朝鲜黑客盗币安 64 亿：自动化洗钱与冻结赛跑

据 Woofun AI 消息，全球最大加密货币交易所（）遭遇史上最大规模黑客攻击，朝鲜黑客组织 TraderTraitor 在不到 4 天内盗取价值 64.3 亿美元的加密资产，涉及 11 条不同区块链。这场与时间赛跑的洗钱行动展现了极高的自动化水平，攻击者动用约 12,000 个钱包进行超 40,000 笔交易，试图在资金被冻结前完成资产转换与隐匿。

目前，约 28.5 亿美元已被成功冻结或扣押，剩余约 32.4 亿美元仍在相关地址中，其最终去向与套现路径成为行业关注的焦点。

攻击始于 10 月 29 日，起因是一名工程师的笔记本电脑被入侵，导致币安热钱包私钥泄露。被盗资金中，高达 34.6 亿美元（占比 54%）为稳定币，包括 和 。由于稳定币发行方具备冻结能力，攻击者的首要策略是将其迅速兑换为无法冻结的资产，如 和 。在网络上， 在资金到达后仅 37 分钟便实施了冻结，但在此之前，攻击者已通过 等去中心化交易所（DEX）将 4.34 亿 USDT 兑换为 ETH，并将 5,990 万 USDT 抵押在 借贷协议中借出 19,762 枚 ETH。在 网络上，攻击者在 Tether 冻结剩余资金前，通过 将 2.34 亿 USDT 兑换为 TRX。

与此同时， 在攻击者兑换任何资金前，果断冻结了全部 8.23 亿 USDC。最终，总计 28.5 亿美元被冻结或扣押，仅有约 7.86 亿美元稳定币在冻结前成功转换。

值得注意的是，在同一半小时内，18,270 枚 被拆分至 19 个地址，至今未发生任何移动，显示出攻击者对大额资产的谨慎处理。

盗窃发生约 5 小时后，即 10 月 30 日 02:19 UTC，洗钱行动进入第二阶段，Tron 链成为主要通道。一个分发钱包开始将攻击者持有的 6.846 亿 TRX 小额发送至数百个新地址，最终资金扩散至约 7,700 个地址。随后在 2.5 小时内，攻击者首次通过 6 个不同的跨链桥转移资金，初期多为测试金额。几乎所有 TRX 最终在以太坊上以 ETH 形式支付，迄今至少有 1.47 亿美元通过跨链桥从 Tron 转出。在以太坊上，到达的 ETH 被转发至新建地址后停止移动。

目前，约 68,700 枚 ETH 分布在约 850 个较小地址中，多数地址持有 10-100 ETH。其中，9 个最大地址持有攻击者 89% 的 ETH，自 10 月 30 日以来未发生任何移动，表明这部分资金可能作为储备或等待进一步指令。

10 月 31 日，攻击者加速洗钱进程，引入新路线与策略。从 03:36 UTC 起，部分 TRX 被兑换为 ，一种标榜'不可冻结'的稳定币。从 05:18 UTC 起，一个地址将 1.28 亿 TRX 存入 借贷金库，资金从 1 个地址存入，提款至 16 个新地址，发送和接收之间无直接转账关联，极大增加了追踪难度。

速度方面，分发钱包从 10 月 30 日多数时间每小时少于 1,200 万 TRX，提升至 10 月 31 日每小时高达 3,700 万 TRX。即使在平壤的夜晚，洗钱活动也持续运行，最繁忙时（10 月 31 日 08:00 UTC），攻击者的 Tron 钱包在一小时内进行了约 1,300 笔交易。10 月 31 日晚， 将盗窃案归因于 TraderTraitor 并公布了攻击者地址，但洗钱行动并未因此停止。