ON-CHAIN FORENSICS REPORT • 加密史最大单笔失窃案全路径拆解

币安 $6.43B 失窃案赃款撤退与洗白路径全解

2026年10月29日 20:05–23:56 UTC，币安热钱包在 11 条链上被同步抽走 64.3 亿美元。从头 37 分钟与 Tether/Circle 的冻结生死战，到横跨 16 条链、2 万+钱包的自动化拆分，再到 NEAR 链上花 90 美元自铸 Meme 币做“一次性过滤容器”——完整还原朝鲜黑客（TraderTraitor）的洋葱式洗钱工程。

Core Takeaway / 核心结论

洗钱的本质不是“隐身”，而是用廉价跳数给调查拖时间。44%（$28.5亿）稳定币被冻在原地，49%（$31.3亿）BTC/ETH 主仓按兵不动，已洗动的数亿美元正通过跨链桥与 DEX 全面向 BTC 归集，等待数月周期的 OTC 慢速套现。

被盗总额 (11条链)

$6.43B

54% ($3.46B) 为稳定币

已冻结 / 扣押

$2.85B

占总额 44.3% (Bybit案仅3%)

主仓静止未动

$3.13B

9个最大地址握有89% ETH

抢跑换出稳定币

$786M

Tether 37分钟冻结前逃出

动用钱包 & 跨链

20,000+

16条链 / 36+服务 / 30秒1新钱包

洗钱交易笔数

65,000+

峰值1300笔/时 (每1美元挪9次)

Phase 00 // Pre-Heist Intrusion

01. 攻击得手链路：潜伏 4 个月，搬空 4 小时

2026.06 — 2026.10.29 (23:56 UTC)

STEP 1 · 2026年6月

篡改版 AI 编码工具投毒

一名工程师在工作机上安装了被篡改的 AI 编码工具副本。钱包团队内部开发环境首次暴露在攻击者视野中。

入口：Supply-Chain / AI Tooling

STEP 2 · 2026年9月

假招聘面试 + 恶意作业

Lazarus 经典社工：伪装成招聘方对另一名工程师安排全套假面试，诱使其将恶意代码作业（Assignment）下载到工作电脑。

入口：Spear-Phishing / Fake Interview

STEP 3 · 内网横向移动

借内部 AI 工具横向渗透

拿到跳板后，攻击者利用币安内部的 AI 工具触达其他工程师机器，逐步提权并逼近核心签名架构。

跳板：Internal AI Infrastructure

STEP 4 · 10月29日 20:05-23:56 UTC

劫持钱包签名服务同步抽干

触达 Wallet Signing Service，绕过正常提现风控，在不到 4 小时内跨 11 条公链同步签发盗币交易，卷走 $64.3 亿。

爆点：Wallet Signing Service Bypass

Phase 01 // The Golden Hour Freeze War

02. 黄金 37 分钟冻结生死战：先逃稳定币，再管原生币

被盗资产中 54% ($3.46B) 为可中心化冻结的稳定币

被盗稳定币 ($3.46B) 抢跑兑换 vs 发行方冻结明细

Tether 响应: 37 mins

已冻结/扣押: $2.85B (82.4% 稳定币池 / 44.3% 总盘) 冻结前成功换出: $786M

Ethereum 链上 USDT 37分钟窗口抢跑

通过 Uniswap 等 DEX 抢先将 $4.34亿 USDT 换成 ETH；另在 Aave 抵押 $5990万 USDT 借出 19,762 枚 ETH（把冻结风险转嫁给借贷池，后因 ETH 涨价被清算 $2400万 USDT 抵押品偿还 9,900 ETH 债务）。

$493.9M 逃出

换成 ETH / Aave 借币

Tron 链上 USDT SunSwap 抢跑换 TRX

在 Tether 冻结指令生效前，通过 SunSwap 将 $2.34亿 USDT 抢先兑换为不可冻结的 TRX，剩余部分被 Tether 原地冻结。

$234.0M 逃出

换成 6.846亿+ TRX

Circle (USDC) 全链拦截 0 兑换逃逸

攻击者优先处理 USDT，Circle 在黑客发起任何一笔 USDC 兑换之前，将 全部 $8.23亿被盗 USDC 悉数冻结。

$823.0M 全冻

逃出率 0%

为什么黑客第一晚只动稳定币？

链上资产按“中心化可干预度”分为两级：USDT/USDC 合约内置 blacklist / freeze 权限，每一秒都在和发行方法务与安全团队赛跑；而 BTC、ETH、TRX、SOL、XRP、NEAR 原生资产没有中心化冻结开关。

