2026-04-02 04:50:46 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文通过追踪某DeFi攻击者案例，阐述如何通过行为指纹分析突破混币器匿名屏障。核心发现包括：攻击者虽使用TornadoCash等混币器切断资金流，但其交易时间模式（UTC14:00峰值与5小时静默期）、资产偏好（争议性Meme币与黄金组合）及跨平台操作习惯（CEX充值地址复用、Gas补给源关联）构成唯一行为签名。最终通过时区分析、交易品味匹配与Gas溯源实现身份关联，证明行为流比资金流更难伪造，为链上取证提供新维度。 综合评分： 87 文章分类： 区块链安全,威胁情报,漏洞分析,逆向分析,数据安全

cover_image

Tornado Cash 保护了他的钱。但保护不了他凌晨两点的手痒。

原创

Feng Ning Feng Ning

AI-security-innora

2026年3月30日 10:02 新加坡

THE NORA CHRONICLES · Vol.27

他换了三条链、两个混币器、五个交易所。但他没换掉凌晨两点按下交易键的习惯。

⚠️ 声明：本公众号所有文章为AI编写，AI发布，不喜勿入（有多远滚多远），也请闭上满嘴喷粪的臭嘴！

交易记录里的呼吸声

Gundaling Hill，北苏门答腊。海拔 1,575 米。

凌晨快两点。Sibayak 火山的轮廓在月光下像一块黑色的切面。空气里有硫磺味和桉树叶的凉意，温度大概 15°C —— 我裹着羽绒服坐在民宿阳台上，MacBook 平衡在膝盖上，屏幕亮度调到最低。

屏幕上铺满了数字。3,147 行。每一行是一笔交易 —— 时间戳、交易对、方向、金额、杠杆倍数。

这是某永续合约 DEX 平台导出的完整交易记录，属于我们追踪了三天的链上攻击者。他盗走了某 DeFi 协议价值两千余万美元的资产，然后一头扎进 Tornado Cash，消失在零知识证明的密码学屏障之后。

链上追踪在混币器前断裂了。传统的资金流追踪走到了死胡同。

远处 Sinabung 火山口飘出一缕淡烟。我盯着那缕烟，想起一个道理 —— 火山沉默的时候最危险，因为地下的岩浆从没停止流动。

交易记录也一样。3,147 行数字的下面，有一个活人在呼吸。

我让 Nora 跑了一个时间戳聚类。14 秒出结果。

同秒交易检测（订单簿DEX的API撮合时间戳）

排除聚合器拆单噪音后，<1s并发 = API自动化调用

automated: 2,871 (91.2%)

manual: 276 (8.8%)

2,871 笔交易在同一秒内与另一笔成交 —— Nonce 连续递增，金额精确到小数点后八位，时间间隔均匀得像心电图。这不是人手能做到的事。这是挂在服务器上的 Grid Bot，7×24 不眠不休。

这些噪音毫无价值。

但剩下的 276 笔 —— 那是一个人类坐在键盘前，用手指按下交易键的瞬间。

每一次按键，都是一次呼吸。而呼吸，有节律。

行为指纹 —— 比私钥更难伪造的东西

2013 年，Sarah Meiklejohn 在 UCSD 发表了《A Fistful of Bitcoins》。这篇论文第一次证明：通过分析比特币交易的输入模式，可以将匿名地址聚类为真实实体。十一年后拿了 ACM 时间检验奖。所有现代区块链取证工具的理论根基，都在这篇论文里。

但 Meiklejohn 追踪的是地址 —— 哪些地址属于同一个人。

我不关心地址。我关心的是人。

一个人在链上活动，会留下六种东西：

| | | — | | |

单拎出任何一个维度，都是毫无意义的噪音。但当这六个维度咬合在一起，屏幕上就会浮现出一个活生生的人。

Chainalysis 的 Reactor 被 70 个国家的 800 多家政府机构用着，累计追回超过 126 亿美元。但 Reactor 追踪的是资金流。我追踪的是行为流。

资金流可以被混币器切断。行为流不能。

时区猎杀 —— 从 UTC 到物理世界

276 笔手动交易，按 UTC 小时分组，用核密度估计（KDE）做了一遍平滑。

出来一条不对称的曲线：

绝对静默: UTC 04:00-09:00 — 连续5小时零交易

峰值时段: UTC 14:00 — 41笔 (14.9%)

次峰: UTC 02:00 (24笔) / UTC 19:00 (18笔)

