區塊鏈分析公司Elliptic週一發布對這場洗錢行動的分析報告指出，北韓駭客正以驚人的速度轉移從幣安竊取的約64億美元資金，平均約每25秒創建一個新的加密貨幣錢包。

在不到四天的時間裡，攻擊者已將資金分散至涵蓋11條區塊鏈的約12,000個錢包，執行超過40,000筆交易。Elliptic形容這場行動高度自動化，但表示未發現人工智慧介入的證據。

然而，穩定幣發行商的反應速度比竊賊分散資金的速度更快。約28.5億美元，即贓款的44%，已被凍結或扣押——與2025年2月北韓駭客竊取Bybit 15億美元（當時為史上最大規模的加密貨幣竊案）後僅約3%被凍結的情況形成鮮明對比。此次幣安失竊規模是該案的四倍以上。

速度之所以關鍵，是因為穩定幣佔被盜資金的34.6億美元，即54%，而其發行商保有凍結這些資金的能力。Elliptic發現，Tether在被竊USDT抵達攻擊者錢包37分鐘後即凍結了以太坊上的贓款，而Circle則在全部8.23億美元被竊USDC被兌換之前就予以凍結。

在凍結措施生效之前，該駭客已在Uniswap等去中心化交易所將4.34億USDT兌換為ETH，以另外5,990萬USDT作為抵押在借貸協議Aave上借出19,762枚ETH，並將2.34億USDT兌換為Tron的TRX代幣。總計約7.86億美元的穩定幣逃過了發行商的介入。

失竊事件始於上週四晚間，當時攻擊者開始抽乾幣安的熱錢包——熱錢包是交易所用於處理用戶提款的聯網錢包，也是交易所託管體系中最暴露的一環。FBI隨後將此竊案歸因於TraderTraitor——一個與北韓政府有關聯、先前曾被美國當局與其他多起重大加密貨幣竊案聯繫在一起的駭客組織，並公布了數百個相關地址。承諾承擔全部用戶損失的幣安於週日重新開放提款，並在最初九個半小時內錄得約36.4億美元的淨流出。

隨後的洗錢行動持續不斷。Tron成為主要通道，交易活動一度達到每小時約1,300筆的高峰。如此節奏引發了AI代理在幕後操盤的猜測，但Elliptic駁斥了這種解讀，指出其固定的時間間隔、既定金額、盲目重試，以及類似人類工作時段的停頓。該公司寫道，雖然洗錢過程顯然經過自動化，「我們所見的一切都顯示沒有AI代理在做決策」。

大量資金仍未被動用。約32.4億美元仍留在與此竊案相關的地址中，主要為ETH以及18,270枚被竊Bitcoin，這些資金自攻擊當天起便未曾轉移。Elliptic認為這些資金極有可能仍由北韓持有——聯合國調查人員先前曾報告，北韓的加密貨幣竊案有助於資助該國的武器計畫——而已進入洗錢流程的資金則可能已轉入中國的洗錢網絡。似乎只有極少量資金已被變現。另有約1,600萬美元流向了持有9月Bitget攻擊贓款的地址。

參照Bybit失竊案後觀察到的操作模式，Elliptic預計攻擊者將分批小額將ETH兌換為Bitcoin，並透過場外經紀商在數月內逐步變現。該公司表示，由於ETH和Bitcoin無法被凍結，進一步的凍結將更加困難。剩餘的最佳機會在於中心化服務——資金最終必須在這些平台上現身，而FBI公布的數百個地址也為合規團隊提供了具體的篩查工具。

幣安失竊案為加密貨幣產業近期的安全困境畫下句點。BTCPay Server於週一呼籲商家關閉其伺服器，此前有熱錢包遭攻擊的報告傳出；巴西交易所Mercado Bitcoin則在遭竊4,000萬美元後暫停提款。目前尚不清楚這兩起事件是否與幣安攻擊事件有關。