基于洗錢特征分析的網(wǎng)絡(luò)賭博犯罪資金流查控研究
——以C市“1·10”網(wǎng)絡(luò)賭博案為例

謝 玲， 彭曦瑤

(西南政法大學(xué)刑事偵查學(xué)院， 重慶 401120)

0 引言

當(dāng)前，跨境網(wǎng)絡(luò)賭博犯罪高發(fā)頻發(fā)，嚴(yán)重影響我國的經(jīng)濟(jì)安全和正常金融秩序。每年國內(nèi)數(shù)千億賭資外流，不僅對地上經(jīng)濟(jì)產(chǎn)生難以預(yù)估的影響，也滋生出金融洗錢的地下“溫床”[1]。境外網(wǎng)絡(luò)賭博集團(tuán)利用包網(wǎng)公司、服務(wù)器商、洗錢團(tuán)伙等黑灰產(chǎn)業(yè)為其提供網(wǎng)站搭建、上線運營和贓款洗白等非法業(yè)務(wù)，形成了跨區(qū)域、有組織、多個環(huán)節(jié)參與的鏈條式犯罪結(jié)構(gòu)。為避開國內(nèi)金融系統(tǒng)的反洗錢監(jiān)管，境外網(wǎng)絡(luò)賭博平臺將面向非法市場的網(wǎng)關(guān)支付作為賭客充值、盈利洗錢的犯罪工具，利用第四方支付、“跑分”平臺為網(wǎng)絡(luò)賭博提供充值、交易服務(wù)。

網(wǎng)絡(luò)賭博平臺一般通過“抽水”、向贏家收取“傭金”和“莊家收益”等方式獲取賭博收益，而賭場的各種盈利正是來源于賭客充值所得。由地下錢莊提供銀行資金賬戶接口供賭客充值是過去傳統(tǒng)的網(wǎng)絡(luò)賭博充值渠道。隨著網(wǎng)絡(luò)金融和電子支付的快速發(fā)展，普及度高、操作簡便的第三方支付成為洗錢團(tuán)伙最主要的網(wǎng)絡(luò)交易手段。而第四方支付通過調(diào)用各種第三方支付工具接入唯一的支付入口為賭客提供聚合充值服務(wù)[2]，擴(kuò)大了第三方支付效用。同時增加“跑分”模式，通過“跑分”平臺雇傭人員提供其私人收款碼幫助賭客充值，導(dǎo)致網(wǎng)絡(luò)賭博洗錢模式出現(xiàn)多種支付渠道內(nèi)外嵌套的復(fù)雜結(jié)構(gòu)。

在第四方支付及其延伸出的“跑分”平臺賭資充值模式下，大量“跑分”人員的收款賬戶被輪換使用，賭資的進(jìn)出隱藏在看似正常的個人消費流水中。要從大量代付訂單、個人收款交易、商家收款交易中發(fā)現(xiàn)異常的資金流動款量、路徑和頻率，查找團(tuán)伙成員的特征賬戶，就必須結(jié)合第四方支付的洗錢特征對涉案資金數(shù)據(jù)進(jìn)行多維度的分析和穿透，從而實現(xiàn)資金流查控目標(biāo)。

1 網(wǎng)絡(luò)賭博犯罪的洗錢模式

網(wǎng)絡(luò)賭博案件中，賭客下注方式與賭資洗錢模式具有時間上的重合性與過程上的同一性。賭資進(jìn)入洗錢團(tuán)伙控制的資金賬戶就同時開啟了涉案資金的清洗。作為網(wǎng)絡(luò)賭博常用洗錢方式，第四方支付在聚合第三方支付接口的賭客充值模式基礎(chǔ)上，延伸出一些新的洗錢渠道。

