追踪币安黑客洗钱路径，看未动的30亿美元怎么逃

编译｜Odaily 星球日报（@OdailyChina）；译者｜Azuma（@azuma_eth）

距离币安被盗 63 亿美元已经过去了三天。截至 11 月 1 日晚 21:27，攻击者（洗钱团队）仅通过波场（Tron）这一条资金转移路径，就已经洗出了约 2.42 亿美元。而在此前的冻结行动之后，攻击者仍控制着约 35 亿美元的赃款。

以下是我通过链上追踪，对此次攻击者洗钱活动进行的完整分析。

攻击者在波场网络上共盗取了 6.28 亿美元（包括 6.127 亿 USDT 和 4640 万 TRX）。

事件发生首日，Tether 冻结了 3.787 亿 USDT，剩余约 2.49 亿美元的 TRX 由攻击者控制，并继续转移。此后，这笔资金主要分成了三个方向。

第一个方向是通过跨链桥转移，涉及资金约 1.94 亿美元。其中，以下几条路径承担了主要的资金转移工作：

第二个方向是通过 Bitget Wallet 等服务转移，涉及约 4300 万美元。其中，Bitget Wallet 占据了 4170 万美元；此外还有 Bridgers 和 NEAR Intents。相关资金的最终去向仍有待确认。

第三个方向是仍留在波场网络上的资金，总额约 2600 万美元。主要去向包括：

剩余约 2200 万美元则在整个转移过程中损耗于手续费、滑点和价格波动。从跨链后的资金去向来看，大部分资金最终流入了以太坊主网，包括约 53300 ETH；此外，还有约 68.8 BTC 转入了比特币网络；约 1590 万 USDT 和 120 万 USDC 留在以太坊；441 万 USDC 转入 Lighter；另有少量资金流入 Arbitrum 和 Base。

下图展示了波场网络上的赃款在冻结之后的完整流向，包括资金经过的各个跨链桥，以及最终抵达的目标链。

THORChain 是此次攻击者从波场网络转移资金的最大单一通道。攻击者通过 2697 笔存款，向 THORChain 注入了 1.851 亿 TRX 和 383 万 USDT。

此外，另有 4687 万 TRX 和 33.9 万 USDT 被退回攻击者的波场钱包，随后又通过其他渠道转出。

从净额来看，攻击者通过 THORChain 兑换了约 4830 万美元，最终收到约 4270 万美元，约 570 万美元（12%）损耗在手续费和滑点上。参与这些兑换的前端接口，则通过相关交易获得了约 14.58 万枚 RUNE（约合 9.5 万美元）的收益分成。

下图展示了通过 THORChain 转出的资金最终流向哪些区块链，以及对应的接收钱包。

Relay Protocol 在此次洗钱活动中扮演的角色远超以往。

在过去的 TraderTraitor 黑客攻击事件中，Relay 几乎没有参与赃款清洗，但在这次事件中，它成为了攻击者从波场网络转移资金的第二大通道。攻击者通过 735 笔存款，向 Relay 转入了 3764 万 USDT 和 3928 万 TRX。

资金转移的速度相当惊人。最大的资金接收地址（0xc8D516a53e28909d9eAB92642938762eA36F9093）通过 97 笔交易累计收到 2804 ETH 和 102 万 USDT，其中某个波场钱包几乎每分钟都会向其输送约 10 万 USDT。

此外，353 万 TRX 和 119 万 USDT 被退回攻击者的波场钱包，随后再次转出。

下图展示了通过 Relay 转移的资金最终流向哪些区块链，以及对应的接收钱包。

Chainflip 是攻击者使用的第三大通道，也是整个过程中情况最混乱的一条路径。

攻击者通过 571 笔存款，向 Chainflip 转入了 4971 万 USDT，但其中相当一部分兑换交易失败。每次交易失败后，资金都会被退回一个新创建的波场钱包，随后攻击者又会立即将这笔钱重新转入 Chainflip，尝试再次兑换。

累计有 1791 万 USDT 因交易失败而被退回，并重新发起转账，其中部分资金甚至被反复尝试了数次。

下图展示了通过 Chainflip 转移的资金最终流向哪些区块链，以及对应的接收钱包。

Symbiosis 是第四大资金转移通道。与前面几条路径不同，攻击者在这里采取了广撒网的方式，而非集中进行大额转账 —— 他们通过 1367 笔小额存款，向 Symbiosis 转入了 4971 万 TRX。

另有 28 笔存款（共计 104 万 TRX）兑换失败，随后以 33.6 万 USDT 的形式退回攻击者的波场钱包。

下图展示了通过 Symbiosis 转移的资金最终流向哪些区块链，以及对应的接收钱包。

除了上述几条主要路径，攻击者还通过其他渠道转移了资金。

从波场网络转出的其他资金流向如下：

Bridgers 和 NEAR Intents 两条路径的最终资金去向仍有待确认。

下图重点展示了这些规模较小的资金转移路径，以及仍然留在波场网络上的资金。

截至发文，攻击者在波场网络上仍有约 750 万美元，已经跨链转出的资金则继续在以太坊和比特币网络上流动。

至于仍由攻击者控制、存放在其他区块链上的 30 亿美元以上资产（包括 18,270 BTC、约 51.9 万 ETH、2.33 亿 XRP 和 97 万 SOL），目前基本尚未被转移。

以上就是攻击者在波场网络上的完整资金流向追踪，大约 2.42 亿美元在两天左右的时间里已被洗出。我仍在继续追踪这些资金在以太坊和比特币网络上的流动情况，同时密切关注仍未被转移的 30 亿美元以上赃款。