黑客首夜优先级矩阵 (10月29日夜)：

P0 [极速换仓] ETH/Tron 上的 USDT → 37分钟内不计滑点砸盘换 ETH/TRX，或塞进 Aave 借出 ETH。

P1 [免冻稳定币] 将部分 TRX 换成 USDD（主打 Freeze-free 无中心化冻结开关的稳定币）锁住美元价值。

P2 [原地休眠] 18,270 枚被盗 BTC 拆进 19 个地址后彻底静默；9 个最大 ETH 地址（占总量 89%）自 10月30日起一动不动。

💡 Aave 抵押借贷的精明算计： 黑客没有把全部 USDT 砸进 DEX（会遭受巨额滑点且来不及），而是把 5990 万 USDT 存进 Aave 借出 19,762 枚 ETH。哪怕随后 USDT 在 Aave 池里被冻结或 ETH 暴涨触发清算（实际被清算拿走 2400 万 USDT 偿还 9900 ETH），黑客手里的原生 ETH 已经干净落袋。

Phase 02 // Multi-Chain Laundering Topology

03. 16 条链洗钱全链路拓扑：五层洋葱剥离，终局归集 BTC

拆分 → 金库跳跃 → 跨链桥 → 混币池 → BTC 归集

STAGE 1 · 原始赃款池

稳定币抢跑换出 ($786M)

• 6.846亿 TRX (Tron)

• 68,300+ ETH (Ethereum)

活跃清洗公链资产

• SOL: ~86.2万枚 ($80M+)

• XRP: 2.335亿枚 ($276M)

• NEAR: ~1200万枚 ($44M)

休眠主仓 ($3.13B)

• 18,270 BTC (19个地址静止)

• $1.34B ETH (9大地址占89%)

STAGE 2 · 拆分与金库切断

高频机器分发 (Peel Chain)

• Tron分发钱包51小时发1113笔

• 6.84亿TRX散入 7,700个地址

• 峰值 3,700万 TRX/h (1300笔/h)

借贷金库跳跃 (Vault Hop)

• JustLend (Tron): 1.28亿TRX 1存 → 16新地址取，无直接转账边

• Solana 借贷池 + 流动质押: A存B取，SOL⇄USDC往返洗

自铸 Meme 币容器 (NEAR)

• $90成本发6个币 (FUK/SINU等)

• 11.7万 NEAR 进池对倒抽走真币

STAGE 3 · 跨链桥与DEX跳板

6+ 跨链桥并发转移

• THORChain (主力换BTC通道，10/31故障暂停后11/3深夜恢复)

• Relay.link / Symbiosis / Bitget Swap

• Tron 至少 $1.47亿 桥出至 ETH

5小时跨4链极速接力

• SOL → DEX卖成USDC → 跨链桥至ETH → 换ETH → 跨链换BTC

• 临时稳定币停留 < 1~3 分钟防冻

STAGE 4 · 混币与隐私池

Wasabi 式 CoinJoin (BTC)

• 11月1日 05:55 UTC 首次启动

• 截至11月7日累计 ~88 BTC ($6.7M) 完成多轮 CoinJoin 混币

Privacy Cash (ETH / SOL)

• Alliance DAO 支持的“合规隐私池”

• 11/3 存入 41 ETH + 9,600 SOL (~$1M)，11/4 再存 2,300 SOL

• 11/4晚官方暂停存款加强筛查后弃用

STAGE 5 · 终局归集与套现

全面向 BTC 收敛归集

• 截至11/7：已由 TRX/SOL/XRP/ETH 转换出 ~2,300 枚 BTC ($1.75亿)

• ETH 分散在 830 个小地址 (10~100 ETH/个)

下一步推演 (参照 Bybit 案)

• 约 $1600万流向 2026年9月 Bitget 案重合地址

• 慢速换 BTC → 数月后在 Tron 换回 USDT → 地下 OTC 钱庄出金

五类叠加反追踪手法 (Onion Layering)

