黑灰产生态、链上分析与协同治理

01 · 暗网市场与执法演进

1.1 二十年执法与对抗时间线

注：Huione Guarantee（汇旺担保）为Elliptic于2024年7月首次曝光、依托Telegram运营的地下担保市场，据Elliptic持续追踪，其加密资产交易规模自2021年第三季度以来累计至少240亿美元（2025年1月口径；Chainalysis后续链上分析口径为2021年8月至2025年1月总流入超980亿美元、其中确认非法所得逾40亿美元），超越已查封的Hydra市场，被多家安全媒体称为迄今最大的非法在线市场。2025年5月Telegram封禁其3,000余个账号后，该平台更名为"好旺担保"（Haowang Guarantee）并分化为"Tudou Guarantee"等替代品继续运营，显示地下交易基础设施的强韧性。该案说明黑灰产交易基础设施正向Telegram等半公开平台迁移，"暗网监测"的外延需要相应扩展。

1.2 市场生态的结构特征

• 托管与担保机制：市场普遍提供第三方托管（escrow）与卖家信誉评价，Huione类担保平台则将此模式复制到Telegram生态；担保抽成是平台核心收入。
• 商品结构：毒品与违禁品、被盗数据（个人信息、金融账户、访问凭证）、网络犯罪工具与服务（钓鱼套件、恶意软件、DDoS租赁、洗钱服务）并存的"一站式犯罪经济"。
• 支付形态：比特币为主，稳定币（USDT等）因价格波动小在诈骗洗钱场景占比快速上升；据TRM Labs 2026年报告，2025年流向受制裁实体的非法资金中约95%以稳定币计价。
• 泄露站公布受害组织创历史新高：据Emsisoft统计，2025年被勒索组织在泄露站公开点名的受害组织超过8,000家（The Register 2026年2月报道口径），泄露站作为施压与披露渠道的战略地位持续上升。
• 占比认知校正：据Chainalysis研究，暗网市场活动在比特币全部交易中的占比已从2012—2013年丝绸之路鼎盛期的约7%降至1%以下（2019年1月报告口径）；加密犯罪研究的数据也提示，诈骗类犯罪（如"杀猪盘"）的涉案金额已远超传统暗网市场——监测优先级应向数据泄露、勒索与诈骗基础设施倾斜。

02 · RaaS/CaaS 犯罪经济学

2.1 角色分工

勒索软件即服务（RaaS）将攻击链条专业化为分工协作的"犯罪供应链"：运营方开发并维护勒索软件与泄露站、招募附属成员；附属成员（Affiliates）负责初始入侵、横向移动与执行加密；初始访问经纪人（IAB）批量出售企业网络访问权限；洗钱方负责赎金清洗与套现。CaaS（网络犯罪即服务）则进一步将钓鱼套件、DDoS租赁、暴力破解等能力商品化。分工使单次攻击的技术门槛持续下降，是勒索事件高发的重要结构性原因。

2.2 分成机制（公开案例）

注：分成比例来自安全厂商与研究机构（Check Point、MOXFIVE、Corvus等）的公开分析，为谈判与招募帖的观察口径，随时间与成员等级浮动，仅供生态研究参考。

2.3 勒索经济宏观态势

值得关注的两个先行信号（Chainalysis 2026年报告口径）：其一，IAB收款峰值平均领先勒索付款峰值约30天，访问权限交易可作为勒索攻击的"先行指标"纳入监测；其二，2025年稳定币已占全部非法加密交易量的84%（2024年为63%），第2页§04的实体抽取必须全面覆盖稳定币地址。

上述"攻击面扩大、付款率走低、单笔走高"的分化态势，解释了为何勒索组织越来越依赖暗网泄露站公开施压——这与第1页所述"暗网渠道占重大泄露事件比例升至95.02%"相互印证。此外，Chainalysis估计2025年初始访问经纪人（IAB）出售企业网络访问权限的链上收入至少1,400万美元，访问权限交易已成为勒索经济的"上游批发市场"。典型案例方面，2024年ALPHV（BlackCat）收取Change Healthcare约2,200万美元赎金后上演"退出骗局"，该事件最终影响约1亿人，成为付款策略风险与监管关注的标志性案例。

03 · 加密货币链上分析

3.1 方法论基础

比特币等公链账本是公开透明但伪匿名的：地址不直接绑定身份，但全部交易历史永久可查。链上分析的核心方法是地址聚类——通过共同花费（common-input-ownership）、找零模式与行为特征将地址归并到同一主体，再结合交易所KYC数据、暗网资金流向与开源情报完成"地址→身份"的归因。在暗网监测场景中，链上分析主要用于：验证售卖帖声称的钱包是否真实收款、追踪勒索赎金流向、识别洗钱基础设施（OTC商户、混币器、赌博平台）。