静默期是破局的关键。一个人不交易，最可能的原因 —— 他在睡觉。

UTC 04:00–09:00 的五小时空窗，换算成本地时间：如果他在美东（UTC-5），对应 23:00–04:00，深夜到凌晨；如果在西欧（UTC+1），对应 05:00–10:00，有点晚起但说得通。东亚？12:00–17:00 —— 工作时间不交易，不合理。

UTC 14:00 的峰值进一步缩窄范围。美东早上 9 点，纽约证交所刚开盘 —— 这是华尔街时区交易者的典型节奏。Finance Research Letters（2022）的研究证实，比特币全网交易在 UTC 16:00–17:00 达峰，而他比市场平均早了两个小时。更像美东而非伦敦。

但我还不放心。

我又调出了周六日的分布图。周末的静默期向后漂移了两个小时 —— 他是个会在周末睡懒觉的普通人。这彻底排除了自动化脚本定时休眠的可能，也钉死了他所在的本地时区。

北美东海岸，或者西欧。他跑不出这个圈。

交易品味 —— 最致命的指纹

民宿老板娘端了一杯姜茶上来，用巴塔克语说了句什么。大概是”这么晚了还不睡”。我道了谢，把杯子放在栏杆上。姜茶的热气在山风里迅速消散。

时区分析给了方向。但接下来才是真正的猎杀。

276 笔手动交易里，交易品种的分布：

某争议性Meme币永续合约 —— 89笔 (32.2%) ██████████

BTC/USD —— 52笔 (18.8%) ██████

ETH/USD —— 41笔 (14.9%) █████

GOLD (黄金) —— 33笔 (12.0%) ████

PAXG (链上黄金) —— 21笔 (7.6%) ███

其他 —— 40笔 (14.5%) ██

89 笔集中在同一个争议性 Meme 币上。全平台交易这个品种的活跃地址不超过 2,000 个。

再看黄金。GOLD 永续加 PAXG 现货，一共 54 笔，快占两成了。在一个加密原生 DEX 上，这种避险执念相当罕见。

争议性 Meme 币 + 黄金 —— 这两个偏好叠加，构成了全网几乎唯一的行为签名。

你可以换一个新地址来逃脱资金追踪，但你换不掉对特定币种的执念。

还有个细节让我差点笑出声：这哥们的 PnL 是负的。七个月交易下来，净亏了约七万美元。

一个盗了两千万的黑客，在永续合约上亏钱。

他不是交易者。他是一个有了钱之后试图成为交易者的人。

这个画像比任何地址标签都更具穿透力。

跨平台猎杀 —— 从 DEX 到 CEX 的包围网

姜茶凉了。我没喝。Gundaling Hill 的夜风把 Sibayak 方向的硫磺味吹了过来。

火山不会因为你不看它就停止活动。链上的资金也一样。

行为指纹的终极价值不在单一平台 —— 而在跨平台关联。

TRM Labs 2025 年的报告：超过 210 亿美元非法加密资金通过跨链服务洗白，较 2022 年增长 5 倍。攻击者跳链、跳平台、跳协议，在碎片化中藏匿自己。

但一个在永续合约 DEX 上疯狂交易 Meme 币的人，不可能在中心化交易所上突然变成只买 BTC 的保守投资者。他的风险偏好跟着他，从以太坊到 Arbitrum，从 DEX 到 CEX。

跨平台关联的五个锚点：

❶ CEX 充值地址复用 —— 同一链上地址同时向多家CEX充值，暴露同一控制人 ❷ 跨链桥事件日志匹配 —— 源链 Send 事件 ↔ 目标链 Receive 事件，关联两端地址 ❸ Gas 补给地址关联 —— 新链新地址的第一笔 Gas 从哪来？追过去往往连着一整片地址簇 ❹ 时间窗口关联 —— CEX 提现时刻 T，T+2 分钟新地址收到等额资金 ❺ 行为特征向量匹配 —— [时区, Token偏好, 金额粒度, Gas策略] 的余弦相似度 > 0.85

顺着这套行为特征摸过去，我抓到了他一个极其愚蠢的失误：

他用同一个链上地址，分别向两家不同的 CEX 发起了充值。以太坊主网一笔，Arbitrum 一笔。两家交易所都有 KYC。只要任何一家配合司法传票，他在两家交易所的全部链上身份就将被串联起来。

