Skip to content
【重要】现已受理 PHP 严重漏洞（PHP2Shell）紧急应对查看详情 →
SolanaLink LogoSolanaLink
63 亿美元去了哪里：币安被盗案一周追踪

63 亿美元去了哪里：币安被盗案一周追踪

图片由xAI Grok生成
Security
25 分钟阅读
0
0 条评论
57 次浏览

币安被盗一周后，事故报告揭开了五个月的潜伏过程，链上分析也基本摸清了资金去向：约 44% 已被冻结，最大的两笔 BTC 和 ETH 一直没动，其余资产正被一条高度自动化的流水线打散、换成比特币。本文整理截至 11 月 6 日的公开信息，区分事实与推测，并总结给安全团队的启示。

公开时点：2026 年 11 月 7 日 本文是《63 亿美元的一课：币安被盗事件复盘，与 AI Agent 时代的交易平台安全》（10 月 31 日）的后续。资金流向数据主要来自 Elliptic 截至 11 月 6 日 08:45（UTC）的更新，后续可能变化。本文仅为技术与安全讨论，不构成任何投资建议。

先说结论

  • 钱在哪：据 Elliptic 统计，币安被盗约 64.3 亿美元。其中约 28.5 亿（44%）已被冻结或拦截，约 31.1 亿仍停在与盗窃相关的地址里，以 ETH 和 BTC 为主。真正换成现金的，Elliptic 估计"微乎其微"。
  • 最大的两块一直没动：18,270 枚 BTC 在被盗当天被分到 19 个地址，此后没有动过；约 13.3 亿美元的 ETH 中，只动了约 300 万美元。
  • 在动的是"小币种"：TRX、SOL、XRP 先在 Tron 等链上被打散，再经跨链桥和 THORChain 换成比特币。截至 11 月 6 日，累计换成了约 1,650 枚 BTC（约 1.24 亿美元）。
  • 洗钱是一条自动化流水线：2 万多个钱包、16 条链、至少 36 个服务、至少 6.5 万笔交易，平均每 30 秒就出现一个新钱包。Elliptic 的判断是：明显是自动化的，但没有证据显示是 AI Agent 在做决策。
  • 事故报告改写了入口故事：攻击者潜伏了约五个月，入口是一个被篡改的开发工具和一次假招聘面试；在横向移动阶段，攻击者还利用了币安的一个内部 AI 工具。
  • "中国洗钱网络"目前只有少量证据：Chainalysis 追踪到几十万美元流入中国的洗钱组织。约 10 亿美元"正在流经洗钱通道"，不等于已经通过中国洗钱网络兑现。
  • 冻结率远超以往：Bybit 案只冻结了约 3%，这次约 44%，关键在于被盗资产中约 54% 是稳定币。

对前文的更新：上一篇文章写道"目前没有公开证据表明这次攻击使用了 AI"。11 月 3 日的事故报告显示，攻击者在横向移动阶段利用了币安的一个内部 AI 工具，具体方式报告没有说明。以本文为准。

一、一周时间线

下文时间均为 UTC。北京时间 +8 小时，东京时间 +9 小时。

时间（UTC）事件
10 月 29 日 20:05–23:56资产从币安热钱包被转出
10 月 30 日 00:10币安签署新授权，把被劫持钱包的 EIP-7702 委托指向零地址，清除恶意委托
10 月 30 日 02:19Tron 上的一个分发钱包开始发出 6.846 亿枚 TRX，最终分散到约 7,700 个地址
10 月 31 日FBI 将攻击归因于朝鲜黑客组织 TraderTraitor，公布相关地址，呼吁交易所、DeFi 服务和 THORChain 节点运营方拦截相关交易
10 月 31 日 11:34THORChain 因以太坊区块重组暴露的退款故障，暂停了大部分链上的兑换
11 月 1 日币安分阶段恢复提现；比特币等资产开始进入 coinjoin 混币
11 月 2 日被盗的 2.33 亿枚 XRP 被转到 6 个地址；朝鲜方面否认参与
11 月 3 日币安发布事故报告：约 28.5 亿美元被冻结或拦截，98% 的受影响资产已补齐
11 月 3 日深夜THORChain 恢复兑换，洗钱随之重启
11 月 5 日Chainalysis 称部分资金已流入中国洗钱网络；Circle 称已冻结约 11 亿美元 USDC
11 月 6 日Elliptic 更新：约 31.1 亿美元仍在盗窃相关地址；约 1,650 枚 BTC 由其他赃款换来

