Peckshield派盾旗下的反洗钱反欺诈系统CoinHolmes显示，Colonial Pipeline支付赎金75BTC后，这75BTC被分别转至开头为bc1qxu和开头为bc1qu5的两个钱包地址，赎金占比分别大约为84%和16%。
此前分析过DarkSide这个骇客组织已经形成完整的勒索即服务(RaaS)产业链，开发者向下游提供作案工具和方法，然后抽成获利。从资金流转图可以看出，这一次被FBI冻结的是下游勒索的资金(开头为bc1qxu，63.7BTC)，开发者的资金自收到后就没有动过(开头为bc1qu5，11.2 BTC)。
属于下游勒索钱包的开头为bc1qxu的63.7BTC先是转到了开头为3EYkxQ的地址，随后转入开头为bc1qq2的地址，再分两笔分别转入开头为bc1qpx的目标地址(FBI掌握私钥的地址， 63.7BTC)和另一地址(5.9BTC)。
本周一释出的一份宣誓书显示，追回此笔赎款源于联邦调查局(FBI)掌握了转账过程中某一关键钱包的私钥，但并未透露FBI是如何获得该私钥的。
PeckShield反洗钱专家表示：FBI很可能追踪到了勒索软件在美国的服服器代理，然后被查获，私钥可能存在服服器上面。
早前DarkSide的网站遭封锁，他们随后发文宣布解散，并将支付服服器上的资金转移到了一个未知的地址。
以我们以往帮助警方追踪涉及洗钱的虚拟货币案例来看，一般情况下，通过追踪和分析资金流向，分析交易模式和对方讯息，如果犯罪嫌疑人使用中心化交易机构洗钱，可通过定位中心化交易机构，并出具司法对证，封堵疑似涉案资金，锁定涉案嫌疑人。
但是，在Colonial Pipeline的案例中，资产并未流入中心化交易机构，所以FBI应该不是通过这种方式查封这笔款项的。此外，目前还没有迹象显示有私钥泄漏的可能，我们的判断倾向于FBI从服服器代理着手追回这笔赎金。PeckShield反洗钱专家解释道。
