分析师称朝鲜黑客通过波场洗钱约2.42亿美元

链上分析师、Security Alliance（SEAL）贡献者SomaXBT周日称，朝鲜黑客两天内通过波场转移了从币安窃取的约2.42亿美元。SomaXBT称，攻击者在波场窃取了约6.28亿美元；泰达冻结3.787亿USDT后，攻击者仍有约2.49亿美元可供转移。SomaXBT估算，2.42亿美元中约1.94亿美元是转出波场的资金，另有2600万美元仍留在波场，约2200万美元则用于支付手续费、滑点及价格变动造成的损失。SomaXBT称，通过Relay转出的资金为4800万美元、通过THORChain转出4400万美元、通过Chainflip转出3210万美元、通过Symbiosis转出1600万美元，合计约1.4亿美元。SomaXBT称，Bitget Wallet还处理了4170万美元，这笔资金最终去向尚未查明。

币安周四遭窃约63亿美元，是有记录以来金额最大的加密货币黑客攻击。FBI周六与美国特勤局和美国国税局刑事调查部门联合发布警报，将此次攻击归咎于TraderTraitor。FBI称，攻击者正主要将被盗资产兑换为以太坊，并预计他们会进一步通过DeFi协议和即时兑换服务洗钱。FBI要求THORNode运营商、RPC节点运营商、即时兑换平台、DeFi服务和其他服务提供商阻止与这起盗窃有关的交易。FBI指出，608个以太坊地址、19个比特币地址和1个Solana地址与此次攻击有关，但没有列出任何波场地址。警报没有提供支持这一归因的证据，不过Chainalysis、Elliptic和TRM Labs此前已根据区块链上与早前攻击的关联，将这起盗窃案与朝鲜联系起来。

THORChain技术联合创始人Chad Barraford周六晚间称，THORNode运营商掌握的信息并不超出实时公开可查的信息。Barraford称，传票没有必要，这种信息获取方式有利于调查；但黑客攻击发生后，Barraford的帖子并未承诺运营商会封锁所列地址。Chainalysis称，周六发生的一次以太坊重组导致THORChain两次退还一笔10 ETH的存款，引发紧急暂停，令面向所有用户（包括黑客）的多数跨链兑换停止。THORChain节点数据显示，美东时间周日下午1:20，13条接入链中有10条暂停交易，包括波场、以太坊和比特币；波场交易自周六中午左右起便已停止。SomaXBT称，攻击者通过2,697笔存款向THORChain存入1.851亿TRX和383万USDT。THORChain将17,019 ETH分发至170个地址，并将53.25 BTC分发至20个地址。攻击者因手续费和滑点损失约12%；前端界面则收取了约145,800枚RUNE作为联盟手续费，价值约95,000美元。

SomaXBT称，尽管Relay在此前TraderTraitor攻击后的洗钱过程中几乎没有发挥作用，但它仍通过735笔存款接收了3,764万USDT和3,928万TRX。链上分析师Specter称，尽管Relay表示会利用Chainalysis数据等第三方风险信息及内部封锁名单进行筛查，黑客仍在周六的7小时内通过Relay转移了3800万美元。Etherscan数据显示，周六约80分钟内，一个以太坊地址通过97笔付款从Relay的路由器和求解器收到2,804 ETH和102万USDT。该接收钱包在CoW Protocol上将USDT兑换为以太币，并将约3,257 ETH（价值约740万美元）转至4个新地址；这4个地址与接收钱包均未列入FBI名单。

Lookonchain报告称，黑客周日开始另行通过Relay将价值约9590万美元的970,522 SOL兑换为比特币。FBI列出的唯一一个Solana地址，即黑客的钱包，在Lookonchain于美东时间上午5:35发帖前一小时内转出486,970 SOL（价值4640万美元）；通过Relay进行的兑换在FBI周六公布该地址后开始。Solscan数据显示，截至发稿时，该钱包仍持有约466,700 SOL，与美东时间上午9:55的数据相同。

SomaXBT称，Chainflip通过571笔存款接收了4,947万USDT，但大量兑换失败，合计1,791万USDT的退款经由新的波场钱包转出，以便重新提交。Symbiosis周日早些时候称，该协议发现有人试图转移币安黑客案的赃款，并正与币安沟通。Symbiosis承认，面向普通交易设计的筛查机制难以应对快速、复杂的活动，并表示正在弥补这些漏洞。SomaXBT称，攻击者向Symbiosis分批存入1,367笔较小金额，总计4,971万TRX。

Elliptic称，黑客在波场的主要分发钱包连续31小时每小时都进行付款，最长间隔也没有超过46分钟；THORChain的存款金额则反复出现相同数值，其中一笔金额重复了19次。Elliptic称，新钱包会自动重新提交被拒绝的跨链存款，且转往同一目的地；这不同于Bybit洗钱案中观察到的人工作业模式。Elliptic联合创始人Tom Robinson称，这些活动似乎没有使用AI代理；交易金额、时间和路径重复，以及测试转账和整额补款，都表明相关操作由人作出决策并辅以脚本执行。

Elliptic核实，已有28.5亿美元被冻结或查封，占该公司估算被盗64.3亿美元的约44%；稳定币占被冻结或查封金额的94%。Elliptic称，比特币、XRP Ledger、Solana和NEAR上的资金均未被冻结；另有约32.5亿美元资产不具备由发行方冻结的能力，其中包括18,327 BTC和2.33亿XRP。Tronscan数据显示，泰达冻结的USDT分布在攻击者的两个钱包中，分别持有3.127亿USDT和6,599万USDT。Mempool.space数据显示，FBI指出的19个比特币地址中仍持有全部18,270 BTC。

Chainalysis周六称，攻击者将稳定币存入波场DeFi协议，以获取无法被冻结的存款凭证代币，随后使用新地址赎回这些代币。Chainalysis没有透露相关协议，也未回应有关JustLend的问题；其他链上分析师称涉事协议是JustLend。TRM Labs称，有3亿USDT转入一个波场钱包，该钱包随后开始向JustLend提供资金。Tronscan数据显示，该钱包向JustLend存入10,000 USDT，在去中心化交易所将约2.34亿USDT兑换为TRX，并将6,599万USDT转至一个被冻结的钱包。

Relay、Barraford、Chainflip和Bitget Wallet已被联系置评。