币安失窃第一周：71 BTC 经由 THORChain，以及一个与 Bitget 案共用的地址

一周前我们从资金托管的角度写了币安失窃事件。这是从追踪角度的后续：我们能追踪到的资金去了哪里，以及一个我们在别处尚未看到报道的细节。

币安的现状

币安于11月3日发布了事后分析：攻击者冒充招聘人员，在一名工程师的工作电脑上植入恶意软件，并利用被攻破的内部 AI 工具接触到签署提款的服务。截至11月4日，该交易所已用公司资金补足约98%的被盗代币，约28.5亿美元被冻结或拦截——主要是被 Tether 和 Circle 冻结的 USDT 和 USDC。其余六种资产的提款预计在11月13日前恢复。

我们的追踪显示了什么

我们在公链上逐步追踪此次盗窃的比特币部分。资金于11月1日开始移动。

• THORChain。 10月31日，因以太坊区块重组，该协议在大多数链上暂停了交易，并于11月3日晚恢复。从11月5日起，我们追踪的28笔转账直接进入其中：11月5日18笔、约47.3 BTC，11月6日10笔、约23.9 BTC。
• CoinJoin。 一笔 1.07 BTC 的转账经过了等额输出的 CoinJoin。
• 没有门罗币。 我们追踪的转账中没有任何一笔进入以 XMR 结尾的路线。

这些是我们追踪器跟踪的转账，并非全部资金流。Elliptic 统计的更多：截至11月6日，约有1,650 BTC 由其他被盗资产兑换而来；The Crypto Times 报道称，两天内约有2.42亿美元经由 Relay、THORChain、Chainflip 和 Symbiosis 通过 Tron 转移。

与 Bitget 案共用的地址

我们也在追踪9月的 Bitget 盗窃案。11月6日，一个归集地址——bc1q82cksuj36wfc2khdpmhlk0szxv7u8fe894t4zw——收到了我们币安案中的一笔转账（1.712 BTC），并在同一天收到了我们 Bitget 案中的一笔转账（1.2406 BTC）。在公链上，该地址约有95笔交易，累计收到约56.6 BTC，它汇集存款后再以更大金额转出。

一个共用地址并不能证明是同一操作者。但这与 Elliptic 的独立报告相符：部分币安资金流入了存放 Bitget 漏洞赃款的钱包，而 Bitget 事件同样被归因于 TraderTraitor 组织。

如果你使用这些协议，这意味着什么

普通用户的资金未受影响。但我们目录中的三个协议本周经手了被盗资金，而它们的处理方式差别很大：

• Relay 在请求报价时以及成交前再次筛查地址，并拒绝被标记的地址。
• Chainflip 的经纪商可以拒绝其标记为高风险的存款，并将其退回退款地址。
• THORChain 协议本身没有地址筛查；其条款仅排除受制裁人员。一些基于它构建的界面会在自己一侧筛查地址。

如果你通过这些路线兑换，你的币可能与被盗资金处于同一个资金池中。这是无许可流动性的特性，并不意味着用户有任何过错。

来源：币安事后分析（11月3日），据 TRM Labs 和 The Coin Republic 报道；Elliptic，据 The Crypto Times 报道（11月7日）；THORChain 状态；我们针对币安和 Bitget 盗窃案的资金流追踪。