二、事故报告：五个月的潜伏

11 月 3 日，币安发布了第一份事故报告，开头一句是："这本不该发生。"报告按时间顺序还原了攻击者如何一步步接近钱包签名系统。

1. 六月：一个被篡改的开发工具

钱包团队的一名工程师在搜索一款流行的 AI 编码工具时，安装了一个被篡改的 Homebrew 安装包。据 The Verge 报道，这个安装包似乎是通过恶意的 Google 广告传播的。

币安的安全团队发现了问题，更换了他的电脑，并轮换了凭证。但攻击者已经掌握了他的身份，以及哪些同事在他身边工作。

2. 九月：一场假招聘面试

另一名工程师在求职平台上被一个自称"项目总监"的人联系。面试有两轮：先是与假"HR"的视频通话，然后是与一家并不存在的公司的"CEO"面试。最后，对方要求他把一份编程作业下载到工作电脑上。

这份作业里藏着恶意软件，它把一个合法的开发工具组件替换成了恶意副本。币安在报告中写道："这个 0-day 恶意软件当时没有被终端安全防护工具检测到。"

3. 十月二十日：借助内部 AI 工具横向移动

攻击者利用这台被感染的电脑和币安的一个内部 AI 工具，控制了另外两名钱包工程师的电脑。报告没有说明这个 AI 工具具体是如何被利用的。

在第一名工程师的电脑上，攻击者找到了一个具有容器部署权限的令牌。

4. 十月二十九日：动手

  • 17:15–19:56：攻击者登录第三名工程师的电脑，用从第一名工程师那里偷来的凭证部署了一个容器，运行恶意脚本，进入了币安内部的钱包签名服务。
  • 20:05 起：5 个 XRP 热钱包向攻击者转出了 2.3346 亿枚 XRP。随后是 Solana、Optimism、比特币和以太坊。

5. 两个关键承认

  • 仅暂停提现，无法阻止所有未经授权的资产转移。 当晚暂停提现后，转账仍在继续。
  • MPC 钱包没有一把可以"立即作废"的私钥。 被劫持的热钱包使用 MPC（多方计算）签名，没有单一私钥可以马上撤销恶意授权。币安只能专门搭建一个撤销流程，直到 10 月 30 日 00:10 才把委托清除，距离第一笔转出约四个小时。

6. 整改措施

  • 在新环境中重建受影响的钱包系统；
  • 重建内部 AI 工具及其访问控制；
  • 更换受影响工程师的设备，注销其凭证和令牌；扫描所有员工设备；
  • 收紧钱包服务的风控；
  • 聘请独立安全公司，设立区块链 AI 安全研究基金，加大对 AI 威胁检测的投入。

联席 CEO Richard Teng 表示，会有独立专家审查这些工作。币安还称，今年已拦截 57 起疑似与朝鲜有关的威胁。

AI 出现在了攻击链的哪几个环节

把报告和链上分析放在一起看，AI 在这起事件中出现了三次：

  1. 诱饵：第一名工程师是在搜索 AI 编码工具时中招的。
  2. 跳板：攻击者借助币安的内部 AI 工具，控制了另外两台工程师的电脑。
  3. 洗钱：洗钱高度自动化，但 Elliptic 表示："没有看到任何证据显示是 AI Agent 在做决策。"

三、63 亿美元现在在哪

为什么各家数字不一样

币安官方估算约 63 亿美元，TRM Labs 约 63.6 亿，Chainalysis 约 64 亿，Elliptic 约 64.3 亿。差异主要来自统计口径和计价时点。下文的资金流向分析统一使用 Elliptic 的数字。

大账

截至 11 月 6 日（Elliptic）：

  • 被冻结或拦截：约 28.5 亿美元，占 44%，主要是 USDT 和 USDC。
  • 仍在盗窃相关地址：约 31.1 亿美元，以 ETH 和 BTC 为主。Elliptic 认为，这部分"很可能仍由朝鲜控制"。
  • 正在洗钱途中或已离开追踪地址：两项相加约 59.6 亿，与 64.3 亿之间约有 4.7 亿美元的差额。这是我们按 Elliptic 的数字推算的，Elliptic 没有直接给出这个数字。

