FBI 定调朝鲜盗币安 63 亿，资金流向与拦截全解析

据 Woofun AI 消息，美国联邦调查局（）正式将超 60 亿美元加密资产盗窃案归咎于朝鲜，并将该恶意网络活动定性为 TraderTraitor。

尽管执法部门未公开完整证据链，但这一官方定调标志着针对该团伙的全球协同打击进入新阶段，核心焦点随即转向被盗资金的追踪、拦截及交易所的资产回填进度。

在 FBI 发布通报之前，多家头部链上分析机构已基于独立情报完成了归因验证。 指出，其判断的核心依据在于币安被盗资金与此前 被盗资金在链上发生了直接混合，而后者此前已被确认为朝鲜相关攻击者所为，这一关联极大地强化了身份判定的置信度。 则从行为特征角度提供了佐证，该机构发现攻击者在盗窃前提前部署了操作钱包，并通过 进行小额提款以混淆来源，这种'预先获取签名后集中执行'的模式，与此前 和 遭受的朝鲜黑客攻击高度相似。Elliptic 等机构也同步披露了资金转移方式及初步拦截进展，形成了多源交叉验证的证据闭环。

为了快速变现并规避追踪，攻击者采取了大规模抛售与 DeFi 借贷套利相结合的策略。截至披露时，黑客已在 链上抛售超过 130 种代币，包括 、、、、、 和 等，累计换得约 123,400 枚 及 169 万枚 ，按当时价格计算价值约 2.79 亿美元。更复杂的操作在于，攻击者将约 5,990 万枚 存入 Aave 作为抵押品，借出约 19,762 枚 ETH。Elliptic 澄清，Aave 随后冻结相关市场仅限制了新增活动，并未直接扣押已借出的资产。

Woofun AI 整理数据显示，这种利用存款凭证代币规避稳定币发行方冻结控制的手法，是朝鲜黑客在此次攻击初期即已采用的标准流程。

资金流转过程中，自动化规避策略与跨链转移构成了另一条关键路径。Chainalysis 报告指出，短时间内出现了数千笔交易，被盗资金在多个地址间反复循环，许多地址先接收恰好 1 枚 作为'探针'，随后再接收大额资金并转出，这种重复模式表明攻击者可能通过程序自动分配资金。在一笔约 50 万美元的资金流案例中，攻击者在 链上将 TRX 兑换为稳定币，存入 DeFi 借贷协议获取存款凭证，再将凭证转入另一钱包赎回稳定币，最后经跨链桥转出 Tron 并兑换为 ETH。

这一系列操作旨在利用凭证代币不受稳定币发行方直接冻结的特性，实现资产的跨链隐匿转移。

尽管洗钱路径精密，但协议故障与跨链漏洞意外延缓了进程。的一次链重组导致 向一名存入 10 ETH 的用户错误地重复退款，进而触发协议紧急暂停，所有用户包括朝鲜洗钱者均无法通过其大部分跨链通道进行兑换。Chainalysis 认为，这一技术故障意外阻断了大量资金的转移。

与此同时，链上调查人员 披露，朝鲜黑客在 7 小时内通过 跨链桥转移了约 3,800 万美元。Specter 质疑 声称已部署的 KYT（了解你的交易）监控系统未能阻止该笔转移，并指出黑客难以在相同时间内通过 THORChain 转移如此规模的资金，凸显了不同跨链桥在风控执行上的差异。