币安 $6.43B 失窃案 赃款撤退与洗白路径全解
2026年10月29日 20:05–23:56 UTC，币安热钱包在 11 条链上被同步抽走 64.3 亿美元。从头 37 分钟与 Tether/Circle 的冻结生死战，到横跨 16 条链、2 万+钱包的自动化拆分，再到 NEAR 链上花 90 美元自铸 Meme 币做“一次性过滤容器”——完整还原朝鲜黑客（TraderTraitor）的洋葱式洗钱工程。
洗钱的本质不是“隐身”，而是用廉价跳数给调查拖时间。44%（$28.5亿）稳定币被冻在原地，49%（$31.3亿）BTC/ETH 主仓按兵不动，已洗动的数亿美元正通过跨链桥与 DEX 全面向 BTC 归集，等待数月周期的 OTC 慢速套现。
01. 攻击得手链路：潜伏 4 个月，搬空 4 小时
篡改版 AI 编码工具投毒
一名工程师在工作机上安装了被篡改的 AI 编码工具副本。钱包团队内部开发环境首次暴露在攻击者视野中。
假招聘面试 + 恶意作业
Lazarus 经典社工：伪装成招聘方对另一名工程师安排全套假面试，诱使其将恶意代码作业（Assignment）下载到工作电脑。
借内部 AI 工具横向渗透
拿到跳板后，攻击者利用币安内部的 AI 工具触达其他工程师机器，逐步提权并逼近核心签名架构。
劫持钱包签名服务同步抽干
触达 Wallet Signing Service，绕过正常提现风控，在不到 4 小时内跨 11 条公链同步签发盗币交易，卷走 $64.3 亿。
02. 黄金 37 分钟冻结生死战：先逃稳定币，再管原生币
被盗稳定币 ($3.46B) 抢跑兑换 vs 发行方冻结明细
Tether 响应: 37 mins通过 Uniswap 等 DEX 抢先将 $4.34亿 USDT 换成 ETH；另在 Aave 抵押 $5990万 USDT 借出 19,762 枚 ETH（把冻结风险转嫁给借贷池，后因 ETH 涨价被清算 $2400万 USDT 抵押品偿还 9,900 ETH 债务）。
在 Tether 冻结指令生效前，通过 SunSwap 将 $2.34亿 USDT 抢先兑换为不可冻结的 TRX，剩余部分被 Tether 原地冻结。
攻击者优先处理 USDT，Circle 在黑客发起任何一笔 USDC 兑换之前，将 全部 $8.23亿 被盗 USDC 悉数冻结。
为什么黑客第一晚只动稳定币？
链上资产按“中心化可干预度”分为两级：USDT/USDC 合约内置 blacklist / freeze 权限，每一秒都在和发行方法务与安全团队赛跑；而 BTC、ETH、TRX、SOL、XRP、NEAR 原生资产没有中心化冻结开关。
03. 16 条链洗钱全链路拓扑：五层洋葱剥离，终局归集 BTC
五类叠加反追踪手法 (Onion Layering)
散入2万+地址，既防大额滑点，又压低单笔金额规避交易所入金阈值，令调查列表指数级膨胀。
6条桥交替用，存款与提款位于不同公链账本，单批5小时连跨4条链，迫使溯源跨多链拼接。
USDT→TRX→USDD→ETH→SOL→USDC→BTC，不断在DEX切换资产形态，包括冷门低流动性封装币。
借 JustLend、Solana 质押池与自建 Meme 币池“A存B取”，切断链上地址间的直接转账边。
BTC 走 Wasabi CoinJoin，ETH/SOL 走 Privacy Cash 隐私池，利用多用户资金池打断进出关联。
是脚本自动化，但没有 AI 在做决策
外界曾因“峰值每3秒1笔、Tron每1美元挪动9次”猜测由 AI Agent 调度。但链上取证证伪了这一点：
- 固定时间间隔、固定拆分金额；
- 遇到通道故障时出现盲目机械重试；
- 新战术相隔数小时才分步人工上线；
- 时间轴中存在明显的平壤作息停顿窗口（虽有两个深夜加班连轴转）。
04. 10月29日—11月7日 逐日撤退作战日志
11链同步抽干 $6.43B，37分钟稳定币生死逃亡
- • ETH 链：Tether 37分钟冻结前，Uniswap 抢换 $4.34亿 USDT → ETH；Aave 抵押 $5990万 USDT 借出 19,762 ETH。
- • Tron 链：SunSwap 抢换 $2.34亿 USDT → TRX。
- • Circle 零逃逸冻结全部 $8.23亿 USDC；总计 $28.5亿 被冻，$7.86亿 逃出。
- • 18,270 枚 BTC 拆入 19 个地址后静止。
6.846亿 TRX 散入 7,700 地址，6条跨链桥试水