另外，币安官方公布的冻结金额，从 10 月 30 日的约 30 亿美元，变成了 11 月 3 日的约 28.5 亿美元。币安没有解释其中的差额。

逐个资产看

资产截至 11 月 6 日的状态（Elliptic）
BTC18,270 枚在被盗当天分到 19 个地址，此后没有动过（按被盗时价格约 15 亿美元）
ETH约 13.3 亿美元中只动了约 300 万；约 6.83 万枚分散在约 830 个小地址里；最大的 9 个地址占全部 ETH 的 89%，10 月 30 日之后没有动过
TRX约 2.2 亿美元已经过 Tron 洗出，只剩约 100 万；至少 1.47 亿美元被跨链转出 Tron
SOL全部（约 8,700 万美元）已被兑换、跨链或混币
XRP2.33 亿枚在 11 月 2 日转到 6 个地址；到 11 月 6 日，约 4,200 万枚（约 5,000 万美元）已转出，约 1.92 亿枚（约 2.26 亿美元）还在
NEAR约 4,500 万美元中只动了约 90 万

一句话概括：能被冻结的稳定币大部分被冻住了，冻不住的大额 BTC 和 ETH 按兵不动，正在流动的主要是小币种。

四、洗钱流水线：打散、换币、跨链、混币

1. 打散

  • 据 Elliptic 统计，资金已经流经 2 万多个钱包、16 条链、至少 36 个服务，产生了至少 6.5 万笔交易。平均每 30 秒出现一个新钱包，每 10 秒发生一笔交易。
  • Tron 是主战场：约 3.2 万笔交易，高峰出现在 10 月 31 日 08:00 开始的那一个小时，约 1,300 笔。在 Tron 上，每一美元平均被转手约 9 次。
  • Chainalysis 观察到一个固定套路：很多地址先收到恰好 1 枚 TRX，然后才收到大额资金，再转发出去。
  • Chainalysis 统计，经过 Tron 的总额约 5 亿美元，分散在 1,000 多个地址里。这个数字包含了同一笔钱在钱包之间的反复转手，所以比 Elliptic 统计的约 2.2 亿美元大。

2. 换成"冻不住"的资产

被盗资产中约 34.6 亿美元（54%）是稳定币，这是攻击者最想尽快换掉的部分：

  • Tether：USDT 到达以太坊 37 分钟后就被冻结。但在这 37 分钟里，已有约 4.34 亿 USDT 在 Uniswap 等去中心化交易所被换成了 ETH。
  • Circle：在任何 USDC 被兑换之前，就冻结了攻击者收到的全部 8.23 亿美元 USDC。Circle 在 11 月 5 日公布的累计冻结额约为 11 亿美元。
  • 总体上，约 7.86 亿美元在冻结落地之前已经被兑换。
  • 还有一部分 TRX 被换成了 USDD，一种以"不可冻结"为卖点的稳定币。

3. 跨链，换成比特币

  • 被盗后的前 2.5 小时内，攻击者就用了 6 个跨链桥。
  • THORChain 是把 ETH、XRP 换成 BTC 的主要通道。10 月 31 日 11:34，THORChain 因为一次以太坊区块重组暴露了退款故障（多付出了 10 枚 ETH），暂停了大部分链上的兑换；11 月 3 日深夜恢复，洗钱随之重启。截至 11 月 4 日，约 1.22 万枚 ETH（约 2,900 万美元）经 THORChain 换成了 BTC。
  • 链上研究者 SomaXBT 统计，截至 11 月 1 日，约 4,830 万美元被换入 THORChain，换出约 4,270 万美元，约 12% 损耗在手续费和滑点上。对攻击者来说，这是可以接受的"洗钱成本"。
  • 攻击者手中由其他赃款换来的 BTC 越积越多：11 月 3 日下午约 215 枚，11 月 4 日上午约 470 枚，11 月 6 日约 1,650 枚（约 1.24 亿美元）。Elliptic 认为，最近一夜的增量大多来自经 THORChain 兑换的 XRP。

