区块链分析公司Elliptic在其截至周五的最新报告中表示，与Binance创纪录失窃案相关的黑客已开始将大量被盗XRP兑换为比特币。约4200万枚XRP(约合5000万美元)已被兑换，其中大部分通过THORChain完成——这是一个去中心化的跨链兑换网络，可在无需中心化托管方介入的情况下在不同区块链之间交换原生资产。

Elliptic报告称，这些兑换使由失窃案其他被盗资产换得的比特币一夜之间增至约1650枚BTC,价值约1.24亿美元。其中大部分增幅来自XRP渠道。约1.92亿枚XRP(价值约2.26亿美元)仍未兑换，存放在与失窃案相关的地址中。

这批XRP是10月29日资产流出的一部分，Binance后来将损失定为63.4亿美元。当天UTC时间20:05至20:09之间，五个联网热钱包将2.3346亿枚XRP转入一个攻击者控制的地址。FBI已将此次行动归因于朝鲜的TraderTraitor组织，美国当局此前曾将该行为体与一系列高价值交易所和跨链桥盗窃案联系起来。Binance此后分阶段恢复提现，表示已冻结或拦截约28.5亿美元，并以自有资金弥补客户损失。

被盗XRP如何开始转移

被盗XRP最初保持静止。Elliptic称，11月2日凌晨UTC时间02:12至04:00之间，全部约2.33亿枚XRP转入六个新地址，并一直存放在那里直到11月5日。从11月5日下午开始，这六个地址中的两个开始将XRP转往数十个新账户进行兑换，主要通过THORChain换为比特币。当晚还有少量以太币也经由THORChain换成了比特币。

Elliptic表示，失窃案中的主要比特币和以太币持仓——规模最大的部分——尚未移动。这一模式与该公司在Bybit被盗案后的观察一致——2025年2月的这起攻击从该交易所盗走约15亿美元以太币，同样被FBI归因于朝鲜黑客：先将可冻结和流动性中等的代币换为比特币，之后再通过场外经纪商尝试套现。

整个洗钱行动的规模已经十分庞大。自失窃案发生以来，Elliptic已统计到16条区块链上超过2万个钱包、至少36个服务平台和至少6.5万笔交易——大约每30秒新增一个钱包，每10秒发生一笔交易。约31.1亿美元仍留在与失窃案相关的地址中，主要为以太币和比特币，而到目前为止实际套现的金额可能微乎其微。

XRP与比特币为何在此案中关键

发行方可以冻结许多稳定币，但无法以同样方式冻结XRP,也无法冻结比特币。在Tether和Circle于10月29日锁定大量稳定币后，攻击者优先选择了不在这类“终止开关”覆盖范围内的资产。将XRP兑换为比特币延续了同样的逻辑：比特币一旦分散到多个新地址，就更难被追回。

全部被盗SOL——按Elliptic估值约8700万美元——已被兑换、跨链或混币，其中大部分最终成为比特币。早期的Tron洗钱——约2.2亿美元的TRX——也基本完成；Bitcoin Magazine在失窃案前报道T3金融犯罪部门悄然停运时就注意到了这一资金流。主要的以太币和NEAR持仓仅有少量移动。

部分换得的比特币进入了Wasabi风格的coinjoin混币——一种汇集众多使用者钱币以切断可追溯关联的混币技术——自11月1日以来约33枚BTC(即250万美元)；另有约110万美元的以太币和SOL在Privacy Cash暂停充值之前流入了该资金池。Elliptic表示，这种节奏表明使用的是常规自动化手段，而非由AI智能体实时决策：时间固定、金额既定、盲目重试，且新手法间隔数小时逐步引入。

美国银行监管机构已在失窃案发生后与贷款机构进行了沟通。对比特币市场而言，更直接的问题在于，剩余约1.92亿枚XRP——以及最终滞留的以太币——还有多少会在有人尝试套现之前被换为BTC。

当前的考验在于，THORChain运营者和其他跨链桥能否足够快地继续封锁已公布的攻击者地址，以减缓XRP换比特币的管道，抑或剩余资产将沿着首批5000万美元已经走过的隔夜路径继续转移。

本文基于一篇最初发表于Bitcoin Magazine的文章，作者为Micah Zimmerman。