3.2 混币器与对抗

混币器（Mixer/Tumbler）通过资金池混合切断交易图谱关联，是链上追踪的主要对抗手段。标志性案例：以太坊混币协议Tornado Cash于2022年8月8日被美国财政部OFAC列入SDN制裁名单（其智能合约地址被点名，为历史上首次制裁"代码"而非自然人；该项目自2019年运行以来处理逾70亿美元），引发关于开发者责任与代码自由的长期法律争议——2024年11月美国联邦第五巡回上诉法院在Van Loon v. Treasury案中裁定OFAC越权（不可变智能合约不构成IEEPA项下可制裁的"财产"），2025年3月21日OFAC将其移出制裁名单；对开发者的刑事追责并未因此终止——联合创始人Pertsev于2024年5月在荷兰被定罪（判处64个月监禁），Storm于2025年7月在美国受审（陪审团就无照经营货币传输业务罪名达成定罪，洗钱与制裁指控流审）。2025年8月6日，陪审团就"共谋经营无照货币传输业务"罪名对Storm定罪，洗钱与制裁指控流审（美国司法部已申请就流审罪名重审，排期2026年10月）；联合创始人Roman Semenov至今仍列于SDN名单。该案为"追踪—对抗—监管"循环提供了完整研究样本。

3.3 洗钱产业链与制裁态势

东南亚地区的专业洗钱网络已成为加密黑产的"金融下水道"：据FBI IC3《2024年互联网犯罪报告》（2025年4月发布），美国加密货币相关犯罪报告损失达93亿美元（同比+66%）；其中投资类诈骗损失约65亿美元（含加密货币投资诈骗约58亿美元）居所有犯罪类型首位，"杀猪盘"为其典型形态；Huione/太子集团案中，FinCEN认定汇旺集团在2021年8月至2025年1月间经其平台清洗非法所得至少40亿美元，其担保市场累计处理加密资产至少240亿美元（Elliptic 2025年1月口径）。稳定币（尤其是USDT）因结算快、波动小已成为黑灰产结算主流；TRM Labs 2026年报告显示，2025年流向受制裁实体的非法资金中约95%以稳定币计价。对防守方而言，这些结论的实践含义是：监测比特币地址的同时，必须将TRC-20等稳定币地址纳入实体抽取与信誉库（参见第2页 §04）。

04 · 情报关联与 ATT&CK 映射

暗网产出的是"碎片化线索"，只有嵌入结构化威胁模型才能产生分析价值。本课题采用三层映射方法：

• 基础设施层：泄露站域名、镜像地址、钱包地址、Telegram账号归并为组织基础设施集，与子课题01的STIX 2.1基础设施对象（infrastructure/observed-data）对接。
• 行为层：从招募帖、勒索谈判话术、受害者画像中提取战术技术要点，映射至MITRE ATT&CK战术阶段（初始访问、执行、数据窃取、影响等），标注数据来源与置信度；映射遵循"有公开分析依据才映射"的原则，不做无据推断。
• 组织层：形成组织画像卡（别名、活跃期、目标行业、地理倾向、代表事件、基础设施），与子课题05融合分析对接，单源线索须经交叉验证后方可进入画像结论。

4.1 置信度分级

05 · 预警响应与法律义务

5.1 泄露预警响应流程

5.2 法律义务要点

• 补救与通知义务：《个人信息保护法》第57条——发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人；《网络安全法》第42条、《数据安全法》第29条亦有对应的告知与报告要求。
• 事件分级参考：《国家网络安全事件报告管理办法》（国家网信办2025年9月11日发布、2025年11月1日施行）将网络安全事件按危害程度分为四级，其附件《网络安全事件分级指南》参照GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》制定；其中对个人信息泄露、系统中断等情形给出量化分级指标（具体阈值以《网络安全事件分级指南》正式文本为准）——达到较大及以上级别时，网络运营者应按规定向监管机关报告。
• 法定报告渠道与时限：网信部门已开通12387网络安全事件报告热线及网站、微信小程序、微信公众号、邮件、传真等六类渠道（12387.cert.org.cn）；《办法》第四条要求，涉及关键信息基础设施的网络安全事件，网络运营者应当第一时间向保护工作部门、公安机关报告，最迟不得超过1小时。
• 监测方的定位：第三方监测机构发现客户数据泄露线索时，其义务边界由委托合同与数据保护协议约定；向主管部门报告涉嫌违法犯罪的线索，是《网络安全法》第28条精神下的社会责任，也是行业协同的体现。

06 · 研究边界与协同渠道

6.1 协同渠道

• 行业与社区协同：通过行业ISAC、MISP社区、公共互联网反网络钓鱼工作组等渠道，按TLP分级共享泄露站点谱系、组织画像与指纹库特征。
• 监管协作：重大泄露事件按《网络安全法》《数据安全法》《个人信息保护法》及《国家网络安全事件报告管理办法》要求履行报告义务。
• 执法协作：涉及刑事犯罪的线索，通过法定渠道移交公安机关；本课题可为执法机构提供公开来源的证据线索与技术支持，但不替代法定侦查程序。

07 · 交付物汇总

• 《暗网监测技术与黑灰产生态研究报告》一份（含执法演进、RaaS经济学、链上分析方法论三章）
• RaaS/CaaS组织生态画像样例库（含组织兴衰案例卡片与置信度标注）
• 泄露预警响应与依法通报操作指引（含分级标准与流程图）
• 监测指标体系与运营看板原型（对接第2页指标定义）

本节参考来源（第3页）

以下均为真实可查的权威来源（执法机构、监管机构、区块链分析机构、安全厂商、学术机构），用于支撑本页事实性表述。