1. 极度拆分

散入2万+地址，既防大额滑点，又压低单笔金额规避交易所入金阈值，令调查列表指数级膨胀。

2. 跨链断链

6条桥交替用，存款与提款位于不同公链账本，单批5小时连跨4条链，迫使溯源跨多链拼接。

3. 标的轮换

USDT→TRX→USDD→ETH→SOL→USDC→BTC，不断在DEX切换资产形态，包括冷门低流动性封装币。

4. 金库/池跳跃

借 JustLend、Solana 质押池与自建 Meme 币池“A存B取”，切断链上地址间的直接转账边。

5. 双轨混币

BTC 走 Wasabi CoinJoin，ETH/SOL 走 Privacy Cash 隐私池，利用多用户资金池打断进出关联。

Myth Busting // 自动化脚本 vs AI Agent

是脚本自动化，但没有 AI 在做决策

外界曾因“峰值每3秒1笔、Tron每1美元挪动9次”猜测由 AI Agent 调度。但链上取证证伪了这一点：

固定时间间隔、固定拆分金额；
遇到通道故障时出现盲目机械重试；
新战术相隔数小时才分步人工上线；
时间轴中存在明显的平壤作息停顿窗口（虽有两个深夜加班连轴转）。

结论：传统批处理脚本 + 人工值班切换桥与策略

Phase 03 // Chronological Operations Log

04. 10月29日—11月7日逐日撤退作战日志

10月29日 (20:05–23:56 UTC) DAY 0 · 案发与抢跑

11链同步抽干 $6.43B，37分钟稳定币生死逃亡

• ETH 链：Tether 37分钟冻结前，Uniswap 抢换 $4.34亿 USDT → ETH；Aave 抵押 $5990万 USDT 借出 19,762 ETH。
• Tron 链：SunSwap 抢换 $2.34亿 USDT → TRX。
• Circle 零逃逸冻结全部 $8.23亿 USDC；总计 $28.5亿被冻，$7.86亿逃出。
• 18,270 枚 BTC 拆入 19 个地址后静止。

10月30日 DAY 1 · Tron 主通道开启

6.846亿 TRX 散入 7,700 地址，6条跨链桥试水

• 静默5小时后，02:19 UTC 分发钱包启动，将 6.846亿 TRX 拆入约 7,700 个新地址（出金约 1200万 TRX/h）。
• 经 Relay.link、THORChain、Bitget Swap、Symbiosis 等 6 条桥跨链至以太坊落成 ETH（累计至少 $1.47亿 从 Tron 桥出）。
• 68,300 枚 ETH 散入 830 个小地址（10~100 ETH）；9 个最大地址握有 89% ETH 自此静止。

10月31日 DAY 2 · 借贷金库跳跃 & 提速

JustLend 1存16取断链，THORChain 故障难阻峰值

• 03:36 UTC 部分 TRX 换入免冻结稳定币 USDD。
• 05:18 UTC 1.28亿 TRX 存入 JustLend 借贷金库，由 16 个新地址取出，切断直接转账关系。
• 提速至 3,700万 TRX/h（08:00 UTC 单小时 1,300 笔）。
• 11:34 THORChain 故障暂停（原承载 1000万 TRX/h），黑客秒切其他桥；当晚 FBI 正式归因 TraderTraitor 并公布地址。

11月1日 DAY 3 · 多链苏醒 & 首次混币

Tron 分发收尾，NEAR/SOL 异动，Wasabi 混币启动

• 05:33 UTC Tron 分发钱包发出最后一笔（51小时共 1,113 笔）。
• 05:55 UTC 首次混币：Tron 与部分 ETH 换出的 BTC 进入 Wasabi 式 CoinJoin（至次日晨 28 BTC 过 18 次混币）。
• 07:00 NEAR 转移至新账户；08:19 部分停放 ETH 按 10 ETH/批移动；09:38 约一半 SOL 移至新地址开始小批剥离。

11月2日 DAY 4 · SOL 四链快跑 & XRP 拆分

2.335亿 XRP 拆6地址，SOL 借贷池跳跃后5小时跨4链

• 02:12–04:00 全部 2.335亿 XRP 拆入 6 个新地址休眠至 11/5。
• Solana 复刻 Tron 手法：SOL⇄USDC 往返并过借贷金库（A存B取）。
• 晚间 SOL 分批卖成 USDC → 桥至 ETH → 换 ETH → 转 BTC，单批不到 5 小时跨 4 条链，每站 USDC 停留仅几分钟。
• Tron 上首次发现复刻 Bybit 案特征的自制洗钱垃圾币。

11月3日 DAY 5 · Privacy Cash 隐私池登场

13.7万 SOL 离场，资金注入 Privacy Cash 与低流动性币

• 13.7万 SOL ($12.8M) 经借贷金库、流动质押及两个极冷门封装代币过渡后换 BTC。
• Tron 70万 TRX 清空换 USDT/USDD 过借贷市场转 BTC（USDT 单钱包停留 < 1分钟）。
• 首次使用 Privacy Cash（存入 41 ETH + 9,600 SOL ≈ $1M）。
• 当日下午约 215 枚 BTC ($17M) 落入新 BTC 地址。

