【摘要】 TokenStore理财钱包疑似跑路 关乎超2100名投资者和数亿元数字资产
6月10日，巴比特发出消息称，一款叫做 TokenStore 的理财钱包疑似跑路。区块链安全公司 PeckShield(派盾)随即介入对跑路资金展开追踪调查。
几天以来，PeckShield数字资产护航系统 (AML)，通过对一些涉及跑路的关键链上地址进行锁定追踪发现，本次跑路事件关乎超2,100名投资者和数亿元数字资产。被卷走加密资产涉及：BTC、ETH、ETC、XRP、EOS、LTC、USDT 等多个主流加密货币。
截至目前，PeckShield 已经追踪到部分币种的跑路流向，并在巴比特媒体和火币交易所等生态伙伴的协助下，尽可能的帮助受害者挽回资产损失：
06月11日早晨，PeckShield追踪到跑路资金中 EOS 资产，分别有25,803个 EOS 流入火币交易所，1,581个 EOS 流入 ZB 交易所，XRP资产中，有281,807个 XRP流入币安交易所，708,178个 XRP 流入火币交易所。
06月11日晚间，火币和 ZB 交易所分别对涉及的可疑账号实施了冻结或提币功能限制等紧急处理。
6月12日，PeckShield 追踪到跑路资金中 ETH 资产，总计约36,271个 ETH 被分散在4个主要地址当中，暂未发现流入交易所。
06月13日下午，PeckShield 追踪到跑路资金中 ETC 资产，已经有5笔总计42,746个 ETC 流入一个疑似交易所的地址。
……
与此同时，已经有将近千名受害者向 PeckShield 安全人员提供了一些相关交易地址，给 PeckShield 安全人员锁定跑路资金流向提供了非常大的帮助。
整体而言，此次TokenStore 钱包跑路事件，所波及用户数目，造成损失之大，涉及加密货币代币种类繁多，波及面之广，影响之恶劣触目惊心。
PeckShield 正持续追踪赃款进一步流向，并及时披露给媒体、交易所等生态伙伴，合大家之力，众志成城，尽可能帮助受害者挽回资产损失。
关于 TokenStore 钱包，官方宣称其具有“AlphaGo 智能搬砖套利”，“稳赚不赔，收益稳定”等功能，同时鉴于它采用推荐人获取收益手段，吸引了大量用户参与。
一般区块链链上资产进行转移/洗钱都会经历逃离追踪和洗钱抛售两个阶段：
将资产分散至不同地址，进行批量转移，以提高追踪的难度;
等待合适时机，将赃款分批汇入交易所，进行洗钱。
此次 TokenStore 跑路事件涉及的加密货币共有 BTC、ETH、ETC、XRP、EOS、 LTC、USDT 等。
PeckShield 目前已经追踪到 BTC、ETH、EOS、XRP、ETC 等重点数字资产的流向情况，接下来将分几个篇章分别向大家介绍。
ETH 篇
根据受害者反馈的信息，追查到其中有一部分 TokenStore 钱包的用户最近 20 天频繁与以下地址交互：
从 ETH 区块链浏览器可以看到该地址于06月10日出现了异动，余额中 21,476 个 ETH 被转移到了一个新地址0x5d9f…中，下图为 ETH 转移的动向图。以 0x6634... 地址为例，该地址仅05月31日当天就有 398 笔资金流入，而这一天正是 TokenStore 官方宣称『系统全面升级维护』的日子，至此之后 TokenStore 钱包就“消失”了，数千名用户踏上了维权之路。
PeckShield 安全人员分析 TokenStore 跑路事件 ETH资产转移的几个阶段：
大量用户通过交易所提现 ETH 至用户在 TokenStore 生成的用户地址中;
05 月 31 日前后，这些用户存在于 TokenStore 的地址都向 0x6634… 地址转账;
而在 06 月 10 日，多达 21,476 个 ETH 从 0x6634xxx 地址转移至 0x5d9f… 地址中。
这么多在 TokenStore 生成的地址在短时间内均向 0x6634… 地址转账?这一行为非常的可疑，PeckShield 安全人员认为用户存在 TokenStore 中的地址很有可能私钥为他人控制了，是何人所为，相信大家炳若观火。
由于以太坊网络上创建地址没有成本，地址没有标记说明，用户的资金被多次转往了多个不同地址，这给资产追踪带来了很大难度。PeckShield 安全人员通过反复的查证地址关联和流向，最终发现用户的资产主要被汇聚到如下4个可疑地址：
EOS 篇
最早，06月11日，PeckShield 安全人员在捕获一些关键地址后，就发现分别有
25,803 个 EOS 转入火币交易所，
1,581个 EOS 流入ZB 交易所，
交易所已经对相关账户采取了冻结等举措。
另外，根据 PeckShield 安全人员深入追踪发现，目前还有 320,077 个 EOS 存储于12个账户中，且尚未发生转移。
如下为截至目前，EOS 资产转移路径图：
在此，PeckShield 安全人员还原了 TokenStore 跑路事件中 EOS 资产转移的几个阶段：
TokenStore 钱包跑路后，用户存放于钱包中的大量资金被迅速转移至 newaccountcc 地址;
newaccountcc 将部分资金转入火币交易所;
之后，newaccountcc 中的剩余资金又被多次混淆到不同的地址和交易所。
在分析这些地址行为时，newaccountcc账户引起了 PeckShield 安全人员的重点关注，该账户创建于 2019 年 05 月31 日，第一笔资金就来源于 TokenStore 账户 交易：
之后 TokenStore 的充币和提币账户多次往该账户转账，而该账户在收到 EOS 后立即向火币交易所进行了转账：
至此，PeckShield安全人员以 ETH，EOS 为例分析了此次 TokenStore 钱包跑路事件后的资产转移情况，由于大量的未知资产还在流动，PeckShield 安全人员的追踪工作还在持续进行中，更多资产的转移详情 PeckShield 安全人员会在后续文章中持续更新。