1.1 “跑分平臺+第四方支付”洗錢模式

“跑分”，又稱“跑碼”，是指第四方支付平臺利用非法整合的第三方在線支付接口和他人提供的第三方支付收款碼或銀行卡，為賭詐犯罪提供代收款服務(wù)以賺取傭金的非法金融交易模式。“跑分”平臺通常以招收代理兼職或高額返利的名義在網(wǎng)上招募 “跑分”人員注冊平臺賬號，并收取“保證金”；賭客充錢時，“跑分”平臺向“跑分”人員發(fā)布同等金額的“跑分”任務(wù)，“跑分”人員以后臺搶單的方式接單，將私人支付寶、微信二維碼上傳平臺供賭客掃拍充值，“跑分”平臺從其繳納的“保證金”中直接扣除賭客充值金額，由此完成“一進(jìn)一出”的“跑分”。在“跑分平臺+第四方支付”洗錢模式下，第四方支付招募若干“代理”對接更多的“跑分”平臺與賭博平臺，“代理”在后臺向第四方平臺添加“跑分”人員和“碼商”“卡商”控制的“人頭卡碼”，贊賞碼、打賞碼等各類新型二維碼和電商平臺紅包等也成為“跑分”平臺的代支付工具。

1.2 “網(wǎng)絡(luò)購物平臺+虛假商品交易”洗錢模式

網(wǎng)絡(luò)購物是借助互聯(lián)網(wǎng)實現(xiàn)商品或服務(wù)由賣家轉(zhuǎn)移到個人用戶的活動，包括資金流、信息流和物流等各個環(huán)節(jié)的參與。網(wǎng)絡(luò)賭博團(tuán)伙利用網(wǎng)絡(luò)購物平臺洗錢，本質(zhì)上是一種移除了實物交割環(huán)節(jié)的虛假商品交易。具體行為模式有兩種：一是網(wǎng)絡(luò)賭博團(tuán)伙技術(shù)團(tuán)隊在網(wǎng)絡(luò)購物平臺批量注冊若干虛假商戶，利用接口跳轉(zhuǎn)方式，將賭資充值偽裝為平臺商戶購物交易；二是在網(wǎng)絡(luò)購物平臺借助虛假商戶生成的“代付”訂單二維碼，推送給賭客進(jìn)行等價充值，而“商品或服務(wù)訂單”最終不會發(fā)貨。這兩種方式都是借助虛假的商戶數(shù)據(jù)和交易數(shù)據(jù)，將賭客充值行為嵌入 “網(wǎng)絡(luò)購物”的交易數(shù)據(jù)中逃避偵查發(fā)現(xiàn)。

1.3 “第三方支付平臺+企業(yè)商戶收單或個人轉(zhuǎn)賬”洗錢模式

第四方支付平臺掌握了若干第三方支付通道、虛假對公賬戶和“人頭”個人賬戶作為賭博平臺進(jìn)出賬的渠道。以支付寶為例，第四方支付平臺從網(wǎng)絡(luò)黑灰產(chǎn)購買大量企業(yè)對公賬戶和個人賬戶，或使用“企業(yè)八件套”注冊“皮包”公司開立金融賬戶，然后將支付寶接入網(wǎng)絡(luò)賭博平臺，在充值頁面發(fā)布收款賬號；或者是通過技術(shù)手段直接跳轉(zhuǎn)至支付寶APP的付款頁面，由賭客掃拍二維碼或在支付寶APP手動轉(zhuǎn)賬。賭客充值完畢后，第四方支付平臺抽取傭金并向賭博網(wǎng)站轉(zhuǎn)賬，實現(xiàn)賭資的中轉(zhuǎn)、分流和歸集。

2 網(wǎng)絡(luò)賭博犯罪的洗錢特征

違法資金流查控是通過網(wǎng)絡(luò)賭博鏈條中賭客充值、賭資轉(zhuǎn)移、贏家返現(xiàn)等關(guān)鍵環(huán)節(jié)發(fā)現(xiàn)和打擊網(wǎng)絡(luò)賭博犯罪的重要偵查手段。網(wǎng)絡(luò)賭博最核心的案件要素是“錢”，所謂的“上下分”“抽水”“玩家收益”都反映了資金的轉(zhuǎn)移和出入賬特征。通過對賭博充值渠道和方式的分析發(fā)現(xiàn)網(wǎng)絡(luò)賭博平臺的組織架構(gòu)、運作模式、參與人員，透過各賬戶之間的資金交易情況，查找符合網(wǎng)絡(luò)賭博資金流動特征的重點賬戶，是網(wǎng)絡(luò)賭博案件偵查的關(guān)鍵環(huán)節(jié)。

