区块链调查员ZachXBT上调被盗金额预估至1.33亿美元

在发现另有2700万美元资金从中心化交易所被提走后，区块链调查员ZachXBT将一起针对某未具名欧洲实体的疑似盗窃案的涉案金额预估上调至超过1.33亿美元。这一新发现为这起至今仍未完全明朗的事件增添了新的复杂性。

此次修订后的估算数据紧随ZachXBT于11月2日的首次披露之后，当时他指出有超过1.06亿美元的资金从与受害者关联的交易所账户中被提取。他表示，部分额外的提款行为发生在他首次发出公开警告之后，而攻击者在此期间继续通过交易所、跨链桥接服务以及专注于隐私保护的服务进行资产转换和转移。目前，受害者的身份尚未得到确认。ZachXBT提出的工作理论认为，一家西欧的大型金融机构遭到了入侵，但他关于该事件被刻意隐瞒的说法均未经证实。

在1.33亿美元的总额中，有多少是可以独立追踪的？

Bitquery进行的独立区块链分析显示，在11月1日和2日的大约21小时内，共有1.088亿美元的USDC（一种稳定币）从Kraken、Crypto.com和OKX等交易所的账户中流出。由于其分析主要涵盖以太坊网络上的活动，因此并未包含ZachXBT更广泛的1.33亿美元估算中的所有交易。Bitquery发现，在大约四个小时内，6298万美元的稳定币通过UniswapX被兑换成了27,553枚ETH。截至11月2日的快照数据显示，约有7830万美元仍停留在与疑似攻击者相关的以太坊地址中，而约3050万美元已通过交易所、桥接服务和其他服务离开了被追踪的钱包。此时，仅有约374万美元以USDC形式留存，这意味着Circle公司能够通过其黑名单功能直接冻结的资金比例相对较小。这一区别至关重要，因为ZachXBT的最新数字仍属于调查员归因的估算值，而非由受害者、交易所或执法部门确认的实际损失总额。

投资者启示

此事件表明，稳定币被盗案件中可追回部分的规模可能会迅速缩减。一旦USDC被转换为ETH、通过桥接服务转移或兑换为注重隐私的资产，发行方就失去了在资金仍以中心化稳定币形式存在时所拥有的直接冻结机制。

为何资金冻结窗口期关闭得如此迅速？

ZachXBT认为，如果该事件能更早地向交易所和欧洲执法机构披露并升级处理，超过3000万美元的资金本可以被阻止。尽管这一结论尚未得到独立验证，但交易序列显示，大量资金在数小时内便远离了可立即冻结的资产。Bitquery发现，几笔提款在几分钟内就被转发到了新地址。随后，这些资金被分散用于购买ETH、DAI、跨链路由、交易所存款以及与转换为门罗币（Monero）相关的服务。这种模式类似于重大加密货币盗窃案中反复出现的难题：在稳定币被转换为不受中心化冻结控制的资产之前，调查人员和发行方拥有有限的干预时间。

此前，当Tether和Circle冻结了与Binance漏洞相关数十亿美元资金时，其他资产已经超出了这些控制范围。ZachXBT曾批评Circle在多个非法资金案件中采取了延迟或缺失的冻结措施。这些指控突显了快速干预与中心化发行商所面临的法律和证据要求之间的张力。

投资者启示

资金回收越来越依赖于协调速度。虽然稳定币发行方可能掌握冻结功能，但一旦被盗资产被转换、桥接或存入需要单独干预的服务中，这种保护措施的有效性将大幅降低。

各交易所对此事有何回应？

Crypto.com表示已知悉相关报告，并已采取行动防止与第三方事件相关的资金在其平台上流动。该公司称其自身系统运行正常，客户资金安全无忧。目前尚无证据表明Kraken、Crypto.com或OKX本身遭到黑客攻击。Bitquery的分析反而暗示，攻击者访问了属于某客户的账户，并且可能还控制了该客户之前使用过的钱包。Bitquery确定的15个以太坊地址中有11个此前曾接收过来自同一交易所的资金，这表明许多地址可能是既定的提款目的地，而非攻击者新建的钱包。这可能意味着入侵范围不仅限于交易所凭证，还延伸到了受害者自身的钱包环境，尽管区块链数据无法确定访问是如何获得的。这种情况不同于交易所基础设施本身被突破的事件。

还有哪些未知之处？

受害者尚未自我确认，没有任何执法机构公开证实ZachXBT关于西欧金融机构的说法，且入侵方式仍不清楚。ZachXBT还表示，洗钱行为并不像通常与朝鲜“ Lazarus Group ”相关联的模式。这一评估缩小了一种可能性，但并未锁定攻击者。接下来的重要发展将是受害者身份的确认、对新增2700万美元的更新追踪、任何被冻结或追回资产的披露，以及解释如何访问多个交易所账户及相关钱包的证据。

投资者启示

在进一步的追踪或官方披露确认之前，1.33亿美元的数字应始终归因于ZachXBT。就目前而言，更具独立文件支持的数字是Bitquery记录的1.088亿美元以太坊提款额，这一差距很可能成为未来调查的重点。