Binance黑客将1.24亿美元被盗山寨币兑换为比特币(BTC)

洗钱路径横跨16条区块链

Binance失窃的64.3亿美元,其清洗行动如今已经蔓延到16条区块链上,经由超过20000个钱包和约65000笔交易层层转移,最新的一段路径直指现货比特币市场。11月6日发布的一份区块链取证报告显示,攻击者已将价值1.24亿美元的被盗山寨币兑换成约1650枚比特币(BTC)。需要说明的是,这只是赃款的形态转换,并非新的损失:这些被兑换的代币仍属于10月29日失窃案中被盗的同一批资产,因此这1.24亿美元与最初公布的14.8亿美元损失数字是分别统计的。报告所描述的比特币是资产本身,而非其他链上的包装比特币形态,这意味着赃款已经进入整个加密行业流动性最深的池子。追踪结果显示,目前已有28.5亿美元、占总数的44.3%被冻结,仍有31.1亿美元、占48.4%留在关联钱包中。两者合计覆盖59.6亿美元,在64.3亿美元的总赃款之外,还有约4.7亿美元、占7.3%的份额未出现在公开统计中,这一缺口很可能由统计时点差异和资产价格波动解释。分币种来看,价值约5000万美元的XRP已被转移,攻击者钱包中尚存约2.26亿美元的XRP;而被盗的Solana接近8700万美元,几乎已全部完成兑换、跨链或经由多层转账混淆来源。整场分散转移看起来是自动化执行的,不过分析未发现任何证据表明有AI代理在幕后指挥,而且到目前为止,真正被提走的赃款只占很小一部分。

提现恢复,98%损失已补足

洗钱手法本身与资金规模同样值得关注。取证工作由TRM Labs完成,记录了攻击者自行铸造代币、在Tron上搭建流动性池以掩盖转账痕迹,以及经由借贷凭证代币和多段跨链桥转移资产的操作,这些路径专门绕开资产可能被冻结的钱包。另一条独立的链上追踪捕捉到,价值3.25亿美元的稳定币在20分钟内兑换成了2.85亿美元的以太币,目的显然是抢在冻结生效之前完成转换。部分XRP的兑换经由THORChain完成,这是一条运作方式类似去中心化原子交换场所的跨链网络:其官网在FBI提出请求后屏蔽了被标记的地址,但独立运营的节点仍在继续处理交易。与此案相关的已公布地址是连同归属结论一起发布的:该局在10月31日将这起盗窃归因于朝鲜的TraderTraitor组织,并呼吁THORNode运营方、DeFi服务和即时兑换商封堵相关资金流。与此同时,Binance正在资金持续流动的情况下恢复提现,其11月6日的更新将HYPE、INJ、APT、PLASMA、NEAR和LTC列入下一周周末前重开的名单。交易所的官方事件披露显示,截至10月31日,受影响的代币资产已有98%获得补足,并承诺全额弥补客户损失,不过补足被盗资产并不等同于追回被盗资产。同一份说明还还原了攻击起点:一次伪造的求职面试、一台工程师电脑上被植入的恶意软件,以及对一个内部AI工具的滥用。这条路径绕过了技术防线,也绕过了面向客户的KYC验证,直接触达用于签署钱包交易的系统。恢复提现撞上的是承压的流动性:交易平台Talos的市场结构数据显示,净流出达61亿美元,盘口中间价1%范围内的深度在事发首日下降28%,11月1日前后一度跌至较失窃前低约44%的水平,随后开始回升;比特币价格在攻击发生后下跌约5%。即便如此,同一份报告认为,与FTX崩盘相比,此次事件蔓延至更大范围市场的迹象有限。

仅7.3%的赃款去向不明

从市场角度看,这笔兑换成Bitcoin (BTC)的操作是一次路径选择,而非供给冲击。1650枚BTC相对于比特币自身的发行节奏而言几乎可以忽略,而每四年一次的减半会将新增供应砍掉约一半;配合盘口深度的回升,5%的回撤说明抛压已被市场吸收。对比特币需求真正的驱动因素是退出流动性:它是加密行业中市场最深的一条通道,而冻结在小型链上远比在这里容易执行。关于失窃代币事后如何被“围堵”,我们此前关于Cory Fields比特币“量子地雷”的报道记录了一条追回路径。按取证口径,仍暴露在直接冻结控制之外的,是关联钱包中的31.1亿美元,加上公开统计未能覆盖的约4.7亿美元、占赃款总额7.3%的部分。攻击者依托自建基础设施进行的分散布局让这部分资金保持可移动状态,而考虑到到目前为止实际被提走的赃款只是很小一部分,主要风险仍然留在加密体系内部,而非已经流出。