TRM与Chainalysis将币安64亿美元黑客攻击归咎于朝鲜TraderTraitor组织

三家区块链分析公司已将本周对 Binance 的黑客攻击归咎于朝鲜，其中两家最大的公司点名朝鲜黑客组织 TraderTraitor 应对此负责，两家均称这是有记录以来最大的加密货币盗窃案。

TRM Labs 表示，其基于“强有力的链上和链下情报”，“以高置信度”做出了这一归因。其估计被盗金额约为 63.6 亿美元，于周四美国东部时间下午 4:05 起从 Binance 在 10 条区块链上的钱包中被转出，其中大部分是在约 20 分钟内完成的。TRM 指出，这大约是 2025 年 2 月15 亿美元 Bybit 黑客攻击的四倍，而 FBI 将该攻击归咎于同一组织。

Chainalysis 将总额估计为约 64 亿美元，其表示最有力的证据出现在其调查人员实时看到从 Binance 被盗的资金与上个月Bitget 漏洞利用的资金混在一起之时，而该漏洞利用此前已被归咎于朝鲜行为体。

Chainalysis 的一位发言人告诉CNN，该公司“高度确信”朝鲜是此次黑客攻击的幕后黑手。总部位于新加坡的 Pangolin Intelligence 也告诉CNN，其认为一个朝鲜黑客部门应对此负责，依据是“分析与此黑客攻击相关的链上活动，并与从以往已知事件中收集的信息进行关联”。朝鲜此前曾否认黑客攻击指控。

TRM 和 Chainalysis 均表示，攻击者的操作钱包是通过加密货币混币器 Tornado Cash 获得资金的。TRM 表示，这一点以及其他特征，包括远在盗窃发生之前就开始的准备工作，都与早先与朝鲜有关的攻击相符，例如 Bybit 黑客攻击和 4 月的KelpDAO 漏洞利用。

攻击是如何运作的

据 TRM 称，在 以太坊 上，攻击者利用了一项 EIP-7702 委托，这是以太坊 Pectra 升级 中引入的功能，允许普通钱包运行 智能合约 代码，从而将一个币安热钱包变成其控制的清扫器，并事先准备了 50 个预签名授权。其余九条链上的币安钱包则通过普通的签名转账将资金发送给攻击者。在 TRM 的评估中，这表明币安的热钱包签名基础设施遭到了入侵。

币安表示，其调查始于一名工程师的笔记本电脑被入侵，但此后又 发现 了“更多入侵点”。Bybit 攻击同样始于一台被入侵的机器：朝鲜黑客在入侵了一名 Safe 开发者的电脑后，将恶意代码植入了钱包提供商 Safe 的基础设施中，Decrypt 当时报道 称。

攻击者迅速采取行动，将无法保留的资金进行洗钱。Chainalysis 表示，其观察到了“前所未见的洗钱模式”，短时间内出现数千笔交易，表明使用了自动化手段在地址之间反复循环资金。据TRM称，攻击者还向做市商出售USDT，并在借贷协议Aave上以USDT为抵押借入ETH，以抢在发行方冻结之前行动，目前持有超过42万枚ETH和18,270枚BTC，约24亿美元，超出了任何发行方的触及范围。

TRM表示，Tether、Circle、Ripple和World Liberty Financial已冻结约26.7亿美元的稳定币，Arbitrum安全委员会冻结了8,426枚ETH和7,460万枚ARB。币安称冻结总额约为30亿美元。

在周五的最新通报中，币安表示已预留超过63.4亿美元的公司资金用于覆盖此次事件，其中50亿美元已以被盗的完全相同代币形式持有。该交易所表示，其余部分正通过市场和场外渠道购买，这“可能需要更长时间，因为部分代币流动性可能较低”。这些数字不包括已冻结资产。

“我们将渡过这场风暴，”币安表示。

朝鲜黑客长期以来一直针对该交易所。2025年8月，币安首席安全官Jimmy Su 告诉Decrypt，朝鲜攻击者每天都试图在币安求职，并称他们是加密公司面临的单一最大威胁。周三，美国财政部制裁了10名个人和1个实体，原因是朝鲜IT工作者计划转移了数百万美元的加密货币。