归并阶段（Integration）：将洗白后的资产“合法”转走，至此之后，攻击者手里拥有的非法资产的痕迹已经被抹除干净，不会引起有关部门的关注。

Jeff Liu进一步指出，PeckShield团队首先通过锁定田和李两人的 20 个关联比特币地址在链上数据，根据这些链上行为特性，结合 PeckShield 交易所被盗资料库的数据信息，最终锁定是下面四个交易所被盗：Bter、Bithumb、Upbit、Youbit。

“在攻击得手后，攻击者开始利用 Peel Chain 的技术手段将手里的资产不断拆分成小笔资产，并将这些小笔资产存入交易所。”

为形象地概述这一过程，Jeff Liu列举如下例子。

1）根据图表，攻击者的其中一个地址先前获利 1,999 BTC，先将这一笔大额资产拆分成 1,500 + 500 BTC；

2）其中 1,500 BTC 再拆分成三个各 500 BTC 的地址，此时看到原先的 2,000 BTC 被拆到了 4 个新地址之中，而原地址中的余额已经归零；

3）500 BTC 转成 20~50 BTC 的大小往 Yobit 交易所充值，并将剩下的资产找零到一个新的地址中，此时完成一笔充值；

4）使用新地址重复步骤 3，直到原始的 500 BTC 全部存入交易所为止。这一过程中攻击者也往其它交易所充值记录，比如 Bittrex、KuCoin、HitBTC 。

Jeff Liu进一步解释称，完成Peel Chain的操作后，攻击者并没有直接转入自己的钱包，而是再次使用 Peel Chain 手法把原始的非法所得 BTC 分批次转入 OTC 交易所进行变现。攻击者每次只从主账号分离出几十个 BTC 存入 OTC 帐号变现，经过几十或上百次的操作，最终成功将数千个 BTC 进行了混淆、清洗。

“在完成以上这一系列操作后，攻击者开始将非法所得进行OTC抛售套现。根据我们的数据统计，从2018年11月28日到12月20日，攻击者总共把 3,951 个 BTC 分一百多次存入田寅寅的 Huobi 和 Coincola 三个 OTC 帐号中变现，”Jeff Liu说道。

美国司法部正是通过交易所提供的KYC信息以及田和李二账户和被盗资金的关联性，对二人进行了起诉。