TRM 與 Chainalysis 將幣安 64 億美元黑客事件歸咎於朝鮮 TraderTraitor 組織

三家區塊鏈分析公司已將本週的幣安駭客事件歸咎於北韓，其中兩家最大的公司指名北韓駭客組織 TraderTraitor 應對這起雙方均稱之為有史以來最大加密貨幣盜竊案的事件負責。

TRM Labs 表示，其「以高度信心」作出此歸因，依據是「強健的鏈上與鏈下情報」。其將盜竊金額定為約 63.6 億美元，於週四美東時間下午 4:05 起約 20 分鐘內從幣安在 10 條區塊鏈上的錢包轉出。TRM 指出，這約為 2025 年 2 月15 億美元 Bybit 駭客事件的四倍，FBI 將該事件歸咎於同一組織。

Chainalysis 將總額定為約 64 億美元，其表示最有力的證據出現在調查人員即時看到從幣安竊取的資金與上月Bitget 漏洞利用所得混流之時，該事件此前已被歸咎於北韓行為者。

Chainalysis 發言人向CNN表示，該公司「高度確信」北韓是此次駭客事件的幕後黑手。總部位於新加坡的 Pangolin Intelligence 亦向CNN表示，其依據「分析與此次駭客事件相關的鏈上活動，並與從先前已知事件中收集的資訊相互關聯」，相信一個北韓駭客單位應對此負責。北韓此前曾否認駭客指控。

TRM 與 Chainalysis 均表示，攻擊者的操作錢包是透過加密貨幣混幣器 Tornado Cash 獲得資金。TRM 表示，該特徵以及其他特徵，包括遠在盜竊發生之前就已開始的準備工作，均與先前與北韓相關的攻擊相符，例如 Bybit 駭客事件以及 4 月的KelpDAO 漏洞利用。

攻擊如何運作

根據 TRM 的說法，在 以太坊 上，攻擊者利用 EIP-7702 委託——這是以太坊 Pectra 升級 中引入的一項功能，可讓普通錢包執行 智慧合約 程式碼——將一個幣安熱錢包變成由它控制的掃款器，並事先準備了 50 個預先簽署的授權。在其他九條鏈上的幣安錢包則透過普通的簽名轉帳將資金發送給攻擊者。在 TRM 的評估中，這指向幣安熱錢包簽名基礎設施遭到入侵。

幣安表示，其調查始於一名工程師的筆記型電腦遭到入侵，但此後又 發現 了「更多入侵點」。Bybit 攻擊同樣始於一台遭入侵的機器：北韓駭客在入侵一名 Safe 開發者的電腦後，於錢包供應商 Safe 的基礎設施中植入了惡意程式碼，Decrypt 當時 報導 了此事。

攻擊者已迅速採取行動，將無法保留的資產進行洗錢。Chainalysis 表示，其觀察到「前所未見的洗錢模式」，短時間內出現數千筆交易，顯示其利用自動化在地址之間反覆循環資金。根據 TRM 的說法，攻擊者還向做市商出售 USDT，並在借貸協議 Aave 上以 USDT 為抵押借入 ETH，以搶在發行方凍結之前行動，目前持有超過 420,000 ETH 和 18,270 BTC，約 24 億美元，超出任何發行方可觸及的範圍。

TRM 表示，Tether、Circle、Ripple 和 World Liberty Financial 已凍結約 26.7 億美元的穩定幣，而 Arbitrum 的安全委員會凍結了 8,426 ETH 和 7,460 萬 ARB。Binance 則將凍結總額定為約 30 億美元。

在週五的最新說明中，Binance 表示已預留超過 63.4 億美元的公司資金以應對該事件，其中 50 億美元已以被盜的完全相同代幣形式持有。該交易所表示，其正透過市場和場外交易渠道購買其餘部分，這「可能需要更長時間，因為某些代幣的流動性可能較低」。這些數字不包括已凍結的資產。

「我們將度過這場風暴，」Binance 表示。

北韓駭客長期以來一直將該交易所作為目標。2025 年 8 月，Binance 首席安全官 Jimmy Su 向Decrypt 表示，北韓攻擊者每天都試圖在 Binance 求職，並稱他們是加密貨幣公司面臨的唯一最大威脅。週三，美國財政部制裁了 10 名個人和 1 個實體，因其涉及轉移數百萬美元加密貨幣的北韓 IT 工作者計畫。