Vrai ou faux ? L'adresse présumée de rançon des forces d'alliance du Nord du Myanmar vue depuis la chaîne
TechFlow SélectionTechFlow Sélection
Vrai ou faux ? L'adresse présumée de rançon des forces d'alliance du Nord du Myanmar vue depuis la chaîne
Cet article présente une analyse approfondie des adresses publiques en ce qui concerne les schémas de réception et d'envoi des fonds, les risques liés aux sources de financement et les activités des adresses associées, et divulgue les contenus d'analyse pertinents.
Dédié à des analyses Web3 approfondiesRédaction : Équipe Manwu et Bitrace
Contexte
Le 16 janvier 2024, un blogueur a révélé sur une plateforme sociale chinoise qu'une armée d'alliance présumée au Myanmar forcerait des travailleurs impliqués dans les escroqueries en ligne bloqués au Myanmar à payer de fortes sommes en cryptomonnaies. L'auteur a publié l'adresse de réception présumée utilisée pour ces paiements. Cette allégation s'est depuis largement répandue sur internet.
Ce document présente une analyse conjointe par Bitrace et MistTrack des fonds cryptographiques liés aux adresses divulguées, incluant l'examen des schémas de transactions entrantes et sortantes, du risque lié à l'origine des fonds, ainsi que des activités d'adresses associées, dans le but de rendre publiques les découvertes issues de cette analyse.
Analyse du comportement des adresses
(https://mp.weixin.qq.com/s/WDWM22vw68-NsVr0_1jHfA)
L'image ci-dessus provient de l'article révélateur. Sur cette base, les chercheurs ont effectué une analyse des taux de change USDT de l'adresse de réception divulguée TKFsCN, cherchant à déduire à partir de montants spécifiques reçus en USDT l'unité monétaire sous-jacente utilisée pour le règlement.
L'historique des transactions de l'adresse montre que de nombreux montants reçus en USDT ne sont pas des multiples de 10 ou 100, comme 71417 ou 42857, ce qui est typique lorsqu'une devise autre que le dollar américain est utilisée comme unité de règlement. Après avoir testé divers taux de change entre devises fiduciaires majeures et l'USDT, les chercheurs ont constaté que ces transactions semblent correspondre à un taux de change approximatif de 1 USD : 7-7,2 RMB. De plus, les montants transférés présentent des regroupements autour de seuils précis en RMB : 500 000, 1 million et 1,5 million.
Après avoir filtré les transactions inférieures ou égales à 100 USDT, l’analyse statistique montre que sur les 307 transactions entrantes en USDT vers TKFsCN, 193 correspondent à des montants exprimés initialement en RMB selon le taux de change susmentionné. Ces transactions représentent 62,86 % du nombre total et 45,29 % du montant total.
Cela indique que plus de la moitié des transactions reçues par cette adresse ont été réglées en RMB, avec une prédominance marquée des transferts équivalents à 500 000 RMB. Les payeurs envoyant de l’USDT sont très probablement des ressortissants chinois.
Analyse de la provenance des fonds
L'article original mentionne : « Après avoir pris Laukkaing, ils arrêtent partout (note de l'auteur : travailleurs de l'industrie des escroqueries en ligne) des Chinois, leur demandant s'ils veulent payer pour se sauver ; ceux qui paient sont expulsés, ceux qui refusent sont renvoyés en Chine ». Si cela est exact, les transactions de TKFsCN devraient comporter de nombreux nouveaux contrepartistes, dont certains proviendraient d'adresses liées à des activités illégales telles que le blanchiment, la fraude ou les jeux d'argent clandestins.
Les données montrent qu'entre le 22 octobre 2023 et le 2 janvier 2024, TKFsCN a reçu des transferts USDT de 182 contreparties directes. Parmi celles-ci, 117 adresses ont effectué deux transactions consécutives : une petite somme suivie d’un montant important. Ce comportement constitue un test typique visant à confirmer la validité de l'adresse avant un virement massif, indiquant que plus de 62,29 % des contreparties étaient probablement de nouveaux utilisateurs, non habitués à transiger avec TKFsCN.
Une analyse approfondie des risques associés aux fonds reçus par TKFsCN révèle que de nombreuses contreparties sont étroitement liées à des activités illicites telles que le crime organisé, les jeux d'argent en ligne, la fraude, le blanchiment ou les paiements à risque. Sur les 182 contreparties directes, pas moins de 42 % sont associées à des activités à risque, ayant transféré vers TKFsCN un total de 33 523 148 dollars d’USDT.
(Image fournie par MistTrack et BitracePro)
Notamment, parmi ces adresses à risque, les enquêteurs ont identifié sept adresses clairement liées à des affaires criminelles connues, notamment deux cas de blanchiment, un cas de fraude, un cas de jeux d'argent illégaux et un cas d'escroquerie téléphonique, les suspects étant localisés au nord du Myanmar ou au Cambodge.
Cela démontre que les contreparties effectuant des paiements vers TKFsCN ne sont pas seulement impliquées dans des activités cryptographiques à risque, mais aussi étroitement connectées à des criminels opérant en Asie du Sud-Est.
