ATM 被盗的现金，为什么出现在加密制裁名单里？

原创

BlockSec
BlockSec

BlockSec

2026年10月15日 18:08
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026 年 9 月 30 日，美国财政部宣布制裁一批与跨国犯罪组织 Tren de Aragua（TdA）有关的人员和企业。在 OFAC 公布的名单里，部分人员的条目下还列着 TRON 地址。这些地址的线索，要从美国的 ATM 盗款案说起：美方称，作案人员让取款机在没有正常客户提款的情况下吐出现金，随后设法转移赃款。

现金被带走只是开始。美国财政部称，这个以墨西哥和委内瑞拉为基地的网络向美国派人实施盗款，所得在组织成员之间转移，并通过包括加密资产交易在内的方式洗钱。盗款发生在线下，资金转移却延伸到了链上；因此，OFAC 的制裁名单同时涉及涉嫌作案和协助洗钱的人员、关联企业及加密地址。

钱是怎么从 ATM 里被拿走的

美方将这种攻击称为 ATM jackpotting。按财政部公布的典型手法，作案人员先观察目标设备，再非法接触 ATM、安装恶意软件，随后使机器在未经正常取款授权的情况下吐出现金。设备内的钱被人取走了，客户账户却没有发生对应提款，损失落在金融机构一侧。

美国财政部指控，Anibal Alexander Canelon Aguirre 是这一网络的关键人物，别名 Prometheus。Aguirre 涉嫌开发攻击所用的恶意软件，并从墨西哥和委内瑞拉向美国派出作案队伍。公告发布时，Aguirre 已在 FBI 十大通缉犯名单上，也因相关活动在美国内布拉斯加联邦地区法院受到起诉。

软件开发者不必站在 ATM 旁边，现场人员却必须接触机器并带走钞票。Aguirre 涉嫌组织的行动把两端连在一起：有人负责技术和协调，有人负责执行盗款，随后还要处理带走的现金。财政部甚至提到，Aguirre 曾与犯罪所得合影，并指控其参与后续的加密资产洗钱。

被列入此次制裁的 Aslhy Javier Galeano Basurto，还有一段较早的记录。财政部称，此人曾于 2017 年因涉嫌操纵 ATM 在美国被拘留，当时身边有装着大量现金的背包。这段经历不能证明本次起诉的全部指控，但让案件中“带走现金”的线下环节有了更具体的轮廓。

现金离开机器之后

盗款所得要转到境外，还需要后续接收和分配。美国财政部称，赃款在 TdA 成员和关联人员之间流转，以掩饰非法来源。TdA 起源于委内瑞拉，已被美国列为外国恐怖组织；美方将这组 ATM 盗款列为该组织的收入来源之一。

财政部明确指出，涉事网络采用了加密资产交易清洗盗款所得，Aguirre 的多名关联人员也被指参与其中。加密交易被用于转移犯罪所得，而盗款本身发生在链下的银行设备上。银行能够核查设备与现金损失，后续接触这些资产的交易所和支付机构，则可能只看到客户的兑换、入金或转账记录。

图 1：依据美国财政部公告整理的流程示意。公告未完整披露现金兑换渠道及逐笔链上去向，图中不代表实际交易路径。

这里有一道尚未被公开材料填上的缺口：现金究竟在什么地方、经由谁换成了加密资产？财政部公告没有交代完整兑换渠道、具体币种或逐笔交易路径。我们可以确认美方将加密交易列为洗钱方式，不能把某个兑换商、钱包或稳定币路径画成本案已经查实的资金流。

为什么名单里还有公司和地址

在这些人员之外，OFAC 还制裁了与部分涉事者有关的墨西哥企业。名单覆盖公司和地址，反映出美方不仅在追查 ATM 盗款，也在识别涉嫌协助转移资金的人员，以及这些人员控制的主体。

美国财政部称，Oscar Leonardo Martinez Pirona 持有 Enigma Community，Alejandro Mejia Castillo 持有 Soluciones Integrales Toluca。OFAC 将这两家企业列入名单，依据是它们与相关受制裁人员的所有或控制关系。公告没有指出两家公司分别完成了哪一笔现金兑换，不能因此称它们是已经查明的洗钱中转站。

