ZachXBT:欧盟实体1.06亿美元USDC与USDT被盗

交易所账户流出稳定币

11月1日,超过1.06亿美元从欧盟一家未具名实体的中心化交易所账户流出,链上退出记录目前完全公开。链上调查员ZachXBT于11月2日晚间在Telegram调查帖中公布了资金去向,指出疑似被盗资金以稳定币USDC和USDT的形式从多个中心化交易所账户被提走。受害者与任何第三方均未公开确认金额或手法,这家欧洲实体的身份也仍然保密。链路追踪还原出的是一场分阶段、刻意抹除可追溯性的操作:行为人先把USDC换成以太币,这是当时在兑换平台上可获得的最深、流动性最好的交易对;随后用以太币穿过身份要求宽松的即时兑换服务,包括WellWallet和Kyrrex,这类服务的设计目标就是在几分钟内完成资产互换而不做完整合规审查;下一跳把所得换成门罗币(XMR),这是一条以隐私为核心的区块链,转账金额与交易对手在协议层面就被遮蔽;最后一阶段跨多条公链桥接价值,这种全链模式在每一次跳跃处切断追踪链条,迫使调查者从零开始重新锚定。ZachXBT指出,最密集的资金移动发生在大约24小时的窗口内,行为人出手速度极快。以稳定币形式出逃还把盗窃金额固定在提币那一刻,这正是1.06亿美元可以被精确陈述、而受害者保持沉默的原因。资金是从多个账户而非单一钱包流出的,这一点指向凭证层面的协同入侵,而不是单把私钥泄露,尽管入口路径尚无记录。他还公布了多个与本案相关的地址,供交易所和社区监控者对各自账上的入金做交叉比对。

兑换完成前的冻结窗口

ZachXBT给出第二个判断:从多个洗钱特征看,他高度确信此次疑似盗窃的行为人不是Lazarus Group,也就是长期实施交易所攻击的朝鲜团伙,真正的作案者身份仍然悬而未决。案件悬而未决的部分在运营层面:如果资金确实从多个中心化交易所账户流出,那么漏洞就出在账户层,登录凭证、API密钥、提币白名单以及异常提现拦截机制都没能在稳定币被标记之前发挥作用。这个顺序之所以关键,在于涉案两种资产仍受发行方约束。USDC和USDT都带有发行方冻结机制,而发行方或交易平台只有在价值仍处于它们可以触及的形态时才能介入。冻结发生在代币层面,发行方可以把持有该资产的地址列入黑名单,但这种权力不会随资金进入以太币或门罗币而延续。每一次兑换都在消耗这个选项:资金一旦变成以太币、一旦穿过即时兑换、一旦落入门罗币,窗口就关闭了。对交易所而言,这一事件指向更快的地址黑名单共享和更严格的KYT实时告警,也就是对照黑名单地址对入金做实时筛查,并跨平台落地;对在中心化平台持有大额余额的机构而言,多因素认证、提币冷静期以及托管拆分到多家供应商的理由被重新提起。两种稳定币在被盗总额中的确切占比尚未公布。事件落地的同时,USDC的发行方正处调整期:Circle已排定12月1日暂停其旧版USDC跨链桥CCTP V1,COINOTAG对Circle(CRCL)第三季度业绩的预览显示每股收益0.40美元并伴随USDC增长,而最近一个七日读数显示USDC流通量减少8亿。发行方的工具正在重建,窃贼却在同一时刻演示这些工具可以被绕得多快。

损失未经确认,行为人未被点名

本案的证据基础就是链本身:地址已公布、跳跃路径已记录、总额已陈述,而据称蒙受损失的实体仍未出面确认。我们的解读是,入口大概率在账户层而非协议层被攻破,随之而来的补救也并不新鲜:轮换凭证、审计白名单,以及能在几分钟内执行的预先标记冻结,因为一旦换成以太币和门罗币,发行方的触达就会迅速失效。中心化平台的账户失窃也大多落在大多数保险条款之外,现有条款围绕链上协议漏洞撰写,而非凭证被入侵。就眼下来看,案件仍然开放:行为人身份不明,资金路径穿经门罗币并跨多条跨链桥延伸,受害者与损失数字也都未经独立确认。