区块链分析公司Elliptic周一发布了对此次洗钱活动的分析报告。报告显示，朝鲜黑客正在以极快的速度转移从币安盗取的约64亿美元资金，大约每25秒创建一个新的加密货币钱包。

在不到四天的时间里，攻击者已将资金分散到11条区块链上的约12,000个钱包中，执行了超过40,000笔交易。Elliptic称该行动高度自动化，但表示没有发现人工智能参与运作的证据。

不过，稳定币发行方的行动速度比盗窃者扩散资金的速度更快。约28.5亿美元（占赃款的44%）已被冻结或查扣——与2025年2月朝鲜入侵Bybit盗取15亿美元后约3%被冻结的比例形成鲜明对比，后者此前一直是有记录以来规模最大的加密货币盗窃案。此次币安失窃规模是它的四倍多。

速度至关重要，因为稳定币占被盗资金的34.6亿美元（54%），且发行方拥有冻结它们的能力。Elliptic发现，Tether在被盗USDT到达攻击者钱包37分钟后锁定了以太坊上的被盗USDT，而Circle则在全部8.23亿美元被盗USDC被兑换之前将其全部冻结。

在冻结措施生效之前，黑客已在Uniswap等去中心化交易所将4.34亿USDT兑换为ETH，在借贷协议Aave上以另外5,990万USDT为抵押借出19,762枚ETH，并将2.34亿USDT兑换为Tron的TRX代币。总计约7.86亿美元稳定币逃脱了发行方的干预。

入侵本身始于周四晚间，当时攻击者开始抽取币安的热钱包——即交易所用于处理客户提款的联网钱包，这也是交易所托管体系中最易受攻击的一层。美国联邦调查局（FBI）随后将此次盗窃归因于TraderTraitor——一个与朝鲜政府有关联的黑客组织，美国当局此前已将其与其他多起重大加密货币盗窃案联系起来——并公布了数百个相关地址。已承诺承担全部客户损失的币安于周日重新开放提款，并在最初九个半小时内录得约36.4亿美元的净流出。

随后的洗钱活动一刻未停。Tron成为主要通道，单小时交易量峰值达到约1,300笔。这一节奏引发了AI智能体在幕后操作的猜测，但Elliptic否定了这一解读，指出其具有固定的时间间隔、既定金额、盲目重试，以及类似人类工作时间的暂停。该公司写道，尽管洗钱过程显然是自动化的，但“我们所看到的一切都没有表明有AI智能体在做决策”。

大量资金仍未动用。约32.4亿美元仍留在与盗窃案相关的地址中，主要为ETH和18,270枚被盗比特币，这些比特币自攻击当天以来一直未移动。Elliptic认为这些资金极有可能仍由朝鲜持有——联合国调查人员此前曾报告称，朝鲜的加密货币盗窃活动为其武器计划提供资金——而已经进入洗钱渠道的资金可能已转手给中国洗钱网络。目前似乎只有极少量资金被套现。此外，约1,600万美元流入了持有9月Bitget攻击所得的地址。

参照Bybit被盗后观察到的操作模式，Elliptic预计攻击者将分批小额将其ETH兑换为比特币，并在数月内通过场外经纪商套现。该公司表示，由于ETH和比特币无法被冻结，进一步的冻结将更加困难。剩余的最佳机会在于中心化服务机构，这些资金最终将不得不在那里浮出水面——而FBI公布的数百个地址也为合规团队提供了具体的筛查工具。

币安失窃案为加密货币行业的安全状况画上了一段时间以来沉重的一笔。BTCPay Server于周一敦促商户关闭其服务器，此前有热钱包攻击的报告传出；巴西交易所Mercado Bitcoin在一次4,000万美元攻击后暂停了提款。目前尚不清楚这两起事件是否与币安攻击有关联。