- • 静默5小时后，02:19 UTC 分发钱包启动，将 6.846亿 TRX 拆入约 7,700 个新地址（出金约 1200万 TRX/h）。
- • 经 Relay.link、THORChain、Bitget Swap、Symbiosis 等 6 条桥跨链至以太坊落成 ETH（累计至少 $1.47亿 从 Tron 桥出）。
- • 68,300 枚 ETH 散入 830 个小地址（10~100 ETH）；9 个最大地址握有 89% ETH 自此静止。
JustLend 1存16取断链，THORChain 故障难阻峰值
- • 03:36 UTC 部分 TRX 换入免冻结稳定币 USDD。
- • 05:18 UTC 1.28亿 TRX 存入 JustLend 借贷金库，由 16 个新地址取出，切断直接转账关系。
- • 提速至 3,700万 TRX/h（08:00 UTC 单小时 1,300 笔）。
- • 11:34 THORChain 故障暂停（原承载 1000万 TRX/h），黑客秒切其他桥；当晚 FBI 正式归因 TraderTraitor 并公布地址。
Tron 分发收尾，NEAR/SOL 异动，Wasabi 混币启动
- • 05:33 UTC Tron 分发钱包发出最后一笔（51小时共 1,113 笔）。
- • 05:55 UTC 首次混币：Tron 与部分 ETH 换出的 BTC 进入 Wasabi 式 CoinJoin（至次日晨 28 BTC 过 18 次混币）。
- • 07:00 NEAR 转移至新账户；08:19 部分停放 ETH 按 10 ETH/批移动；09:38 约一半 SOL 移至新地址开始小批剥离。
2.335亿 XRP 拆6地址，SOL 借贷池跳跃后5小时跨4链
- • 02:12–04:00 全部 2.335亿 XRP 拆入 6 个新地址休眠至 11/5。
- • Solana 复刻 Tron 手法：SOL⇄USDC 往返并过借贷金库（A存B取）。
- • 晚间 SOL 分批卖成 USDC → 桥至 ETH → 换 ETH → 转 BTC，单批不到 5 小时跨 4 条链，每站 USDC 停留仅几分钟。
- • Tron 上首次发现复刻 Bybit 案特征的自制洗钱垃圾币。
13.7万 SOL 离场，资金注入 Privacy Cash 与低流动性币
- • 13.7万 SOL ($12.8M) 经借贷金库、流动质押及两个极冷门封装代币过渡后换 BTC。
- • Tron 70万 TRX 清空换 USDT/USDD 过借贷市场转 BTC（USDT 单钱包停留 < 1分钟）。
- • 首次使用 Privacy Cash（存入 41 ETH + 9,600 SOL ≈ $1M）。
- • 当日下午约 215 枚 BTC ($17M) 落入新 BTC 地址。
72.5万 SOL 倾泻而出，THORChain 恢复助推 BTC 翻倍
- • 72.5万 SOL ($67M) 分 204 笔打入 77 个新钱包，原始 SOL 钱包清空（仅剩 430 SOL）。
- • THORChain 恢复兑换，当晚 1.22万 ETH ($29M，多来自SOL卖出) 经其转成 BTC；新地址累计落袋 470 BTC ($37M)。
- • Privacy Cash 再进 2,300 SOL，当晚官方暂停存款加强筛查。
- • ETH 上涨触发黑客 Aave 贷款被清算（清算方还 9,900 ETH 拿走 $2400万 USDT 抵押品）。
XRP 大举经 THORChain 换 BTC，NEAR 连发 5 个 Meme 币
- • 11/5 下午起 XRP 启动清洗，至 11/6 晨 4,200万 XRP ($50M) 经 THORChain 换 BTC。
- • 11/6 08:45 UTC 新地址已归集 1,650 枚 BTC ($1.24亿)，较前一日翻倍。
- • NEAR 链上上线首个自铸币 FUK (11/5 00:25)，11/6 连发 OLCCL、MEILI、MMLI、DABI 四个代币建池对倒。
累计转出 $1.75亿 BTC，NEAR 第6币 SINU 收官后撤池
- • 隔夜再走 4,400万 XRP ($51M)，剩 1.48亿 XRP ($1.73亿) 躺原处。
- • 隔夜 53 BTC 入 CoinJoin，累计混币达 88 BTC ($6.7M)；由其他资产转出的 BTC 达 2,300 枚 ($1.75亿)。
