1. 本期介绍

本期节目录制前夕，10月14日，美国对东南亚太子集团实施了联合制裁，FinCEN将柬埔寨汇旺集团从美国金融体系中剔除，OFAC寻求没收12.7万枚比特币。多年来，汇旺集团一直为恶意网络行为者清洗加密货币诈骗和抢劫所得，这起事件揭示了数字货币在跨境犯罪中的复杂角色。

这一期支无不言，我们邀请到BlockSec 联合创始人、网络安全专家周亚金教授，深入探讨链上反洗钱的话题。从协助普通投资人追回Rugpull的款项，到通过hacking back（利用黑客攻击合约中有漏洞）从而拯救回项目方的资金，再到第一时间收集链上的洗钱情报，周教授将分享技术赋能数字货币犯罪调查的真实案例。

在加密货币和区块链技术迅速发展的今天，反洗钱合规与链上安全成为全球关注的焦点。如何平衡合规要求与用户体验？执法机构如何在链上追踪黑钱流动？新兴技术如隐私币和AI Agent支付又将带来哪些挑战？对于开发者和普通用户而言，这些洞见或将改变你对加密世界风险边界的认识。

嘉宾 周亚金博士

BlockSec联合创始人，浙江大学区块链安全教授，顶尖知名网络安全学者和专家。

主播 Hazel Hu

播客《支无不言》主理人，6+年财经媒体记者经验，华语公共物品基金GCC核心贡献者，关注加密的实际落地应用。X：0xHY2049；即刻：一只不走心的越越

主播 Ivy Zeng

播客《支无不言》主理人，曾经在VC做投后，参与pop-up city与支付结缘，目前在新型银行负责增长。X：IvyLeanIn； 即刻：饭勺放在杯子里

【赞助商】

本节目由全球领先的区块链安全与合规科技公司BlockSec 赞助播出。

作为联合国、香港证监会、美国FBI等50多家监管与执法机构的信任之选，BlockSec KYT链上反洗钱平台帮助稳定币支付企业轻松满足不同国家监管要求，精准识别非法资金，自动生成可疑交易报告。

2. 美国制裁与东南亚电诈产业链

Hazel：最近美国OFAC 制裁了柬埔寨的太子集团和汇旺集团，并冻结约12 万枚比特币，这在圈内引起了轰动。您怎么看？

周亚金：

这次制裁实际上涉及两起事件：

OFAC对太子集团及146 个关联个人和实体实施制裁，指控其涉及电诈、人口贩卖和洗钱。

FinCEN（美国金融犯罪执法网络）依据《爱国者法案》第311 条，对汇旺集团实施金融禁令，禁止美国机构为其开设账户。

两起行动反映出：美国正加大对「东南亚电诈产业链」的金融打击。据官方数据，2024年仅因东南亚诈骗，美国公民损失已超100 亿美元。

Ivy：外界说被冻结的比特币可能与两年前的矿池被盗事件有关，这是真的吗？

周亚金：是的。链上分析显示，这些比特币与两年前矿池被盗资金地址相连。美国政府声称这些资产现由其托管，而被盗事件或许本就是一场秘密执法行动。虽然官方未确认，但迹象显示他们在那时已控制这些资产，两年后才公开司法程序。

Ivy：很多人担心，如果无意间收到了被制裁相关的钱怎么办？

周亚金：

可以分三步应对：

交易前合规筛查：使用链上合规工具（如sanction combine）扫描对方地址，判断资金来源风险。

资金隔离：若误收可疑资金，应与主账户分离，避免波及全部资产。

主动申报：及时提交STR（可疑交易报告） 给当地监管方，证明自己履行合规义务，为后续资金解冻留下凭据。

Hazel：很多黑钱是通过波场流动的，波场会受冲击吗？

周亚金：总体影响有限。被冻结资产主要是比特币，不是稳定币。波场体量大，虽受牵连，但不会出现系统性风险。

Hazel：那OKX、币安等离岸交易所呢？

周亚金：它们不受美国直接监管，但若想在美国合规化，仍需提前做好AML（反洗钱）措施，否则未来可能面临审查或封禁。

Ivy：既然资产早在两年前已被控制，为何现在才宣布没收？

周亚金：因为过去两年美国执法部门一直在收集证据、完善链上追踪链条，如今才正式提起刑事诉讼。即使太子集团负责人陈志不被引渡，这起案件仍会对其商业网络造成巨大打击——没有人再敢与被制裁方往来。

