7月初，在葡萄牙首都里斯本举行的BuildingOnBitcoin会议^[1]上，BitGo前首席工程师、CasaHODL现任工程师Jameson Lopp透露，目前比特币网络中有400万比特币丢失，200万比特币被盗。

Jameson Lopp在会议上的演示^[2]

也就是说，比特币网络中固定供应量（约2100万）的28.57%将永远无法被找回。而自比特币诞生以来，比特币被盗事件屡见不鲜，2014年的Mt.Gox被盗事件，2016年的Bitfinex被盗事件……还有近日西安警方破获的涉案金额高达6亿元人民币的虚拟货币盗窃案。

频繁发生的比特币盗窃案催生出了一个新的职业——比特币侦探。

2014年2月14日，东京下着雪，Kolin Burges戴着一顶针织帽，右手等肩举着一个牌子，站在Mt.Gox交易所总部门口，牌子上写着“MTGOX WHERE IS OUR MONEY”（Mt.Gox，我们的钱去哪儿了）^[3]。

Mt.Gox冻结比特币提现后，Kolin Burges专门从伦敦飞到东京，由此到Mt.Gox宣布破产的两个多星期里，他天天都在Mt.Gox总部门口举牌抗议。很快，就有其他一些人跟他一起抗议。

图为Kim Nilsson，站在东京新宿站附近的街上

瑞典软件工程师Kim Nilsson也是Mt.Gox事件的受害者之一，他在Mt.Gox里的12.7个比特币不翼而飞，为此他很苦恼。但是，当时他在东京生活了近10年，留着山羊胡，性格温和，不喜欢像Kolin Burges那样直接抗议。

于是，这位曾经一下午打通“超级玛丽2”所有关卡的软件工程师，选择了这样处理Mt.Gox问题：与另外两名Mt.Gox事件的受害者Daniel Kelman和Jason Maurice，组建一家名为“WizSec”的比特币安全公司，专门追踪失窃案。他说^[4]：

“这可以算是当时世界上最难的智力游戏，谁要是能解决，那肯定牛逼得不要不要的。”

实际上，从2011年6月19日第一次遭受黑客攻击，到2014年2月28日申请破产，Mt.Gox声称总共“丢失”(lost)了85万个比特币（75万属于用户，10万公司持有）。2014年3月21日，Mt.Gox的CEO Mark Karpeles在公司官网发表声明称，“在一个旧钱包当中找到了199,999.99 枚比特币”，并已经将其离线保存^[5]。Kim Nilsson的工作就是要找回那65万个被盗的比特币。

图为Kim Nilsson，一个屏幕上是代码，一个是记录关键信息的电子表格，另一个是笔记。图片来源：Wall Street Journal

如他所说，这恐怕是当时世界上最难的智力游戏。Kim Nilsson白天做着他的全职工作，晚上就在三个发光的电脑屏幕前，边喝可乐边追踪线索。他开发了一个索引程序，这使他能够快速检索出区块链上每笔交易的输入、输出信息及地址。

2014年3月，Mt.Gox数据库的部分内容被泄露到网络上，Kim Nilsson获得了泄露的数据，其中包括交易、取款、存款和用户余额的私人记录。

2014年5月，一位程序员发布了一份对泄露信息的分析报告。报告发现，似乎有自动购买比特币的账户，以支撑Mt.Gox股票的价格。Kim Nilsson由此意识到，可以利用泄露的数据库信息，定位与交易所相关的每一个丢失的比特币钱包，追踪其交易记录，从而计算Mt.Gox丢失的比特币数量。

图为Kim Nilsso和WizSec公司的Jason Maurice，桌上是苹果派。图片来源：Wall Street Journal

几个月后，他搜集了近200万条与Mt.Gox相关的交易地址–但不知道是谁使用了每个地址，也不知道是出于什么目的。他需要内部人员的帮助^[6]。这时，他发现Mt.Gox的CEO Mark Karpeles跟他一样，也想查出真相。于是，Kim Nilsso和WizSec公司的另一名成员Jason Maurice带着做苹果派的配料，来到了Mark Karpeles的公寓。Mark Karpeles很快就向Kim Nilsson提供了Mt.Gox的内部数据，他说^[4]：