2.1 實案情況

本研究以C市一起利用“跑分”平臺洗錢的網(wǎng)絡(luò)賭博實案為例，對網(wǎng)絡(luò)賭博犯罪的洗錢特征做出分析和說明。在該案件中，第四方支付平臺洗錢團(tuán)伙大量運用支付寶收取和兌現(xiàn)賭資。

老年高血壓患者超敏C反應(yīng)蛋白和糖化血紅蛋白水平與頸動脈粥樣硬化之間的關(guān)系……………………… 陳莉 戴朦 李紅旗 等（4）433

2020年1月10日,C市某派出所接到被害人報案，稱其在手機(jī)下載了某網(wǎng)絡(luò)賭博APP。公安機(jī)關(guān)通過技術(shù)手段破解了該網(wǎng)絡(luò)賭博APP的數(shù)據(jù)庫,獲取了賬戶信息、賬戶綁定手機(jī)號、充值記錄和提現(xiàn)記錄等交易數(shù)據(jù)。案件涉及115個賬戶，其中企業(yè)賬戶40個，累計交易流水近2億元，為中間賬戶；個人賬戶75個，累計交易流水近6 700萬元，其中包含1個入賬賬戶、60個出賬賬戶、12個中間賬戶和1個普通生活賬戶。賬戶記錄以個人支付寶和企業(yè)支付寶兩種類型為主，大部分為個人支付寶賬戶。

2.2 實案洗錢特征分析

洗錢特征分析是以網(wǎng)絡(luò)賭博洗錢的犯罪特點和資金交易規(guī)律為基礎(chǔ)，對調(diào)單的資金流水?dāng)?shù)據(jù)、字段進(jìn)行篩選，發(fā)現(xiàn)符合高風(fēng)險交易特征的重點賬戶，以確定下一步資金分析方向的調(diào)查手段。在實案中，圍繞網(wǎng)絡(luò)賭博APP開展偵查，分析賭博充值、洗錢涉及的進(jìn)出賬情況和交易對手關(guān)系，理清賭客充值和返現(xiàn)方式，逐一對重點賬戶的資金流動數(shù)量、頻率、路徑和流動目的進(jìn)行交互迭代分析，從而判斷該案洗錢特征和資金歸集方式。

2.2.1 洗錢運作模式特征

涉案數(shù)據(jù)中收款賬戶以個人支付寶賬戶居多，企業(yè)賬戶或網(wǎng)購平臺代付訂單較少，初步符合“跑分平臺”的收款賬戶特征。其中，企業(yè)賬戶充當(dāng)了資金流追溯的第一道“物理隔斷”。在“跑分”平臺洗錢模式下(圖1)，賭客登陸網(wǎng)絡(luò)賭博平臺的充值入口，跳轉(zhuǎn)至支付寶頁面向企業(yè)支付寶賬戶充值賭資。洗錢團(tuán)伙以該企業(yè)支付寶賬戶為中間賬戶，再將賭資轉(zhuǎn)入梁某、區(qū)某和呂某等團(tuán)伙頭目的個人銀行卡、賭客和“跑分”人員支付寶賬戶?！芭芊帧比藛T在收到由企業(yè)賬戶轉(zhuǎn)入的賭資后采取“購買物品”“轉(zhuǎn)賬給他人”“花唄、借唄還款”、轉(zhuǎn)賬等方式對賭資進(jìn)行清洗，將支付給“跑分”平臺的“搶單押金”轉(zhuǎn)化為賭客的賭資轉(zhuǎn)入網(wǎng)絡(luò)賭博平臺或贏資轉(zhuǎn)入賭客的金融賬戶。