Un autre point troublant : les enquêteurs ont également repéré parmi les adresses expéditrices une adresse liée à un blanchiment d'argent issu d'une escroquerie téléphonique, ce qui soulève des doutes quant à l’origine des fonds. Ce point sera abordé plus en détail, sans divulgation sensible, dans la section suivante intitulée « Analyse des adresses associées ».
Analyse des adresses associées
L'analyse de regroupement effectuée à partir de l'adresse TKFsCN révèle qu'elle semble appartenir au même groupe que près de cent autres adresses. Certaines de ces adresses présentent des comportements financiers similaires à TKFsCN et fournissent davantage d'indices sur le bénéficiaire. Prenons l'exemple de l'adresse TKKj8G :
-
TKKj8G a reçu directement six transferts de TKFsCN, totalisant plus de 4,6 millions d’USDT, ce qui en fait l'une des adresses de consolidation ultérieure du flux de trésorerie ;
-
TKKj8G est l'une des principales adresses de réception : parmi ses 60 entrées supérieures à 100 USDT, 50 présentent le même comportement de test par petit montant observé chez TKFsCN ;
-
TKKj8G est active depuis le 18 août 2023, bien avant les autres adresses, et a entretenu des relations transactionnelles avec Huwang Guarantee — elle a notamment reçu 160 000 USDT de l'adresse de Huwang Guarantee, ce qui correspond vraisemblablement à un marchand de Huwang récupérant son dépôt.
Ces éléments suggèrent que l'« adresse du département financier » mentionnée dans l'article original pourrait ne pas exister. L'ensemble des adresses, y compris TKFsCN et TKKj8G, appartiendrait plutôt à un prestataire de services de change numérique basé au nord du Myanmar ou au Cambodge, agissant comme intermédiaire pour collecter ces paiements.
Transactions anormales
En résumé, les enquêteurs peuvent esquisser le profil type d'un payeur : une personne travaillant illégalement en Asie du Sud-Est, contrainte pour une raison donnée de verser 500 000 RMB en USDT à une adresse intermédiaire. N'étant jamais transigé auparavant avec cette adresse, elle effectue un petit transfert test avant le versement principal. Les cryptomonnaies utilisées proviennent soit de gains illégaux antérieurs, soit d’achats auprès d'autres entités illégales.
Toutefois, tous les payeurs ne correspondent pas parfaitement à ce profil. Les enquêteurs ont également identifié certaines adresses dont le comportement diffère partiellement ou totalement. Prenons l’exemple de l’adresse TYU5acSGRwsYJfBhdpQc3broSpfsjs8QFF, l’une des sept adresses directement liées à des affaires pénales mentionnées précédemment. Les six autres adresses ont transféré vers TKFsCN des montants équivalant à 500 000, 500 000, 1 million, 1 million, 2,7 millions (1,5 + 1,2 millions) et 550 000 RMB. En revanche, le transfert de TYU5ac correspond à environ 1,36 million de RMB après conversion au même taux. Bien que ce montant soit rond, il reste inhabituel par rapport aux autres.
Les raisons restent inconnues. Toutefois, compte tenu du comportement de test par petit montant, une hypothèse plausible serait que cette transaction représente la consolidation de trois paiements de 500 000 RMB assortis d'une remise de 10 %.
Conclusion
Cet article a mené une analyse approfondie des adresses publiques en examinant les schémas de flux financiers, les risques liés à l'origine des fonds et les activités d'adresses associées, puis a rendu publiques les conclusions obtenues. Les principaux résultats sont les suivants :
-
Plus de la moitié des transactions reçues par l'adresse analysée ont été réglées en RMB, avec une forte concentration autour des montants de 500 000, 1 million et 1,5 million de RMB ;
-
Les contreparties ayant transféré des fonds vers cette adresse sont étroitement liées à des activités illicites telles que le crime organisé, les jeux d'argent en ligne, la fraude, le blanchiment et les paiements à risque ;
-
Avant de recevoir massivement ces fonds, l'adresse cible et ses adresses associées présentaient déjà des traces d'activités à risque. Une analyse de regroupement suggère qu’elles appartiendraient probablement à un marchand affilié à Huwang Guarantee ;
-
Les contreparties effectuant des paiements vers l'adresse cible sont étroitement liées à des criminels opérant au nord du Myanmar ou au Cambodge.
En conclusion, certains éléments révélés dans l'article « Compte en cryptomonnaie de l'armée d'alliance exposé : rançonnement de plusieurs centaines de millions de yuans aux citoyens du Nord » sont conformes aux faits observés sur la blockchain. Il existe bel et bien un grand nombre de travailleurs chinois impliqués dans les escroqueries en ligne au nord du Myanmar ou au Cambodge qui transfèrent collectivement des montants en USDT correspondant à des sommes entières en RMB vers un ensemble d'adresses. Toutefois, cet ensemble d'adresses n'est probablement pas celui d'un prétendu « département financier », mais plutôt celui d'un prestataire local de services de change numérique, ce qui contredit l'affirmation originale.
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
@SlowMist_Team
