區塊鏈分析公司Elliptic在週五更新的報告中表示，上個月Binance遭竊的64.3億美元中，約有一半尚未被洗白。以64.3億美元計，此案贓款規模是2025年2月15億美元Bybit遭駭案的四倍以上。

Elliptic指出，約31.1億美元仍留在與此竊案相關的地址中，主要為ETH與比特幣，這些資金「極可能」仍由北韓持有。另有28.5億美元，即贓款的44%，已被凍結或查扣——多為Tether與Circle等發行方在案發一小時內凍結的穩定幣。根據Elliptic，相較之下，2025年2月15億美元Bybit遭駭案後被凍結的比例僅約3%。

目前相信被成功變現的贓款僅佔極小部分。Elliptic預期攻擊者會將資金轉換為比特幣，並在數個月內透過場外（OTC）經紀商變現，與2025年Bybit遭駭案後的模式如出一轍。

Elliptic週五在X上發布更新，表示被竊的XRP已開始轉移：

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

FBI已將10月29日的竊案歸咎於其稱為TraderTraitor的北韓駭客。北韓已否認涉入。

Elliptic形容迄今的洗錢行動「高度複雜且顯然已自動化」。行動範圍橫跨16條區塊鏈上的逾20,000個錢包、至少36項服務與至少65,000筆交易——約每30秒就新增一個錢包。

從Binance被竊的18,270顆BTC（案發時價值約15億美元）在駭客事件當天被分散至19個地址，此後未曾移動。持有攻擊者89% ETH的九個最大以太坊地址，同樣自10月30日起即處於閒置狀態。

資金如何流動

迄今最大宗的洗錢——約2.2億美元的TRX——是透過Tron進行。單一分發錢包在51時內，將6.846億顆TRX發送至數百個新建地址，包括平壤的整個夜間。這批TRX其後幾乎全數跨鏈至以太坊。

被竊的Solana全數——以目前價格計約8,700萬美元——已被兌換、跨鏈或混幣。攻擊者也已開始清洗被竊的XRP，迄今約有5,000萬美元完成轉換，約2.26億美元尚待轉移。總計約1.24億美元已轉換為比特幣，其中大部分是透過跨鏈服務THORChain。

較小部分的資金已進行混幣。約33顆BTC（價值約250萬美元）經過Wasabi式coinjoin，另有約110萬美元的ETH與SOL存入Privacy Cash資金池，該資金池曾暫停存款約一天。

行動速度引發了AI代理正在移動資金的猜測，但Elliptic表示證據指向傳統的自動化。「洗錢顯然已自動化，但我們所見的一切都未顯示有AI代理在做決策，」該公司表示。

Elliptic預期攻擊者會將ETH兌換為比特幣，然後在數個月內透過OTC經紀商與交易所變現。該公司指出，Bybit遭駭後，北韓在10天內清洗了全部499,000顆被竊的ETH，但變現花了數個月。在變現完成之前，持有大部分未洗白資金的閒置比特幣與以太坊地址，加上剩餘XRP轉換的進度，是後續觀察行動進展的主要指標。

Binance持續恢復服務

竊案發生後，Binance持續恢復服務。該交易所週五表示，用戶現在可透過其最新準備金證明快照的零知識證明，驗證餘額至少以1:1比例足額支應。交易所並補充，目標在下週結束前恢復所有已修復網路上的全部代幣提款。此目標能否達成，將是Binance復甦的下一個可見指標。