FBI 认定朝鲜黑客盗取币安 63 亿美元，被盗资金目前流向何处？

编辑 | 吴说区块链、ChatGPT

TL;DR：

· FBI 正式认定朝鲜实施此次盗窃，但未公开完整归因证据链。Chainalysis、TRM Labs 等此前已根据资金混合、攻击准备及行为特征作出相关判断。

· 黑客持续将被盗资产兑换为 ETH，并利用 DeFi 借贷、存款凭证及跨链服务转移资金。

· THORChain 因重复退款触发紧急暂停，意外延缓洗钱进程；Specter 另披露，朝鲜相关黑客在 7 小时内通过 Relay 转移约 3,800 万美元。

· 部分涉案资金已遭冻结，另有约 350 万美元代币因疑似误转被永久锁定。币安称已补足约 95% 的受影响资产，并已恢复部分网络及资产的提现服务。

美国联邦调查局（FBI）发布通报，认定朝鲜对币安超 60 亿美元加密资产盗窃事件负责，并将相关恶意网络活动称为 TraderTraitor。FBI 表示，攻击者正主要将被盗资产兑换为 ETH，预计随后将通过 DeFi 和即时兑换服务进一步洗钱。

币安此前估计，此次事件总影响规模约为 63 亿美元。随着执法部门公布涉案地址，Chainalysis、TRM Labs、Elliptic 等机构也陆续披露了归因线索、资金转移方式及拦截进展。

币安联席 CEO 何一表示，币安需要与美国公司协作冻结并追回资产，美国执法部门介入“非常高效”。她还表示，对于这类受到全球关注的案件，执法机构发布的信息均经过严格验证，有据可依。

一、FBI 正式归因朝鲜，资金混合成为机构判断的重要线索

FBI 通报没有披露此次归因的具体调查过程或完整证据链。通报称，FBI 联合美国特勤局（USSS）及国税局刑事调查部门（IRS-CI），观察到 TraderTraitor 攻击者将被盗资产主要兑换为 ETH，并列出由朝鲜攻击者控制或与其密切关联、目前或曾经持有被盗资产的地址。

在 FBI 发布通报前，Chainalysis 已将此次事件归因于 TraderTraitor。该机构表示，其判断基于攻击发生后数小时内观察到的链上活动，其中最有力的线索，是币安被盗资金与此前 Bitget 被盗资金在链上发生混合。后一起事件此前已被归因于朝鲜相关攻击者。Chainalysis 称，这一直接的链上关联强化了其对攻击者身份的判断。

TRM Labs 则表示，其基于链上与链下情报，以高置信度将此次攻击归因于 TraderTraitor。该机构列出的相似特征包括：通过 Tornado Cash 的小额提款为操作钱包提供资金、在盗窃发生前提前部署，以及预先获取签名后集中执行。TRM 认为，这些特征与此前涉及朝鲜的 Bybit、KelpDAO 等事件存在相似之处。

二、从直接兑换到 DeFi 存款凭证，黑客持续转移资金

据 Lookonchain 监测，截至其披露时，币安攻击者已在 EVM 链上抛售超过 130 种代币，累计换得约 123,400 枚 ETH 及 169 万枚 USDC，按当时价格合计约 2.79 亿美元，被抛售资产包括 UNI、ENA、PEPE、LINK、AAVE、ONDO 和 WLD 等。

据 Elliptic 追踪，攻击者不仅通过去中心化交易所将代币卖出换为 ETH，也曾将约 5,990 万枚 USDT 存入 Aave 作为抵押，借出约 19,762 枚 ETH。Elliptic 指出，Aave 随后冻结相关市场，限制的是新增活动，并不等于已经扣押攻击者的资产。

Chainalysis 在后续披露中介绍了另一种规避稳定币冻结的方式。该机构以一笔约 50 万美元的资金流为例指出，攻击者在 Tron 链上将 TRX 兑换为稳定币，再将稳定币存入 DeFi 借贷协议，取得代表池中资产索取权的存款凭证代币。攻击者随后将凭证转入另一钱包，由该钱包赎回稳定币，再经跨链桥将资金转出 Tron 并兑换为 ETH。

