本研究针对现有比特币非法地址数据集的构建方法缺乏可复现性和证据不充分的问题，提出了一种可复现的流水线，用于从地下网络犯罪论坛 HackForums 的十五年历史帖文中提取并验证与非法交易相关的比特币地址。该流水线结合了大型语言模型（LLM）辅助筛选、专家人工审查和链上验证三个环节。首先，利用 LLM 对论坛讨论进行初步筛选，识别可能涉及非法交易的地址；其次，由专家对候选地址进行仔细审查，确认其与特定网络犯罪活动（如勒索、洗钱、非法市场等）的关联；最后，通过区块链数据验证地址的交易行为，确保其确实参与了非法交易。研究团队从 2010 至 2024 年的论坛数据中手动验证了 2,438 个非法比特币地址，并按照十二个网络犯罪类别进行了标注。该数据集与完整的提取流水线一并公开发布，支持其他研究人员对加密货币相关的网络犯罪进行可重复的研究。此工作的核心贡献在于提供了带有上下文证据和链上验证的标签数据集，弥补了现有标签构建过程不透明、证据不足的缺陷。

该论文对俄语网络犯罪论坛 exploit.in（同时存在于明网和暗网）上的 Crypter-as-a-Service（CraaS）生态系统进行了纵向分析。CraaS 是现代恶意软件经济的关键赋能层，通过地下服务市场提供按需规避能力。研究人员从约 100 万篇帖子中，结合关键词过滤、大语言模型辅助标注和人工验证，提取了 2020 年 1 月至 2025 年 8 月期间的 491 个主题和 2,949 篇帖子。分析表明，exploit.in 上的加壳器并非作为静态工具出售，而是作为持续维护的运营服务，其价值取决于定期更新（有时每日更新）、持续的杀毒软件规避以及基于信任的交付。论文提出了 5 种卖家类型和 4 种买家轮廓的分类法，并绘制了结构性市场交易中的买卖双方对应关系。定价模型涵盖从低成本的按构建 Telegram 机器人服务到高端定制开发和薪资招聘。通过社交网络分析，发现市场围绕一小部分高度核心的参与者呈层级结构，许多参与者充当信任经纪人或其他有影响力的中间人，市场稳定性依赖于更广泛的信任和治理基础设施，包括托管、担保人、信誉系统和安全保证金。最后，论文讨论了 exploit.in 上的 CraaS 模型与 HackForums 上报道的模型之间的差异，指出 exploit.in 表现出更专业化和面向服务的 CraaS 配置。该研究为理解地下加壳服务市场的运作方式提供了重要洞见。