币安黑客将5000万美元的XRP转换为比特币…

黑客通过THORChain将5000万美元XRP转换为比特币

据区块链分析公司Elliptic报道，涉嫌盗取币安64.3亿美元加密货币的幕后攻击者已开始将被盗的XRP转换为比特币。该攻击者主要通过跨链基础设施（主要是THORChain）转移了价值约5000万美元的代币。

Elliptic在11月6日的调查更新中指出，约有4200万枚XRP从与10月29日盗窃事件相关的地址转出，并主要被兑换为比特币。截至协调世界时（UTC）08:45，攻击者的钱包中仍保留着约1.92亿枚XRP，价值约为2.26亿美元。

最新的活动标志着洗钱操作的进一步升级，该操作涉及多个区块链、去中心化交易所、借贷协议和跨链服务。币安最初的安全漏洞涉及未经授权从其热钱包中提款，这些热钱包分布在11个不同的区块链网络上。

被盗XRP有多少已被转换？

在10月29日的事件中，五个币安钱包最初将约2.33亿枚XRP转移至攻击者控制的地址。此后，这些资金大部分处于静止状态，直到11月2日，全部余额被分发到六个新创建的地址中。洗钱过程在11月5加速。其中两个地址开始将XRP分发到数十个额外的钱包，这些钱包随后通过THORChain等主要渠道将代币兑换为其他加密货币。

截至11月6日上午，约有4200万枚XRP离开了原始持有地址，这在Elliptic评估时代表约5000万美元的价值。剩余的1.92亿枚XRP仍分布在与盗窃相关的地址中。区分原始被盗余额和已转换金额至关重要：攻击者并未清算整个XRP头寸，剩余代币仍构成未追回资产的重要组成部分。

投资者启示：约5000万美元的XRP已进入洗钱流程，另有2.26亿美元仍处于暴露状态，可能在区块链网络间移动。

为何攻击者要将被盗资产转换为比特币？

这种转换策略降低了对发行商可以冻结余额的代币的依赖。USDT和USDC等稳定币拥有中心化发行商，能够对地址进行黑名单处理，从而阻止某些被盗资金的转移。相比之下，比特币和原生XRP没有能够冻结单个钱包余额的中心化发行商。因此，将被盗代币转换为比特币消除了一个潜在的干预点，尽管由此产生的交易仍然公开可追溯。

Elliptic估计，截至11月6日UTC时间08:45，新创建的比特币地址中已累积约1650枚BTC，价值1.24亿美元。这代表了包括Solana、Tron代币、以太坊和XRP在内的多种被盗资产的累计转换结果。最近的增长主要来自通过THORChain路由的XRP。这一比特币数字较前一天的估算值几乎翻了一番。早期的行动包括将被盗的Solana转换为USDC，将资金桥接至以太坊，然后将其兑换为比特币。

攻击者早期使用THORChain将被盗的Solana进行转换，建立了在不同区块链网络之间移动资产的另一个途径。Elliptic还发现，自11月1日以来，约有33枚BTC（价值250万美元）通过了类似Wasabi的混币服务。这些交易结合了多个参与者的资金，使得难以建立个别存款和取款之间的直接联系。

币安黑客事件中还有多少未被追回？

Elliptic在11月6日的评估显示，总共有约28.5亿美元的资产被冻结或没收，而约31.1亿美元仍留在与盗窃相关的地址中。直接被盗的18,270枚BTC自初始攻击以来一直未动。大多数被盗的以太坊也保持不动，根据Elliptic的数据，在13.3亿美元的ETH头寸中，仅有约300万美元发生了移动。

调查已识别出与该洗钱操作相关的超过2万个钱包、16个区块链、至少36个服务以及约6.5万笔交易。活动高度自动化，资金反复分发、交换并通过新创建的地址转移。然而，将加密货币转换为比特币并不意味着攻击者已成功变现。Elliptic表示，极少量的被盗资金可能已达到转化为可花费现金的阶段。大部分资金仍位于公共区块链上，调查人员可以继续追踪转账记录。

投资者启示：转换为比特币使得由发行商主导的冻结变得更加困难，但在资金到达交易所、场外交易经纪商或其他提现渠道之前，这些资金仍可被追踪。

调查人员接下来应关注什么？

剩余的XRP余额是洗钱操作下一阶段的清晰指标之一。通过THORChain和其他跨链服务的进一步转移可能会将更多资金转入比特币，而较小的批次可能会通过混币服务和新建钱包。Elliptic预计，攻击者将继续将大量未动用的以太坊持仓转换为比特币，然后尝试通过场外交易经纪商和交易所进行变现。

该公司对2025年Bybit盗窃案的分析提供了先例：被盗资产在相对较短的时间内被转换，但变现过程持续了数月。此前约2.42亿美元的资金通过基于Tron的交换和桥接流动，也展示了被盗资金如何在服务间迅速扩散。

早先对币安攻击者Tron洗钱路线的调查记录了THORChain、Relay、Chainflip和Symbiosis的使用。目前，洗钱与变现之间仍存在区别。攻击者已将越来越多的被盗资产转换为比特币，但现有的区块链证据并未表明资金已到达变现渠道或变得对调查人员不可访问。