圖1 C市“1·10”網(wǎng)絡(luò)賭博案“跑分平臺”洗錢模式

2.2.2 洗錢轉(zhuǎn)賬IP地特征

網(wǎng)絡(luò)賭博團(tuán)伙往往依附于賭博合法化的國家，購買或者租賃境外服務(wù)器搭建網(wǎng)絡(luò)賭博平臺，其洗錢交易數(shù)據(jù)存在大量跨境特征。在“1·10”網(wǎng)絡(luò)賭博案中，通過對資金數(shù)據(jù)的分析抓取轉(zhuǎn)賬IP較為密集的地點，發(fā)現(xiàn)楊某等人的IP地址符合境外賭博網(wǎng)站聚集地特征(表1)，顯示為韓國首爾、新加坡、菲律賓等賭博合法化的國家或地區(qū)。結(jié)合犯罪團(tuán)伙為搭建平臺、資金清洗的租賃、購買犯罪工具行為，發(fā)現(xiàn)胡某和梁某購買服務(wù)器、支付網(wǎng)關(guān)的跨境交易記錄，鎖定窩點技術(shù)人員身份角色(表2)。

表1 異常IP登錄人員表

表2 支付軟件跨境購買記錄

2.2.3 “獎金池”賬戶特征

資金“即進(jìn)即出”是賬戶異常的顯著標(biāo)志。除了在“雙十一”等特定時期，資金賬戶的交易流水呈現(xiàn)快速出賬的特征外，資金賬戶內(nèi)正常的交易活動往往存在時間間隔。結(jié)合實案的交易流水進(jìn)行分析，實際活躍著大批單筆大金額入賬后立即快速支出的過渡賬戶。過渡賬戶的出賬可能被轉(zhuǎn)入多個支付對端拆分賭資，也可能作為“獎金池”返還贏資給賭客，贏資支付的出賬金額多帶有整數(shù)特征(表3)。

表3 “即進(jìn)即出”模式轉(zhuǎn)賬示意圖

實案資金流水中，企業(yè)支付寶、個人支付寶和個人銀行卡顯示為主要支付渠道，分別充當(dāng)了過渡賬戶、出賬賬戶和入賬賬戶。正常的個人金融賬戶的購買記錄往往反映為“衣、食、住、行”等日常生活消費，在交易時間上較為連貫，極少出現(xiàn)賬戶“休眠期”。分析實案中的企業(yè)賬戶發(fā)現(xiàn)，其交易時間段主要集中在2019年11月至2020年1月，然后出現(xiàn)停止交易的“休眠期”，停滯半月之后交易頻率突然增大(表4)。賬戶出現(xiàn)“休眠期”與第三方支付公司的風(fēng)控機(jī)制運作有關(guān)，例如金融風(fēng)控模型發(fā)現(xiàn)賬戶使用人的登陸地點、操作習(xí)慣、瀏覽內(nèi)容、按鍵頻率等存在不符合常規(guī)的操作，系統(tǒng)將啟動用戶身份核實；企業(yè)賬戶單日交易過于頻繁、夜間操作超出資金流動頻率，該風(fēng)險賬戶在一定時間內(nèi)不能使用。資金流動的停滯性與爆發(fā)性頻率變化特征應(yīng)被列入風(fēng)險點分析。

表4 資金賬戶“休眠期”示意圖

2.2.5 洗錢“測試”行為特征

小金額轉(zhuǎn)賬是洗錢團(tuán)伙測試過渡賬戶安全性的常用伎倆。在頻繁交易、異常時間交易或是度過賬戶“休眠期”之后，洗錢團(tuán)伙往往通過向收款賬戶轉(zhuǎn)入一筆小金額資金的方式確認(rèn)賬戶的安全性，再繼續(xù)進(jìn)行批量資金轉(zhuǎn)移。按照作案規(guī)律，個人賬戶“測試”交易金額在1元以下，企業(yè)賬戶“測試”交易金額在10元以下。例如，劉某尾號為8876的賬戶交易流水顯示，在25天的“休眠期”之后出現(xiàn)小金額出賬交易記錄，判斷屬于賬戶測試行為(表5)。