“真希望是我偷的，这样我就能还回去。”

之后的四年时间里，Kim Nilsson把一年半的时间花在了Mt.Gox盗窃案上。期间，WizSec公司解散，Mark Karpeles承认利用Willy账户进行自动转账^[7]，后因Mt.Gox事件被日本警方拘捕，2016年7月被保释出来，但不能离开日本。

图为出狱前后的Mark Karpeles，网友鉴定：减肥成功！

Kim Nilsson并没有放弃，2016年初，他找到了一个嫌疑人。Kim Nilsson在追踪从Mt.Gox流入其它交易所的比特币交易流时发现，Mt.Gox被盗的65万个比特币中，有63万个直接进入到了同一个人控制的钱包里。这个人在Mt.Gox也有账户，用户名叫WME^[6]。

要找到这个人很难，因为犯罪分子一般是不会在网络上使用真实的身份信息。然而，并不是所有的犯罪分子都是那么谨慎。Kim Nilsson在Bitcoin Forum找到了一篇2012年的帖子，有个用户名中带“WME”的人在论坛里发脾气，抱怨一家加密货币交易所冻结了他的账户。他在帖子里发布了一封律师信，信上写着他的姓名“VINNIK ALEXANDER”^[8]。

图为用户“WME”在Bitcoin Forum上的聊天记录，一不小心就暴露了自己的真实身份

其实，Kim Nilsson是后来才知道这是嫌疑人的真实姓名，他惊呆了，说：

“当我看到这个名字的时候，根本就没想过这会是他的真名。我之前猜测他会使用假名什么的，为什么有人会在网上发布自己的真实姓名和银行信息！”

看到这个名字后，思路像柯南闪电一般穿过Kim Nilsson的大脑，他立刻把这个名字传给了美国国税局特工Gary Alford。

2017年夏天，Alexander Vinnik在希腊北部的一个海滩度假时，被美国警方逮捕。美国联邦检察官指控38岁的俄罗斯IT技术男Alexander Vinnik，非法转移53万个Mt.Gox被盗的比特币，并将其转入Mt.Gox、BTC-e等交易所的账户中。

图中男子为Alexander Vinnik，图片来自Kim Nilsson在一场会议上的分享^[9]

自调查起始，Kim Nilsson解答了他自己想弄清楚的一个重要问题，即是否有可能弄清楚比特币的去向，但他尚未解答另一个问题^[10]：

“他能把钱拿回来吗？”

Kim Nilsson把他的工作称之为“区块链考古”，如今，“区块链考古”已经成为一个产业。一大批加密货币私人调查公司正在跟踪资金流动，并对潜在的针对大型银行、交易所和执法机构的犯罪行为进行调查。全球范围内出现了像Chainalysis、Elliptic、CipherTrace这样的比特币侦探公司，还有美国政府机构–包括联邦调查局、中央情报局和国税局等等也都有自己的加密货币调查员。他们通过追踪区块链上的公开信息，来打击网络犯罪。

参考资料：

[1]Prezi@ BLOCKCHAINLAB SRL，《Building on Bitcoin》，2018年07月02日

[2]图片来源：Twitter@Willy Woo，2018年07月04日

[3]CoinDesk，《Watch This Man Confront CEO of Mt.Gox Over Missing Bitcoins》，2014年02月14日

[4]FORTUNE，《Mt.Gox and the Surprising Redemption of Bitcoin’s Biggest Villain》，2018年04月19日，

[5]TECH2IPO/创见，《时间线：Mt. Gox 事件始末与比特币的兴衰》，2014年03月13日

[6]The wallstreet journal，《The Man Who Solved Bitcoin’s Most Notorious Heist》，2018年08月10日

[7]The Willy Report，《proof of massive fraudulent trading activity at Mt. Gox, and how it has affected the price of Bitcoin》，2014年05月25日

[8]Bitcoin Forum，《Scam Report Against CryptoXchange $100k USD》，2012年06月07日

[9]YouTube@TheBitcoinArmy，《Kim Nilsson – Cracking MtGox》，2017年09月10日

[10]华尔街中文网秒拍视频，《如何破解比特币被盗之谜》，2018年08月16日