Binance 加密资产：3.33 亿美元被转移

Binance 遭遇 63 亿美元黑客攻击一周后，截至 11 月 6 日 UTC 时间 10 时（越南时间 17 时），黑客团伙已通过转换渠道和加密货币服务转移至少 3.33 亿美元数字资产。资产转移活动正在不同区块链上加速进行，资金流转网络已扩展至 16 条区块链上的 20,000 多个钱包，使资产追查日益复杂。

Binance 遭攻击一事暴露了在去中心化系统中管理金融资产面临的重大挑战。这是全球投资者和加密货币交易所面临的一起重大加密资产安全事件。

3.33 亿美元资产被转移

据 Bitquery 称，截至 11 月 6 日 UTC 时间 10 时，约有 3.33 亿美元与 Binance 黑客攻击事件有关的资产离开了最初所在的区块链，被转入混币服务或转至属于交易所的地址。这一数字约占攻击发生后未被冻结的 35 亿美元资产总值的 10%。

TRON 网络上加密资产的处理速度令人意外。仅用两天半，攻击团伙就转移了该区块链上约 82% 可转移的资产。一周后，这一比例升至约 84%。

作为比较，Bitquery 引用了对 2025 年 2 月 Bybit 黑客攻击事件的追踪数据：当时攻击团伙在四天半后仅转换了约 27% 被盗 ETH，在七天半后转换了约 56%。尽管两起攻击事件的统计方法和资产类型并不完全相同，Binance 黑客团伙在 TRON 上的转移速度仍然十分突出。

不过，如果将所有未被冻结的资产都计算在内，Binance 事件后的转换速度反而低于 Bybit。原因是大部分 Bitcoin 和 Ether 仍留在原始钱包中，尚未经过 Bitquery 用于识别已被转移资产的转换渠道。

通过 THORChain 加速转换 XRP

11 月 5 日至 6 日出现了新动向，黑客团伙开始加快转换 XRP。据 Bitquery 称，在多日几乎没有显著活动后，攻击团伙在统计期最后 19 小时内通过 THORChain 协议转移了约 5700 万美元 XRP。

截至 11 月 7 日 UTC 时间 8 时的更新，Elliptic 记录到已兑换 XRP 的金额增至约 1 亿美元，其中大部分被转换为 Bitcoin。仍有约 1.73 亿美元 XRP 存放在与此次盗窃有关的地址中。攻击团伙正逐步将重点转向此前尚未处理的资产，而不再像最初几天那样只专注于 TRON 和 Solana。

Bitquery 还首次公布了转换渠道的详细分析表。THORChain 位居首位，涉及金额约 1.13 亿美元，其中 5700 万美元来自 XRP，5600 万美元来自 TRON。其次是 Relay，涉及 5600 万美元；Circle 的跨链 USDC 转移工具 CCTP，涉及 5300 万美元；以及 Chainflip 和 Symbiosis 平台。

另一条值得关注的渠道是 BWSwapRouterV1 兑换合约，约 3500 万美元被转至一个中间地址，该地址与 Bitget 的充值地址存在交易联系。

新数据还显示，11 月 3 日至 4 日，Solana 上约 770 万美元资产被转入混币工具 Privacy Cash。此前，Bitquery 在 11 月 5 日的报告中尚未记录到这一活动。

另一项发现是，约 440 万美元流入了 HitBTC 交易所的充值地址。不过，资产出现在交易所地址并不意味着它已被出售并兑换成法币，也不代表平台所有者知晓这些资金的来源。

Bitquery 还发现，多条看似彼此独立的转换渠道最终汇聚到了同一批 Bitcoin 钱包。截至数据统计截止时，通过 THORChain 转换 XRP 的交易产生了约 620 BTC，并转至 28 个 Bitcoin 地址；这些地址也从 ETH、AVAX 和 TRX 转换渠道收到资金。尽管资金被拆分并经由多条区块链转移，分析师仍能识别出资产在转移末端汇聚的节点。

超过 20,000 个钱包、65,000 笔交易掩盖资金流向

在 11 月 7 日的更新中，Elliptic 表示，资产转换和分散活动已扩展至 16 条区块链上的 20,000 多个钱包，并涉及至少 36 种加密货币服务。

记录到的交易总数超过 65,000 笔，相当于在监测期间平均每 30 秒创建一个新钱包、每 10 秒完成一笔交易。

Elliptic 评估认为，这些活动的自动化程度很高，体现在反复出现的交易具有相似的规模、时间和处理方式。不过，该公司尚未发现自主 AI 代理直接决定资金转移的证据。现有数据更符合由人类设置和监控的自动化程序的特征。

另一项重要发现是，通过其他被盗资产兑换而来的 Bitcoin 数量仍在增加。据 Elliptic 称，截至 11 月 7 日上午，通过 XRP、SOL 和 TRX 等资产的兑换，已产生约 2,300 BTC，估值约 1.75 亿美元。这些 Bitcoin 是通过兑换交易产生的，不包括直接从 Binance 窃取的 BTC。

转为 Bitcoin 后，攻击团伙可以避开 Tether 和 Circle 等稳定币发行机构针对 USDT 或 USDC 实施的直接冻结机制。尽管如此，Bitcoin 仍使用公开账本，调查机构可以继续追踪交易历史。

为增加追踪难度，攻击团伙使用了 Wasabi Wallet 风格的 CoinJoin 等交易混合机制，同时将部分 ETH 和 SOL 转入具有隐私性质的流动性池。

Elliptic 记录到，截至 11 月 7 日，约 88 BTC（相当于 670 万美元）经过了 Wasabi 风格的混币交易。另有部分资产被转入 Privacy Cash，以切断发送地址与接收地址之间的直接关联。

Chainalysis 在 11 月 8 日发布的报告中称，THORChain 在最初 72 小时内处理了超过 4600 万美元与 Binance 事件有关的资产，为网络运营方带来超过 20 万美元手续费。这一数字凸显了调查中出现的新问题：即使没有直接参与攻击，为加密货币兑换提供支持的服务也可能从与被盗资产有关的交易中收取可观费用。

据《华尔街日报》报道，去中心化协议的开发者认为，他们无法也不应单方面阻止所有交易。与此同时，执法机构和批评者质疑，当来源非法的资产继续通过系统转移时，平台应承担何种责任。

尽管资金转移网络日益复杂，Elliptic 认为，真正兑换成可在加密货币系统之外使用的资金仍然很少。截至 11 月 7 日，约有 31.3 亿美元资产仍留在被确认与此次攻击有关的地址中，主要是 Bitcoin 和 Ether。

大部分直接被盗的 Bitcoin 仍存放在最初接收资金的 19 个地址中。最大的 ETH 钱包也尚未出现明显的资金转移活动。

Elliptic 认为，下一阶段黑客团伙可能会继续拆分 ETH、转换为 Bitcoin，并尝试通过场外交易经纪商或中间网络进行交易。不过，这只是根据以往攻击行动作出的预测，并非已确认发生的活动。

Bitquery 的报告也指出了追踪工作的局限性。约 7100 万美元已转至该机构无法继续完整追踪的钱包。此外，对部分地址控制权的认定可能导致已转换资产的估值在 3.15 亿至 3.44 亿美元之间波动，而非精确等于 3.33 亿美元。