Was macht Analyse von Ransomware-Zahlungs-Wallets?
Wann verwenden
- Eine Organisation wurde von Ransomware getroffen und die Lösegeldforderung enthält eine Bitcoin- oder Kryptowährungs-Wallet-Adresse, die untersucht werden muss
- Strafverfolgungsbehörden oder Incident-Responder müssen verfolgen, wohin Lösegeldzahlungen nach der Zahlung des Opfers geflossen sind
- Bedrohungsaufklärungsanalysten attribuieren Ransomware-Kampagnen, indem sie Zahlungsinfrastrukturen über Incidents hinweg clustern
- Ermittler müssen feststellen, ob eine Ransomware-Gruppe Wallet-Infrastruktur über mehrere Opfer hinweg wiederverwendet
- Compliance- oder Rechtsabteilungen benötigen Nachweise über Geldflüsse für Strafverfolgung, Sanktionsdurchsetzung oder Versicherungsansprüche
Nicht verwenden für das Abfangen von Live-Zahlungen oder zur direkten Interaktion mit Ransomware-Betreibern. Alle Analysen sollten passiv und schreibgeschützt gegen öffentliche Blockchain-Daten erfolgen.
Voraussetzungen
- Python 3.8+ mit
requests,jsonundhashlib-Bibliotheken - Zugriff auf Blockchain-Explorer-APIs (blockchain.com, WalletExplorer.com, Blockstream.info)
- Vertrautheit mit dem Bitcoin-Transaktionsmodell (UTXOs, Inputs, Outputs, Change-Adressen)
- Verständnis gängiger Verschleierungstechniken (Mixer, Tumbler, Peel Chains, Cross-Chain-Swaps)
- Optional: Chainalysis Reactor-Lizenz für unternehmensweite Clusteranalyse
- Optional: OXT.me für erweiterte Transaktionsgraph-Visualisierung
Workflow
Schritt 1: Wallet-Adresse aus der Lösegeldforderung extrahieren
Analysieren Sie die Lösegeldforderung, um die Zahlungsadresse(n) zu identifizieren:
Gängige Adressformate:
Bitcoin (P2PKH): 1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa (beginnt mit 1)
Bitcoin (P2SH): 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy (beginnt mit 3)
Bitcoin (Bech32): bc1qar0srrr7xfkvy5l643lydnw9re59gtzzwf5mdq (beginnt mit bc1)
Monero: 4... (95 Zeichen, viel schwieriger zu verfolgen)
Ethereum: 0x... (40 Hex-Zeichen)
Schritt 2: Blockchain-Explorer nach Transaktionshistorie abfragen
Rufen Sie alle Transaktionen ab, die mit dem Wallet verbunden sind:
import requests
def get_wallet_transactions(address):
"""Query blockchain.com API for address transactions."""
url = f"https://blockchain.info/rawaddr/{address}"
resp = requests.get(url, timeout=30)
resp.raise_for_status()
data = resp.json()
return {
"address": address,
"n_tx": data.get("n_tx", 0),
"total_received_satoshi": data.get("total_received", 0),
"total_sent_satoshi": data.get("total_sent", 0),
"final_balance_satoshi": data.get("final_balance", 0),
"transactions": data.get("txs", []),
}
Schritt 3: Geldfluss kartieren und Cluster identifizieren
Verfolgen Sie Outputs vom Lösegeld-Wallet zu nachgelagerten Adressen:
Geldflussanalyse:
━━━━━━━━━━━━━━━━━━
Opferzahlung ──► Lösegeld-Wallet ──► Konsolidierungs-Wallet
├─► Mixer/Tumbler-Dienst
├─► Börsen-Einzahlungsadresse
└─► Peel Chain (sequentielle kleine Outputs)
Wichtige Indikatoren:
- Konsolidierung: Mehrere Lösegeldzahlungen in einem Wallet zusammengefasst
- Peel Chains: Sequentielle Transaktionen mit abnehmenden Outputs
- Mixer-Nutzung: Gelder an bekannte Mixer-Adressen gesendet (Wasabi, Samourai, ChipMixer)
- Börsen-Auszahlung: Einzahlungen in bekannte Börsen-Wallets (Binance, Kraken Hot Wallets)
