朝鲜被指清洗从Binance窃取的64亿美元加密资产

洞察与研究 2026年11月3日 朝鲜如何洗白从Binance窃取的64亿美元 朝鲜如何洗白从Binance窃取的64亿美元 作者：Tom Robinson博士 最后更新：2026年11月3日 08:40 UTC。这是一个快速演变的局势，我们将持续更新本文。被盗资金转移迅速且方式复杂，因此本文描述可能并不完整。 10月29日，全球最大的加密货币交易所之一Binance被盗走价值64.3亿美元的加密资产。被盗资金分布在11条不同的区块链上。Binance表示，此次攻击始于一名工程师的笔记本电脑被入侵。我们早前的文章详细介绍了此次攻击及归属。随后的洗钱活动极为复杂：在最初的三天半内，涉及11条区块链上约12,000个钱包和超过40,000笔交易。 以下是迄今为止被盗资金逐日洗白的过程。当我们说“攻击者”时，指的是目前控制着持有这些资金的钱包的人。区块链向我们展示了这些钱包，但不会揭示其背后是谁。 条形图显示每个阶段的活跃时间，基于截至2026年11月3日08:40 UTC的链上活动。箭头表示该阶段在彼时仍在进行中。 10月29日：与冻结争分夺秒 10月29日：与冻结争分夺秒 盗窃发生在10月29日20:05至23:56 UTC。在被盗的64.3亿美元中，34.6亿美元（54%）为USDT和USDC等稳定币。发行这些稳定币的公司，如Tether和Circle，可以将其冻结。因此，攻击者的首要任务是将稳定币兑换成无法被冻结的资产，如ETH和TRX。 在Ethereum上，Tether在被盗USDT到达37分钟后将其冻结。在冻结之前，攻击者设法在Uniswap等去中心化交易所（DEX）上将4.34亿USDT兑换为ETH。它还在一笔5,990万USDT的借贷协议Aave上借入了19,762 ETH。在Tron上，它在Tether冻结其余部分之前，在SunSwap上将2.34亿USDT兑换为TRX。Circle在823 million被盗USDC中的任何一笔被兑换之前将其全部冻结。 代币数量以百万计（稳定币按1美元计）。时间从资金到达攻击者钱包到发行方冻结。 代币数量以百万计（稳定币按1美元计）。时间从资金到达攻击者钱包到发行方冻结。 总计28.5亿美元已被冻结或扣押。约7.86亿美元稳定币在冻结生效前被兑换。 在同一半小时内，18,270枚被盗BTC被拆分到19个地址中。此后一直未动。 第一个小时之后，Tron上在大约五个小时内几乎没有任何动静。然后，在10月30日02:19 UTC，一个分发钱包开始将攻击者的6.846亿TRX以小额发送到数百个新地址。从那里，资金分散到约7,700个地址。 Tron资金的主要路径（简化版）。 在接下来的两个半小时内，攻击者通过六个不同的跨链桥进行了首次转账，大多为测试金额。桥将一条区块链上的资产转移，并在另一条区块链上支付资产。几乎所有TRX都以Ethereum上的ETH形式支付。迄今为止，至少有1.47亿美元已从Tron桥接出去。 在Ethereum上，到达的ETH被转发到新创建的地址，随后停止移动。如今，约68,600 ETH分散在约840个此类较小地址中，大多数持有10至100 ETH。持有攻击者89% ETH的九个最大地址自10月30日以来一直未动。 10月31日，攻击者增加了新的洗钱路径。从03:36 UTC起，部分TRX被兑换为USDD，这是一种自称“免冻结”的稳定币，意味着没有中央方可以冻结它。从05:18 UTC起，一个地址将1.28亿TRX通过JustLend借贷金库，从一个地址存入并向16个新地址提取。没有直接转账将它们联系起来。 攻击者如何在10月31日使用JustLend TRX金库。 分发钱包也加快了速度，从10月30日大部分时间每小时不到1,200万TRX，加快到10月31日每小时高达3,700万TRX。它在平壤的两个夜晚持续运行。最繁忙的时刻是10月31日08:00 UTC，攻击者的Tron钱包在一小时内进行了约1,300笔交易。 从分发钱包转出的链上转账，10月30日02:19 UTC至11月1日05:33 UTC。 10月31日晚些时候，FBI将此次盗窃归因于TraderTraitor，并公布了攻击者的地址。 到11月1日05:00 UTC左右，Tron上的活动已基本停止。分发钱包在05:33 UTC进行了最后一笔转账，在51小时内共完成1,113笔转账。 随后其他链开始移动。从07:00 UTC起，NEAR被转移到新账户。从08:19 UTC起，部分停放的ETH再次开始移动，每笔约10 ETH。从09:38 UTC起，约一半的SOL被转移到一个新地址，此后有小额被剥离。NEAR此后一直未动。 当天还出现了被盗资金的首次混币。从05:55 UTC起，来自Tron资金的比特币开始进入使用WabiSabi的coinjoin，这是Wasabi Wallet及类似钱包使用的协议。当天晚些时候，部分停放的ETH被兑换为比特币，其中大部分也走上了同样的路径。到11月2日06:02 UTC，约28 BTC（220万美元）已通过18次coinjoin。Coinjoin将许多用户的比特币合并到一笔交易中，从而打破了流入和流出代币之间可见的联系。 Coinjoin如何打破流入和流出代币之间的联系。简化版：此案例中的coinjoin每笔有101至491个输入。 11月2日：XRP开始移动，SOL流向比特币 11月2日：XRP开始移动，SOL流向比特币

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）