Chainalysis 表示，这类凭证与其代表的稳定币不同，不受稳定币发行方同样的冻结控制，持有人可以凭其赎回对应资产。该机构称，这一方式自此次攻击初期即已出现，朝鲜攻击者也曾在其他盗窃案中使用。不过，Chainalysis 强调，将稳定币兑换为 ETH 并不意味着攻击者能够逃避追踪，调查人员仍在实时分析相关资金路径。

资金转移还呈现出自动化特征。Chainalysis 报告称，短时间内出现数千笔交易，被盗资金在多个地址之间反复循环，有时又返回此前使用过的地址；许多地址先收到恰好 1 枚 TRX，再接收更多资金并继续转出。该机构认为，这些重复模式表明，攻击者可能通过程序自动转移和分配资金。

三、THORChain 故障延缓洗钱，Specter 披露黑客经 Relay 转移资金

Chainalysis 披露，以太坊一次链重组导致 THORChain 向一名存入 10 ETH 的用户错误地重复退款，进而触发协议紧急暂停。暂停影响所有用户，包括朝鲜相关洗钱者；截至该机构发帖时，攻击者及其他用户均无法通过其大部分跨链通道进行兑换。Chainalysis 称，这一故障意外延缓了大量币安被盗资金的洗钱进程。

链上调查人员 Specter 另表示，朝鲜相关黑客在 7 小时内通过 Relay Protocol 跨链桥转移约 3,800 万美元，截至其发帖时仍在继续。Specter 称，尽管 Relay 声称已部署 KYT（了解你的交易）监控系统，相关转移仍未被阻止，并对其风险管控提出质疑。其同时表示，黑客难以在相同时间内通过 THORChain 转移如此规模的资金。

针对被盗资金的后续流转，FBI、USSS 和 IRS-CI 呼吁 THORNode 运营商、RPC 节点运营商、即时兑换平台、DeFi 服务、区块链分析机构及其他虚拟资产服务提供商，阻止涉及通报所列地址或源自这些地址的交易。

THORChain 联合创始人 Chad Barraford 回应称，节点运营商没有掌握任何未公开的信息，相关信息均公开且可实时获取，无需传票即可查阅。他认为，这对调查而言是最理想的情况。

四、部分资产遭冻结或锁定，币安称已回填约 95% 受影响资产

Elliptic 在更新中表示，已在链上核实约 28.5 亿美元被冻结或被控制的涉案资产，主要为 USDT 和 USDC。除发行方冻结代币外，Arbitrum 安全委员会也已采取紧急措施，将相关资产移出攻击者控制范围。Elliptic 同时表示，已发布包含超过 1,000 个相关地址的公开名单，供企业筛查涉案资金。

Newton Foundation 表示，攻击者疑似因操作失误，将约 800 万枚 NEWT 及另外 17 种代币直接转入 NEWT 代币合约，合计价值约 350 万美元。基金会称，NEWT 合约本身没有遭到攻击，但因合约已放弃管理员权限并永久禁用升级功能，包括基金会在内的任何人均无法取回这些代币，相关资产已被永久锁定。基金会已将调查结果分享给币安。

币安最新宣布，已恢复 BTC、ETH、BSC、XRP 和 Base 网络上部分资产的提现服务，涉及 BTC、ETH、BNB、XRP、USDT 及 USDC 等，其他网络和资产将在完成安全检查后分阶段恢复。资产回填方面，币安表示已补足约 95% 的受影响资产，高于此前的 90%，其中 BTC、ETH、USDT、BNB 等十大代币已实现 100% 足额储备支持。剩余约 5% 为流动性较低的代币，公司正继续购入，并承诺承担此次被盗事件造成的全部财务损失。

截至北京时间 11 月 1 日 20:36，币安首阶段涵盖的 15 条网络及相应资产均已恢复提现。自当日 14:00 开始恢复提现后的 9.5 小时内，平台累计处理提现 46.49 亿美元、充值 10.1 亿美元，净流出约 36.4 亿美元，相当于其截至 10 月 28 日最新储备证明所列 1,710 亿美元管理资产总额的 2.1%。币安称，提现量在初期激增后逐步回落并趋于稳定，充值量仍保持较高水平。

币安还表示，作为此次安全事件后的防护措施，平台已更新储备金证明（PoR）地址列表，加入新生成的钱包地址，今后所有提现都将通过这些新地址处理。