Schritt 4: Querverweis mit bekannten Wallet-Datenbanken
Überprüfen Sie Adressen gegen bekannte Ransomware-Infrastruktur:
# WalletExplorer für Entitätsidentifikation prüfen
def check_wallet_explorer(address):
url = f"https://www.walletexplorer.com/api/1/address?address={address}&caller=research"
resp = requests.get(url, timeout=30)
data = resp.json()
return {
"wallet_id": data.get("wallet_id"),
"label": data.get("label", "Unknown"),
"is_exchange": data.get("is_exchange", False),
}
Schritt 5: Attributionsbericht erstellen
Fassen Sie die Ergebnisse in einem strukturierten Intelligence-Bericht zusammen:
ANALYSEBERICHT ZU RANSOMWARE-WALLETS
====================================
Lösegeldadresse: bc1q...xyz
Familienattribution: LockBit 3.0 (basierend auf Format der Lösegeldforderung)
Insgesamt erhalten: 4,25 BTC (178.500 $ zum Zeitpunkt der Zahlung)
Insgesamt gesendet: 4,25 BTC (Wallet vollständig geleert)
Anzahl der Zahlungen: 3 (wahrscheinlich 3 separate Opfer)
GELDFLUSS:
Zahlung 1: 1,5 BTC → Konsolidierungs-Wallet → Binance-Einzahlung
Zahlung 2: 1,0 BTC → Wasabi Mixer → Unbekannt
Zahlung 3: 1,75 BTC → Peel Chain (12 Sprünge) → OKX-Einzahlung
CLUSTERANALYSE:
Verwandte Wallets: 47 Adressen im selben Cluster identifiziert
Gesamtvolumen des Clusters: 156,3 BTC (6,5 Mio. $ USD)
Erste Aktivität: 2024-01-15
Letzte Aktivität: 2024-09-22
Verifizierung
- Bestätigen Sie, dass das Wallet-Adressformat gültig ist, bevor Sie APIs abfragen
- Querverweisen Sie Transaktionszeitstempel mit bekannten Incident-Zeitplänen
- Validieren Sie Cluster-Assoziationen durch Überprüfung der Common-Input-Ownership-Heuristik
- Vergleichen Sie die Ergebnisse mit der OFAC SDN-Liste für sanktionierte Adressen
- Verifizieren Sie die Börsenattribution über mehrere Quellen (WalletExplorer, OXT, Chainalysis)
Schlüsselkonzepte
| Begriff | Definition |
|---|---|
| UTXO | Unspent Transaction Output; die grundlegende Einheit von Bitcoin, die das Eigentum durch eine Kette von Transaktionen verfolgt |
| Clusteranalyse | Gruppierung mehrerer Bitcoin-Adressen, von denen angenommen wird, dass sie von derselben Entität kontrolliert werden, unter Verwendung der Common-Input-Ownership- und Change-Adress-Heuristiken |
| Peel Chain | Ein Geldwäschemuster, bei dem Gelder durch viele sequentielle Transaktionen gesendet werden, wobei jede einen kleinen Betrag an eine neue Adresse abzweigt |
| CoinJoin/Mixer | Datenschutztechniken, die die Transaktionen mehrerer Benutzer kombinieren, um die Verbindung zwischen Sender und Empfänger zu verschleiern |
| Common Input Ownership | Heuristik, die annimmt, dass alle Eingaben einer einzelnen Transaktion von derselben Entität kontrolliert werden |
Tools & Systeme
- Chainalysis Reactor: Unternehmensweite Blockchain-Untersuchungsplattform mit Entitätsattribution und plattformübergreifender Nachverfolgung
- WalletExplorer: Kostenloses Tool, das Bitcoin-Adressen clustert und bekannte Dienste (Börsen, Mixer, Märkte) kennzeichnet
- OXT.me: Erweiterte Bitcoin-Transaktionsvisualisierung mit UTXO-Graphenanalyse
- Blockstream.info: Open-Source-Bitcoin-Block-Explorer mit vollständigem API-Zugriff
- blockchain.com API: Kostenlose API zum Abfragen von Bitcoin-Adresssalden und Transaktionshistorien
- OFAC SDN List: Vom US-Finanzministerium sanktionierte Adressliste zur Compliance-Überprüfung