3. 链上洗钱与加密资产的合规挑战

Hazel：现在洗钱用稳定币越来越多，对吗？

周亚金：是的。从2021 年起，稳定币在黑产交易中的占比已超过比特币。洗钱路径一般是：USDT → 以太坊→ 混币器（Tornado Cash 等）→ 比特币/隐私币。越专业的犯罪者链上跳转越多，而初级黑产往往直接提到交易所洗出。

Hazel：这波稳定币热从今年6月开始，作为反洗钱合规机构的Blocksec，您感受到哪些明显变化？从安全从业者角度来说。

周亚金：我们确实感受很明显。早在去年下半年就开始看到链上合规API 的订阅量上升——订阅者不再只是传统的crypto 企业，还出现了支付公司、电商、小OTC 商户和个人高净值用户。原因是稳定币生态的扩展和监管推动（如美国、香港相关法规）把稳定币从小众工具推向更广泛的真实世界场景，进而带来合规需求的“破圈”。

Hazel：这些订阅API 的客户具体是哪类？是不是更多是传统企业？

周亚金：

主要分两类：

小型OTC、支付或电商商户，需要轻量级地址风险筛查来过滤可疑资金；

个人高净值用户，在出入金时希望做简单的风险扫描。大公司确实需要更完整的KYT/KYC/KYA 体系，而轻量API 更适合前两类场景。

Ivy：能给我们举几个链上洗钱与合规相关的典型案例，让Web2/Web3 从业者也能理解吗？

周亚金：

可以把场景拆成两端说明：

法币（Web2）常见洗钱方式：比如诈骗受害者把钱打入指定银行账户，犯罪组织通过雇佣“车手”到线下提现、过账，最终把钱“洗出”。这种方式在传统银行监管下逐步受限。

加密（Web3）常见洗钱方式：诈骗资金通过OTC 或线下兑换迅速换成稳定币（如USDT），随后通过大量新建地址、多层转账、混币器、跨链桥等手段掩盖源头，最终进入中心化交易所或变现（购黄金、充值卡等）。加密链上地址创建低成本、匿名性强，洗钱路径更短、更难追踪。

4. 黑客攻击与加密资产盗窃

Hazel：犯罪分子如何快速获取大额加密资产？常见攻击手段有哪些？

周亚金：

主要有三类高发手法：

私钥窃取（社工+ 恶意软件）：通过社工、伪装面试/投资邀请、诱导安装恶意软件等手段直接窃取私钥；

钓鱼并诱导签署“无限授权”交易：诱导用户签署恶意授权，使攻击者能无限制转走代币——损失可达到数千万美元；

DeFi协议漏洞攻击：利用智能合约漏洞直接提取合约资金，单起事件损失可达数亿。

Ivy：对普通企业或个人，有哪些实用的防护建议？

周亚金：

三点落地建议：

交易前做合规/地址风险扫描：引入链上筛查工具，审查对方地址的历史和关联风险；

资金隔离：可疑资金与主资金严格分离，避免被冻结时波及全部资产；

及时申报可疑交易（STR）：一旦发现可疑流入，按监管要求提交可疑交易报告，履行义务能为日后解冻或合规证明提供帮助。

Ivy：这两年，大家的钱包安全意识似乎提高不少，但我们还是不断看到“钓鱼网站”、“伪装空投”、“签名被盗”的案例。为什么这种老套路依然屡屡得手？

周亚金：说白了——用户根本不知道自己在签什么。即便现在的钱包体验越来越好，比如OKX、MetaMask、Rabby 等都尝试优化“可读签名”，但底层问题依旧没解决：用户看到的往往是十几行十六进制代码；钱包难以准确解析智能合约的意图；签名授权界面仍然模糊、笼统。结果就是，大多数人依旧在“盲签”。比如攻击者会伪装成NFT空投邀请、项目合作、KOL联名活动，让用户“验证钱包”或“领取奖励”，实则在后台发起一个“无限授权（Unlimited Approve）”交易。用户一旦确认，黑客便获得该钱包中所有代币的操作权。

