区块链分析公司Elliptic在周五更新的报告中表示，上个月币安被盗的64.3亿美元中约有一半尚未被洗白。此次64.3亿美元的失窃金额是2025年2月Bybit被盗15亿美元的四倍多。

Elliptic表示，约31.1亿美元仍留在与此次盗窃事件相关的地址中，大部分为ETH和比特币，这些资金"极有可能"仍由朝鲜持有。另有28.5亿美元(约占赃款的44%)已被冻结或查扣——其中大部分是Tether和Circle等发行方在盗窃发生后一小时内冻结的稳定币。据Elliptic数据，相比之下，2025年2月Bybit被盗15亿美元后，被冻结的比例仅为约3%。

据信，到目前为止被盗资金中只有极小一部分被套现。Elliptic预计攻击者将把资金转换为比特币，并在数月内通过场外经纪商逐步套现，与2025年Bybit被盗事件后的模式如出一辙。

Elliptic在周五发布于X的更新中表示，被盗的XRP已开始转移：

币安被盗事件更新：XRP已开始转移。约5000万美元已被兑换，主要通过THORChain转换为BTC，仍有约2.26亿美元待转移。由其他被盗资产转换而来的比特币目前约为1,650 BTC(1.24亿美元)，几乎是前一天的两倍。……

— Elliptic (@elliptic) 2026年11月6日

美国联邦调查局(FBI)已将10月29日的盗窃事件归咎于其称为TraderTraitor的朝鲜黑客。朝鲜否认参与其中。

Elliptic形容迄今为止的洗钱行动"极其复杂且明显是自动化的"。该行动涉及16条区块链上的超过20,000个钱包、至少36项服务和至少65,000笔交易——大约每30秒就会创建一个新钱包。

币安被盗的18,270 BTC(被盗时价值约15亿美元)在盗窃当天被分散至19个地址，此后一直未移动。持有攻击者89% ETH的九个最大的以太坊地址，自10月30日以来同样处于休眠状态。

资金是如何转移的

迄今为止洗钱的最大一部分——约2.2亿美元的TRX——通过Tron网络进行。一个分发钱包在51小时内向数百个新创建的地址发送了6.846亿枚TRX，其中包括在平壤的整个夜间。几乎所有这些TRX随后都被跨链桥接至以太坊。

所有被盗的Solana(按当前价格计约8700万美元)都已被兑换、跨链或混币。攻击者还开始洗白被盗的XRP，目前约5000万美元已转换，仍有约2.26亿美元待转移。总计约有1.24亿美元已转换为比特币，其中大部分通过跨链服务THORChain完成。

另有一小部分资金进行了混币。约33 BTC(价值约250万美元)通过了Wasabi式混币(coinjoin)，约110万美元的ETH和SOL被存入Privacy Cash资金池，该资金池曾暂停存款约一天。

行动的速度引发了有关AI代理正在转移资金的猜测，但Ellipt表示，证据指向传统的自动化手段。该公司表示："洗钱过程明显是自动化的，但我们所看到的一切都没有表明有AI代理在做决策。"

Elliptic预计攻击者将把ETH兑换为比特币，然后在数月内通过场外(OTC)经纪商和交易所套现。该公司指出，Bybit被盗事件后，朝鲜在10天内洗白了全部499,000枚被盗ETH，但套现花了数月时间。在套现过程完成之前，持有大部分未洗白资金的休眠比特币和以太坊地址，以及剩余XRP的转换速度，是随着行动推进值得关注的主要指标。

币安继续恢复服务

被盗事件发生后，币安持续恢复服务。该交易所在周五表示，用户现在可以通过其最新储备证明快照的零知识证明来验证自己的余额有至少1:1的资产支持。币安还表示，其目标是下周结束前在已恢复的网络上重新开放所有代币的提现。这一目标能否实现，将是币安复苏的下一个可见标志。