非法资金流动案例研究：5500万美元DAI网络钓鱼

案件背景

2024年8月20日，一起网络钓鱼事件导致超过5400万枚稳定币DAI被盗。被盗地址是一个由Gemini资助的金库，关联的“Maker金库所有者”地址是0xf2b8。网络钓鱼者诱骗受害者（金库的原始所有者）签署一笔交易，将金库所有者更改为攻击者控制的地址，然后执行交易来清空金库。

• 钓鱼地址：0x0000db5c8b030ae20308ac975898e09741e70000
• 清空金库的地址：0x5D4b2A02c59197eB2cAe95A6Df9fE27af60459d4
• 更改所有者的交易：0x2805, 0xb721
• 清空交易：0xf700

资金流向分析

2024年8月20日，受害金库的原始所有者被诱骗签署了一笔交易，将金库所有者更改为攻击者控制的地址。大约五个小时后，攻击者发送了一笔交易，将所有权进一步更改为新的地址。在新地址获得金库的完全控制权20分钟后，它签署了一笔交易，将5500万DAI从金库转移走。

随后，在两个小时内，所有非法获得的DAI代币都被转移到攻击者控制的下游地址，而最初清空金库的地址已空无一文。直接与地址0x5D4b（即距离初始地址一个跳点）连接的下游地址共有六个。大部分DAI代币（4400万）被直接转移到下游地址，而1000万枚则兑换成原生代币（3880）ETH，然后转移到地址0x8cc5。用于兑换的DEX是CoW Protocol: GPv2Settlement。兑换交易：0x7c63。

被盗DAI从原始地址0x5D4b到1跳下游地址的资金流向图。

将非法资金转移到1跳下游地址后，攻击者开始分批将资金进一步转移到更深的地址。在转移过程中，攻击者逐渐将下游地址持有的DAI兑换成ETH。在距离初始地址4跳的下游地址，所有被盗DAI已被兑换成ETH。这些非法资产以ETH的形式，随后流入中心化交易所（eXch, KuCoin, ChangeNOW）和跨链桥（THORChain, Hop Protocol）。 （点击名称即可查看这些套现地址。）将非法收益存入eXch的交易示例：0x2e42, 0xa982, 0x1e1e, 0xb7a9。将非法收益转移到THORChain的交易示例：0x5c06, 0xf824, 0x391e。

部分资金从layer2地址（距离初始地址2跳）流向layer5地址：

在将非法收益转移到深层下游地址的过程中，最长的转移路径达到了12跳，其中约8万美元被转移到交易所KuCoin 17。如下图所示的资金流向图，在2024年8月21日至8月22日期间，攻击者通过12跳路径，分批将38 ETH转移到了中心化交易所。

为了避免引起过多关注，犯罪分子倾向于将大笔资金分配到多个地址，并使用小额转账将资产转移到更深的地址。以下是一个将165万DAI拆分成36个小额转账的例子，由1跳地址0x860c处理：

部分相关地址和交易

资金流向概览：

在MetaSleuth中探索详情： https://metasleuth.io/result/eth/0x5d4b2a02c59197eb2cae95a6df9fe27af60459d4?source=c81289c1-2bd9-49af-a397-e4cc71990595