Ivy：那硬件钱包不是更安全吗？

周亚金：硬件钱包能防止私钥被盗，但防不住“误签”。很多用户在硬件设备上看到“签名确认”，仍不知道背后含义。这就是加密安全的一个悖论：技术越来越强，但风险的起点始终在人。硬件钱包不触网带来了新的问题——用户更加无法解读自己所签署的信息。相当于也失去了解析交易的帮手。

Ivy：我们常听说“链上洗钱”，但其实洗的钱从哪儿来？这些“黑钱”主要源自哪些类型？

周亚金：

可以简单分为五大来源：

电信诈骗/ 传销盘：这是最常见的类型。诈骗资金通过线下中转后，以OTC方式换成稳定币流入链上。

勒索与黑客攻击：包括“钓鱼授权”盗币、协议漏洞、DeFi攻击等，一旦得手，往往短时间内分散转移。

非法集资/ 资金盘：像过去的PlusToken、蓝天格瑞特，收完钱后用数字货币中转，掩盖资金去向。

恐怖主义与灰色组织融资：部分组织会在Telegram 或暗网公开钱包地址募捐，比如支持某地区战事、恐怖活动。

黄赌毒、色情、儿童剥削：一些暗网平台用稳定币作为匿名支付手段，隐蔽而高频。

其中，恐怖主义融资是各国监管最敏感、打击最严的类型。
国际刑警、FATF（反洗钱金融行动特别工作组）等机构近年不断强调：必须将“链上可追踪性”纳入反恐融资框架。
一些国家甚至要求交易所、支付机构实时监测钱包是否与制裁名单有关联。

Ivy：那链上真的追得到这些资金吗？犯罪分子不是可以“洗干净”吗？

周亚金：完全洗干净其实很难。虽然区块链看似匿名，但每笔交易都有痕迹。现在执法机构会借助链上分析公司（如Chainalysis、BlockSec 等）的情报系统，通过资金流图谱追踪资金路径。他们能看到：资金从诈骗钱包流入混币器；再经跨链桥跳转到其他链；最后汇入某个中心化交易所。只要其中一个环节触达受监管机构（如交易所做KYC），资金就有机会被标记和冻结。所以现在很多“职业黑产”会刻意缩短停留时间，用几百个新地址在几分钟内完成分散转移，以追踪难度换取时间差。

Ivy：听上去，这更像是一场“算法与算法”的战争。

周亚金：确实。洗钱者在用自动化脚本生成转账路径，执法方则用AI风控模型来识别异常链路。过去靠人肉盯，现在靠机器“算风险”。这也是链上安全的技术前沿。

5. 供应链攻击与Web3的安全隐患

Hazel：最近行业里出现一个新词——“供应链攻击”。它和传统黑客攻击有什么不同？

周亚金：简单说，它不直接攻击你，而是攻击你所依赖的软件。举个例子：一个Web3钱包或交易所，用了一个开源的第三方依赖库。如果这个库在更新时被恶意篡改（比如原开发者电脑被黑、GitHub账号被盗），恶意代码就可能被无声注入整个产品。等钱包用户更新到这个版本时，攻击者已经能在后台收集助记词、签名或操作权限。

