Elliptic：遭窃的 Binance 加密货币中，有 $3.1B 尚未洗钱

前言

Binance 加密货币遭窃后，相关资产被通过钱包、区块链和金融服务转移，形成一项复杂且大规模的行动。区块链分析公司 Elliptic 在周五更新的报告中估计，上月遭窃的 $6.43 billion 中，约有一半仍留在与事件相关的地址中。该公司表示，约 $3.11 billion 仍在其中，主要是 ETH 和 Bitcoin，而且“极有可能”仍由朝鲜持有。另一方面，另有 $2.85 billion，即总额的 44%，已被冻结或扣押，主要归功于稳定币发行方迅速采取行动。本文回顾 Elliptic 的调查结果、遭窃资金的转移路径、自动化操作的相关证据，以及该公司对未来洗钱和套现活动的预期。本文也概述 Binance 据报为恢复服务所采取的措施。

懒人包

Elliptic 估计，从 Binance 遭窃的 $6.43 billion 中，约有 $3.11 billion 仍留在与窃案相关的地址中，主要是 ETH 和 Bitcoin。另有 $2.85 billion，即 44%，已被冻结或扣押，主要为稳定币。调查人员已在 16 条区块链上识别出超过 20,000 个钱包、至少 36 项服务，以及至少 65,000 笔交易。目前据信只有极少量资金已套现。Elliptic 预期，攻击者会将剩余 ETH 兑换成 Bitcoin，并在数月内通过场外交易经纪商和交易所逐步套现；该公司将此过程与 2025 年 Bybit 遭黑客攻击事件后的情况相提并论。

正文

Elliptic 的评估凸显 Binance 窃案的规模，也凸显转移遭窃加密货币与将其兑换成可用资金之间的差异。根据该公司周五更新的报告，上月遭窃的 $6.43 billion 中，约有一半仍留在与攻击相关的地址中。约 $3.11 billion 尚未从这些地址转出。Elliptic 表示，剩余资产主要是 ETH 和 Bitcoin，而且“极有可能”仍由朝鲜控制。

另有 $2.85 billion，相当于遭窃总额的 44%，已被冻结或扣押。这笔款项大多是稳定币，其发行方包括 Tether 和 Circle，并在窃案发生后一小时内冻结了资产。Elliptic 将此结果与 2025 年 2 月 $1.5 billion 的 Bybit 遭黑客攻击事件作比较；该事件发生后，约 3% 的遭窃资金遭到冻结。这些数字显示，发行方迅速合作能实质限制资产流动，但冻结资金并未涵盖所有遭窃代币，也无法阻止涉及其他加密货币的活动。

美国联邦调查局将 10 月 29 日的窃案归咎于其称为 TraderTraitor 的朝鲜黑客。朝鲜否认涉案。Elliptic 的分析聚焦于资金在链上的流动，并形容目前的洗钱行动“极其复杂，而且显然经过自动化”。其研究人员追踪到分布于 16 条区块链上的超过 20,000 个钱包、与至少 36 项服务的交互，以及至少 65,000 笔交易。观察到的速度约为每 30 秒新增一个钱包。

尽管活动迅速，遭窃资产中仍有相当大一部分停留在原处。从 Binance 遭窃的 18,270 BTC，在窃案发生时价值约 $1.5 billion，并于黑客攻击当天分散至 19 个地址，此后一直没有移动。同样地，持有攻击者 89% ETH 的九个最大 Ethereum 地址，自 10 月 30 日以来也未曾移动。这些未移动的余额与已经通过其他网络转移的资产之间的差异，是了解目前行动状态的关键。

资金的移动方式因资产和区块链而异。截至目前，据报规模最大的洗钱流向涉及通过 Tron 转移约 $220 million 的 TRX。一个分配钱包在 51 小时内，将 684.6 million TRX 发送至数百个新地址，期间甚至在平壤的夜间仍持续转账。几乎所有这些 TRX 随后都通过跨链桥转至 Ethereum，显示遭窃资金可能会被拆分并在不同网络间移动，而非直接转入交易所。

遭窃的 Solana 则走上不同路径。根据 Elliptic 的说法，所有遭窃 Solana（按当前价格计价约 $87 million）都已兑换、跨链转移或混币。攻击者也已开始洗钱遭窃的 XRP。目前约 $50 million 已经兑换，另有约 $226 million 尚待转移。Elliptic 于 November 6, 2026 分享的另一则更新指出，XRP 已开始移动，主要是通过 THORChain 兑换成 BTC。该公司也报告称，从其他遭窃资产兑换而来的 Bitcoin 已达约 1,650 BTC，价值 $124 million，几乎是前一天数字的两倍。

总计约 $124 million 已兑换成 Bitcoin，其中很大一部分是通过跨链服务 THORChain 完成。Bitcoin 对洗钱行动可能很有用，因为来自不同网络的资产可以集中兑换成广泛交易的加密货币。然而，兑换本身并不代表资金已成功套现。通过钱包和跨链桥转移资产可能使追踪更加复杂，而将其兑换成法定货币或其他可用价值，则还需要经过额外步骤，也可能暴露于经纪商、交易所和监控系统之下。

Elliptic 也发现涉及注重隐私的混币服务的活动。约 33 BTC（价值约 $2.5 million）已通过 Wasabi 类型的 coinjoin 混币交易。此外，约 $1.1 million 的 ETH 和 SOL 存入 Privacy Cash 资金池；该资金池曾暂停存款约一天。这类工具能模糊入账与出账交易之间的关联，但它们的出现本身并不能证明资金已完全隐匿或兑换成现金。

钱包创建和转账速度很快，引发外界猜测是否有人工智能代理在协调这些活动。Elliptic 表示，证据指向的是传统自动化。该公司指出，洗钱行动显然经过自动化，但目前没有任何迹象显示 AI 代理正在做决策。这项区别很重要：自动化脚本可以高速执行预先设定的转账和路由指令，却不会自行评估情况或选择策略。Elliptic 的结论仅限于其在链上观察到的证据。

展望未来，Elliptic 预期攻击者会将剩余 ETH 兑换成 Bitcoin，接着在数月内通过场外交易（OTC）经纪商和交易所套现。该公司以 2025 年 Bybit 遭黑客攻击事件作为比较。该事件发生后，朝鲜在 10 天内洗完全部 499,000 ETH 的遭窃资产，但套现则花了数月。这个先例说明，链上洗钱的速度不应与将资产兑换成可用资金的速度混为一谈：这两个阶段可能有截然不同的时间表。

在调查和资产转移仍持续进行之际，Binance 也继续恢复服务。该交易所周五表示，用户可通过其最新储备证明快照所采用的零知识证明，验证其余额至少有 1:1 的资产支持。Binance 也表示，目标是在下周末前，为已恢复的网络重新开放所有代币的提现。这些说法涉及交易所恢复服务和验证储备，并不会改变 Elliptic 对仍留在关联地址中或已被冻结的遭窃加密货币数量估计。

整体而言，Elliptic 的调查结果描绘出窃案后应对的两项对比特征：资产在不同网络间大规模流动，同时也有大量资产仍未移动或已被冻结。这项行动涉及数千个钱包、数万笔交易和众多服务，但该公司认为，很可能只有极少量资金已经套现。因此，下一阶段的重点或许不再是钱包之间的快速转账，而是剩余加密货币能否、以及多快能通过经纪商和交易所兑换。

重点摘要表