币安黑客开始通过CoinJoin混币技术处理被盗资金
在交易所遭遇数十亿美元被盗事件后，攻击者已开始将约220万美元的比特币通过隐私交易进行混币处理。
核心要点：
- 11月1日至11月初，约有28枚比特币进入了18笔CoinJoin交易。
- 据Elliptic数据显示，与盗窃相关的地址仍持有32.4亿美元资产，主要分布在以太坊和比特币中。
- 调查人员此前已冻结或扣押了价值28.5亿美元的资产，约占被盗总额的44%。
- 币安已承诺使用公司自有资金来替换被盗资产，同时调查人员正在追踪洗钱路径。
混币活动细节
Elliptic在11月2日发布的报告指出，首次混币活动发生在11月1日UTC时间05:55。从被盗的Tron资金中获取的比特币使用了WabiSabi协议进行交易，该协议也被Wasabi Wallet等类似钱包所采用。随后，部分以太坊被转换为比特币，并遵循了相同的转移路线。
截至11月2日UTC时间06:02，该公司统计显示有28枚比特币通过了18笔CoinJoin交易。其调查范围涵盖了约12,000个钱包、11条区块链以及超过40,000笔交易。
混币机制与资产状态
报告显示，直接从币安盗取的18,270枚比特币仍停留在19个地址中，未再发生进一步移动。进入CoinJoin池的比特币来源于盗窃发生后转换的资产。
CoinJoin通过将多个参与者的比特币合并到共享交易中，使得流入和流出硬币之间的关联更难被追踪，研究人员解释道。
该公司估计，可能只有极少量资金已被兑现。因此，其列出的32.4亿美元关联地址余额描述的是仍在公共区块链上可见的资产，并未确立每个钱包当前的实际控制者。
冻结资产占被盗总额约44%
在之前的调查中，Elliptic将10月29日的盗窃案估值为64.3亿美元，而币安最初的估算约为63亿美元。根据该公司的数据，28.5亿美元除以64.3亿美元约为44.3%。冻结或扣押的金额与剩余可追踪余额属于不同的类别。
调查显示，稳定币占受限资金的94%。Tether、Circle及其他代币发行商进行了干预，而Arbitrum和Optimism则利用其治理机制保护受影响的资产。
研究人员区分了原生加密货币与由发行商控制的代币：例如，Ripple可以冻结RLUSD，但无法冻结XRP。在此次评估中，比特币、XRP Ledger、Solana或NEAR上被盗的任何资产均未被冻结。
同一份调查记录了FBI将此次盗窃归咎于朝鲜的“TraderTraitor”组织。Elliptic此前曾认定该组织为可能的作案者。
在以太坊网络上，该公司追踪到的最大损失涉及186种代币，总计38亿美元。四大类资产占总盗窃额的74%，分别为基于以太坊的USDT、比特币、USDC以及基于Tron的USDT。
早期的Tron转账呈现自动化模式
在CoinJoin活动之前，10月31日的一份分析文件记录了一个分发钱包连续31小时每小时发送一次资金，中间没有过夜休息。研究发现，接收钱包通常在大约两分钟内转发资金。重复的兑换金额和定期间隔的转账使研究人员判断该活动是由软件驱动的。
当桥接服务拒绝存款时，资金会从新创建的钱包重新发送到同一目的地。该公司10月31日晚些时候的更新显示，主Tron分发钱包转出的资金约为1.96亿美元，分散在约200个钱包中。夜间转账速度为每小时700万至1100万美元。
对于筛查 incoming 资金的服务，该公司建议进行持续监控，因为地址可能在通过早期检查后接收与盗窃相关的资产。
币安使用自有资金替换被盗代币
币安的替换购买工作与追回被盗资产的尝试是分开的。此前报道指出，该交易所分配了超过63.4亿美元的公司资金，在其第二次恢复更新时，已有50亿美元以匹配的加密货币形式持有。
在10月31日发布的一则公告中，币安表示补充进度已达到约90%。它确认了用户安全资产基金（Secure Asset Fund for Users，属于期货保险基金的一部分）和公司资金作为融资来源。
交易所表示，剩余的购买涉及其十大补充资产之外的代币。公告称，较低的流动性可能导致获取所需数量的时间更长。
币安表示，由于其期货保险基金属于公司所有，因此未包含在储备金证明（Proof of Reserves）中。用户的储备金检查涵盖支持其自身平台余额的资产。