这类攻击更隐蔽，原因有三：

开源项目无人审核：大部分依赖库没有强制安全审计；

开发者身份不透明：一旦出事，很难追责；

攻击范围广：一处被入侵，成百上千个项目受牵连。

这在传统互联网也存在，比如SolarWinds事件。而在Web3中更严重，因为被盗的不只是数据，而是直接的钱。

Ivy：那我们普通用户能做什么？

周亚金：

有三个最基本的防护层级：

一、交易前风险扫描
不论是收款还是投资，都先用链上风控工具（如GoPlus、BlockSec API等）检测对方地址的历史风险。

二、资金分层管理
不要一个钱包走天下。日常操作用小额钱包，大额资产用冷钱包或多签隔离。

三、提升签名意识
任何不明链接、NFT空投、群聊中的“验证钱包”都要警惕。签名前，看懂授权内容。钱包可读性不够，就手动查交易哈希。

从合规角度看，如果涉及企业账户，还要保留资金流记录，必要时主动报送“可疑交易报告”（STR），这是法律义务，也有助于后续证明清白。

Hazel：那次Javascript 的NPM 生态供应链攻击，当时社交媒体上挺轰动的，但似乎最终没造成大规模损失？

周亚金：对，社区发现得早，是“幸运中的警醒”。这类攻击体现了“开源的两面性”：一方面，代码透明、社区监控强，问题能被迅速发现；另一方面，一旦被污染，波及面会极广。那次如果没及时拦下，所有使用被污染包的软件用户的资产都有被盗风险。我们以前就见过类似案例——某钱包依赖的debug 库被篡改后，将用户私钥上传出网，造成严重损失。

Hazel：所以“供应链攻击”其实是攻击依赖链，而不是攻击你本人？

周亚金：没错，它攻击你信任的软件来源。在Web3 场景中尤其危险，因为这里的“资产”是真金白银。一个微小的依赖库出问题，就可能牵动成千上万个钱包与DApp。

Hazel：以太坊升级后引入的EIP-7702 被很多人说“可能让用户的钱更容易被盗”，它到底是怎么回事？

周亚金：EIP-7702的初衷是让普通账户（EOA）可以升级为智能合约账户，让用户拥有更多功能，比如批量操作或自定义权限。但安全问题在于——它打破了以往账户安全的逻辑。在此之前，我们认为：“只要你保管好私钥、不乱签名授权，EOA账户就是安全的。”

而7702 出现后，攻击者可以诱骗用户签署一笔看似无害的交易，把自己的账户升级成7702 合约账户。从那一刻起，你的钱包不再只由私钥控制，而是受那份“合约逻辑”控制——如果合约里写的是“收到钱就立刻转走”，你的资产将自动被清空。

Hazel：也就是说，黑客不再需要拿到你的私钥，只要你签错一次，账户逻辑就可能被改写？

周亚金：对，这是一种全新的攻击面。更隐蔽的是：用户已经被教育要警惕“Approve授权”，但还不理解“7702 升级”的风险，因此极易被骗。此外，7702还模糊了EOA 与合约账户的界限，让一些依赖账户类型判断的DeFi 协议安全假设失效，间接造成系统性风险。目前社区已有统计面板显示，已经有不少用户被诱导签署恶意7702 交易。

Ivy：那黑客或犯罪组织在得手后，通常怎么洗钱？他们真的能“洗干净”吗？

周亚金：可以分为三种典型模式：

基础型洗钱：简单多跳+ 中心化提现
很多电诈分子其实不懂区块链，只会“多转几次再进交易所”。
他们以为“多跳就安全”，但因为路径清晰、可追踪，这类资金往往最容易被识别。

技术型洗钱：DeFi +闪兑+ 跨链桥
这类人懂区块链。他们知道要“打破资金关联性”。
会利用去中心化闪兑平台（无需KYC）、混合资金的DeFi 协议或跨链桥，让资金“洗”过一层又一层。
钱混在成千上万用户的流中，追踪难度陡增。

组织型洗钱：混币器+ 多链交叉+ 国别掩护
这类是最专业的，有组织甚至有国家力量参与。
他们会使用Tornado Cash 等混币器、多条链之间的频繁跨越、隐私币跳转等复杂路径——从EVM 链到BTC，再回流其他网络，层层“脱敏”。

这些操作未必能完全“洗白”，但会让执法方分析成本极高。
因此现在的反洗钱战场，已经从“人工追踪”转向“AI级链上画像”，靠算法推断资金流向。

Ivy：用户的钱被盗后，黑客是怎么洗钱的？资金能被追踪甚至追回吗？BlockSec 在这块怎么做？

周亚金：我们做的核心是资金流追踪与合规防控，主要有两款产品：

第一款是Meta Sleuth。

这是我们在2022 年推出的链上资金追踪工具。最初很多被钓鱼、被盗私钥的用户来求助，却不知道怎么向警方说明“钱去了哪里”。于是我们开发了一个可视化资金流图系统，受害者可以直观看到资产从自己钱包流向何处，用于报案取证。

