分析公司将 Binance 遭窃的 64 亿美元与朝鲜黑客组织关联

目录

• 你可能想知道
• 主要内容
• 关键洞见表
• 后续……

你可能想知道

• 哪些证据让调查人员将 Binance 遭窃事件与朝鲜的 TraderTraitor 组织关联起来？
• 有多少被盗加密货币已被冻结，而 Binance 表示会如何补偿用户损失？

主要内容

三家区块链分析公司已将 Binance 遭窃事件归因于朝鲜行为者。其中两家 TRM Labs 和 Chainalysis 明确指出是 TraderTraitor，这个朝鲜黑客组织此前曾被 FBI 指控造成 2025 年 2 月的 Bybit 遭黑客攻击事件，损失达 15 亿美元。这些公司形容 Binance 事件是有记录以来规模最大的加密货币盗窃案。他们的结论基于区块链交易分析，以及有关过往攻击的情报；不过，朝鲜此前曾否认黑客攻击指控。

TRM Labs 表示，该公司「高度确信」这一归因，并引用「强有力的链上与链下情报」。该公司估计，Binance 钱包在 10 条区块链上共被盗约 63.6 亿美元。大部分资金在约 20 分钟内被转移，时间从周四美国东部时间下午 4:05 开始。TRM 将估计的盗窃金额与 15 亿美元的 Bybit 遭黑客攻击事件比较，指出 Binance 事件的规模约为其四倍。

Chainalysis 将总金额估为约 64 亿美元。该公司表示，调查人员观察到与 Binance 相关的资金实时和上个月 Bitget 遭利用事件的所得混合，这是关键证据；该事件此前已被归因于朝鲜行为者。Chainalysis 发言人告诉 CNN，该公司「高度确信」Binance 遭黑客攻击事件是朝鲜所为。

总部位于新加坡的 Pangolin Intelligence 也告诉 CNN，该公司认为事件是由朝鲜黑客单位所为。该公司表示，其评估基于「分析与这次黑客事件相关的链上活动，并将其与过往已知事件所收集的信息进行比对」。这些结论是分析得出的归因，并非被指控者公开承认；朝鲜此前也否认曾发动网络攻击。

TRM Labs 和 Chainalysis 均指出，攻击者的作案钱包是通过 Tornado Cash（一种加密货币混币器）注入资金。TRM 还指出其他其认为与过往朝鲜相关事件相似的特征，包括早在盗窃发生前就已开始的准备活动，以及与 Bybit 遭黑客攻击事件和 4 月的 KelpDAO 遭利用事件相似之处。调查人员会利用这类重叠特征建立归因，但仍须将区块链活动和作案模式与其他情报一并考虑。

攻击如何运作

TRM 对这次攻击的描述指出，攻击者在受影响的不同网络上采用了不同的转账方式。在 Ethereum 上，攻击者使用 EIP-7702 委托功能；这项功能由 Ethereum 的 Pectra 升级引入，可让普通钱包运行智能合约代码。根据 TRM，攻击者利用此功能将 Binance 热钱包变成由其控制的归集器，并预先准备了 50 个预先签署的授权。

在另外九条链上，Binance 钱包通过普通的签署转账将资金转给攻击者。TRM 表示，这种模式显示 Binance 热钱包的签署基础设施可能遭到入侵。这些调查结果描述了调查人员观察到的技术路径；Binance 也另外分享了自身调查及可能入侵途径的信息。

Binance 表示，其调查始于一名工程师的笔记本电脑遭入侵，但后来发现「其他入侵点」。这起事件与 Bybit 遭黑客攻击事件有一项值得注意的相似之处：该事件同样始于一台遭入侵的设备。Decrypt 当时报道称，朝鲜黑客在入侵钱包服务提供商 Safe 一名开发者的电脑后，在 Safe 的基础设施中植入恶意代码。事件间的相似之处有助调查人员识别可能的关联，但单凭这些相似性，无法证明使用了相同工具或由相同人员所为。

追踪并冻结被盗资金

调查人员表示，攻击者迅速洗钱，处理无法直接保留的资金。Chainalysis 报告了「前所未见的洗钱模式」，包括在短时间内进行数千笔交易。该公司表示，这些活动显示可能使用自动化方式，让资金在不同地址间反复流转，使资产流向更难追踪。

TRM 表示，攻击者还将 USDT 卖给做市商，并在借贷协议 Aave 上以 USDT 为抵押借入 ETH，显然是想在发行方冻结资产前转移资金。根据 TRM，攻击者目前持有超过 420,000 ETH 和 18,270 BTC。该公司估计，这些资产价值约 24 亿美元，超出任何发行方的掌控范围。这些数字代表 TRM 评估时仍不在发行方掌控范围内的资产。

不过，仍有部分资产已被冻结。TRM 报告，Tether、Circle、Ripple 和 World Liberty Financial 已冻结约 26.7 亿美元的稳定币。Arbitrum 安全委员会也冻结了 8,426 ETH 和 74.6 million ARB。Binance 将冻结总额估为约 30 亿美元。各方报告的金额来自不同来源，且涵盖不同资产类别，因此应视为各来源提供的估算。

Binance 表示，已开始为用户追回受影响的资产，并持续与执法机构、发行方、区块链情报公司及行业伙伴合作，追踪、冻结并追回更多资金。该公司还表示，其公开承诺将以充足的公司资金储备作为补偿损失的保障。

Binance 周五发布最新消息称，已预留超过 63.4 亿美元的公司资金，以应对这起事件。该公司表示，其中 50 亿美元已以被盗的确切代币持有。Binance 正通过市场和场外交易渠道购买剩余代币，并表示「由于部分代币的流动性可能较低，因此可能需要更长时间」。Binance 补充说，这些储备金额不包括被冻结的资产。该交易所表示：「我们会渡过这场风暴。」

这起事件也发生在朝鲜长期试图瞄准加密货币行业的背景之下。2025 年 8 月，Binance 首席安全官 Jimmy Su 告诉 Decrypt，朝鲜攻击者每天都试图受聘于 Binance，并称他们是加密货币公司面临的最大威胁。周三，美国财政部因朝鲜 IT 工作者计划转移数百万美元加密货币，制裁了 10 名个人和一个实体。这些不同的事态发展，呈现了行业对直接攻击，以及通过求职或承包商渠道获取访问权限的担忧背景。

总体而言，这起事件涉及大规模盗窃、资产快速转移，以及交易所、分析公司、发行方、区块链安全委员会和执法机构共同参与的协调应对。具体归因是相关公司解读交易模式和其他情报后得出的结果。另一方面，追回资产的努力取决于能否识别剩余资产，以及有能力介入的组织能否在资金转移至其掌控范围之外前采取行动。

关键洞见表

后续……

下一阶段将取决于持续追踪、交易所与资产发行方之间的合作，以及能否在资金超出干预范围前冻结或追回资产。Binance 表示正与执法机构、分析公司、发行方和行业伙伴合作，同时强调已预留公司资金以应对这起事件。随着更多信息公开，调查人员的归因和追回资产估算可能有所变化。对整个加密货币行业而言，这起案件凸显保护钱包签署系统、监控异常交易模式，以及降低遭入侵设备和访问凭证所带来风险的重要性。