區塊鏈分析公司 Bitquery 於 11 月 2 日發布的調查追蹤到約 1.088 億美元的 USDC 從三家加密貨幣交易所的帳戶流出，此前鏈上調查員 ZachXBT 指這些資金是疑似從一家歐盟實體竊取所得，並由 X 帳號 Officer's Notes 的貼文轉述。這項 Bitquery 調查發現，15 個收款錢包中有 11 個在 11 月 1 日之前曾接收過相同交易所的付款，6,298 萬美元的穩定幣被兌換為 27,553 ETH，且僅有 370 萬美元的資金仍停留在可被凍結的 USDC。

二十一個小時橫跨三家交易所

第一筆提款於 11 月 1 日 12:25 UTC 從 OKX 流出。Kraken 在 44 分鐘後跟進，最終支付了總額的 95%，其餘部分由 Crypto.com 與 OKX 供應。約三分之二的資金，即 7,320 萬美元，在截至 23:00 UTC 的三小時內轉出，最後一筆付款於隔日上午 09:09 UTC 到帳。

其中一個錢包在 91 分鐘內收到 43 筆 Kraken 提款，每筆均低於 5 萬美元。Bitquery 解讀此模式為竊匪在繞過單筆提款限額——交易所帳戶的標準安全措施。若此解讀正確，該限額改變了資金外流的形式，但未減少其規模。

這些金額均未獲受害者證實為損失。Bitquery 僅分析了以太坊，並只檢查了三家交易所的主要錢包，因此其他鏈上或同一交易所其他錢包的活動可能會使總額增加。受害者尚未具名，但錢包的歷史紀錄指向一家自 5 月起便使用 Kraken 的交易或支付業務——Bitquery 表示此判斷帶有保留。

為何舊有錢包暗示問題不在交易所登入

15 個收款錢包中有 11 個在 11 月 1 日之前曾從相同交易所接收付款，合計佔總金額的 84%。最古老的一個於 5 月 4 日收到首筆 Kraken 提款，案發前又再收到 48 筆。其中數個錢包在夏季期間互相轉帳。15 個錢包中有 8 個是設定為以 USDC 支付網路費用的 Trust Wallet 智慧帳戶——即費用從代幣餘額而非 ETH 中扣除——不過 Bitquery 並未發現任何指向該應用程式本身缺陷的證據。

這段歷史正是 Bitquery 將這些錢包視為受害者自有的原因，也解釋了為何單憑交易所登入無法解釋隨後發生的事。USDC 通常在三分鐘內轉入一個新錢包，而繼續轉出需要收款錢包的私鑰。Bitquery 結論認為，竊匪極可能同時持有登入憑證與私鑰。據其解讀，這可能指向 owner 的設備或錢包設定遭入侵，或受害者團隊內部有人涉案。鏈上資料無法區分這兩種情況。

此所有權判斷仍是基於錢包行為的推論，受害者與交易所均未證實。若其中部分地址屬於員工、承包商或交易對手，先前的付款紀錄將顯示該實體信任了某個人，而非其自身金鑰外洩。無論如何，追蹤紀錄中沒有任何跡象顯示 Kraken、Crypto.com 或 OKX 遭到入侵。提款均來自同一位客戶的帳戶。

提款白名單何時有效、何時失效

白名單機制允許帳戶僅能提款至事先核准的地址。這次竊案的追蹤紀錄可分為兩種情況，兩者對此設定的考驗方式不同。

11 個熟悉錢包屬於白名單無法應對的情況。若它們事先已獲核准，轉入這些地址的交易便可通過檢查，因為該設定僅限制地址本身，並不管現今由誰持有其私鑰。

四個新錢包——共接收 1,727 萬美元——則屬於相反的情況。OKX 和 Kraken 的首筆付款均流向沒有任何歷史紀錄的地址。用 Bitquery 的話說，若這些帳戶啟用了白名單，竊匪便能將地址加入其中；若未啟用，資金可流向任何地方。這些帳戶是否啟用了白名單並未公開。

