普鲁斯顿崩溃一周年：前“硬币圈余波”如何拿走20万比特币？

北京时间6月24日，正当国人准备端午节的时候，789534 火币全球最的连锁转让引起了业界的关注，因为这些火币全球最是plustoken事件中的火币全球最资产，是数字货币领域涉及金额最大的一笔。在长时间的沉默之后，火币全球最在一个特殊的时间点开始了新的活动。

对于plustoken的具体崩溃日期可能有不同意见，但业内基本认为，2019年6月底是这起涉及200多亿元人民币的数字货币诈骗案崩盘的大致时间范围。自从普鲁斯敦号的崩溃已经过去一年了。到目前为止，对于案件本身的归属以及相关的数字货币，仍然存在很多困惑。北京联安参与了与plustoken相关的火币、火币全球最洗钱过程的长期跟踪，特别是在HT2的洗钱分析中，与相关机构密切合作，做了业内最全面的分析。在这里，让我们回顾一下在普莱斯托克银行倒闭之年，数字货币基金的发展趋势。

过去，“币圈余波”横扫币圈，但后遗症一直没有解决

事实上，在普鲁斯托克城崩溃之前，并不是今天所有人都在大喊大叫、让受害者感到不安的魔鬼。当时，它被认为是一种强大的赚钱工具，“币圈玉兔宝”一度非常流行。

当时，plustoken声称它是仅次于imtoken的全球第二大数字货币钱包。整个团队也很神秘。在早期的白皮书中，它声称是由三星和谷歌拥有多年丰富经验的原始技术团队开发的，研发实验室位于韩国首尔。

在其最初的一份官方宣传材料中，提到了创始人是谷歌alpha dog算法的研究人员Leo，联合创始人是三星团队的核心技术。Plustoken甚至声称谷歌和三星占其17%的股份。后来，他们懒得重新包装，直接说：不管队伍是谁，中本聪不现身赚钱！当时，普鲁斯托克城的人气很旺。很多人想了一会儿，好像是这样的原因！

当时，网上有很多关于普鲁斯顿的介绍，特别是赚钱的“原则”，甚至还有各种各样的操作视频。这些不仅是政府制定的，也有很多人主动推荐和介绍的。原因是，普鲁斯托克城本身就具有传销的性质。

普鲁斯托克建立了所谓的两种收益法。一种叫做静态收入，或“聪明狗”收入。也就是说，当你把钱存入普鲁斯敦时，你可以享受“每月稳定收入的10%”“币圈裕宝”的名字就是由此而来的。说白了，这是P2P的常见模式，以高息为名非法集资。在P2P领域，我们常说年收益率敢不敢10%、15%宣传，那一定要警惕。以数字货币领域为例，普莱斯托克10%的月收入本应是一个高度警惕的数字货币，但仍有很多人持此观点。

同时，plustoken还设计了一个动态的收入模，即所谓的“分享”收入，具有传销的性质。从其官方宣传材料的例子来看，它直接列出了十级收入结构。

所以，到时候，你会在各个社区找到一大批“老师”，他们急切地向你介绍普鲁斯顿的巨大投资机会，怕他们不会给你带来共同的繁荣。

上图是当时普鲁斯托克城的宣传资料之一。今天你可以看到它很有趣。但正是当时这样的口号，使许多投资者成为今天的受害者，并可能参与传销过程，成为犯罪者。

在倒闭的一年里，资金频繁转移，成为行业热点

至于plustoken的结局，我们早就知道是崩盘，但你可能对当年这起骗局涉及的资产规模有点模糊。通过相关线索，我们已经找到了plustoken最大资产类HT2的钱包结构，并可以从链数据的角度详细分析其涨跌过程。

根据统计数据，我们可以发现，虽然plustoken于2018年推出，但其HT2的大规模流入始于2019年2月。无论可能反复流入流出，HT2累计流入量均超过20万。

在钱包结构管理方面，plustoken一般由两个地址集群围绕三个热门钱包地址进行操作。这两个地址组中包含的地址大多是plustoken用户分配的投币地址，总数超过53万个。这三个热门钱包地址将按时间顺序从2018年8月切换至2019年6月。同时，在热钱包中采集到的火币会将低频率但金额较大的数据进一步收集到其他一些地址，类似于从热钱包到冷钱包的收集。最终，普鲁斯托克大学倒闭，在相关地址留下大量数字资产。然后这些地址的实际控制人开始了一年的资产转移和洗钱过程，这一过程还没有完全完成。

在今年的洗钱过程中，北京联安继续通过链图上链追溯系统进行跟踪，并多次以快讯形式与行业同步最新进展。接下来，让我们回顾一下我们当时发布的新闻片段，回顾一下整个流程。