后来，我们发现不仅是个人用户，执法与监管机构也有强烈的追踪需求。于是我们对产品进行了专业化升级——

跨链追踪：自动识别资金在多条链间的转移；

混币与闪兑识别：智能检测隐藏在无KYC兑换平台中的流向；

多方协作系统：支持执法机构间共享案件线索。

目前Meta Sleuth 已被多国执法部门使用，是全球少数开放可用的链上资金流分析工具之一。

第二款是Falcon Compliance。

它更偏向事前预警与合规风控，即帮助支付机构、交易所提前识别“黑钱风险”。
产品核心是对地址与交易的风险评分（KYA：Know Your Address；KYT：Know Your Transaction）。我们综合标签、行为、历史记录等维度建模，而非单一来源判断。这样既能避免“漏判”，也能防止“误判”导致用户或企业失去商业机会。

Hazel：那像“地址投毒”——别人恶意给我转一点钱，系统误以为我高风险——这种情况能避免吗？

周亚金：完全可以。我们的系统会综合历史行为模式判断风险，而不是只看一次交互。比如与被制裁地址有极少交互并不等于参与犯罪。我们通过行为链建模、资金路径分析等方式降低误判率，这是合规系统能否落地的关键。

Ivy：有没有成功帮用户或项目追回资金的案例？

周亚金：有一个真实案例发生在去年底到今年初。一个项目在Solana 上发行了MEME 代币，团队突然撤走全部流动性、卷走投资者资金。我们用MetaSleuth 分析其上百个关联地址，发现部分资金最终流入了中心化交易所。我们将追踪报告交给受害者及警方，成功协助冻结并返还了大部分赃款，金额约在百万美元级别。

Hazel：那像“好旺担保”这类灰色平台，你们有研究过吗？

周亚金：有。担保平台在Crypto 黑市中非常典型。传统担保（如支付宝）解决的是“买卖双方不信任”的问题；但在加密世界，它成了黑产交易的信任桥梁。

举个例子：东南亚一些电诈园区的人口贩卖集团，需要从中国“采购”劳动力——
一方提供人，一方付钱，但双方都不信任，就会通过这些加密“担保平台”中转。
钱先打到担保平台，人到指定地点后，担保平台再把钱打给人贩。

我们追踪过一个此类平台半年时间，发现每天约有10人通过它被卖往诈骗园区，单价5,000～10,000 美元。这些平台还承接刷单、DDoS、黑客雇佣等“灰产担保”，加密货币让他们无须见面即可完成跨境结算，极大放大了犯罪规模。

Ivy：那这些跨国犯罪怎么打击？BlockSec 怎么与执法机构协同？

周亚金：我们主要做三件事：提供工具：我们的系统已被多国执法部门采用，用于资金流分析与资产冻结。协助调查：当案件涉及混币器或跨链复杂洗钱时，我们提供技术咨询与路径还原支持。情报共享：我们会主动监测链上黑产生态，将情报交给司法机关。我们确实和包括FBI 在内的多国执法机构有合作。他们的打击意愿很强，尤其是涉及美元稳定币的犯罪，因为美国实行“长臂管辖”；同时东南亚诈骗园区里也有不少针对美国公民的骗局。

Hazel：那你们也会参与恐怖融资相关的追踪？

周亚金：会。恐怖主义融资属于高敏感领域，我们会主动监测、标注相关钱包，收集情报并协同共享。链上世界并非无法监管，只要数据可追踪，就有证据链。真正的挑战是如何让这些链上证据与链下司法体系形成闭环。

6. 隐私币、AI与加密合规的未来

Hazel：最近加密行业一直在关注合规和反洗钱（AML），但隐私也是行业的核心精神。最近，隐私币（如Zcash）和以太坊基金会推动的隐私钱包组件引发了讨论。隐私与反洗钱之间的平衡，您如何看待？

周亚金：隐私与加密的结合反映了加密朋克的理念，旨在保护个人自由与隐私。虽然隐私对加密的核心价值至关重要，但要将加密带入主流，可能需要在隐私上做一些妥协。对于监管，我们认为定义哪些行为是非法的至关重要，但不能过于限制创新。监管应通过风险评估来处理，而不是一刀切。

