區塊鏈分析公司 TRM Labs 詳細說明瞭 Binance 攻擊事件的駭客如何透過自鑄代幣、借貸憑證轉移與鏈式跨鏈交換來清洗贓款——這些手法旨在切斷資產凍結所依賴的直接支付連結。在涵蓋 10 月 31 日至 11 月 2 日（即跨鏈橋與新 TRON 手法首次出現在其追蹤紀錄中的時期）的11 月 3 日更新中，TRM 勾勒出一系列圍繞單一原則建立的路徑：持有與攻擊相關資金的錢包，絕不直接支付最終變現的錢包。

據 TRM 統計，10 月 29 日約有 63.6 億美元從 Binance 錢包流出，涉及十條區塊鏈。FBI 於 10 月 31 日將此次竊案歸因於北韓，並將該活動命名為 TraderTraitor——與 2025 年 2 月 15 億美元 Bybit 竊案所使用的標籤相同。

發行方與網路迅速行動。Tether、Circle、Ripple、World Liberty Financial 與 Arbitrum 安全委員會在數小時內凍結了近 27 億美元。TRM 估計攻擊者仍持有約 24 億美元的 ETH 與 BTC，且截至 11 月 3 日，這些主要餘額沒有新的活動跡象。該公司目前正在追蹤的清洗活動集中在 TRON 上，資金也開始經由一系列 Solana 錢包流動。

在 TRON 上，每一種新手法都在解決攻擊者面臨的同一個問題：凍結或警示必須指向特定地址。

一種只有創建者能鑄造的代幣

10 月 31 日，一個已在 Binance 追蹤範圍內的地址創建了一種只有其創建者能鑄造的代幣。其唯一市場是 TRON 去中心化交易所上的一個流動性池，將該代幣與某借貸協議的憑證代幣配對。TRM 並未公布該交易所或借貸協議的名稱。

TRM 將此路徑分為三個步驟：

1. 注入資金 —— 新的買方錢包從攻擊追蹤紀錄中的擴散錢包接收 TRX，兌換為 USDT，再轉換為憑證代幣並買入新代幣。
2. 鑄造 —— 創建者零成本鑄造新代幣，並發送至另一個獨立的賣方錢包。
3. 提領 —— 賣方向池中賣出代幣，取出憑證代幣並兌回 USDT。

由於賣方的代幣鑄造成本為零，其從池中取出的所有價值，都是由買方錢包存入的——而這些買方錢包的資金來自攻擊事件。TRM 未發現買方與賣方之間有任何轉帳；流動性池是雙方唯一的連結。因此，僅監控錢包對錢包支付的追蹤，看到的只是一群看似無關的地址在交易一種新代幣。

在 11 月 1 日的一個案例中，擴散錢包向三個買方錢包發送了約 294 萬 TRX。創建者接著向賣方錢包鑄造 3 億枚代幣，賣方在一分鐘內將其售出，取出近 1 億枚憑證代幣，兌換為 USDT，再轉換回 TRX。

這個 1 億的數字最好理解為憑證代幣的數量而非美元金額，因為憑證兌換為 USDT 的比率由借貸市場決定。TRM 對其中一個此類池的美元估算為，截至 11 月 1 日已提領約 270 萬美元。

流向 Ethereum 的出口僅部分可追蹤

賣方錢包將其 TRX 分散至五個新錢包。在 UTC 時間 03:22 至 04:26 之間，這些錢包透過一款錢包應用程式內建的交換路由器下達了 38 筆、總計 966,558 USDT 的訂單，所有款項均支付給同一跨鏈服務的跨鏈橋錢包。

該服務並未公布訂單的支付去向，因此 TRM 依金額與時間進行比對。38 筆訂單中有 11 筆——約 29 萬美元——與 Ethereum 上的支付相符，資金在該處兌換為 ETH，按價值計約佔該批次的 30%。該公司發布報告時，仍在追蹤其餘 27 筆訂單以及最終收到資金的 Ethereum 錢包。

依金額與時間的比對屬於推論，而非來自服務本身的紀錄。這為調查人員提供了可供查驗的具體 Ethereum 地址，但該批次的大部分資金仍未定位。因此，其餘訂單以及接收上述 Ethereum 支付的錢包，是 TRM 這部分追蹤中最明確的未解之處。

在同一條 TRON 至 Ethereum 路徑上的另一個已追蹤案例中，來自多個 TRON 地址的資金抵達中繼 Ethereum 地址，隨後被集中、轉發至第二個地址，並拆分為 50 至 80 ETH 的區塊。這些 ETH 至今仍停留在落地之處。TRM 稱這種兌換、集中與再分配的序列是北韓洗錢的典型手法。

在錢包之間傳遞的存款權利

TRM 於 11 月 2 日標記了第二種 TRON 手法。錢包 A 將 USDT 存入借貸池，並收到代表其存款權利的憑證代幣。它以普通代幣轉帳的方式將憑證發送給錢包 B。錢包 B 贖回憑證，池支付 USDT，B 再將 USDT 發送至 TRON 鏈外的跨鏈橋。

僅追蹤 USDT 的追蹤在池處中斷：A 存入 USDT，B 取出 USDT。由於該池規模龐大且與眾多其他存款人共享，USDT 流水中沒有任何跡象將兩者連結起來。B 的唯一交易對手是借貸市場與跨鏈橋，因此其歷史紀錄看起來乾淨無瑕。兩者的連結僅存在於從 A 到 B 的憑證代幣轉帳中。

憑證承載的是存款本身，而非其複本。若 A 存入 10 萬美元並交出憑證，B 可依市場規則贖回該筆存款，而 A 則不再擁有任何權利。

這與先前以被竊穩定幣借貸 ETH 的手法不同。借貸會留下以抵押品擔保的債務；而轉交憑證則是完全移轉存款的所有權。

凍結需要落點的地址

兩條 TRON 路徑都使持有與攻擊相關資金的錢包，從不直接支付變現的錢包。跨鏈橋則加入了同一思路的第三種版本。TRM 觀察到攻擊者將兩次跨鏈交換串聯，把資金從洗錢地址直接發送至第二個跨鏈橋的存款地址。這跳過了中繼錢包——用 TRM 的話說，警示或凍結通常會落在這個中繼錢包上。

首幾小時內被攔截的 27 億美元，是在發行方已知受到污染的地址上被凍結的。TRM 對合規團隊的建議源自這些路徑所破壞的環節：透過憑證代幣與池代幣追蹤價值流向，篩查多個下游環節——包括跨鏈支付——並認知到某些支付只能靠金額與時間比對。僅檢查誰存入 USDT 的審查，會讓錢包 B 通過檢驗。

最大的餘額仍在原地。截至 11 月 3 日，約 24 億美元的 ETH 與 BTC 仍未移動，而 TRM 在 TRON 上記錄的清洗活動，每次規模從數十萬到數百萬美元不等。FBI 呼籲封鎖與 TraderTraitor 相關的錢包，前提是必須先有人識別出這些錢包。這次更新中描述的每一條路徑，其設計目的都是讓下一個錢包與前一個錢包之間沒有任何可見的支付歷史。

本文改編自 Coindoo 的原始報導，Binance Hackers Created a Token to Trade With Themselves。