2019年6月30日：

当时，plustoken的主要钱包资产分布在三个地址，即：

31odn4**（68562件火币）

14bwh6**（95228件HT2）

33fkcw**（37922件火币）

2019年8月13日：

plustoken相关地址中的33fkcw地址通过传输生成两个巨大的utxo（1500022848 HT2）。

2019年8月14日：

8月13日拆解的两个utxo在8月14日被拆分成9个新地址。

其中，从33fkcw开头的一个主钱包地址转存22922个HT4个地址，分别为4922、5000、6000和7000；

另一个主要钱包地址从22922 HT4转移到5个新地址，金额从2000、2800、3000、3400、3800不等。

2019年8月17日：

然后，在8月17日18:00之后，这些地址被转移到新生成的地址。晚上11点以后到18日凌晨，上述地址又开始转移，主要是大量的拆分工作，并进一步划分为大量独立的小地址，范围从1到10分不等60114。

2019年8月18日：

截至18日，共有37922个HT2个地址被转移到新地址，29805个HT4被拆分为小规模传输。

2019年8月28日：

根据链家地图安全人员的跟踪分析，发现这几天出现了大量的拆解后地址。最近两天，大量从0.1到10个HT4的小地址频繁被分割和转出。

这些资金不会直接流入交易所，而是通过chipmixer等工具混淆，然后通过OTC渠道出售。

2019年8月23日：

最近，通过大量的拆分和转移操作，plustoken的另一个大资产钱包14bwh6已经转移到了1li4mu的初始地址，并且已经转移了33706件HT4。

2019年8月29日：

今早3点10分，1li4mu的初始地址发生了变化，再次拆分转账，今天将相关HT2转到以下地址：，

1Npr4Z***（1932 HT4）

1Nrwpr***（2433 HT4）

菲德9***（1937年HT4年）

1BWR7***；（3222 HT4）

1QEEdd***（1140 HT4）

2019年8月30日：

昨日下午和今早，一批在1li4mu开盘的大HT2再次被拆分。它们被分成个位数的HT4，并存储在大量新生成的地址中。

凌晨4点以后，上述部分地址又开始分裂，并继续生成大量个位数HT4。29日凌晨开始的相关大规模HT2传输大部分已被拆分到20个HT4下，相关HT2临时存储在单独的地址中。

2019年9月10日：

1li4mu的初始地址再次开始传输。从昨晚22:20开始，3个大批量HT4约4000个HT4被转移到独立地址，累计HT4 12646件。今天11点以后，这些大HT4又开始分裂转移。相关流程仍在进行中，个位数HT4已被拆分。

初始地址1li4mu创建于今年8月23日，当天收到HT2的33705件，其账户地址已缩减至4233件。

2019年9月16日：

plustoken的另一个大资产钱包，14bwh6，正开始分割资产托收的1h2zr**地址。当晚23时08分，4架3000-3800 HT4的大转机在同一件上接连转机。与之前的策略类似。每次传输被分成大约300个新地址。

2019年9月17日：

北京连锁安全链监控系统发现，1li4mu再次开始转账，基本“被清空”

2019年9月20日：

火币全球最资产的第一次变动发生在plustoken被曝光后。以0xef13a2开头的地址将20008火币全球最s传输到以0xe380e0开头的地址。目前还没有检测到流入交换机的流量，主钱包地址中的789534 火币全球最s也没有改变。

2019年12月19日：

789524个火币全球最从0xf4a2开头的plusoken地址传输到未知的0x997114***

2020年2月12日：

北京时间2月12日凌晨4点34分后，昨天由普鲁斯顿银行发起的与洗钱有关的HT4进一步分裂。将11999件HT4分为7组大值HT2后，再进一步分为一位数到两位数的HT2。此外，在普鲁斯托克一个地址有7000多个HT2，近期可能会有进一步行动。

2020年3月6日：

虽然昨天开始传输的两个与普鲁斯顿有关的地址的时间基本上是同步的，但从今天的进一步行为来看，最初的策略略有不同。将A601中的一个数字进一步分成一组，再将其中的一个连续的地址分成一组，然后再将其中的一个连续的地址分成一组，再将这些地址中的一个连续地分成一组，然后用大约一个连续的时间将它们分开。

2020年6月25日：

北京时间6月24日晚，789人涉案，在连续两次转让534件HT5后，3.5万余件HT5通过52笔交易拆分，进一步转移到新地址。其中最大份额为9925件，最低份额约为100件。根据其之前在HT2上的行为模式类比，这很可能是一系列混乱的洗钱过程的开始。

