史上最大BTC失窃案（一）

Mt.Gox作为最早参与BTC交易的平台，比特币交易量曾占据全球的80%。然而2014年2月，Mt.Gox宣布停止交易并随后申请破产，总计约85万个BTC失窃。后续虽然找回20万个BTC，但仍有近65万个BTC下落不明。

作为史上最大数额的BTC失窃案，本文从更深层次的角度探究这些这起案件的始末发展，以及这件事情对虚拟货币市场产生了怎样深远的影响。

作者：willyreport

翻译：Boon 区块链社区

1.

发现异常交易

2013年12月，包括我在内的一些交易员开始注意到Mt. Gox上存在类似于机器人操作的交易行为。基本表现为，每间隔5至10分钟就会有10到20个比特币被买入。这种行为至少持续了一个月的时间，直到2014年1月才结束。这种交易行为都是一位名叫Willy的机器人所操作。

Willy的购买模式具有较强的规律性，我们可以很容易就能通过两个月前泄露的Mt. Gox交易日志中发现此规律。泄露的交易日志记载了直到2013年11月份的数据，11月末的交易数据具有很强的代表性，据此我发现了此种交易模式。以下是11月最后两天的交易记录：

数据来源说明：

重复数据删除。ID涉及到“THK”的用户，其交易目的是促进交叉货币交易，会被重复地复制到日志中，但其实并不属于真实交易用户。

相同交易整合。交易日志会记载网站上的每一笔交易对,我整合了在2秒内发生的涉及相同用户的交易行为(Mt . Gox网站上的大量用户使得交易延迟可达到两秒)。

可能会注意到，这些交易行为实际上涉及多个用户ID (即“UID”)。其实Willy不是一个独立账户，它的交易活动分散在许多账户上。有很多人其实知道它的存在，但这也许就是为什么其他人无法在数据库中找到它的原因。

我注意到这些账户都有一个共同点，即用户所属地国家/州都是无效字段。例如，“--”(未验证用户)或“!!”(验证失败的用户)。这是极不寻常的。通常一般用户，这些字段就会显示国家/州的FIPS代码(用于验证用户)。

2.

涉及金额巨大

账户筛选结束后，我将Wily每个账户购买的比特币总额加起来（没有一个卖出账户）。它们之间无缝连接，当一个用户变得不活跃时，下一个用户通常在几个小时内就活跃起来。他们的交易活动可以追溯到9月27日。交易的部分记录如下:

同时，我记录了每个账户什么时候活跃，买了多少比特币，花了多少美元。

我们可以总结出这些交易的基本流程：

新账户创建。

该帐户用一些特点数额的资金购买BTC（常见数额为250万美元）。

一段时间后，遗弃旧账户创建新帐户，重复以往。

统计得知，Willy总共花费了大约1.12亿美元来购买接近27万个比特币（大部分交易发生在11月购买的），也许比特币在一个月内突然升值10倍的原因就在于此。中国投资者的入场、丝绸之路的破产，这些事件可能有所影响，但它们不是主要原因。

3.

“Markus”浮出水面

此外，我注意到第一个Willy帐户ID为：807884（创建于9月27日）。它不同于其他帐户，它的账户ID数值极高，那时Mt. Gox 常规帐户ID数值只达到了650000左右。所以我在那个月内去寻找其他异常高ID用户，结果发现还有另一个ID为698630的异常帐户。

这个帐户在活跃时间近8个月，但在第一个Willy帐户开始交易的7个小时之前，却变得完全不活跃了。我们因此可以合理假设这些帐户由同一主体控制。为方便起见，我将称此用户为“Markus”。 其部分交易记录如下：