被告人X在网上QQ群里购买了一个木马程序，之后通过受害者网上购物之际，将其网银上的余额二十余万元全部转到木马指定的支付宝账号上。窃取了款项后，虽然木马绑定的支付宝账户是用假身份证注册的，但是为了更好地逃避打击，X用这个支付宝账户到中国联通公司网站购买联通充值卡，面值为100元、500元两种。因中国联通公司网站限购，单次交易最高额5000元，打9.85折即4925元，所以谢某就以4925元为一次，不停地向中国联通公司付款购买充值卡，直至将账户内的余额全部消费殆尽。购买完毕后，谢某即获得了相应的联通充值卡的卡号和密码。之后，X在淘宝网站上开设网店，将卡号密码通过淘宝卖出，再用网银卡从支付宝提现。
分析：本案是一起利用木马盗窃网银资金、利用支付宝购买充值卡洗钱的案例。事实上，近年来木马网银盗窃案件层出不穷，开始时第三方支付并不发达，所以这类盗窃团伙往往与专业的洗钱团伙合作，由洗钱团伙通过ATM取现等方式转移、清洗网银盗窃的资金。这种方式的缺点是成本高，取现团伙往往要收10%左右的手续费。而后来第三方支付平台的大量出现，常常被网银盗窃团伙利用作为自给自足的洗钱渠道。
在日常工作中，支付机构除了要及时提醒客户防范诈骗、及时升级防木马和杀毒软件外，还要重点关注支付账户中的下列可疑特征。
（1）大额资金通过网银转入支付账户。一般情况下，这种通过第三方支付平台洗钱的网银大盗，多是通过木马程序将受害人网上银行账户内资金盗窃转入其支付账户。与一般客户通过网银向支付账户充值时充整数不同，这种转人的资金往往有整有零。
（2）支付账户频繁。多次购买充值卡、游戏币等，直到余额耗尽。
（3）结构化操作。网络盗窃先要通过木马将受害人资金转入其控制的支付账户，即集中转人。之后再通过购买充值卡等商品方式“分散转出”，形成“集中转入、分散转出”的结构化操作特点。
（4）支付账户套现后沉睡。网络大盗将清洗后的资金从支付账户再转入其控制的银行账户，从而完成整个“洗钱”过程。一般情况下，为逃避打击，他会弃用这个支付账户，账户交易显示资金转出后即无任何交易。
