诈骗洗钱模式揭露：挂单充值洗钱、商户洗钱等新模式全面蔓延

在全球数字化进程加速，金融交易愈发便捷的当下，黑灰产洗钱活动也呈现出日益猖獗的态势。随着国家金融监管力度的不断加大，传统洗钱方式的操作空间被大幅压缩，但黑灰产团伙为逃避打击，不断推陈出新，开发出更为隐蔽、复杂的洗钱手段，这对银行等金融机构的风险防控工作也带来了新的挑战。

威胁猎人分析发现，传统跑分模式因“断卡行动”等监管收紧而成本激增、风险暴露。黑产转而利用挂单洗钱混淆资金来源，或通过商户洗钱将赃款伪装成合法交易。这种转变的根本在于追求更低的洗钱成本、更高的隐蔽性以及更便捷的跨境资金转移。

威胁猎人在对比传统跑分洗钱与新型洗钱模式后发现，随着模式演进，洗钱人员构成、资金流路径、交易特征及隐蔽性均发生了变化，新型的洗钱模式呈现出更强的隐蔽性与反追踪能力。

一、黑产早期使用跑分模式进行洗钱

跑分模式洗钱是以“资金池”为核心，通过招募跑分用户提供银行卡并缴纳押金，为诈骗团伙分散诈骗资金。在整个洗钱路径中，是用跑分用户的银行卡来完成洗钱资金的隔离。

该模式通常由四类核心角色组成：跑分平台、跑分用户、诈骗团伙、受害人。

诈骗团伙：洗钱资金的需求方，使用精心包装过的身份话术，在社交软件上对受害人实施精准诈骗，诱导受害者转账，如炒股投资理财诈骗。

跑分平台：洗钱核心组织者，监控诈骗资金流入、调度跑分用户银行卡、结算佣金及诈骗团伙资金结算。

跑分用户：诈骗资金中转的“人肉通道”，在跑分平台缴纳押金作为信用担保，再提供个人银行卡接收诈骗资金。

受害人：被诈骗团伙诱导后，将资金转入跑分用户银行卡。

虽然传统的跑分模式试图利用跑分用户的银行卡作为诈骗资金的隔离层，但交易记录的可追溯性仍构成风险。为更彻底地隐蔽犯罪所得资金，黑产采取了以下核心手段：

1、跑分押金使用虚拟货币支付：要求跑分用户在参与时，直接使用虚拟货币（如USDT）缴纳押金。

2、结算诈骗资金使用虚拟货币：跑分平台给诈骗团伙结算诈骗资金，也是通过虚拟货币（如USDT）完成。

黑产使用虚拟货币规避国内的资金监管，将诈骗取得的资金快速转移到境外，这正是利用了虚拟货币的匿名性、去中心化、跨境流通的特性。

黑产利用虚拟货币将诈骗所得转移至境外，导致被害人损失难以追回，同时这也助长上游的诈骗犯罪。此外，黑产在此基础上，更是演进出了更加多样化的洗钱模式提高洗钱的隐蔽性来规避监管。

二、黑产洗钱模式向多元化演进：

挂单模式洗钱、商户洗钱

威胁猎人研究发现，近年来黑产洗钱模式逐渐多元化，“挂单洗钱”、“商户洗钱”尤为突出：

2.1挂单模式洗钱

挂单模式是指赌客将提现订单提交至挂单平台，平台将订单信息转给诈骗团伙。诈骗团伙引导受害人将钱转入赌客银行卡，实现资金“代付”。赌客在不知情的情况下成为洗钱通道，帮助完成赃款转移。

挂单模式洗钱通常由四类角色组成：挂单平台、诈骗团伙、赌客、受害人。

诈骗团伙：洗钱资金的需求方，使用精心包装过的身份话术，在社交软件上对受害人实施精准诈骗，诱导受害者转账，如炒股投资理财诈骗。

挂单平台：洗钱交易的撮合者：监控充提订单，匹配赌客“提现”需求，调度给到诈骗团伙。

赌客：在不知情情况下，成为诈骗资金中转的“人肉通道”，从赌博平台提现赌资却收诈骗资金。

受害人：被诈骗团伙诱导后，将资金转入跑分用户银行卡。

相比早期跑分模式，挂单洗钱无需招募专业跑分人员，直接利用赌客银行卡即可低成本获取大量账号分散转移诈骗资金。因赌客卡前期无明显洗钱特征（如小额高频转账），极大提升了资金转移的隐蔽性，导致银行现有反诈模型难以识别。

威胁猎人监控数据现显示，2025年上半年，在挂单充值中参与洗钱的银行卡环比上升115%。

随着挂单洗钱规模的逐渐扩大，被动参与到洗钱环节的银行卡也越来越多，这也对银行等金融机构的反洗钱工作带来了新的挑战：

1、洗钱交易隐蔽性进一步提升，受害人直接给赌客转账，与正常个人转账行为完全同质化，传统基于交易频率、金额异常的监测模型失效，交易双方均为"正常个人客户"，无法通过对手方特征识别风险。

2、诈骗资金链路断裂，挂单模式与传统跑分模式对比，没有“资金池”这一特征，诈骗资金只在受害人和赌客两个自然人账户之间有一次性流动。

3、银行难以识别客户身份，赌客在不知情或者不情愿情况下被动成为洗钱工具，银行难以界定用户是否存在主观恶意，若批量冻结账户，将会误伤非故意参与洗钱的用户，遭到大量不知情用户投诉。

