币安黑客的XRP囤积量骤降 被盗代币大量兑换为比特币

区块链分析公司Elliptic报告称，与币安10月29日攻击事件相关的XRP囤积量截至11月10日已降至约6000万枚，此前又出现了一轮兑换潮，且主要流向比特币。

Elliptic在11月10日发布的更新中表示，约有3500万枚额外的XRP经由THORChain完成兑换——THORChain是一个去中心化跨链流动性协议，通过资金池而非中心化订单簿在区块链之间结算交易——其中几乎全部换成了比特币。此次减持发生在XRP整体承压期间，其价格在过去30天下跌了24%——不过洗钱数据无法确定此次价格下跌是否源于攻击者的兑换行为。

不断缩水的储备及其兑换路径

Bitquery对该盗窃案的追踪确认，10月29日攻击期间共有2.335亿枚XRP从五个币安账户转出。Elliptic此后的余额估算呈现出持续下降的趋势：11月6日剩余约1.92亿枚XRP，11月7日约1.48亿枚，11月9日午后约为9500万枚，而根据其11月10日的估算，余额约为6000万枚——其中包括自11月2日注资后一直未曾移动的一个地址中约3300万枚代币。

按取整数字计算，剩余XRP为：11月6日08:45 UTC时为1.92亿枚；11月7日为1.48亿枚（具体时间未说明）；11月9日午后为9500万枚；2026年11月10日11:00 UTC时为6000万枚。这些是特定时点的余额，而非净已完成销售总量。资料来源：Elliptic更新，2026年11月10日11:00 UTC。

Elliptic还记录了兑换路径上的多次中断。据该公司称，THORChain于11月7日暂停了XRP交易，兑换停滞了近一整天，成功兑换自11月8日下午起恢复。11月10日上午，XRP兑换似乎再次暂停，新存入的资金被退还。

THORChain的文档对这些状态作了区分：交易暂停会停止兑换但仍允许退款，签名暂停会使对外支付排队等待，而整链暂停则完全停止对该链的观察。因此，一笔待处理支付、一笔被退还的XRP存款和一笔已完成的比特币兑换，代表着截然不同的结果。

Bitint在11月9日进行的另一项复原分析在扣除退款后认定，就其定义的存款范围而言，实际完成兑换的XRP不超过9385万枚。Bitint的比特币结算账本截止于11月7日，并经过复核至11月8日。

流动性决定节奏

THORChain的流式兑换机制会将一笔订单拆分为较小的部分，从而降低滑点——即相对于可用流动性执行交易时的价格成本。当各部分在时间上间隔开时，套利者可以在其间对资金池进行再平衡。

该协议还会分别记录成功与失败的金额。一笔流式兑换可以支付已兑换的价值并退回失败的XRP部分，而首次尝试失败则可能触发全额退款。若将一笔存款、其多次小额执行及其支付各自计为独立销售，将夸大实际活动量。

接下来最有价值的观察指标是剩余地址中的新余额、成功的XRP兑换与其对应的比特币支付之间的匹配情况，以及该路径实际的退款或暂停状态。攻击者不断缩小的库存限制了这条被追踪路径上剩余的资产规模，而可用的流动性和访问权限则决定了其兑换速度。

Elliptic在11月10日的更新中估计，在整个洗钱行动中实际套现的金额可能微乎其微：大部分活动只是改变了所持有的资产，而资金仍留在公链上，分析公司可以继续追踪。用XRP换取比特币会降低攻击者的XRP敞口，即使所得收益仍以加密资产形式存在。