Hazel：如果加密货币逐渐变得像传统银行那样有严格的KYC（身份验证）要求，是否会失去吸引力？这种妥协的解决方案是否存在？

周亚金：我同意，如果加密货币变成传统银行的模样，那它的独特性就会消失。为了兼顾隐私和监管，技术手段如零知识证明（ZKP）可以解决验证身份而不暴露个人信息的问题。此外，AI等新兴技术也能帮助找到隐私与合规之间的平衡。

Hazel：监管的难题不仅在于过度监管，像“旅行规则”（travel rule）就存在区域差异，导致加密货币交易可能在某些国家合规，在另一些国家却不合规。您怎么看这个问题？

周亚金: 传统的反洗钱规则不适用于加密行业，因为区块链具有去中心化、匿名性等特点，且许多合规措施无法有效执行。监管机构在逐步学习如何适应加密货币领域，某些地区，如香港，已经不再强制执行“旅行规则”，而是采用基于风险的评估方法，这为合规提供了更大的灵活性。

Hazel：在加密货币的全球流通中，不同区域的监管差异也让合规变得复杂。比如，稳定币的发行商可能影响全球业务，而不只是单个国家的规则。

周亚金: 这是加密货币与传统金融的一个关键区别。加密货币没有国界，全球用户都能使用。传统金融要求在本地运营，但加密货币必须考虑跨境监管挑战。如何在多个司法区域中进行合规，确实是一个巨大挑战。

Ivy：技术的快速发展，比如AI的“代理金融”可能带来新问题。AI代理成为链上支付主体后，如何应对反洗钱的挑战？

周亚金: AI代理支付可能导致小额高频支付的反洗钱风险，因为AI可以通过快速分拆资金来规避监控。解决这个问题需要开发更先进的AI算法，来识别和监控非法资金流动。AI攻防的比赛也已经开始，旨在提高对这一风险的防范能力。

Hazel：随着AI的普及，未来5到10年内，哪些技术可能会影响反洗钱生态？

周亚金：除了AI，监管规则的演进也是关键。传统的金融合规规则无法简单套用到加密货币上，新的技术和合规标准将不断发展，以适应加密行业的特点。此外，跨境支付和稳定币的全球流通使得合规的复杂度增加，企业必须不断追踪监管变化，以保持合规性。

Ivy：对于普通的加密货币用户和投资者，如何避免洗钱风险并保护自己的钱包安全？您有什么建议？

周亚金：首先，从安全性角度出发，用户需要管好自己的钱包，避免随意签署交易。其次，参与DeFi项目时，不要被高收益所迷惑，高收益往往伴随着高风险，可能会失去本金。对于洗钱风险，建议使用工具筛查交易地址，避免与频繁与可疑地址（如与黑市、融资平台有交互的地址）进行资金往来，这样可以避免污染自己的资金。

Ivy：能否介绍一下Blocksec团队的服务和产品？

周亚金：Blocksec成立于2021年，专注于提供区块链安全服务，特别是针对DeFi项目提供智能合约和链的安全审计。同时，我们也为项目方提供攻击监控与防护，成功帮助超过20个项目挽回了数千万美元的损失。在合规方面，我们提供MetaSleuth平台，帮助监管机构、交易所等进行资金流追踪，特别是在反洗钱领域。我们的产品和服务可以通过官方网站、Twitter以及B站进行了解。

Ivy：最近AI和智能代理在加密货币领域的应用越来越广泛。周教授，您认为AI代理主导的交易和支付场景会带来哪些新的挑战？如何界定法律主体？

周亚金：这是一个非常有趣的问题。AI代理的使用将使交易更为自动化，可能会带来新的法律挑战。比如，谁应对AI代理的行为负责？是使用者、开发者、还是平台？目前还没有明确的答案，未来可能会出现新的问题，值得深入探讨。

Hazel：这个问题确实很复杂。就像之前在DeFi攻击中，大家讨论是否算“攻击”，因为攻击者仅仅是按照智能合约的逻辑执行了操作，没有偏离合约本身的定义。技术上的灰色地带经常让这些问题变得难以界定。

周亚金：对，很多时候技术本身并没有标准答案。例如，在DeFi攻击中，攻击者遵循了智能合约的设计逻辑，如何定义“攻击”便成了一个争议点。这种模糊性在加密领域经常出现，AI技术可能会进一步加剧这种情况。

本文转载移动支付网。