黑产将诈骗资金的洗钱风险转移到正常金融账户的洗钱方式，也被黑产应用到其他风控更加薄弱的商户交易环节。

2.1商户洗钱

商户洗钱指黑产盗用合法商户账户或开设虚假商户账户（以虚假材料注册），将诈骗资金通过商户进行转移，依托真实交易掩护或伪造交易，完成资金清洗。

商户洗钱主要由四个核心角色组成：诈骗团伙、洗钱团伙、商户提供者、受害人。

诈骗团伙：使用精心包装过的身份话术，在社交软件上对受害人实施精准诈骗，诱导受害者向商户账户转账，如炒股投资理财诈骗。

商户提供者：

• 码商：掌握大量商户账号等资源，在需要时可以配合代办营业执照和各种需要认证的商户，将商户资料提供给洗钱团伙使用，还可安排人员配合各种人脸认证，保证交易完成。

• 散户：找到码商中介或者直接对接洗钱团伙，提供自己的商户信息，配合洗钱团伙进行洗钱交易。

• 商家：被黑产套取商户收款码，提供给线上洗钱团伙，通过赃款购买名贵商品完成洗钱交易。

洗钱团伙：从码商、散户手中租赁或者购买商户账号，或者线下找到合适的商家进行套取，再对接上游的诈骗团伙，有序地提供商户码，协助非法资金完成转移洗白。

受害人：被诈骗诱导后，向商户账户支付黑资(启动洗钱链条)，实质成为犯罪组织的“人肉取款机”。

威胁猎人通过分析发现，目前商户洗钱主要分为三大类型，分别是利用线下商家洗钱，利用线上电商平台商家洗钱和开通虚假商家码洗钱：

「利用线下商家洗钱」

黑产通过线下搜寻能够下手的商家，通过把商家收款账号提供给到线上的洗钱团伙，以购买商品的名义或者信用卡套现为由，把诈骗资金转入商家账户中，再对购买的商品或者现金进行销赃回款。

「利用电商商家洗钱」

黑产团伙首先通过低价代下单服务吸引并收取正常用户的资金，随后在电商平台代为下单购买商品。下单后，他们利用专门的“拉码”工具将生成的订单支付链接转换成二维码。诈骗团伙则负责将这些二维码发送给诈骗受害人，诱骗其扫描付款。受害人一旦支付，款项便直接完成了电商平台上的订单支付，从而将黑钱的清洗过程及相关的资金风险转嫁给了电商平台。

「开通虚假商家码洗钱」

黑产通过招募人员，通过个人信息和虚假商家材料，完成商户码的开通，提供给到洗钱团伙专门用于诈骗资金归集和转移。

据威胁猎人监控数据显示，2025年上半年，商户洗钱团伙规模环比上涨60%，洗钱商户数量环比上涨43%。这一数据反映出，黑产利用商户账号洗钱正在向组织化、规模化方向演变，如果你对商户洗钱的具体手法感兴趣，可以参考我们这篇深入文章：

黑产利用商户洗钱的规模逐渐扩大，被利用来洗钱的商户数量也随之增长，这同时也给收单机构、电商平台和商家带来了新的风险与挑战：

1、收单机构面临监管重压，黑产大量利用虚假材料开通虚假商户进行洗钱，容易导致收单机构监管评级下调。

2、电商平台经营安全与声誉受到影响，黑产利用电商平台日常经营业务进行洗钱活动，将非法资金混入平台的正常流水中，为了拦截诈骗资金，平台可能批量冻结可疑账户，误伤正常商家，平台声誉受损。本质是黑产将洗钱风险转嫁到平台上。

3、商家正当权益受损，正常商家账户被冻结导致日常经营中断，商户账号被动接收黑资后账户被司法冻结，导致商家现金流出现断裂。

三、黑产洗钱模式多元化的应对措施

洗钱模式正从“链条可控”演变为“路径分散”，从“黑产自营”走向“混入日常”。在传统跑分团伙被打击的同时，更多普通赌客、商户、散户在不知情中被卷入洗钱流程，成为黑产攻击链条中的“隐形节点”。

因此，金融机构更要及时了解黑产的洗钱手法和细节，依托全网黑产洗钱情报的监测数据，把单一交易监测升级为系统性生态对抗，从“被动防御”转向“主动防御”。

威胁猎人提供的“反洗钱情报服务”，基于全面的情报监测体系，深入监测全网3000+洗钱支付平台，1.6W+个洗钱群聊，实时监控黑产的涉赌/涉诈银行卡、洗钱商户、洗钱对公账户等数据，并赋予对应的动态风险标签，可以做到事前快速识别、事中实时监管、事后策略分析，帮助金融机构快速识别涉赌/涉诈洗钱账户，有效拦截电信诈骗/网络赌博的洗钱资金。

我们在过往的服务案例中以及API攻击情报平台监测到的事件中也发现不少业务逻辑相关的安全问题。

威胁猎人如何助力金融机构治理洗钱账户：

1、在账号进行转账前

基于威胁猎人监控的涉赌/涉诈银行卡、洗钱商户交易信息、洗钱对公账户等数据进行分析，及早布控，将账户涉诈风险扼杀于“萌芽”。威胁猎人风险银行卡数据库总量达474W+，3W+洗钱商户，2.7W+洗钱对公账户。

2、在涉诈交易行为发生时

基于威胁猎人监控的涉赌/涉诈银行卡、洗钱商户交易信息、洗钱对公账户等数据进行分析，结合交易特征模型和交易环境特征进行实时建模，提醒或者限制风险资金交易。

3、在事后处理非法交易账户时

基于威胁猎人监控的涉赌/涉诈银行卡、洗钱商户交易信息、洗钱对公账户等数据的证据链条，结合行内监控到可疑交易记录，及时提交可疑交易报告。