公开名单还在部分人员条目下列出了 TRON 地址。姓名帮助机构核查客户身份，企业信息指向所有权和控制关系，地址则可以与收付款记录比对。人员、公司和地址需要一起核验，但一笔资金与名单地址有过接触，仍不足以单独证明交易对手也参与了盗款。

需要说明的是，同日公告另有一名被指参与非法金矿活动的 TdA 领导人。该项指定与 ATM 盗款网络一同公布，却不能据此将两条案情合成一条已经证实的资金路径。制裁名单说明谁受到限制，具体交易关系仍要靠相应材料核查。

对加密机构而言，风险在哪一段出现

银行最先发现的是 ATM 内现金被盗。等有人拿着这笔钱去兑换加密资产，或把兑换后的资产存入交易所，接手的机构看到的可能只有开户资料、入金记录和一张兑换凭证。凭证能说明资产在哪里买到，却未必能说明购买资产的钱从何而来。

交易所和加密支付团队因此需要对照客户身份、付款资料与兑换记录，检查客户对资金来源的解释是否说得通。链上记录可以帮助核查资产进入平台后的往来，以及是否触及已知风险主体；至于兑换前的现金来自哪里，还需要线下材料支持。

OFAC 更新名单后，机构还需要按适用要求回看已有客户及历史收付款关系。直接命中公开地址，可从对应交易和客户身份查起；通过中间地址形成的间接关联，则要进一步核对时间、资金方向及平台账户归属。不同客户经过同一家兑换服务，不能仅凭这个共同节点认定他们属于同一犯罪网络。

图 2：BlockSec 整理的机构排查流程示意。是否限制交易或采取其他处置，仍须结合证据、适用法律及机构审批。

这起案件把一件事讲得很清楚：调查人员能沿链上交易继续追踪资产，却无法只靠区块链记录确认最初那笔现金从哪里来。客户身份、付款凭证、兑换记录与链上路径需要相互核对；哪一环缺证据，就应把它留作待查问题。

对于交易所和加密支付机构，风险排查需要同时覆盖入金来源和出金对象。名单更新后，团队还要回查已有客户与持续往来的地址。BlockSec 的 Phalcon Compliance 产品支持地址筛查、交易监测和地址持续监控，帮助合规团队发现需要复核的制裁风险与可疑资金往来。

发现风险后，合规人员还需要把交易放回具体的资金路径中看：资金从哪些地址流入、经过了什么环节、客户的解释能否与记录对应。Phalcon Compliance 提供风险标签和资金路径信息，帮助团队确定需要进一步核实的交易与对手方，并留存筛查和处理记录。本案最早的现金来源和兑换经过仍须结合客户材料、平台账户记录调查；工具提供线索与依据，交易限制和监管报送由机构审核决定。

本文依据美国财政部及 OFAC 公开材料解读案件。涉及个人的犯罪行为属于美方指控，不等于法院定罪；两张配图为示意，并非 BlockSec 对本案的独立链上调查结果。

点击【阅读原文】，立刻体验 Phalcon Compliance。

BlockSec 的愿景，始终是构建一个安全、合规的 Web3 世界。

关于BlockSec

BlockSec 是全球领先的区块链安全和合规公司，于 2021 年由多位业内知名专家联合创立。BlockSec 致力于提升 Web3 世界的安全性和易用性，提供一站式安全服务，包括智能合约/链/钱包安全审计服务、协议安全和数字货币合规(AML/CFT)平台 Phalcon Security / Phalcon Compliance / Phalcon Network、资金追踪调查平台 MetaSleuth和区块链交易分析工具 Phalcon Explorer 等。

目前，BlockSec 已服务全球逾 1000 家客户，既涵盖 Web3 知名公司 Coinbase、Cobo、Uniswap、 Compound、MetaMask、Bybit、Mantle、Puffer、FBTC、Manta、Merlin、PancakeSwap 等，也包括了权威监管机构及咨询机构，如联合国、SFC、PwC、FTI Consulting 等。

官网：https://blocksec.com/

Twitter：https://twitter.com/BlockSecTeam

推荐阅读 👇

BlockSec