- • 11/7 10:06 创建第 6 个币 SINU；11/8 起 6 个 Meme 币全部停止交易，4 个池子被创建者抽干剩余流动性。
05. 核心微观解剖：花 90 美元自铸 Meme 币做“一次性洗钱容器”
自制代币四步过滤法 (DEX Pool Hop)
成本 ≈ 25 NEAR ($90)普通人发 Meme 币是为了割散户，朝鲜黑客发 Meme 币根本不需要外人买。它的本质是在赃款钱包（Wallet A）和干净接款钱包（Wallet B）之间，人工造一个只有自己人交易的 DEX 流动性池当“过滤网”：
调用链上公开代币发行工具创建新 Meme 币（套用猴子、鸭子、Elon 2028 竞选图等经典梗图伪装）。
将新币与真实资产（NEAR / 稳定币）配对建立 Liquidity Pool，初始价格与深度完全由黑客左手控盘。
第一组钱包（由主赃款钱包多层下发注资）把被盗 NEAR 打进池子买入垃圾币，池内沉淀真 NEAR。
第二组收款钱包在池中抛售垃圾币，把等额真 NEAR 抽走并立刻换为稳定币。表面看就像散户炒土狗币止盈！
不是为了藏钱，而是用 $90 成本给溯源软件买时间。 赃款每多过一个自定义池，自动化追踪图谱就会断一层直接转账边，合规人员必须人工拆解池内 Swap 对手方。几十种廉价手法叠在一起，几分钟就拖成几周。
NEAR 链 6 个洗钱 Meme 币全档案 (11月5日—11月8日)
累计清洗 11.7 万枚被盗 NEAR（约 $43 万美元试水盘，主钱包另有 1,180 万枚 NEAR / $4370万 未动）
| 代币符号 | 创建时间 (UTC) | 交易结构特征 | 建池资金来源 & 结局 |
|---|---|---|---|
| FUK | 11-05 00:25 | 唯一有零星外部散户买入（占比 < 1%），卖出 100% 内部钱包 | 首棒启动池 → 卖款供血下一币 |
| OLCCL | 11-06 07:19~ | 100% 买卖均由洗钱网络内部钱包完成 | 上线前 2~13 分钟收上一币卖款 |
| MEILI | 11-06 日间 | 100% 内部对倒，上线 3 小时内出首笔卖单 | 上线前 2~13 分钟收上一币卖款 |
| MMLI | 11-06 日间 | 仅 1 个买方钱包 + 1 个卖方钱包 点对点过池 | 上线前 2~13 分钟收上一币卖款 |
| DABI | 11-06 ~14:27 | 仅 1 个买方钱包 + 1 个卖方钱包 点对点过池 | 上线前 2~13 分钟收上一币卖款 |
| SINU | 11-07 10:06 | 仅 1 个买方钱包 + 1 个卖方钱包 点对点过池 | 收官池，11/8下午4个池撤走LP |
6 个币的所有卖出 100% 来自内部钱包；5 个币买入也 100% 内部包办。DABI、MMLI、SINU 甚至懒得演，全池只有 1 买 1 卖两个钱包对倒。
6 个创建者中有 5 个，在发新币前 2 到 13 分钟，刚收到一笔来自“正在卖上一个币”钱包的转账——上一币的洗钱回款直接当下一币的发币费。
上线 3 小时内必出首笔卖单，当天完成 ≥75% 交易量；进池 11.7 万 NEAR 与出池换稳定币金额精准吻合，11月8日后集体归零撤池。
06. 资金终局盘点（截至 11月7日）与合规风控启示
分币种赃款状态总账（截至 2026-11-07 08:00 UTC）
| 资产类别 | 初始/涉案规模 | 已移动 / 清洗进展 | 当前沉淀状态 |
|---|---|---|---|
| USDT / USDC | $3.46B | $786M 抢跑换 ETH/TRX | $2.85B 已冻结/扣押 (含8.23亿USDC) |
| ETH (以太坊) | $1.34B | 仅动约 $3M (另有SOL换入ETH再转BTC) | 9大地址握89%未动；6.83万ETH散在830小地址 |
| BTC (原生+归集) | 18,270 BTC + 2,300 BTC | 原生18,270枚未动；88 BTC 已过 CoinJoin | 新归集 2,300 BTC ($1.75亿) 成为洗钱终点 |
| XRP (瑞波) | 2.335亿枚 (~$276M) | 已洗 ~8,600万枚 (~$1.01亿) 经THORChain换BTC | 剩 1.48亿枚 ($1.73亿) 躺在3个收款地址 |
| TRX (波场) | ~$2.30亿 (6.846亿枚) | 散入7700地址，至少$1.47亿桥至ETH，余换BTC/USDD | 链上仅剩约 $100万，基本清空 |