表5 資金交易“測試”行為

3 網(wǎng)絡(luò)賭博犯罪的資金流查控

在網(wǎng)絡(luò)賭博案件中，無論是賭資充值、返利還是贓款清洗，每一個環(huán)節(jié)都圍繞著資金流轉(zhuǎn)，對違法資金的分析在案件偵查過程中處于重要地位。在“案-資金-信息-人”的偵查模式下，以賭資充值、返利與流向為起點，結(jié)合資金數(shù)據(jù)洗錢特征分析、資金數(shù)據(jù)追蹤分析、信息流擴(kuò)展分析以及資金數(shù)據(jù)定位分析，從龐大的資金交易數(shù)據(jù)中截取符合洗錢特征的異常數(shù)據(jù)，研判和追蹤資金流動的款量、方式、頻率、時間、去向等，可以發(fā)現(xiàn)網(wǎng)絡(luò)賭博洗錢的資金鏈路和返款的資金環(huán)路，進(jìn)而揭示每一筆資金流動的性質(zhì)和目的，最后獲取偵破網(wǎng)絡(luò)賭博犯罪案件的重要線索。

3.1 “案-資金-信息-人”偵查模式

“案-資金-信息-人”偵查模式是指依據(jù)涉案信息進(jìn)行資金流、信息流分析以落地打擊窩點的偵查策略。根據(jù)情報線索或已知案情，對作為涉案數(shù)據(jù)載體的服務(wù)器及其指向的“資金池”賬戶展開偵控，能夠獲取龐大的資金流數(shù)據(jù)作為分析基礎(chǔ)。如果從網(wǎng)絡(luò)賭博投注行為發(fā)生著手，賭客進(jìn)入賭博網(wǎng)站注冊、充值或繳納賭資，到賭資進(jìn)入銀行多級賬戶、第三方平臺、第四方平臺等各類電子匯款結(jié)算通道，賭資走向能夠形成一個較為完整的資金流通閉環(huán)體系。

為了穿透這一資金流閉環(huán)，需要對涉案資金數(shù)據(jù)進(jìn)行提取，依據(jù)“即進(jìn)即出”、24小時交易但以深夜或凌晨交易為主、多筆交易對端、多筆小金額轉(zhuǎn)賬、“測試”行為等洗錢特征篩查出資金流水中的可疑交易，掌握資金流向的“來龍去脈”，從而發(fā)現(xiàn)隱藏在資金交易背后的網(wǎng)絡(luò)賭博團(tuán)伙組織架構(gòu)。然而追蹤和窮盡可疑賬戶及其對手賬戶的最終目的，不能“止步”于賭資的中轉(zhuǎn)賬戶和最終流入賬戶，還要查明賭資被層層轉(zhuǎn)移的平臺和工具，從而根據(jù)設(shè)備IP溯源窩點位置并追蹤團(tuán)伙成員身份。因此，查證資金轉(zhuǎn)移過程中犯罪人遺留下來的電子信息流，是伴隨資金流去向追蹤的另一條偵查路徑。通過對資金賬戶的交易額度、頻率、時間、對端與轉(zhuǎn)賬IP密集登錄地、賬戶資金密集匯總地、作案工具購買記錄等資金流、信息流、物流數(shù)據(jù)進(jìn)行比對碰撞，可以獲取網(wǎng)絡(luò)賭博平臺的 IP地址、端口號及其運行時間，從而初步判斷網(wǎng)絡(luò)賭博窩點的運營地點。再結(jié)合 IP地址下用戶社交軟件和資金賬戶使用情況，落查團(tuán)伙成員真實身份。

3.2 資金賬戶類型化調(diào)查

資金賬戶類型化調(diào)查是指對調(diào)單賬戶在洗錢活動中承擔(dān)的角色和作用進(jìn)行類型化分析、研判的活動。網(wǎng)絡(luò)賭博案件所涉及的第四方支付賬戶、核心賬戶、莊家賬戶成百上千，洗錢的涉案數(shù)據(jù)包括微信交易、支付寶交易、銀行卡交易和話單等多種維度的交易、通信和生活數(shù)據(jù)。面對龐大且雜亂的數(shù)據(jù)集群，如果對每一條記錄都進(jìn)行對手?jǐn)U展、迭代分析，將會耗費大量時間和警力，還可能遺漏案件調(diào)查真正需要的信息。因此，在梳理涉案資金流去向過程中，結(jié)合網(wǎng)絡(luò)賭博平臺的層級結(jié)構(gòu)，辨別資金賬戶基本類型是資金流查控的重要內(nèi)容。

