Binance 被盗的 31 亿美元加密货币尚未洗钱：Elliptic

简报

• 据 Elliptic 称，在从 Binance 窃取的 $6.43 billion 中，约有 $3.11 billion 仍留在与盗窃相关的地址中，主要为 ETH 和 Bitcoin。
• 洗钱过程使用了 16 条区块链上的 20,000 多个钱包和至少 36 个服务，但可能只有极少量资金已被变现。
• Elliptic 预计这些资金将在数月内被兑换成 Bitcoin，并通过场外交易经纪商变现，就像 2025 年 Bybit 黑客攻击事件后发生的那样。

区块链分析公司 Elliptic 在周五更新的一份报告中表示，上个月从 Binance 窃取的 $6.43 billion 中，约有一半尚未被洗白。

Elliptic 表示，约 $3.11 billion 仍留在与盗窃相关的地址中，主要为 ETH 和 Bitcoin，这些资金“极有可能”仍由朝鲜持有。另外 $2.85 billion（占总额的 44%）已被冻结或没收，主要是 stablecoins，即 Tether 和 Circle 等发行方在盗窃发生后一小时内冻结的资金。据 Elliptic 称，相比之下，在 2025 年 2 月发生的 $1.5 billion Bybit hack 攻击事件后，仅有约 3% 的资金被冻结。

FBI 已将 10 月 29 日的盗窃行为归咎于其称为 TraderTraitor 的朝鲜黑客。朝鲜否认参与其中。

Elliptic 表示，目前的洗钱活动“高度复杂且显然是自动化的”。它使用了 16 条区块链上的 20,000 多个钱包、至少 36 个服务和至少 65,000 笔交易，大约每 30 秒产生一个新钱包。

从 Binance 窃取的 18,270 BTC（盗窃时价值约 $1.5 billion）在黑客攻击当天被拆分到 19 个地址，此后一直没有移动。持有攻击者 89% ETH 的九个最大的 Ethereum 地址自 10 月 30 日以来也没有移动。

资金流向

到目前为止，大部分洗钱活动（约 $220 million 的 TRX）是通过 Tron 进行的，一个单一的分发钱包在 51 小时内（包括平壤的深夜）将 684.6 million TRX 发送到数百个新地址。几乎所有这些资金都被跨链桥接到了 Ethereum。

所有被盗的 Solana（按当前价格计算约 $87 million）都已被兑换、桥接或混币，攻击者已开始清洗被盗的 XRP，目前已转换约 $50 million，还剩 $226 million。总计约有 $124 million 被转换为 Bitcoin，其中大部分是通过跨链服务 THORChain 完成的。

部分资金已被混币。约 33 BTC（价值约 $2.5 million）通过 Wasabi 风格的代币混合交易（coinjoins）进行，约 $1.1 million 的 ETH 和 SOL 已存入 Privacy Cash 池，该池曾暂停存款约一天。

洗钱的速度引发了人们对 AI 代理正在转移资金的猜测，但 Elliptic 表示证据指向常规自动化。该公司表示：“洗钱显然是自动化的，但我们没有看到任何迹象表明有 AI 代理在做决策。”

Elliptic 预计攻击者会将 ETH 兑换为 Bitcoin，然后在数月内通过 OTC 经纪商和交易所变现。该公司指出，在 Bybit 黑客攻击事件后，朝鲜在 10 天内洗白了所有 499,000 被盗 ETH，但花了几个月的时间才变现。

Binance 继续恢复服务。周五，该交易所表示用户现在可以使用其最新储备证明快照的零知识证明，验证其余额至少有 1:1 的支撑，并计划在下周末前重新开放已恢复网络上所有代币的提现。