500单外卖与Cookie：FBI锁定Steam黑产金主

据 Woofun AI 消息，美国联邦调查局正式对 Zyaire Dontaevious Zamarion Wilkins 提起联邦刑事起诉书，指控其作为 Steam 恶意软件攻击事件的核心资金支持者与推广者。检方通过构建跨平台数字证据链，将比特币交易轨迹、生活消费记录与加密资产持有情况深度绑定，确证了其在犯罪网络中的关键角色。起诉书明确指出，另一同案犯负责创建开发者账户并上线游戏，而威尔金斯则专门负责注入资金并协助通过社交媒体进行推广，双方形成了明确的分工协作关系。

这份长达 15 页的起诉书详细拆解了调查人员如何从海量数据中剥离出嫌疑人的真实身份。调查始于一个用于接收加密货币盗窃资金的比特币地址，该地址在提供当天即收到约 10,000 美元的汇款。随后，调查人员发现该地址向 Bitrefill 平台进行了付款，Bitrefill 是一家允许用户使用加密货币购买礼品卡及数字产品的平台。Bitrefill 的记录显示，相关账户购买了 150 多张礼品卡，其中包含大量优步外卖礼品卡。

该账户注册使用的电子邮件地址，通过谷歌浏览器 Cookie 数据与其他账户产生关联。其中一个关联账户使用了威尔金斯的姓名首字母，且与西佛罗里达大学的一名学生有关；另一个账户则将特定电话号码列为密码恢复方式。调查人员进一步将该电话号码与包含威尔金斯姓名的电子邮件地址、曾显示其姓名的 Snap 账户，以及注册地址与其家庭住址一致的 T-Mobile 账户联系起来。

优步的数据确认了该账户与外卖礼品卡的关联，并显示在 2024 年 3 月至 2026 年 5 月期间，该账户下了 500 多笔外卖订单，总花费超过 9,000 美元。所有订单均送往三个地点：两个与西佛罗里达大学有关的地址，以及威尔金斯位于北劳德代尔堡的住所。订单时间呈现明显规律：上课期间送往大学地址，非上课时间送往家庭地址。起诉书特别指出，在 2026 年 5 月 6 日至 5 月 17 日期间，约有 15 单订单送至北劳德代尔堡地址。这些外卖数据与手机定位信息、电话记录等共同构成了完整的身份链条。

此外，检方称 '第 1 号嫌疑人' 向调查人员透露，威尔金斯提供启动和推广资金，以换取部分被盗加密货币及受害人私人信息。这些游戏通过 Discord、Telegram、X 平台及领英进行宣传，并利用机器人识别持有大量加密货币的目标发送针对性信息。起诉书中还提及了花费 10,000 美元购买远程访问木马、在游戏植入恶意软件及劝诱下载的讨论。

Woofun AI 整理数据显示，在数字足迹追踪的基础上，美国联邦调查局于 7 月 8 日执行住宅搜查令，对威尔金斯在北劳德代尔堡的住所进行了搜查。行动中查获了笔记本电脑、手机及其他数字设备，以及三个加密货币钱包的助记词。其中一个助记词对应着一个包含八个地址的 Monero 钱包。调查人员通过该助记词获取的交易记录显示，威尔金斯曾发送或接收过大约 1,233 个 XMR，累计交易金额约为 382,000 美元。需要强调的是，这 382,000 美元是起诉书中描述的累计交易总额，与据称至少 220,000 美元的受害者损失金额并非同一概念，且起诉书并未将这 1,233 个 XMR 全部视为被盗资金或钱包余额。

值得注意的是，调查人员并非通过追踪 Monero 的公开交易记录来锁定威尔金斯，而是在执行住宅搜查令后，利用查获的助记词才获得了相关 Monero 钱包的证据。

这一细节揭示了传统执法手段在穿透隐私币匿名性方面的关键作用，即通过物理搜查获取离线密钥，而非依赖链上分析。

从证据链逻辑来看，本案的定性高度依赖于 Bitrefill、谷歌、优步、Snap 及 T-Mobile 等多方平台数据的交叉验证。调查人员首先通过比特币地址与 Bitrefill 的礼品卡购买记录建立初步联系，再利用谷歌 Cookie 数据串联起电子邮件、电话号码及社交账户，最终通过优步外卖订单的地理和时间规律，将数字身份与现实生活中的威尔金斯及其住所精准匹配。住宅搜查令的执行则提供了决定性的物理证据，即 Monero 钱包的助记词，从而补全了从法币/比特币流入到隐私币洗出的完整资金闭环。

尽管起诉书未证明每一笔付款或外卖订单均直接涉及被盗资金，但整体数据模式足以支撑对威尔金斯作为资金提供者与推广者的指控。这一案件展示了执法机构在应对 Web3 犯罪时，正从单一的链上追踪转向 '链上数据+链下生活轨迹' 的综合侦查模式，通过挖掘用户在中心化平台留下的数字足迹，有效突破了加密货币的匿名屏障。