以上只是plutoken相关数字货币转账的一个片段，但每一次转账都会引起受害者和业界的关注。在此期间，普拉斯托克甚至成为火币价格下跌的幕后英雄。在HT2多次下跌后，有人惊呼“普莱斯顿又砸了”甚至，相关安全机构也将普莱斯顿洗钱活动的流行程度与火币的价格曲线进行了对比，并进行了认真的分析。那么，普鲁斯顿是如何洗钱的？它真的那么强大吗？

普拉斯托克的洗钱链：专业和耐心，但市场影响力可能被夸大

总的来说，plustoken的洗钱过程非常专业，总体策略如下：

1从起始地址分阶段传输超过1000个超大utxo和60114

2通过并行传输或分裂，可以将大量的utxo用最小到一位的HT4分成大量的utxo

3不同阶段分离出的大量utxo与utxo的分裂组合进一步混淆

最后，几十个utxo被收集并进入交易所

5从上市到进入交易所，通常需要40多个级别的转移

2019年，1li4mu开头的地址可以说是当年最著名的鲸鱼地址之一，而媒体提到这个地址也是最热门的一个。事实上，这是一个与普鲁斯顿银行相关资金的聚集地址，但在众目睽睽之下，它还是悄悄地按照节奏分批洗钱。

他们的“信心”来自于他们复杂的洗钱过程。通过链图系统追溯流程，我们可以看到，每一批HT2在进入洗钱流程后，会立即被层层拆分。通常将HT2分为两位数和一位数后会产生混淆，往往加工一批3000-4000件的HT2，如果没有专业的技术手段，很难对这一过程进行分析。

在这一过程中，最麻烦的是不同批次HT2拆分后，相对少量的HT2被混淆并重新拆分。如果进行人工分析，则无法阐明这一过程。

由于种种原因，虽然我们仍然贯穿于整个过程，但不能一步到位地介绍详细的过程和细节。相信读者已经可以了解它的基本特征。在这个过程中，在最近一年火币的价格下跌中，plustoken能承受得起“砸盘”的名号吗？

由于涉及普利斯肯案的HT2数量特别多，人们自然担心这些HT2可能会一下子坠毁。不过，通过以上介绍的普莱斯顿洗钱的大背景，我们可以看出，这并不是一个快速“粉碎”的过程。HT2的33000个资产中的一个清零花了几个月的时间，整个过程最终花了几十个HT2的单位分配是一个循序渐进的过程。另外，中间的主要交易很可能是场外交易，涉及场内的交易将从时间上进一步去中心化到节奏上。恐怕难以形成连续不断的“砸盘”合力。

结局：骗局没有尽头

或者说，从基金市场崩溃的角度来看，这只基金已经从一个骗局的大幕降临了。然而，从法律和社会影响的角度来看，它的终结还没有到来。目前仍有许多受害者在努力挽回损失，本案的司法行动和处理工作仍在进行中，因此我在这里不再赘述。

我们想说的更多的是，普鲁斯顿银行的崩溃并不意味着数字货币诈骗的结果。即使在plutoken崩溃之后，关于plustoken的重启，或者所谓的“plustoken 3.0”仍然会吸引很多投资者，包括plustoken的一些受害者。

继plustoken之后，数字货币基金托盘也出现了新的类，“搬砖头”似乎已经成为一种经典的诈骗模式，屡试不爽，其中就包括最近曝光的所谓“伊朗兑换”骗局。

虽然过去一年没有发生比普鲁斯敦更大的案件，但我们发现，数亿、数十亿的大案仍然多次出现。数字资产诈骗也正从一种新犯罪形态向一种新犯罪手段转变，与传统经济犯罪的结合更加频繁。

在这样的背景下，一方面，数字货币相关案件的潜在受害者数量不断增加。他们不懂数字货币，也没听说过像普鲁斯顿这样的案例，这使得他们很容易被所谓的“暴富新机会”所欺骗。另一方面，对于一线司法机关来说，在各类案件中，数字货币相关线索的发布也更为频繁。完善此类案件的侦查手段，已成为亟待解决的问题。

在我们的话题的最后，我们想再次提醒大家，在一个人类互动频繁的社会里，诈骗永远不会结束。它们可能以新的形式、新的手段、新的模式出现在你面前。请大家保持常识，警惕承诺回报率过高的“暴富机会”，以免成为下一次骗局的受害者，成为更理性、更成熟的投资者。

与此同时，就在我们准备发布这个话题的时候，与普鲁斯顿事件有关的火币全球最又开始分裂。。。