Elliptic：遭竊的 Binance 加密貨幣中，有 $3.1B 尚未洗錢

前言

Binance 加密貨幣遭竊後，相關資產被透過錢包、區塊鏈和金融服務轉移，形成一項複雜且大規模的行動。區塊鏈分析公司 Elliptic 在週五更新的報告中估計，上月遭竊的 $6.43 billion 中，約有一半仍留在與事件相關的地址中。該公司表示，約 $3.11 billion 仍在其中，主要是 ETH 和 Bitcoin，而且「極有可能」仍由北韓持有。另一方面，另有 $2.85 billion，即總額的 44%，已遭凍結或扣押，主要歸功於穩定幣發行方迅速採取行動。本文回顧 Elliptic 的調查結果、遭竊資金的轉移路徑、自動化操作的相關證據，以及該公司對未來洗錢和套現活動的預期。本文也概述 Binance 據報為恢復服務所採取的措施。

懶人包

Elliptic 估計，從 Binance 遭竊的 $6.43 billion 中，約有 $3.11 billion 仍留在與竊案相關的地址中，主要是 ETH 和 Bitcoin。另有 $2.85 billion，即 44%，已遭凍結或扣押，主要為穩定幣。調查人員已在 16 條區塊鏈上識別出超過 20,000 個錢包、至少 36 項服務，以及至少 65,000 筆交易。目前據信只有極少量資金已套現。Elliptic 預期，攻擊者會將剩餘 ETH 兌換成 Bitcoin，並在數月內透過場外交易經紀商和交易所逐步套現；該公司將此過程與 2025 年 Bybit 遭駭事件後的情況相提並論。

正文

Elliptic 的評估凸顯 Binance 竊案的規模，也突顯轉移遭竊加密貨幣與將其兌換成可用資金之間的差異。根據該公司週五更新的報告，上月遭竊的 $6.43 billion 中，約有一半仍留在與攻擊相關的地址中。約 $3.11 billion 尚未從這些地址轉出。Elliptic 表示，剩餘資產主要是 ETH 和 Bitcoin，而且「極有可能」仍由北韓控制。

另有 $2.85 billion，相當於遭竊總額的 44%，已遭凍結或扣押。這筆款項大多是穩定幣，其發行方包括 Tether 和 Circle，並在竊案發生後一小時內凍結了資產。Elliptic 將此結果與 2025 年 2 月 $1.5 billion 的 Bybit 遭駭事件作比較；該事件發生後，約 3% 的遭竊資金遭到凍結。這些數字顯示，發行方迅速合作能實質限制資產流動，但凍結資金並未涵蓋所有遭竊代幣，也無法阻止涉及其他加密貨幣的活動。

美國聯邦調查局將 10 月 29 日的竊案歸咎於其稱為 TraderTraitor 的北韓駭客。北韓否認涉案。Elliptic 的分析聚焦於資金在鏈上的流動，並形容目前的洗錢行動「極其複雜，而且顯然經過自動化」。其研究人員追蹤到分布於 16 條區塊鏈上的超過 20,000 個錢包、與至少 36 項服務的互動，以及至少 65,000 筆交易。觀察到的速度約為每 30 秒新增一個錢包。

儘管活動迅速，遭竊資產中仍有相當大一部分停留在原處。從 Binance 遭竊的 18,270 BTC，在竊案發生時價值約 $1.5 billion，並於駭客攻擊當天分散至 19 個地址，此後一直沒有移動。同樣地，持有攻擊者 89% ETH 的九個最大 Ethereum 地址，自 10 月 30 日以來也未曾移動。這些未移動的餘額與已經透過其他網路轉移的資產之間的差異，是了解目前行動狀態的關鍵。

