ZachXBT追踪欧盟机构1.06亿美元失窃加密资产流入门罗币

USDC换以太坊,再入门罗

总额超过1.06亿美元的被盗数字资产,如今正沿一条从中心化交易所托管账户出发、穿越以太坊、终点落在门罗币的路径流动。链上调查员ZachXBT于11月2日通报了此案:欧盟一家未具名机构的资金在11月1日,也就是事发前一天,从其在多家中心化交易所持有的托管账户中被违规转出,形式为稳定币USDC与USDT。受害方与涉事平台均未公开,目前也没有任何追回的消息。链上记录显示,路径上第一跳已可确认,即将USDC兑换成以太坊(ETH),这意味着稳定币在离开托管后几乎立即被换出,随后资金经由即时兑换平台继续流转,WellWallet与Kyrrex均在报告中点名。从这一步起赃款一直在移动:它跨过多条链,一项名为Wagyu的跨链服务则将其中部分赃款换成了门罗币(XMR)。以太坊这一段是全程唯一可以完整读取的环节,因为每笔转账在公开账本上都带有时间戳、可按地址查询。门罗币的存在目的恰恰相反:它的区块链隐藏每一笔转账的发送方、接收方与金额,正因如此,当赃款需要抹去痕迹时,常被导入这类隐私币。这种透明度上的落差,也是本案读起来与典型交易所盗币事件不同的原因,链上追踪的基础逻辑可参考我们此前的Etherscan评测。即时兑换平台的选择在整条链路的起点同样关键:这类平台交换资产速度快,不会像大型交易所面对一笔新增的八位数提现请求那样,设置提现冻结与身份核验;而把大额余额拆成多笔小额转账,每跳的成本不过是一笔普通的gas费。

ZachXBT把与朝鲜关联的黑客团伙Lazarus Group实施此次盗窃的概率评估为“极低”,其判断依据是洗钱手法本身,而非受害方的背景画像。这一结论落在一个归因问题密集的星期里。10月29日,Binance出现了约63亿美元的资金流出,美国联邦调查局(FBI)随后发布官方声明,将那次攻击归因于朝鲜,这也让两案之间的区分变得有分量:与国家关联的团伙通常会把赃款缓慢地经过可以长期变现的工具清洗。同一时段,针对加密平台的攻击接连发生。巴西大型交易所Mercado Bitcoin在11月2日检测到其一处系统出现安全事件后,暂停了充值与提现,其公告称客户没有遭受损失、亦无数据泄露;区块链安全公司Hypernative估算,与该公司关联的钱包被抽走的资金超过4000万美元。免费开源的比特币支付处理程序BTCPay Server则在11月1日呼吁运营方停用自己的支付服务器,此前有报告称自托管实例的热钱包出现未授权提现;该项目在设计上就由用户自行托管,因此暴露程度因运营方而异。团队确认攻击针对的是2.4.1之前运行的版本,该版本于2026年7月23日发布,并建议仍停留在旧版本的用户把热钱包剩余余额全部转移,迁移到配备全新钱包的独立服务器上。热钱包,无论是交易所账户、支付处理器的收款端,还是运营方的节点,是贯穿本周所有事件的共同线索。

托管账户失守,而非合约漏洞

这次事件并不是一次智能合约失效。资金存放在交易所托管账户中,经由提现流出,而排除Lazarus Group的结论,正是建立在洗钱设计的特征之上,而不是代码被利用的证据。公开账本的透明度让任何人都能看到巨鲸在五小时内将6297万美元买入27553枚ETH,或标记出与Kanye West关联的钱包从Binance提取2074枚ETH,同样的透明度让调查者得以逐跳读取这条路径上的以太坊网络环节。经Wagyu跨链换成门罗币,正是可见性终结之处,而这一段不可读,恰恰是整个操作的目的。截至11月2日的报告,被盗资金最后一个有据可查的位置,就是经Wagyu完成的跨链转换进入门罗币,此后链上再无任何记录。