两起加密货币盗窃案遵循相同路径：币安61亿美元被盗案及疑似欧盟1.06亿美元被盗案

一周内，两起加密货币盗窃案遵循了相同的模式。被盗资金沿着一条以担心被冻结为主要驱动的路线流动。理解这条路线有助于阐明哪些赃款可能被追回，哪些可能永远丢失，以及为何某些资金可能日后进入流通。

较大的一起盗窃案涉及币安。据区块链分析公司TRM Labs报告，10月29日，约61亿美元从该交易所横跨十条区块链的热钱包中被盗，大部分资金在大约20分钟内被转走。热钱包是一种连接互联网、用于处理提现的钱包。美国联邦调查局将此次攻击归咎于朝鲜黑客组织TraderTraitor，这是有记录以来最大的加密货币盗窃案。

第二起事件尚未得到确认。周一，区块链研究员ZachXBT报告称，一个身份不明的欧盟实体可能在周日从其多个交易所账户中损失超过1.06亿美元。由于受害者和涉事交易所均未被点名，这仍是一起疑似盗窃案。然而，它具有说明性，因为资金似乎遵循了相同的路径。

步骤一：尽快抛售稳定币

Tether的USDT和Circle的USDC等稳定币是窃贼面临的最大障碍。它们的发行方可以锁定任何指定钱包中的代币，实际上使被盗的美元变得无法使用。

币安事件中正是如此。根据TRM Labs的数据，Tether在主要资金转移发生37分钟后，冻结了攻击者主要接收钱包中约9.71亿USDT，Circle在几分钟后冻结了8.23亿USDC。包括Tether、Circle、Ripple、World Liberty Financial和Arbitrum安全委员会的冻结措施，TRM估计冻结总额约为27亿美元。币安报告的数字约为30亿美元。

攻击者急于赶在冻结之前行动，并付出了高昂代价。TRM报告称，约3.25亿USDT被兑换成约12.23万ETH，给予做市商的折扣比市场价格超过10%。此外，6000万USDT作为抵押品存入借贷协议Aave，以借入约1.976万ETH。接受如此大的折价表明，窃贼多么优先考虑逃脱冻结。

疑似欧盟事件也以类似方式开始。ZachXBT表示，资金以USDC和USDT的形式离开交易所，其中USDC被兑换为以太币。

步骤二：切断追踪路径并切换区块链

一旦资金转换成发行方无法冻结的资产（主要是ETH和BTC），目标就变成了使它们难以追踪。

一种技术是“剥皮链”。TRM报告称，从币安盗走的18,270 BTC在一个区块内被分成1000和100 BTC的整数金额，产生了多条较小的追踪线索，而不是一条明显的路径。还检测到自动化活动，资金在钱包之间来回移动——甚至包括之前使用过的地址——以阻碍分析。

另一种方法是“链跳”。跨链桥将资产从一条区块链转移到另一条，迫使调查人员在另一条网络上重新开始追踪。在周一标记的较小案件中，链上分析平台Onchain Lens指出，与Solana套利机器人King相关的钱包中的资金，经过多个Solana钱包后，通过桥接服务Mayan转移到以太坊。King的操作员尚未确认发生入侵，但这种模式是教科书式的案例。

TRM观察到，币安早期的洗钱活动更多地依赖做市商和借贷协议，而不是像2025年价值15亿美元的Bybit黑客攻击后所见的那种大量使用桥接的方式。该公司预计，在后续阶段，桥接、兑换服务和场外经纪商将发挥作用。

步骤三：隐匿行踪后套现

最后阶段侧重于切断公开追踪线索，并将加密货币转换为可用的现金。

疑似欧盟被盗案生动地展示了隐匿步骤。ZachXBT报告称，资金通过WellWallet和Kyrrex等即时兑换平台，并通过名为Wagyu的服务兑换成门罗币。即时兑换平台能够快速进行币种兑换，通常比大型交易所的审核更宽松。门罗币是一种隐私币：与比特币或以太坊记录每笔交易在公共账本上不同，它默认隐藏发送方、接收方和金额。一旦资产转换为门罗币，在区块链上追踪它们就变得困难得多。

最后一步是兑换成现金，通常通过场外经纪商和有组织的洗钱网络进行。CNBC援引专家的话称，这些网络降低了资金追回的可能性。这一阶段可能持续数周或数月，这解释了为何被盗资金在最初媒体关注过后仍在持续流动。

对交易者和投资者的意义

这条路线阐明了哪些资金被冻结、哪些没有被冻结的区别。稳定币是可被追回的部分。ETH和BTC是无法追回的。根据TRM的数据，币安攻击者仍持有超过42万ETH和18,270 BTC，价值约24亿美元，这超出了任何发行方冻结的权限。

这种情况造成了潜在的市场悬压。如果大量此类ETH或BTC最终被出售，将增加供应量。时间和方式未知，且洗钱通常是在较长时间内分批进行，因此不应将其视为即将到来的抛售。这是一个需要关注的要素，而非预测。

需求方面也有影响。币安联合首席执行官何一表示，该交易所已拨出超过63.4亿美元的公司资金用于覆盖被盗资产，新闻报道称，其中一部分将通过场外交易和交易所交易购买。

对于个人投资者而言，关键教训在于风险所在。这次攻击针对的是币安自身的热钱包，币安表示正在承担损失，因此客户未被通知有损失。尽管如此，这提醒人们，在任何平台上持有的加密货币都取决于该平台的安全性。稳定币冻结也具有双重性：它们在此案中起到了帮助作用，但它们也表明，发行方可以控制任何钱包中的代币。

接下来要关注什么

• 攻击者ETH和BTC钱包的资金动向：TRM正在追踪剥皮链和归集钱包。向交易所或场外交易平台的大额转账将是被盗资金正在被出售的初步迹象。
• 币安的根本原因：该交易所尚未全面披露其签名系统是如何被攻破的。这对于评估其他平台是否存在类似漏洞至关重要。
• 欧盟案件的确认：如果受害者或交易所被确认，或出现经过验证的损失金额，那么1.06亿美元事件将成为一个独立的故事。在此之前，它仍是一起疑似盗窃案。
• 冻结总额的更新：冻结或返还资金数量的任何变化，都会改变对攻击者仍控制多少资金的评估。

可能改变局势的因素：如果被盗的ETH和BTC在数月内未被触碰，那么悬压在短期内就不那么重要。如果大笔资金开始出现在交易所，那就变成了更紧迫的供应问题。无论如何，监控钱包比猜测更有效。