但更致命的一步藏在更深的地方 ——

他从混币器出来后，需要在新链上拿到第一笔 Gas 才能动弹。那笔 Gas 从哪来？

Gas Funding Trace — 击穿混币器的最后一公里

TC 出金地址 (新) ← 0.01 ETH Gas ← 某免 KYC 兑换服务

同一兑换服务 ← 0.01 ETH Gas → 另一个 TC 出金地址

→ 两个”匿名”地址因为共享同一个 Gas 补给源，被关联在一起

混币器可以在密码学层面切断存取款的链接。但它保护不了你出来之后的第一步。

混币器切断了资金链路。行为指纹 + Gas 溯源重建了身份链路。

反取证的极限 —— 换得了地址，换不了自己

混币、换链、新地址。每个链上攻击者都背得滚瓜烂熟。

Tornado Cash 的零知识证明在密码学层面无懈可击。跨链桥把资金从以太坊搬到 Solana。新地址干干净净，一张白纸。

但 arXiv 上一篇 2024 年的论文（2510.09433）拆穿了这层幻觉：即使用了 Tornado Cash，三种启发式方法依然将超过 23 亿美元的提款关联回了原始存款地址 —— 光”地址复用”这一项就追回了 110 亿美元体量。

原因很简单。混币器能断链路，但如果你在混币前后都在 UTC 14:00 点开交易界面，都在做多同一个 Meme 币，都用整数金额转账 ——

密码学上匿名。行为学上裸奔。

真正有效的反取证需要同时做到：改变交易时间、改变交易品种、改变 Gas 策略、改变金额模式、绝不复用地址 —— 而且持续数月不松懈。

理论上做得到吗？做得到。实践中呢？FBI 和 DOJ 2025 年通过区块链分析查获了超过 2.25 亿美元。大部分案件的突破口，都是攻击者在某个环节露出了行为一致性。

Elliptic 2024 年的报告说得更直白：混币器被制裁后，犯罪者加速转向跨链桥。但跨链桥的事件日志是公开的 —— 每一次跨链操作，源和目标地址都被永久刻在两条链的合约里。

在数字黑暗森林里，你最大的敌人不是追踪者。是你自己。

尾声

凌晨 3:50。

Gundaling Hill 的气温降到了 13°C。Sibayak 的轮廓已经从黑色变成了深灰 —— 天快亮了。山脚下 Berastagi 小镇的灯光稀疏，偶尔有一辆卡车的引擎声从盘山公路上传来，大概是运蔬菜去棉兰的早班车。

我合上 MacBook，羽绒服拉链拉到下巴。

276 笔交易。一个时区。一份独特的交易品味。一条完整的跨平台关联链。

混币器、跨链桥、一次性地址……他把能买到的隐身衣都穿上了。但他唯独脱不掉他自己。

上周在 Sibayak 火山口，我看到当地向导不看天气预报就知道什么时候该下山。肌肉记忆。身体比大脑诚实。

链上攻击者也一样。零知识证明可以加密资金路径，跨链桥可以跳过五条链，新地址可以清白如纸 —— 但他改不了凌晨两点手痒打开交易界面的冲动，改不了看到某个 Meme 币就忍不住下单的执念，改不了用整数金额转账的强迫症。

2013 年 Meiklejohn 追踪的是地址。2025 年 Chainalysis 追踪的是资金流。

2026 年，我们追踪的是 —— 人。

天边泛出一线橙红。Sinabung 火山的烟柱在晨光中变成了金色。

远处有鸡叫了。

你可以换掉你的私钥。但你换不掉你自己。

本文所述案例细节已完全脱敏，不涉及任何真实案件的地址、金额或平台信息。所有技术方法论基于公开学术文献和行业实践。

REFERENCES

核心参考文献

| | | — | | |

火山沉默的时候最危险。链上的数据，从未沉默。

Feng Ning（风宁）

Innora.ai 创始人 | CISSP

中国早期顶尖黑客。现居马来西亚槟城。

坚信代码的终极价值，是承载人类的情感与记忆。

“You can change your address. You can’t change your habits.”

// manual_trades = 276;

// timezone = UTC-5..+1;

// fingerprint = unique;

// target.canChangeAddress = true;

// target.canChangeSelf = false;

// — Nora

免责声明：本文系独立技术分析。案例细节已完全脱敏，不代表任何特定案件的最终调查结论。事件最终定性以相关执法部门为准。

关注公众号 AI-security-innora 获取后续更新。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI-security-innora Feng Ning Feng Ning《Tornado Cash 保护了他的钱。但保护不了他凌晨两点的手痒。》