造成约63亿美元币安被盗事件的黑客仍控制着约33.3亿美元的加密货币
尽管稳定币发行商和区块链网络进行了协调干预，但导致估计价值63亿美元的币安（Binance）盗窃案的黑客，目前仍控制着约33.3亿美元的加密货币。这些资产因无法被发行商直接冻结而处于失控状态。这一剩余的敞口规模表明，当攻击者迅速将被盗代币转换为去中心化加密货币时，链上资产冻结措施存在局限性。
区块链分析公司Elliptic证实，截至10月30日UTC时间上午7:00，已冻结的资产价值为28.4亿美元，约占其估计盗窃总额64.3亿美元的44%。币安方面单独报告称，约有30亿美元已被冻结，并表示正与执法部门合作以追回更多资金。这起始于10月29日的事件是有记录以来最大的加密货币盗窃案。币安承诺承担客户损失，但在链上被冻结的金额与实际追回的金额之间仍存在显著差异。
为何稳定币发行商只能冻结部分被盗资产？
像USDT和USDC这样的中心化稳定币允许其发行商对特定地址进行黑名单处理，从而阻止持有者转移受影响的代币。在币安遭遇攻击期间，这种能力成为了一道关键防线。Tether、Circle和其他发行商迅速采取行动限制被盗资产。其中，Tether冻结了约15.67亿美元的USDT，其主要干预行动发生在代币进入攻击者主要以太坊钱包后的37分钟内。随后，Circle冻结了约8.23亿美元的USDC。
这些干预措施扩大了最初的稳定币冻结范围，涉及Tether、Circle、Ripple以及其他代币发行商和Arbitrum安全理事会。据Elliptic统计，成功冻结的资产中，稳定币占比高达94%。然而，在限制生效之前，攻击者已将约7.86亿美元的稳定币转换为ETH和TRX。仅在以太坊网络上，就有约4.34亿USDT通过去中心化交易所和做市商兑换成了160,451枚ETH。部分交易相对于当时市场价格出现了12%至26%的折扣，这表明避免被冻结比最大化收益更为优先。
投资者启示：由发行商控制的冻结措施可以遏制涉及中心化代币的盗窃行为，但迅速将其转换为原生加密货币会大幅削弱这种保护效果。
攻击者如何利用Aave的借贷基础设施？
攻击者还利用去中心化借贷获取加密货币，而未直接出售其所有稳定币持仓。10月29日UTC时间20:58至21:01之间，一个与攻击者相关的钱包向以太坊上的Aave V3存入约6000万美元的USDT，并借出了19,762枚封装以太币（wETH），当时的价值约为4460万美元。这些交易发生在首次相关市场冻结前约40分钟。到第二天早上，该头寸持有的USDT抵押品价值约5990万美元，而未偿还债务约为4380万美元。
Aave风险服务提供商LlamaRisk确认，该头寸仍处于超额抵押状态，并未危及协议供应商的利益。这种安排暴露了黑名单机制的局限性：一旦USDT进入Aave的借贷池，冻结源钱包并不能自动收回抵押品或撤销ETH贷款。为防止新的存款和借贷，Aave暂时冻结了其V3和V4部署中的借贷市场，但现有的提款、还款和清算功能仍保持可用。该协议随后于10月30日重新开放这些市场，并报告称其合约未受影响。
币安63.4亿美元恢复承诺意味着什么？
币安已拨出超过63.4亿美元的公司资金，用于覆盖估计的盗窃损失，其中包括已持有的约50亿美元与被盗加密货币相同类型的资产。交易所表示，它正在通过市场和场外交易收购剩余replacement资产。其补充客户持仓的承诺与追回仍由攻击者控制的加密货币的努力是分开进行的。
与此同时，针对攻击授权机制的调查确定了以太坊EIP-7702功能的使用情况，该功能将币安钱包的控制权委托给了恶意代码。币安最初指向一台受感染的员工笔记本电脑，但随后承认存在其他入侵点。交易所表示，调查人员未发现钱包私钥泄露的证据，尽管完整的攻击序列仍在调查中。币安还在进行安全检查的同时暂时暂停了提款服务。币安计划于11月2日发布更新的储备金证明报告，为评估其对受影响客户资产的替换提供更详细的依据。
投资者启示：如果得到履行，币安的财务后盾可以保障客户权益，但这并不意味着被盗资金已经追回。
调查人员能否追回剩余的33.3亿美元？
Elliptic识别出约33.3亿美元的资产超出了发行商直接冻结的范围，这些资产分布在约43个地址中。持仓包括18,270枚BTC、超过511,000枚ETH以及大量的XRP、TRX和其他加密货币余额。与中心化稳定币不同，原生的比特币和以太币无法通过发行商黑名单进行冻结。调查人员可以追踪其动向，但防止变现通常需要交易所、托管方和其他中介机构的合作。
攻击者已经表现出愿意承受交易损失以逃避中心化代币限制的意愿，其中包括大规模的小市值币种转换为以太币的操作。Elliptic发现了可能与朝鲜黑客行动有关的线索，包括与早期Bitget漏洞相关钱包的联系。归因目前仍是调查评估，而非公开确立的结论。下一阶段的结果将取决于当局是否能在剩余资产经过更多钱包和交易服务之前将其拦截。虽然近一半的被盗资产已被冻结，但要追回其余部分，需要超越稳定币发行商冻结能力的工具。
