据区块链分析公司Elliptic报告，币安黑客事件的攻击者已将1.75亿美元被盗山寨币兑换为约2,300枚BTC。这些额外的比特币来自对10月29日交易所被盗事件中已被窃取资产的兑换，也就是说，兑换只是改变了此前被盗资金的形式，而非新的盗窃行为。换言之，这些操作改变的是资金的存放位置及其追踪难度，而非被盗金额。

Elliptic于11月7日更新的报告描述了跨越数千个钱包、多条区块链和数十个服务的大规模转移。该公司的详细每日记录还追踪到有比特币进入coinjoin交易——这是一种混合多名用户代币、增加追踪难度的隐私工具。

币安黑客报告追踪1.75亿美元比特币兑换

Elliptic联合创始人兼首席科学家Tom Robinson称此次洗钱操作高度自动化。他的分析统计到16条区块链上的超过20,000个钱包，涉及至少36个服务和65,000笔交易——平均节奏约为每30秒新增一个钱包、每10秒发生一笔交易。这些数字描述的是总体活动，而非人工智能主导转账的证据。

被盗山寨币（包括SOL、XRP和TRX）为比特币兑换提供了来源。约9,000万美元的SOL通过兑换、跨链桥和隐私服务——即代币间交换、区块链间转账以及旨在隐藏交易踪迹的工具——进行转移，其中大部分价值最终变成了比特币。THORChain也参与其中，协助实现不同网络之间的兑换。以太坊在已兑换资产中占比较小，而攻击者的主要比特币和以太币持仓保持不动。

11月7日的记录显示，约88枚BTC（价值670万美元）进入了Wasabi风格的coinjoin交易。这类交易将多名参与者的输入合并在一起，使传入与传出比特币之间的直接关联更难识别。Robinson还发现约412,000枚NEAR（价值150万美元）分小批量从主账户转出。新兑换的2,300枚BTC已被分散存放于独立的比特币地址，与攻击者现有持仓区分开来。

调查人员追踪被盗资金之际，钱包总额出现差异

分析平台Arkham的独立统计显示的增幅远小于Elliptic的兑换估计。据报道，Arkham标记实体在11月7日上午10时（美东时间）持有18,384.725枚BTC，而币安被盗事件中被转走的数量为18,270.2枚BTC——差额约为114.525枚BTC，远低于2,300枚的数字。据news.bitcoin.com报道，本文查阅的Arkham实体页面显示其标记钱包中约有18,387枚BTC。

这些数据本身并不能调和两个平台之间的差异。要进行对比，需要匹配地址、时间戳，并对哪些钱包属于攻击者作出假设。Elliptic的数字涵盖已兑换的被盗山寨币，而Arkham的余额涵盖归入其实体标签下的地址。覆盖范围或时间上的差异可能解释这一差距，尽管现有报告并未确定原因。这类分歧是链上调查中的常见现象，因为每个分析平台都对相同的底层地址应用各自的实体标签和覆盖规则。

报告中引用的链上记录显示，来自THORChain金库的比特币存入以及通过Sun.io（TRON网络上的兑换协议）进行的TRX兑换，表明与此次黑客事件相关的洗钱活动仍在持续，与此同时攻击者的主要比特币和以太币持仓保持静止。

比特币洗钱与将收益变现为可用资金仍属不同阶段。Elliptic评估认为，尽管资产之间存在大量转移，被盗资产中可能仅有极小部分达到了变现阶段。由于Elliptic的记录是逐日汇总的，11月7日的数字只是这一仍在进行中的操作的快照；报告的后续条目，以及Arkham实体页面等公开发布的余额追踪工具，是追踪继续进行时值得关注的动态记录。

事件经过与币安的应对

在10月29日的事件中，攻击者从该交易所转走了18,270.2枚BTC。调查人员确定，攻击者获得了对内部钱包签名服务的未授权访问，币安描述称在未授权转账发生前存在员工设备被入侵和恶意软件感染的情况。

事后，该交易所表示已关闭已识别的入侵入口，并重建或更换了受影响的系统。其应对措施包括在事件后加强设备管控和对钱包服务的更严格检查。

币安在11月3日的事件报告中将受影响资产估计约为63.4亿美元，并表示已预留了足以吸收此次财务影响的资金。该公司还援引FBI信息将事件归因于朝鲜。币安表示，截至10月31日，98%的受影响代币资产已得到补足，同时剩余流动性不足资产的收购仍在继续。币安报告约有28.5亿美元的资产被冻结或拦截，具体金额有待核对并受市场价格变化影响。

来源：Blockonomi