兩起加密貨幣竊案循相同路徑：63.6 億美元 Binance 竊案與 1.06 億美元疑似歐盟竊案

一週之內，兩起加密貨幣竊案遵循相同模式。被竊資金所走的路線，主要受制於害怕資金被凍結的恐懼。了解這條路線，可闡明這批贓款中哪一部分可能被追回、哪一部分可能仍舊遺失，以及為何某些款項之後可能進入流通。

規模較大的竊案涉及 Binance。根據區塊鏈分析公司 TRM Labs 報導，10 月 29 日，約 63.6 億美元從該交易所橫跨十條區塊鏈的熱錢包中被取走，其中大部分在約 20 分鐘內離開。熱錢包是一種連上網際網路的錢包，用於處理提款。FBI 歸咎於北韓駭客組織 TraderTraitor，而這起案件是歷來有紀錄的最大加密貨幣竊案。

第二起事件尚未獲得證實。週一，區塊鏈研究員 ZachXBT 報導，一個身分不明的歐盟實體週日可能從多個交易所帳戶損失超過 1.06 億美元。由於受害者與交易所均未被指名，這仍是一起疑似竊案。然而它具有說明性，因為這些資金似乎遵循了同一條路徑。

步驟 1：盡快拋售穩定幣

像 Tether 的 USDT 和 Circle 的 USDC 這類穩定幣，是竊賊最大的障礙。其發行商可以鎖定任何指定錢包中的代幣，實際上使被竊的美元無法使用。

Binance 案中正是如此發展。根據 TRM Labs，Tether 在主掃蕩後 37 分鐘，凍結了攻擊者主要接收錢包中約 9.71 億 USDT，Circle 則在幾分鐘後凍結了 8.23 億 USDC。包括 Tether、Circle、Ripple、World Liberty Financial 與 Arbitrum 安全委員會的凍結在內，TRM 估計總額約 27 億美元。Binance 則表示約 30 億美元。

攻擊者急於趕在這些凍結之前行動，並承擔了可觀成本。TRM 報導，約 3.25 億 USDT 流向做市商，換取約 122,300 ETH，這意味著較市場價格折價超過 10%。此外，6,000 萬 USDT 被存入借貸協議 Aave 作為抵押品，以借出約 19,760 ETH。接受如此大幅的折價，顯示竊賊有多麼優先考慮逃離凍結。

疑似歐盟事件也以類似方式開始。ZachXBT 表示，資金以 USDC 和 USDT 離開交易所，其中 USDC 被轉換為 Ether。

步驟 2：切斷線索並轉換區塊鏈

一旦資金轉入發行商無法凍結的資產——主要是 ETH 和 BTC——目標就變成讓它們難以被追蹤。

其中一種技術是剝離鏈。TRM 報導，從 Binance 竊得的 18,270 BTC 在單一區塊內被拆分成 1,000 與 100 BTC 的整數金額，產生多條較小的軌跡，而非一條明顯路徑。也偵測到自動化活動，資金在多個錢包之間來回移動——甚至包括先前使用過的地址——以阻礙分析。

另一種方法是跨鏈跳轉。跨鏈橋將資產從一條區塊鏈轉移到另一條，迫使調查人員在另一個網路上重新接續線索。在週一被標記的較小案件中，鏈上分析平台 Onchain Lens 指出，與 King——一個 Solana 套利機器人——相關的錢包資金，經過多個 Solana 錢包，之後透過跨鏈橋服務 Mayan 轉移到 Ethereum。King 的營運者尚未證實遭駭，但這個模式是教科書級案例。

TRM 觀察到，Binance 案早期的洗錢更依賴做市商與借貸協議，而非 2025 年 15 億美元 Bybit 駭案後所見那種大量使用跨鏈橋的方式。該公司預期，跨鏈橋、兌換服務與場外經紀商將在後續階段發揮作用。

步驟 3：消失於線下，然後變現

最後階段著重於切斷公開線索，並將加密貨幣轉為可用的現金。

疑似歐盟竊案生動說明了「轉入暗處」這一步。ZachXBT 報導，這筆錢經過 WellWallet 和 Kyrrex 等即時兌換平台，並透過名為 Wagyu 的服務兌換成 Monero。即時兌換可實現快速幣種兌換，通常檢查不如大型交易所嚴謹。Monero 是一種隱私幣：不像 Bitcoin 或 Ethereum 會在公開帳本上記錄每筆交易，它預設隱藏發送者、接收者與金額。一旦資產進入 Monero，在區塊鏈上追蹤它們就變得困難許多。

最後一步涉及轉換為現金，通常透過場外經紀商與有組織的洗錢網絡進行。CNBC 引述專家指出，這些網絡會降低追回的可能性。這個階段可能持續數週或數月，這解釋了為何被竊資金在最初的媒體關注過後仍持續流動。

對交易者與投資者的相關性

這條路徑闡明了什麼被凍結、什麼沒有被凍結之間的區別。穩定幣是可被追回的部分。ETH 和 BTC 則無法追回。根據 TRM，Binance 攻擊者仍持有超過 420,000 ETH 與 18,270 BTC，價值約 24 億美元，這超出任何發行商凍結的權限。

這種情況造成潛在的市場供給過剩。如果那批 ETH 或 BTC 有可觀數量最終被賣出，將增加供給。時機與方式未知，而洗錢通常以少量方式在較長期間內進行，因此不應將其視為即將到來的拋售。這是值得觀察的因素，不是預測。

也有需求面。Binance 共同執行長 Yi He 表示，該交易所撥出超過 63.4 億美元的公司資金來彌補被竊資產，而新聞報導指出，其中一部分將透過 OTC 交易與交易所交易購買。

對個人投資者而言，關鍵教訓在於風險所在。這次攻擊針對 Binance 自身的熱錢包，而 Binance 表示正在吸收損失，因此客戶並未被通知有任何損失。儘管如此，這提醒人們，存放在任何平台上的加密貨幣都取決於該平台的安全性。穩定幣凍結也有雙重性質：它們在此案中有所幫助，但也顯示發行商可以控制任何錢包中的代幣。

接下來要監控什麼

• 攻擊者 ETH 與 BTC 錢包的動向：TRM 正在追蹤剝離鏈與整合錢包。大筆轉入交易所或 OTC 櫃檯，將是遭竊資金正在被出售的最初跡象。
• Binance 的根本原因：該交易所尚未發布關於其簽署系統如何被突破的全面說明。這對於評估其他平台是否有類似弱點很重要。
• 歐盟案件的確認：如果受害者或交易所被查明，或出現經證實的損失金額，這起 1.06 億美元事件就會成為一個不同的故事。在那之前，它仍是一起疑似竊案。
• 更新後的凍結總額：凍結或返還數量的任何變動，都會改變對攻擊者仍掌控多少資金的評估。

什麼可能改變情境：如果被竊的 ETH 與 BTC 數月未被動用，供給過剩在短期內就較不相關。如果大筆金額開始出現在交易所，就會成為更立即的供給問題。無論如何，監控錢包比猜測更有生產力。