分析公司將 Binance 遭竊的 64 億美元與北韓駭客組織連結

目錄

• 你可能想知道
• 主要內容
• 關鍵洞見表
• 後續⋯⋯

你可能想知道

• 哪些證據讓調查人員將 Binance 遭竊事件與北韓的 TraderTraitor 組織連結起來？
• 有多少遭竊加密貨幣已被凍結，而 Binance 表示會如何補償用戶損失？

主要內容

三家區塊鏈分析公司已將 Binance 遭竊事件歸因於北韓行動者。其中兩家 TRM Labs 和 Chainalysis 明確指出是 TraderTraitor，這個北韓駭客組織先前曾被 FBI 指控造成 2025 年 2 月的 Bybit 遭駭事件，損失達 15 億美元。這些公司形容 Binance 事件是有紀錄以來規模最大的加密貨幣竊盜案。他們的結論根據區塊鏈交易分析，以及有關過往攻擊的情報；不過，北韓先前曾否認駭客攻擊指控。

TRM Labs 表示，該公司「高度確信」這項歸因，並引用「強而有力的鏈上與鏈下情報」。該公司估計，Binance 錢包在 10 條區塊鏈上共遭竊約 63.6 億美元。大部分資金在約 20 分鐘內被轉移，時間從週四美東時間下午 4:05 開始。TRM 將估計的竊盜金額與 15 億美元的 Bybit 遭駭事件比較，指出 Binance 事件的規模約為其四倍。

Chainalysis 將總金額估為約 64 億美元。該公司表示，調查人員觀察到與 Binance 相關的資金即時和上個月 Bitget 遭利用事件的所得混合，這是關鍵證據；該事件先前已被歸因於北韓行動者。Chainalysis 發言人告訴 CNN，該公司「高度確信」Binance 遭駭事件是北韓所為。

總部位於新加坡的 Pangolin Intelligence 也告訴 CNN，該公司認為事件是由北韓駭客單位所為。該公司表示，其評估是根據「分析與這次駭客事件相關的鏈上活動，並將其與過往已知事件所蒐集的資訊進行比對」。這些結論是分析得出的歸因，並非被指控者公開承認；北韓先前也否認曾發動網路攻擊。

TRM Labs 和 Chainalysis 均指出，攻擊者的作案錢包是透過 Tornado Cash（一種加密貨幣混幣器）注入資金。TRM 也指出其他其認為與過往北韓相關事件相似的特徵，包括早在竊盜發生前就已開始的準備活動，以及與 Bybit 遭駭事件和 4 月的 KelpDAO 遭利用事件相似之處。調查人員會利用這類重疊特徵建立歸因，但仍須將區塊鏈活動和作案模式與其他情報一併考量。

攻擊如何運作

TRM 對這次攻擊的描述指出，攻擊者在受影響的不同網路上採用了不同的轉帳方式。在 Ethereum 上，攻擊者使用 EIP-7702 委派功能；這項功能由 Ethereum 的 Pectra 升級引入，可讓一般錢包執行智慧合約程式碼。根據 TRM，攻擊者利用此功能將 Binance 熱錢包變成由其控制的歸集器，並預先準備了 50 個預先簽署的授權。

在另外九條鏈上，Binance 錢包透過一般的簽署轉帳將資金轉給攻擊者。TRM 表示，這種模式顯示 Binance 熱錢包的簽署基礎設施可能遭到入侵。這些調查結果描述了調查人員觀察到的技術途徑；Binance 也另外分享了自身調查及可能入侵途徑的資訊。

Binance 表示，其調查始於一名工程師的筆記型電腦遭入侵，但後來發現「其他入侵點」。這起事件與 Bybit 遭駭事件有一項值得注意的相似之處：該事件同樣始於一台遭入侵的裝置。Decrypt 當時報導，北韓駭客在入侵錢包服務供應商 Safe 一名開發者的電腦後，在 Safe 的基礎設施中植入惡意程式碼。事件間的相似之處有助調查人員辨識可能的關聯，但單憑這些相似性，無法證明使用了相同工具或由相同人士所為。

追查並凍結遭竊資金

調查人員表示，攻擊者迅速洗錢，處理無法直接保留的資金。Chainalysis 回報了「前所未見的洗錢模式」，包括在短時間內進行數千筆交易。該公司表示，這些活動顯示可能使用自動化方式，讓資金在不同地址間反覆流轉，使資產流向更難追蹤。

TRM 表示，攻擊者也將 USDT 賣給做市商，並在借貸協議 Aave 上以 USDT 為抵押借入 ETH，顯然是想在發行方凍結資產前轉移資金。根據 TRM，攻擊者目前持有超過 420,000 ETH 和 18,270 BTC。該公司估計，這些資產價值約 24 億美元，超出任何發行方的掌控範圍。這些數字代表 TRM 評估時仍不在發行方掌控範圍內的資產。

不過，仍有部分資產已遭凍結。TRM 回報，Tether、Circle、Ripple 和 World Liberty Financial 已凍結約 26.7 億美元的穩定幣。Arbitrum 安全委員會也凍結了 8,426 ETH 和 74.6 million ARB。Binance 將凍結總額估為約 30 億美元。各方回報的金額來自不同來源，且涵蓋不同資產類別，因此應視為各來源所提供的估算。

Binance 表示，已開始為用戶追回受影響的資產，並持續與執法機關、發行方、區塊鏈情報公司及業界夥伴合作，追蹤、凍結並追回更多資金。該公司也表示，其公開承諾將以充足的公司資金儲備作為補償損失的保障。

Binance 週五發布最新消息稱，已預留超過 63.4 億美元的公司資金，以應對這起事件。該公司表示，其中 50 億美元已以遭竊的確切代幣持有。Binance 正透過市場和場外交易管道購買剩餘代幣，並表示「由於部分代幣的流動性可能較低，因此可能需要更長時間」。Binance 補充說明，這些儲備金額不包括遭凍結的資產。該交易所表示：「我們會度過這場風暴。」

這起事件也發生在北韓長期試圖鎖定加密貨幣產業的背景之下。2025 年 8 月，Binance 資安長 Jimmy Su 告訴 Decrypt，北韓攻擊者每天都試圖受聘於 Binance，並稱他們是加密貨幣公司面臨的最大威脅。週三，美國財政部因北韓 IT 工作者計畫轉移數百萬美元加密貨幣，制裁了 10 名個人和一個實體。這些不同的事態發展，呈現了業界對直接攻擊，以及透過求職或承包商管道取得存取權限的憂慮背景。

總體而言，這起事件涉及大規模竊盜、資產快速轉移，以及交易所、分析公司、發行方、區塊鏈安全委員會和執法機關共同參與的協調應對。具體歸因是相關公司解讀交易模式和其他情報後得出的結果。另一方面，追回資產的努力取決於能否辨識剩餘資產，以及有能力介入的組織能否在資金轉移至其掌控範圍之外前採取行動。

關鍵洞見表

後續⋯⋯

下一階段將取決於持續追蹤、交易所與資產發行方之間的合作，以及能否在資金超出介入範圍前凍結或追回資產。Binance 表示正與執法機關、分析公司、發行方和業界夥伴合作，同時強調已預留公司資金以應對這起事件。隨著更多資訊公開，調查人員的歸因和追回資產估算可能有所變動。對整體加密貨幣產業而言，這起案件凸顯保護錢包簽署系統、監控異常交易模式，以及降低遭入侵裝置和存取憑證所帶來風險的重要性。