据区块链分析公司Elliptic的11月6日报告，从币安盗取64.3亿美元的黑客已将其中约1.24亿美元的被盗山寨币兑换成比特币。此次洗钱活动恰逢该交易所向客户恢复提现服务之际进行。

兑换山寨币，而非变现离场

这些兑换产生了约1,650枚BTC，与10月29日攻击中直接被盗的14.8亿美元是分开的。迄今为止，约5,000万美元的XRP已被转移，而2.26亿美元仍留在黑客控制的钱包中。被盗的Solana几乎全部——价值约8,700万美元——已被兑换成其他加密货币、跨链转移，或通过旨在掩盖其来源的交易进行流转。

最新数据并未完整呈现被盗资金的状况。Elliptic估计，28.5亿美元（占总数的44.3%）已被冻结，另有31.1亿美元（占48.4%）仍存于关联钱包中。这两类合计覆盖了被盗64.3亿美元中的59.6亿美元，仍有约4.7亿美元（占7.3%）未在已报告的总额中得到说明。资产估值差异和报告时间可能是造成这种不一致的原因。

已兑换成比特币的1.24亿美元不应被视为额外的金额，因为黑客只是将一种加密货币形式换成另一种，而非变现离场。据Elliptic称，到目前为止，被盗资金中只有很小一部分被提走。关联钱包余额最终有多少被冻结、转移或提走，是后续更新中最可能发生变化的数字。

洗钱活动如何持续转移

被盗资产已分散在大量交易中。Elliptic的分析追踪到超过20,000个加密货币钱包、16条不同的区块链和65,000笔交易。这些活动似乎是自动化的，尽管没有证据表明有AI代理在控制它。

TRM Labs发现，黑客在Tron上创建了代币和流动性池以隐藏转账。他们还通过借贷凭证代币和相互连接的区块链桥转移资金，绕过资产可能被冻结的钱包。

此前，Chainalysis追踪到3.25亿美元的稳定币在20分钟内被兑换成2.85亿美元的Ether，显然是为了避免被冻结。部分XRP的兑换经由THORChain进行。正如Cryptopolitan所报道的，在FBI提出请求后，THORChain的网站封锁了被标记的地址，但独立节点仍在继续处理这些交易。

重开提现与流动性考验

币安正在恢复提现服务，而被盗资金仍在流通。在11月6日的更新中（该更新也在X上发布），该交易所表示计划在下周之前重新开放HYPE、INJ、APT、PLASMA、NEAR和LTC的提现。币安还报告称，截至10月31日已补充了98%受影响的代币资产，并承诺弥补客户的损失——不过替换被盗资产并不等同于追回被盗资产。这六种代币的目标为该交易所的恢复时间表设定了下一个具体节点。

重开提现使币安的流动性承压。Talos记录到61亿美元的净流出。比特币1%范围内的订单簿深度在攻击后首日下降28%，并在11月1日前后触及比被盗前水平低约44%的低点后有所回升。比特币本身在攻击后也下跌了约5%。不过，Talos发现与FTX崩盘相比，市场更大范围蔓延的迹象有限。

对交易所和合规的意义

FBI于10月31日将此次盗窃归因于朝鲜的TraderTraitor组织。该机构公布了与黑客相关的地址，并敦促THORNode运营者、DeFi服务和即时交易所封锁相关交易。

尽管洗钱手法复杂，此次攻击仍始于常见的安全弱点。币安的调查描述了一次虚假求职面试、安装在一名工程师电脑上的恶意软件，以及对内部AI工具的滥用。攻击者最终获得了参与钱包交易签名系统的访问权限。

此次入侵凸显了交易所面临的两大挑战：保护员工和敏感系统免受入侵，以及阻止被盗资金在去中心化网络中转移。