區塊鏈分析公司 Elliptic 報告指出，幣安遭駭事件的攻擊者已將 1.75 億美元被竊山寨幣兌換為約 2,300 枚 BTC。這批新增的比特幣來自兌換在 10 月 29 日該交易所遭入侵時已被竊取的資產，意味著這些兌換只是改變了先前被竊資金的形式，而非代表新的竊取行為。換言之，這些操作改變的是資金的所在位置與追蹤難度——而非被竊金額。

Elliptic 於 11 月 7 日更新的報告描述了橫跨數千個錢包、多條區塊鏈及數十項服務的大規模轉移。該公司詳細的每日記錄也追蹤到比特幣進入 coinjoin 交易——這類隱私工具將多名使用者的幣混合在一起，使追蹤工作更加複雜。

幣安駭客報告追蹤 1.75 億美元的比特幣兌換

Elliptic 聯合創辦人兼首席科學家 Tom Robinson 稱這次洗錢行動高度自動化。他的分析統計出 16 條區塊鏈上超過 20,000 個錢包，涉及至少 36 項服務和 65,000 筆交易——平均速度約為每 30 秒新增一個錢包、每 10 秒一筆交易。這些數字描述的是整體活動規模，並非證明人工智慧在指揮這些轉移。

被竊山寨幣（包括 SOL、XRP 和 TRX）均用於比特幣兌換。約 9,000 萬美元的 SOL 透過兌換、跨鏈橋和隱私服務轉移——包括代幣間兌換、區塊鏈間轉移，以及專為掩蓋交易軌跡而設計的工具——其中大部分價值最終轉為比特幣。THORChain 也參與其中，協助網路間的兌換。乙太坊佔已兌換資產的較小部分，而攻擊者的主要比特幣和以太幣持倉則保持未動。

11 月 7 日的記錄指出，約 88 枚 BTC（價值 670 萬美元）已進入 Wasabi 式 coinjoin。這類交易混合多名參與者的輸入，使轉入與轉出比特幣之間的直接關聯更難識別。Robinson 也發現約 412,000 枚 NEAR（價值 150 萬美元）以小批量離開主帳戶。新兌換的 2,300 枚 BTC 已被轉入獨立的比特幣地址，與攻擊者現有持倉分開。

錢包總額不一致，調查人員持續追蹤贓款

分析平台 Arkham 的另一項統計顯示，其增幅遠低於 Elliptic 的兌換估計。據報導，Arkham 標記實體在 11 月 7 日美東時間上午 10 時持有 18,384.725 枚 BTC，相較於幣安遭駭時被抽走的 18,270.2 枚 BTC——差距約為 114.525 枚 BTC，遠低於 2,300 枚的數字。根據 news.bitcoin.com，本文查閱的 Arkham 實體頁面顯示其標記錢包中約有 18,387 枚 BTC。

這些讀數本身並不足以調和兩個平台的數據。要比較，需要比對地址、時間戳，以及關於哪些錢包屬於攻擊者的假設。Elliptic 的數字涵蓋已兌換的被竊山寨幣，而 Arkham 的餘額則涵蓋歸入其實體標籤下的地址。覆蓋範圍或時間上的差異可能解釋這一差距，儘管現有報告並未確定原因。這類分歧是鏈上調查中常見的現象，因為各分析平台對相同的底層地址套用各自的實體標籤和覆蓋規則。

報告引用的鏈上記錄顯示，有來自 THORChain 金庫的比特幣存款，以及透過 TRON 網路上的兌換協議 Sun.io 進行的 TRX 兌換，顯示與該駭客事件相關的洗錢活動仍在持續，同時主要的比特幣和以太幣持倉仍未變動。

洗白比特幣與將所得變現為可動用資金仍有區別。Elliptic 評估，儘管資產之間有大量轉移，但被竊資產中可能只有極少量已達到變現階段。由於 Elliptic 的記錄是逐日彙編，11 月 7 日的數字只是這場仍在進行中的行動的快照；報告的後續記錄，連同 Arkham 實體頁面等公開的餘額追蹤器，將是追蹤工作持續進行時值得關注的動態記錄。

入侵經過與幣安的回應

在 10 月 29 日的事件中，攻擊者從該交易所抽走了 18,270.2 枚 BTC。調查人員確定，攻擊者未經授權存取了一個內部錢包簽名服務，而幣安描述在未經授權的轉移發生前，員工設備遭入侵並感染惡意軟體。

事發之後，該交易所表示已封閉已識別的入侵入口，並重建或更換受影響的系統。其應對措施包括在事件後加強設備管控以及對錢包服務實施更嚴格的檢查。

幣安在 11 月 3 日的事件報告中估計受影響資產約為 63.4 億美元，並表示已預留足夠資金以吸收財務影響。該公司也引用 FBI 將事件歸因於北韓的資訊。幣安表示，截至 10 月 31 日，98% 受影響的代幣資產已獲補足，其餘非流動性資產的收購仍在持續。幣安報告約有 28.5 億美元資產被凍結或攔截，尚待核對且受市場價格變動影響。

來源：Blockonomi