資金的移動方式因資產和區塊鏈而異。截至目前，據報規模最大的洗錢流向涉及透過 Tron 轉移約 $220 million 的 TRX。一個分配錢包在 51 小時內，將 684.6 million TRX 傳送至數百個新地址，期間甚至在平壤的夜間仍持續轉帳。幾乎所有這些 TRX 隨後都透過跨鏈橋轉至 Ethereum，顯示遭竊資金可能會被拆分並在不同網路間移動，而非直接轉入交易所。

遭竊的 Solana 則走上不同路徑。根據 Elliptic 的說法，所有遭竊 Solana（以目前價格計價約 $87 million）都已兌換、跨鏈轉移或混幣。攻擊者也已開始洗錢遭竊的 XRP。目前約 $50 million 已經兌換，另有約 $226 million 尚待轉移。Elliptic 於 November 6, 2026 分享的另一則更新指出，XRP 已開始移動，主要是透過 THORChain 兌換成 BTC。該公司也報告稱，從其他遭竊資產兌換而來的 Bitcoin 已達約 1,650 BTC，價值 $124 million，幾乎是前一天數字的兩倍。

總計約 $124 million 已兌換成 Bitcoin，其中很大一部分是透過跨鏈服務 THORChain 完成。Bitcoin 對洗錢行動可能很有用，因為來自不同網路的資產可以集中兌換成廣泛交易的加密貨幣。然而，兌換本身並不代表資金已成功套現。透過錢包和跨鏈橋轉移資產可能使追蹤更加複雜，而將其兌換成法定貨幣或其他可用價值，則還需要經過額外步驟，也可能暴露於經紀商、交易所和監控系統之下。

Elliptic 也發現涉及注重隱私的混幣服務的活動。約 33 BTC（價值約 $2.5 million）已透過 Wasabi 類型的 coinjoin 混幣交易。此外，約 $1.1 million 的 ETH 和 SOL 存入 Privacy Cash 資金池；該資金池曾暫停存款約一天。這類工具能模糊入帳與出帳交易之間的關聯，但它們的出現本身並不能證明資金已完全隱匿或兌換成現金。

錢包建立和轉帳速度很快，引發外界猜測是否有人工智慧代理在協調這些活動。Elliptic 表示，證據指向的是傳統自動化。該公司指出，洗錢行動顯然經過自動化，但目前沒有任何跡象顯示 AI 代理正在做決策。這項區別很重要：自動化腳本可以高速執行預先設定的轉帳和路由指令，卻不會自行評估情況或選擇策略。Elliptic 的結論僅限於其在鏈上觀察到的證據。

展望未來，Elliptic 預期攻擊者會將剩餘 ETH 兌換成 Bitcoin，接著在數月內透過場外交易（OTC）經紀商和交易所套現。該公司以 2025 年 Bybit 遭駭事件作為比較。該事件發生後，北韓在 10 天內洗完全部 499,000 ETH 的遭竊資產，但套現則花了數月。這個先例說明，鏈上洗錢的速度不應與將資產兌換成可用資金的速度混為一談：這兩個階段可能有截然不同的時間表。

在調查和資產轉移仍持續進行之際，Binance 也繼續恢復服務。該交易所週五表示，使用者可透過其最新儲備證明快照所採用的零知識證明，驗證其餘額至少有 1:1 的資產支持。Binance 也表示，目標是在下週末前，為已恢復的網路重新開放所有代幣的提領。這些說法涉及交易所恢復服務和驗證儲備，並不會改變 Elliptic 對仍留在關聯地址中或已遭凍結的遭竊加密貨幣數量估計。

整體而言，Elliptic 的調查結果描繪出竊案後應對的兩項對比特徵：資產在不同網路間大規模流動，同時也有大量資產仍未移動或已遭凍結。這項行動涉及數千個錢包、數萬筆交易和眾多服務，但該公司認為，很可能只有極少量資金已經套現。因此，下一階段的重點或許不再是錢包之間的快速轉帳，而是剩餘加密貨幣能否、以及多快能透過經紀商和交易所兌換。

重點摘要表