FBI 在 10 月 31 日的通报中，点名要求 THORChain 节点运营方拦截相关交易。但今年 9 月，THORChain 曾拒绝 Bitget 提出的地址封禁请求，理由是它的紧急控制只能整体暂停，不能冻结个别兑换。

4. "金库跳转"和混币

  • 金库跳转：10 月 31 日，1.28 亿枚 TRX 经过 JustLend 的一个金库，从一个地址存入，再由 16 个新地址取出，借此切断链上的直接关联。Solana 和 Tron 上也出现了类似手法。
  • coinjoin：从 11 月 1 日起，约 33 枚 BTC（约 250 万美元）进入了 WabiSabi 混币，每一轮有 101 到 491 个输入。
  • Privacy Cash：11 月 3 日收到约 41 枚 ETH 和 9,600 枚 SOL（合计约 100 万美元），11 月 4 日又收到约 2,300 枚 SOL。该服务 11 月 4 日暂停存款，次日下午恢复。

5. 与 Bitget 赃款汇合

约 1,600 万美元进入了同时持有 9 月 Bitget 被盗资金的地址。Bitget 案约 3.88 亿美元，同样被归因于朝鲜黑客。Chainalysis 认为，这是将本案归因于朝鲜的最有力证据之一。

五、"中国洗钱网络"：哪些是事实，哪些是推测

11 月 5 日，Chainalysis 表示部分被盗资金已流入中国的洗钱网络，这条消息被广泛转载。但仔细看，各家的说法其实很谨慎：

  • Chainalysis（据 BigGo Finance 报道）：追踪到"几十万美元"流入中国的洗钱组织，只占被盗总额的极小一部分；约 24.2 亿美元的 BTC 和 ETH 几乎没动；约 10 亿美元正在流经其认定的洗钱通道。
  • Elliptic：已经兑现的金额"微乎其微"。正在流动的资金可能已经交给中国洗钱网络处理，但链上数据无法确认这一点。
  • DTEX 的 Michael Barnhart：TraderTraitor 过去会向中国洗钱网络支付费用或抽成，让对方代为转移被盗资产。

需要辨析的一处："约 10 亿美元正在流经洗钱通道"不等于"已通过中国洗钱网络兑现约 10 亿美元"。后者与 Chainalysis 本身的说法（几十万美元）和 Elliptic 的说法（微乎其微）都不符。

兑现才是瓶颈

链上的资产，要变成能花的钱，最终需要一个对手方：中心化交易所，或者场外交易（OTC）商。参照 Bybit 案：

  • 2025 年 2 月，Bybit 被盗的 49.9 万枚 ETH 在 10 天内被全部洗完，主要换成了 BTC；
  • 但兑现花了好几个月，资金被换成 Tron 上的 USDT，再经由疑似中国的场外服务兑现。

Elliptic 预计这次也会是同样的节奏：ETH 被分成小额换成 BTC，再在几个月里通过 OTC 商和交易所兑现。这意味着拦截还有窗口期，而兑现的出口正是最适合拦截的地方。

朝鲜的回应

11 月 2 日，朝鲜领导人金正恩的妹妹金与正发表声明，否认参与，称美方的指控是"陈腐的挑衅"和"荒谬的说辞"。声明于次日由朝中社刊发。Elliptic 回应称，其链上分析支持将本案归因于 TraderTraitor。

六、为什么这次冻住了 44%，Bybit 只有 3%

  1. 资产结构：被盗资产中约 54% 是稳定币，而 USDT、USDC 这类代币内置了发行方可控的冻结功能。BTC 和 ETH 没有发行方，无法这样冻结。
  2. 速度：Tether 在 37 分钟内出手；Circle 赶在任何兑换发生之前，冻结了全部 USDC。
  3. 协作：Ripple、World Liberty Financial、Arbitrum 安全委员会等也参与了冻结。

但冻结权本身也有争议。据《首尔经济日报》11 月 7 日报道，围绕冻结的诉讼两个方向都有：一家企业起诉 Tether，称其 USDT 被冻结一年多仍未解冻；另有两名泰国人起诉 Tether，称约 4,242 万美元 USDT 在没有法院扣押令的情况下被冻结；Drift 协议被盗案的投资者则起诉 Circle，指其没有及时冻结。美国的 GENIUS 法案要求发行方依据合法指令冻结和销毁资产，指令必须来自有管辖权的法院或获授权的联邦机构。