| SOL (Solana) | ~86.2万枚 (~$80M+) | 13.7万+72.5万枚全部经DEX/桥/Privacy Cash转出 | 原始钱包仅剩 430 SOL，已彻底清仓换BTC |
| NEAR | $44.0M (~1200万枚) | 仅动约 $2.5M (含11.7万枚/$43万过6个Meme币) | 约 1,180万枚 ($43.7M) 仍在主钱包休眠 |
为什么 $31.3 亿主仓按兵不动？接下来怎么走？
2025年2月 Bybit 案（$15亿）黑客在 10 天内洗完全部 49.9 万枚 ETH 换 BTC，随后花了数月在 Tron 换回 USDT 经地下 OTC 变现。而本次币安案规模是其两倍多：
- 无需抢时间： BTC 与 ETH 不可被中心化冻结，急于兑换只会遭遇巨额滑点损失。
- 外包洗钱网络交接： 另有约 $1,600 万 流向同时持有 2026年9月 Bitget 案赃款的地址（同属 TraderTraitor）。
- 终极卡口： 链上换币只是左手倒右手，真正变现必须经过 CEX 或场外 OTC Broker（通常先在 Tron 换回 USDT）——这是剩余资金唯一能被拦截的咽喉。
别把 DEX 流动性池出来的钱当“干净钱”
一个从 LP 池收款的钱包距离核心赃款可能只隔着“一买一卖”两笔 Swap。目前已标记近 1.8 万个 失窃关联地址，合规回溯需重点扫描四大信号：
所交易代币仅创建几天，且迅速归零或撤池。
池内仅有寥寥几个钱包交易（甚至1买1卖）。
买方钱包只买不卖，卖方钱包只卖不买。
钱包刚收到整数金额注资便立即进池交易。
07. 全链路损耗精算：黑客每洗一块钱要扒掉几层皮？
各环节费率、滑点与硬损耗拆解表
用 4% 链上磨损换取 OTC 降级折扣| 洗钱环节 | 单环节损耗率 | 本案实测 / 估算损耗额 | 损耗来源与微观机制 |
|---|---|---|---|
| 0. 稳定币中心化冻结 | 44.3% (总盘) | $2.85B 直接归零 | Circle 100% 冻死 $8.23亿 USDC；Tether 37分钟后冻死剩余约 $20.27亿 USDT。 |
| 1A. 37分钟恐慌砸盘换仓 | 1.5% ~ 5.0% | ~$1,500万 ~ $2,800万 | Uniswap 抢换 $4.34亿 (滑点+MEV夹子 ~1.5%-3%)；SunSwap 抢换 $2.34亿 TRX (池浅滑点 ~3%-6%)。 |
| 1B. Aave 超额抵押弃单 | 20% ~ 25% | ~$1,300万 ~ $1,500万 | 抵押 $5,990万 USDT 借出 19,762 ETH (~$4,600万)，主动放弃 ~22% 抵押差额换取免冻结真 ETH（后被清算 2400万 USDT）。 |
| 2. 高频拆分 & 金库跳跃 | < 0.15% | ~$10万 ~ $30万 | 2万新钱包激活费 + 6.5万笔 Gas + JustLend/Solana 借贷池存取息差与 LST 微小折价，几乎零成本。 |
| 3. 自铸 Meme 币对倒 | 0.3% ~ 0.9% | ~$2,000 ~ $4,000 (试水盘) | 发6个币硬成本仅 $540；自建池 100% 内部买卖无真实滑点损失，仅付 DEX 协议抽成 (0.3%) 及 <1% 散户蹭单磨损。 |
| 4. 跨链桥 & 四链连环跳 | 1.5% ~ 3.5% | ~$800万 ~ $1,500万 | THORChain 持续单向换 BTC 的滑点费 (0.8%~1.5%/次)；SOL→USDC→桥→ETH→BTC 四链连跳累计扒皮 ~2.5%。 |
| 5. CoinJoin & 隐私池 | 0.5% ~ 1.5% | ~$10万 ~ $20万 (已混部分) | Wasabi 协调费 (~0.3%) + 18轮多输入矿工费；Privacy Cash 协议费 + ZK Gas + Relayer 提现抽成 (~1%)。 |
| 6. 终局：地下 OTC 出金 | 12% ~ 25% | 预计 $4.5亿 ~ $8.5亿 | FBI 标记的朝鲜特级黑资，经地下担保/钱庄换法币或物资需承受 15%~25% 风险折价（洗多层降敏后可压至 10%~15%）。 |
终极账本：64.3 亿美元最终能到手多少？
把“案发冻结”、“链上 5 层清洗磨损”和“地下 OTC 最终承兑抽水”三刀加总，可以算出朝鲜黑客这笔史诗级劫案的真实净到手率（Net Recovery Rate）：