11月4日 DAY 6 · SOL 清仓 & Aave 清算

72.5万 SOL 倾泻而出，THORChain 恢复助推 BTC 翻倍

• 72.5万 SOL ($67M) 分 204 笔打入 77 个新钱包，原始 SOL 钱包清空（仅剩 430 SOL）。
• THORChain 恢复兑换，当晚 1.22万 ETH ($29M，多来自SOL卖出) 经其转成 BTC；新地址累计落袋 470 BTC ($37M)。
• Privacy Cash 再进 2,300 SOL，当晚官方暂停存款加强筛查。
• ETH 上涨触发黑客 Aave 贷款被清算（清算方还 9,900 ETH 拿走 $2400万 USDT 抵押品）。

11月5日—11月6日 DAY 7-8 · XRP 启动 & NEAR 自铸币

XRP 大举经 THORChain 换 BTC，NEAR 连发 5 个 Meme 币

• 11/5 下午起 XRP 启动清洗，至 11/6 晨 4,200万 XRP ($50M) 经 THORChain 换 BTC。
• 11/6 08:45 UTC 新地址已归集 1,650 枚 BTC ($1.24亿)，较前一日翻倍。
• NEAR 链上上线首个自铸币 FUK (11/5 00:25)，11/6 连发 OLCCL、MEILI、MMLI、DABI 四个代币建池对倒。

11月7日—11月8日 DAY 9-10 · 归集 2,300 BTC & 容器弃疗

累计转出 $1.75亿 BTC，NEAR 第6币 SINU 收官后撤池

• 隔夜再走 4,400万 XRP ($51M)，剩 1.48亿 XRP ($1.73亿) 躺原处。
• 隔夜 53 BTC 入 CoinJoin，累计混币达 88 BTC ($6.7M)；由其他资产转出的 BTC 达 2,300 枚 ($1.75亿)。
• 11/7 10:06 创建第 6 个币 SINU；11/8 起 6 个 Meme 币全部停止交易，4 个池子被创建者抽干剩余流动性。

Phase 04 // The $90 Disposable Laundering Vessel

05. 核心微观解剖：花 90 美元自铸 Meme 币做“一次性洗钱容器”

起源：2025.02 Bybit案 ($24M) → 演进：2026.11 NEAR链 6 币连环链

自制代币四步过滤法 (DEX Pool Hop)

成本 ≈ 25 NEAR ($90)

普通人发 Meme 币是为了割散户，朝鲜黑客发 Meme 币根本不需要外人买。它的本质是在赃款钱包（Wallet A）和干净接款钱包（Wallet B）之间，人工造一个只有自己人交易的 DEX 流动性池当“过滤网”：

STEP 1 · 零门槛发币 ($90)

调用链上公开代币发行工具创建新 Meme 币（套用猴子、鸭子、Elon 2028 竞选图等经典梗图伪装）。

STEP 2 · 自建 DEX 流动性池

将新币与真实资产（NEAR / 稳定币）配对建立 Liquidity Pool，初始价格与深度完全由黑客左手控盘。

STEP 3 · 脏钱包买入（灌入赃款）

第一组钱包（由主赃款钱包多层下发注资）把被盗 NEAR 打进池子买入垃圾币，池内沉淀真 NEAR。

STEP 4 · 净钱包卖出（抽走真金）

第二组收款钱包在池中抛售垃圾币，把等额真 NEAR 抽走并立刻换为稳定币。表面看就像散户炒土狗币止盈！

为什么公开可查还要这么干？

不是为了藏钱，而是用 $90 成本给溯源软件买时间。 赃款每多过一个自定义池，自动化追踪图谱就会断一层直接转账边，合规人员必须人工拆解池内 Swap 对手方。几十种廉价手法叠在一起，几分钟就拖成几周。

NEAR 链 6 个洗钱 Meme 币全档案 (11月5日—11月8日)

累计清洗 11.7 万枚被盗 NEAR（约 $43 万美元试水盘，主钱包另有 1,180 万枚 NEAR / $4370万未动）

11月8日后全部弃疗

代币符号	创建时间 (UTC)	交易结构特征	建池资金来源 & 结局
FUK	11-05 00:25	唯一有零星外部散户买入（占比 < 1%），卖出 100% 内部钱包	首棒启动池 → 卖款供血下一币
OLCCL	11-06 07:19~	100% 买卖均由洗钱网络内部钱包完成	上线前 2~13 分钟收上一币卖款
MEILI	11-06 日间	100% 内部对倒，上线 3 小时内出首笔卖单	上线前 2~13 分钟收上一币卖款
MMLI	11-06 日间	仅 1 个买方钱包 + 1 个卖方钱包点对点过池	上线前 2~13 分钟收上一币卖款
DABI	11-06 ~14:27	仅 1 个买方钱包 + 1 个卖方钱包点对点过池	上线前 2~13 分钟收上一币卖款
SINU	11-07 10:06	仅 1 个买方钱包 + 1 个卖方钱包点对点过池	收官池，11/8下午4个池撤走LP

