与冻结赛跑：黑了币安 64 亿美金后，朝鲜黑客是如何洗钱的？

作者 | Dr. Tom Robinson（Elliptic） 编译 | 吴说区块链，元宝 https://www.elliptic.co/insights/how-north-korea-is-laundering-the-6-4-billion-stolen-from-binance/ TL;DR： · 币安被盗约 64.3 亿美元，涉及 11 条区块链。不到 4 天内，攻击者动用约 12,000 个钱包、进行超 40,000 笔交易，速度之快表明洗钱高度自动化。 · 约 28.5 亿美元已被冻结或扣押（约占 44%），剩余约 32.4 亿美元仍在与盗窃相关的地址中，极小部分可能已被套现。 · Tron 链成为洗钱主通道：6.846 亿 TRX 被拆分至约 7,700 个地址，并通过至少 7 座跨链桥转向以太坊。 · 攻击者综合运用跨链桥跳转、DEX 兑换、借贷金库存取、Coinjoin 混币等手段，极大增加了追踪难度。 · 参考 2025 年 Bybit 案经验，预计 ETH 将先兑换为 BTC，再通过 OTC 经纪商在数月内套现。 一、事件回顾：与冻结赛跑 10 月 29 日，全球最大加密货币交易所之一的币安（Binance）被盗取价值 64.3 亿美元的加密资产，涉及 11 条不同区块链。币安表示攻击始于一名工程师的笔记本电脑被入侵。 被盗资金中，34.6 亿美元（54%）是稳定币（如 USDT、USDC）。由于稳定币发行方可以冻结，攻击者的首要任务是将其兑换为无法冻结的资产（如 ETH 和 TRX）。 以太坊上： Tether 在被盗 USDT 到达后 37 分钟冻结了资金。但在冻结前，攻击者已在 Uniswap 等去中心化交易所（DEX）将 4.34 亿 USDT 兑换为 ETH，并将 5,990 万 USDT 抵押在 Aave 借贷协议借出 19,762 枚 ETH。 Tron 上： 攻击者在 Tether 冻结剩余资金前，通过 SunSwap 将 2.34 亿 USDT 兑换为 TRX。 Circle： 在攻击者兑换任何资金前，冻结了全部 8.23 亿 USDC。 结果： 总计 28.5 亿美元被冻结或扣押，约 7.86 亿美元稳定币在冻结前成功转换。同一半小时内，18,270 枚 BTC 被拆分到 19 个地址，至今未移动。 二、Tron 成为主要通道，资金跨链转向以太坊 盗窃发生约 5 小时后，10 月 30 日 02:19 UTC，一个分发钱包开始将攻击者持有的 6.846 亿 TRX 小额发送到数百个新地址。最终资金扩散到约 7,700 个地址。 跨链桥： 随后 2.5 小时内，攻击者首次通过 6 个不同的跨链桥转移资金（多为测试金额）。几乎所有 TRX 最终在以太坊上以 ETH 形式支付。迄今至少有 1.47 亿美元通过跨链桥从 Tron 转出。 以太坊上： 到达的 ETH 被转发到新建地址后停止移动。目前约 68,700 枚 ETH 分布在约 850 个较小地址中（多数持有 10–100 ETH）。9 个最大地址持有攻击者 89% 的 ETH，自 10 月 30 日以来未移动。 三、新路线与加速：借贷金库与 USDD 10 月 31 日，攻击者增加了新的洗钱路线： · 从 03:36 UTC 起，部分 TRX 被兑换为 USDD（一种标榜“不可冻结”的稳定币）。 · 从 05:18 UTC 起，一个地址将 1.28 亿 TRX 存入 JustLend 借贷金库，从 1 个地址存入，提款到 16 个新地址 — — 发送和接收之间无直接转账关联。 速度提升： 分发钱包从 10 月 30 日多数时间每小时<1,200 万 TRX，提升到 10 月 31 日每小时高达 3,700 万 TRX。在平壤的夜晚也持续运行，最繁忙时（10 月 31 日 08:00 UTC）攻击者的 Tron 钱包在一小时内进行了约 1,300 笔交易。 10 月 31 日晚，FBI 将盗窃案归因于 TraderTraitor 并公布了攻击者地址。 四、多链齐动：NEAR、SOL、BTC 混币与 XRP 11 月 1 日，Tron 活动基本停止，其他链开始活跃： · 07:00 UTC 起：NEAR 被转移到新账户。 · 08:19 UTC 起：部分停放的 ETH 开始再次移动（每笔约 10 ETH）。 · 09:38 UTC 起：约一半 SOL 被移到新地址，随后小额剥离。 · 首次混币： 从 05:55 UTC 起，来自 Tron 资金的 BTC 开始通过 WabiSabi 协议（Wasabi 钱包等使用的协议）进行 Coinjoin 混币。当天晚些时候，部分 ETH 被兑换为 BTC 并同样进行了混币。截至 11 月 2 日