網(wǎng)絡(luò)賭博的金融賬戶按照交易對端的資金凈和情況分為入賬賬戶、出賬賬戶和中間賬戶三類。以實案為例，入賬賬戶的資金凈和遠(yuǎn)大于0，交易對端表現(xiàn)為多對端轉(zhuǎn)入而極少轉(zhuǎn)出，該賬戶可能是網(wǎng)絡(luò)賭博犯罪團(tuán)伙頭目使用的專門收款賬戶，入賬賬戶有可能為莊家賬戶。相反，出賬賬戶的資金凈和遠(yuǎn)小于0，在交易對端上表現(xiàn)為較少的對端或固定對端向其轉(zhuǎn)賬，而該賬戶以各種形式累計大金額出賬，并且具有一定的“即進(jìn)即出”個人消費特征，例如充值話費、商品購入、轉(zhuǎn)賬給他人等，該賬戶可能是“跑分”人員的“跑分”賬戶；過渡賬戶是連接賭客與第四方平臺或“跑分”人員與第四方平臺的“橋梁”，其通常由企業(yè)賬戶充當(dāng)，出入賬金額往往持平，是受第四方支付平臺控制的核心賬戶。準(zhǔn)確辨別賬戶的類型，區(qū)分莊家賬戶、核心賬戶、“跑分”賬戶，可以助益于偵查人員快速梳理團(tuán)伙組織結(jié)構(gòu)及洗錢模式，對洗錢賬戶進(jìn)行凍結(jié)；通過重點賬戶的主要進(jìn)出賬分析，可以確定主要出賬賬戶和莊家賬戶以及需要進(jìn)一步調(diào)取的未調(diào)單賬戶。

3.3 “跑分”平臺數(shù)據(jù)建模分析

通過對大量洗錢交易數(shù)據(jù)及其產(chǎn)生的電子信息流數(shù)據(jù)進(jìn)行分析，能夠發(fā)現(xiàn)包括“跑分”在內(nèi)的洗錢活動規(guī)律性特征。對洗錢特征數(shù)據(jù)進(jìn)行整理和系統(tǒng)歸納，利用算法生成風(fēng)險指標(biāo)，可以建立網(wǎng)絡(luò)賭博案件反洗錢可疑交易模型，批量識別可疑資金賬戶和異常交易行為。

第一，根據(jù)異常交易金額發(fā)現(xiàn)下注賬戶。實案表明，線上充值的賭金數(shù)額多為整數(shù)，但投注金額往往是在“一注”基準(zhǔn)數(shù)之上的N倍數(shù)。依據(jù)網(wǎng)絡(luò)賭博倍數(shù)投注規(guī)律，可以查找具有整倍數(shù)關(guān)系的資金交易及其進(jìn)賬次數(shù)，梳理出賭客的資金賬戶和入賬賬戶。

第二，根據(jù)異?；钴S時間查找“跑分”賬戶。網(wǎng)絡(luò)賭博的開獎沒有時間限制，方便賭客24小時任意時間充值下注。相較于普通人凌晨入睡的作息時間，賭客的交易行為活躍在夜間，偵查人員需要關(guān)注凌晨1～6點出現(xiàn)的重復(fù)交易對端，其往往是“跑分”人員賬戶。

第三，根據(jù)異常大金額交易映射歸集賬戶。為逃避資金風(fēng)險監(jiān)控，拆分轉(zhuǎn)賬流水通常具有5萬元以下小金額、多次交易特征。通過分析重點賬戶的進(jìn)出賬情況，如果發(fā)現(xiàn)賬戶向一個對端頻繁進(jìn)行大金額轉(zhuǎn)賬，該對端賬戶可能為第四方平臺的歸集資金賬戶。

第四，根據(jù)資金轉(zhuǎn)移伴隨的信息流定位洗錢窩點。記錄資金交易過程中伴隨的設(shè)備登陸IP地址，將其與資金流水中境外服務(wù)器、阿里云服務(wù)器、境外手機(jī)號和境外交易軟件等購買記錄信息、多個轉(zhuǎn)賬設(shè)備出現(xiàn)在同一位置等多個條件進(jìn)行數(shù)據(jù)碰撞，可以追蹤發(fā)現(xiàn)洗錢窩點所在地的物理地址。