第二種情況正是交易所額外控制措施所針對的：

• OKX：除了其白名單功能外，另有獨立的新地址鎖定機制，會封鎖向新加入收款人的提款，為期 24 小時。
• Crypto.com Exchange：新加入白名單的地址適用 24 小時凍結期，且停用該功能還需再等 24 小時才會生效。
• Kraken：全域設定鎖會封鎖新提款地址及受保護設定的變更。解除鎖定須等待使用者自行設定的延遲時間，除非事先設有主金鑰——一種可跳過等待的獨立憑證。

這些控制措施均不影響已在名單上的錢包。延緩新地址的鎖定機制，仍無法阻止持有正確私鑰的人使用舊地址。

數小時內將可凍結的 USDC 兌換一空

被提走的資金以 USDC 形式流出，其發行方 Circle 可凍結任何地址上的 USDC——發行方在過往鏈上竊案中曾動用此權力。ETH 沒有發行方，DAI 則沒有凍結功能，因此兌換穩定幣是竊匪的首要任務。

11 月 1 日 UTC 午夜前不久，一個新錢包開始透過 UniswapX 出售穩定幣——這是一種由交易公司競價接單的拍賣機制。約四小時內，它賣出 6,298 萬美元的 USDC 和 USDT，換得 27,553 ETH，每枚約 2,286 美元。另一部分資金轉入 DAI。Bitquery 在出售過程中及其週一檢查時均未見 Circle 執行凍結，並表示不知道是否有人曾請求 Circle 採取行動。

截至 11 月 2 日 13:47 UTC，仍有 7,827 萬美元停留在 Bitquery 認定與竊匪相關的以太坊地址上，其中大部分已超出任何發行方所能觸及的範圍。約 3,050 萬美元已經流出。最大的一筆、812 萬美元，流向一個 KuCoin 充值地址，Bitquery 認為該地址屬於歐洲交易所 Kyrrex 的共用帳戶。跨鏈橋與兌換路由器 LI.FI 帶走了 434 萬美元，其中一部分經由分析公司 TRM 標記為 Wagyu 的一次性訂單錢包——Wagyu 是一種可兌換為門羅幣的服務，門羅幣是一種以隱匿發送方、接收方與金額為設計目標的隱私加密貨幣。無需帳戶的即時交易所 FixedFloat 則接收了 132 萬美元。

即便能在以太坊上看到這些 ETH，受害者也無法將其取回。仍可觸及的部分取決於對各自環節擁有權力的各方：Circle 對剩餘的 USDC、KuCoin 與 Kyrrex 對該筆充值計入誰的帳戶、即時交易所則對下單者是誰。

什麼能釐清存取權限的疑問

支付了 178 筆提款的 Kraken，能夠確認帳戶的擁有者以及帳戶內發生的事。三項紀錄可檢驗 Bitquery 的理論：四個新地址何時被加入，以及當時是否有鎖定或延遲機制生效；提款是透過已登入的工作階段還是具提款權限的 API 金鑰進行——API 金鑰是讓軟體無需人工登入即可操作帳戶的憑證；以及 11 月 1 日 12:25 UTC 前數小時內是否有任何安全設定被更改。

若這些日誌顯示新地址因等待期被停用而得以通過，教訓便指向帳戶設定。若設定完好無損而資金仍經由舊錢包流出，錢包金鑰遭竊的解讀便更為有力。最接近的公開訊號更為具體：在竊匪轉移之前，Circle 是否會凍結仍持有的 374 萬枚 USDC——其中幾乎全部停留在五個錢包中。

檢查每個已儲存地址由誰可動用

對於持有大額交易所餘額的人而言，這次追蹤說明了應按私鑰持有人而非地址來審計提款名單。對每個已儲存的目的地，問題在於現今哪支手機、筆記型電腦、瀏覽器擴充功能或服務能為其簽署交易，以及該設備是否同時保存著交易所登入憑證。Bitquery 的論點是：此類設備一旦遭入侵，兩者將同時失守。

其建議的防禦措施由此而來：登入及白名單錢包均使用硬體金鑰、啟用新地址等待期，並以監控帳戶本身的同等力度監控白名單上的錢包。款項流入一個你已停用的錢包，即是警訊。Coindoo 曾記錄過類似的漏洞：交易者停用機器人後舊錢包仍被掏空——一個你不再留意的地址，仍可能有人能從中動用資金。