还要再强调一次：冻结不等于追回。 被冻结的稳定币要回到币安手里，需要发行方销毁这些代币、再重新发行，这要经过法律程序。目前还没有看到资金返还的公开信息。

七、币安这边：提现恢复与补仓

  • 提现恢复：11 月 1 日，币安分阶段恢复提现。新加坡时间下午 2 点后先恢复比特币，晚上 8 点半前恢复了包括以太坊、BNB Smart Chain、XRP、Base 在内的 15 个网络。第一阶段覆盖 15 种代币，包括 ETH、USDT 和 USDC。
  • 资金流出：据 DefiLlama 数据，11 月 1 日当晚的净流出约 35 亿美元。联席 CEO 何一表示，其中一部分是币安内部钱包之间的转账。另有报道称，此后两天币安的可追踪资产回升了约 34 亿美元，但这个数字无法区分用户新充值和币安自己买币补仓。
  • 补仓进度：受影响资产的补齐比例，11 月 1 日约为 95%，11 月 3 日为 98%。资金来自公司金库、应急基金和保险基金。何一表示，今年的收入足以覆盖这笔损失。她还说："我们本应更早在安全上投入更多，并设定更严格的标准。"
  • 储备证明：币安更新了储备证明的钱包地址清单；今后所有提现都从这些新地址发出。

八、给安全团队的五条启示

1. "面试作业"是高危入口

TraderTraitor 的假招聘套路已经用了多年，这次依然奏效。

  • 明确规定：任何外部提供的代码，不得在工作设备上运行；
  • 对研发人员定期做针对性的社会工程学演练。

2. 开发工具也是供应链

这次的两个入口都是开发工具：一个被篡改的 Homebrew 安装包，一个被替换的开发工具组件。

  • 开发工具只从内部镜像或经过签名校验的来源安装；
  • 对开发者电脑上包管理器目录里的文件变化做监控；
  • AI 编码工具热度高，正是攻击者投放诱饵的方向，安装渠道同样需要管控。

3. 内部 AI 工具是新的特权通道

一个能代替员工操作其他电脑的内部 AI 工具，在攻击者手里就是现成的跳板。

  • 给内部 AI 工具独立的身份和最小权限，不让它继承使用者的全部权限；
  • 跨设备、跨系统的操作要单独授权，并完整记录审计日志；
  • 这与上一篇提出的原则一致：AI Agent 可以握刹车，不能握钥匙。

4. 紧急撤销流程要事先演练

币安的报告承认，暂停提现不等于停止资产转移；而 MPC 钱包没有一把可以立即作废的私钥。

  • 事先准备好"撤销 EIP-7702 委托""轮换签名密钥分片""冻结签名服务"等紧急流程，并定期演练；
  • 把"从发现异常到委托清除"的时间作为一个考核指标。这次用了约四个小时。

5. 兑现出口是拦截的最佳位置

被盗资产最终要经过交易所或 OTC 商才能兑现，而这个过程可能长达数月。

  • 中小交易所、OTC 商和支付服务也会成为洗钱的出口；
  • 实时接入 FBI 公布的地址和链上分析公司的风险标签，做充值和交易筛查；
  • 对"先收 1 枚 TRX 再收大额""新地址收到款后几分钟内转出"等模式设置告警。

接下来值得关注的

  • 18,270 枚 BTC 和大额 ETH 何时开始移动，以及以什么节奏移动；
  • THORChain 节点运营方是否响应 FBI 的拦截呼吁；
  • OTC 兑现：是否会出现交易所或场外商冻结、执法机构没收的消息；
  • 冻结资金的返还：Tether、Circle 是否、何时通过销毁再发行的方式把资金还给币安；
  • 币安的后续报告：内部 AI 工具具体如何被利用，以及独立专家的审查结论。

SolanaLink 提供云基础设施、IT 运维与 AI Agent 落地服务。如果你的团队正在评估交易系统、钱包服务、入金风控或内部 AI 工具的安全加固方案，欢迎与我们联系。

参考资料

评论

评论 (0)

#Security#Cryptocurrency#AI#Blockchain
返回新闻与博客