三条链上铁证坐实“纯洗钱容器”动机 (Three Smoking Guns)

铁证 1：零外部真实交易

6 个币的所有卖出 100% 来自内部钱包；5 个币买入也 100% 内部包办。DABI、MMLI、SINU 甚至懒得演，全池只有 1 买 1 卖两个钱包对倒。

铁证 2：2~13分钟首尾接力链

6 个创建者中有 5 个，在发新币前 2 到 13 分钟，刚收到一笔来自“正在卖上一个币”钱包的转账——上一币的洗钱回款直接当下一币的发币费。

铁证 3：进出严丝合缝 & 用完即弃

上线 3 小时内必出首笔卖单，当天完成 ≥75% 交易量；进池 11.7 万 NEAR 与出池换稳定币金额精准吻合，11月8日后集体归零撤池。

Phase 05 // Current Asset Ledger & Endgame

06. 资金终局盘点（截至 11月7日）与合规风控启示

真正变现才刚开始：BTC 归集 → 慢速 OTC 出金

分币种赃款状态总账（截至 2026-11-07 08:00 UTC）

总盘分布 ($6.43B) 已冻结 $2.85B (44.3%) | 静止主仓 $3.13B (48.7%) | 已洗/在途 ~$0.45B (7.0%)

资产类别	初始/涉案规模	已移动 / 清洗进展	当前沉淀状态
USDT / USDC	$3.46B	$786M 抢跑换 ETH/TRX	$2.85B 已冻结/扣押 (含8.23亿USDC)
ETH (以太坊)	$1.34B	仅动约 $3M (另有SOL换入ETH再转BTC)	9大地址握89%未动；6.83万ETH散在830小地址
BTC (原生+归集)	18,270 BTC + 2,300 BTC	原生18,270枚未动；88 BTC 已过 CoinJoin	新归集 2,300 BTC ($1.75亿) 成为洗钱终点
XRP (瑞波)	2.335亿枚 (~$276M)	已洗 ~8,600万枚 (~$1.01亿) 经THORChain换BTC	剩 1.48亿枚 ($1.73亿) 躺在3个收款地址
TRX (波场)	~$2.30亿 (6.846亿枚)	散入7700地址，至少$1.47亿桥至ETH，余换BTC/USDD	链上仅剩约 $100万，基本清空
SOL (Solana)	~86.2万枚 (~$80M+)	13.7万+72.5万枚全部经DEX/桥/Privacy Cash转出	原始钱包仅剩 430 SOL，已彻底清仓换BTC
NEAR	$44.0M (~1200万枚)	仅动约 $2.5M (含11.7万枚/$43万过6个Meme币)	约 1,180万枚 ($43.7M) 仍在主钱包休眠

Next Phase Prediction // 参照 2025 Bybit 案推演

为什么 $31.3 亿主仓按兵不动？接下来怎么走？

2025年2月 Bybit 案（$15亿）黑客在 10 天内洗完全部 49.9 万枚 ETH 换 BTC，随后花了数月在 Tron 换回 USDT 经地下 OTC 变现。而本次币安案规模是其两倍多：

无需抢时间： BTC 与 ETH 不可被中心化冻结，急于兑换只会遭遇巨额滑点损失。
外包洗钱网络交接： 另有约 $1,600 万 流向同时持有 2026年9月 Bitget 案赃款的地址（同属 TraderTraitor）。
终极卡口： 链上换币只是左手倒右手，真正变现必须经过 CEX 或场外 OTC Broker（通常先在 Tron 换回 USDT）——这是剩余资金唯一能被拦截的咽喉。

Compliance Red Flags // 交易所与合规团队反洗钱清单

别把 DEX 流动性池出来的钱当“干净钱”

一个从 LP 池收款的钱包距离核心赃款可能只隔着“一买一卖”两笔 Swap。目前已标记近 1.8 万个 失窃关联地址，合规回溯需重点扫描四大信号：

01. 新币短命池

所交易代币仅创建几天，且迅速归零或撤池。

02. 极窄交易对手

池内仅有寥寥几个钱包交易（甚至1买1卖）。

03. 单向买卖角色

买方钱包只买不卖，卖方钱包只卖不买。

04. 整数注资即刻Swap

钱包刚收到整数金额注资便立即进池交易。