FBI 认定朝鲜黑客盗取币安 63 亿美元，被盗资金目前流向何处？

编辑 | 吴说区块链、ChatGPT TL;DR： · FBI 正式认定朝鲜实施此次盗窃，但未公开完整归因证据链。Chainalysis、TRM Labs 等此前已根据资金混合、攻击准备及行为特征作出相关判断。 · 黑客持续将被盗资产兑换为 ETH，并利用 DeFi 借贷、存款凭证及跨链服务转移资金。 · THORChain 因重复退款触发紧急暂停，意外延缓洗钱进程；Specter 另披露，朝鲜相关黑客在 7 小时内通过 Relay 转移约 3,800 万美元。 · 部分涉案资金已遭冻结，另有约 350 万美元代币因疑似误转被永久锁定。币安称已补足约 95% 的受影响资产，并已恢复部分网络及资产的提现服务。 美国联邦调查局（FBI）发布通报，认定朝鲜对币安超 60 亿美元加密资产盗窃事件负责，并将相关恶意网络活动称为 TraderTraitor。FBI 表示，攻击者正主要将被盗资产兑换为 ETH，预计随后将通过 DeFi 和即时兑换服务进一步洗钱。 币安此前估计，此次事件总影响规模约为 63 亿美元。随着执法部门公布涉案地址，Chainalysis、TRM Labs、Elliptic 等机构也陆续披露了归因线索、资金转移方式及拦截进展。 币安联席 CEO 何一表示，币安需要与美国公司协作冻结并追回资产，美国执法部门介入“非常高效”。她还表示，对于这类受到全球关注的案件，执法机构发布的信息均经过严格验证，有据可依。 一、FBI 正式归因朝鲜，资金混合成为机构判断的重要线索 FBI 通报没有披露此次归因的具体调查过程或完整证据链。通报称，FBI 联合美国特勤局（USSS）及国税局刑事调查部门（IRS-CI），观察到 TraderTraitor 攻击者将被盗资产主要兑换为 ETH，并列出由朝鲜攻击者控制或与其密切关联、目前或曾经持有被盗资产的地址。 在 FBI 发布通报前，Chainalysis 已将此次事件归因于 TraderTraitor。该机构表示，其判断基于攻击发生后数小时内观察到的链上活动，其中最有力的线索，是币安被盗资金与此前 Bitget 被盗资金在链上发生混合。后一起事件此前已被归因于朝鲜相关攻击者。Chainalysis 称，这一直接的链上关联强化了其对攻击者身份的判断。 TRM Labs 则表示，其基于链上与链下情报，以高置信度将此次攻击归因于 TraderTraitor。该机构列出的相似特征包括：通过 Tornado Cash 的小额提款为操作钱包提供资金、在盗窃发生前提前部署，以及预先获取签名后集中执行。TRM 认为，这些特征与此前涉及朝鲜的 Bybit、KelpDAO 等事件存在相似之处。 二、从直接兑换到 DeFi 存款凭证，黑客持续转移资金 据 Lookonchain 监测，截至其披露时，币安攻击者已在 EVM 链上抛售超过 130 种代币，累计换得约 123,400 枚 ETH 及 169 万枚 USDC，按当时价格合计约 2.79 亿美元，被抛售资产包括 UNI、ENA、PEPE、LINK、AAVE、ONDO 和 WLD 等。 据 Elliptic 追踪，攻击者不仅通过去中心化交易所将代币卖出换为 ETH，也曾将约 5,990 万枚 USDT 存入 Aave 作为抵押，借出约 19,762 枚 ETH。Elliptic 指出，Aave 随后冻结相关市场，限制的是新增活动，并不等于已经扣押攻击者的资产。 Chainalysis 在后续披露中介绍了另一种规避稳定币冻结的方式。该机构以一笔约 50 万美元的资金流为例指出，攻击者在 Tron 链上将 TRX 兑换为稳定币，再将稳定币存入 DeFi 借贷协议，取得代表池中资产索取权的存款凭证代币。攻击者随后将凭证转入另一钱包，由该钱包赎回稳定币，再经跨链桥将资金转出 Tron 并兑换为 ETH。 Chainalysis 表示，这类凭证与其代表的稳定币不同，不受稳定币发行方同样的冻结控制，持有人可以凭其赎回对应资产。该机构称，这一方式自此次攻击初期即已出现，朝鲜攻击者也曾在其他盗窃案中使用。不过，Chainalysis 强调，将稳定币兑换为 ETH 并不意味着攻击者能够逃避追踪，调查人员仍在实时分析相关资金路径。 资金转移还呈现出自动化特征。Chainalysis 报告称，短时间内出现数千笔交易，被盗资金在多个地址之间反复循环，有时又返回此前使用过的地址；许多地址先收到恰好 1 枚 TRX，再接收更多资金并继续转出。该机构认为，这些重复模式表明，攻击者可能通过程序自动转移和分配资金。 三、THORChain 故障延缓洗钱，Specter 披露黑客经 Relay 转移资金 Chainalysis 披露，以太坊一次链重组导致 THORChain 向一名存入 10