币安黑客创建代币用于自我交易

核心提要：核心要点攻击者通过自买自卖的方式交易新发行的代币。借贷凭证（Receipt Tokens）掩盖了与USDT追踪线索之间的关联。TRM Labs在11月3日的更新报告中，匹配了38笔跨链桥接订单中的11笔。冻结操作需要资金最终落入特定的钱包地址才能生效。根据TRM的数据，10月29日约有63.6亿美元从Binance钱包

核心要点

攻击者通过自买自卖的方式交易新发行的代币。借贷凭证（Receipt Tokens）掩盖了与USDT追踪线索之间的关联。TRM Labs在11月3日的更新报告中，匹配了38笔跨链桥接订单中的11笔。冻结操作需要资金最终落入特定的钱包地址才能生效。

根据TRM的数据，10月29日约有63.6亿美元从Binance钱包流向十个不同的区块链网络。10月31日，FBI将该盗窃事件归咎于朝鲜，并将其活动命名为“TraderTraitor”，这也是FBI对2025年2月Bybit被盗15亿美元事件所使用的代号。

发行方和各大网络迅速采取行动。Tether、Circle、Ripple、World Liberty Financial以及Arbitrum安全理事会在数小时内冻结了近27亿美元。TRM估计，攻击者目前仍持有约24亿美元的ETH和BTC，截至11月3日，这些主要余额未显示新的活动。TRM正在追踪的资金流动主要集中在TRON网络上，部分资金也开始经过一系列Solana钱包。

TRON网络上的新型洗钱手法

在TRON网络上，每种新方法都为攻击者解决了同一个问题：即如何避免冻结或警报指向特定的地址。10月31日，一个已在Binance追踪记录中出现的地址创建了一种仅由其创建者可以铸造的代币。该代币的唯一交易市场是TRON去中心化交易所中的一个单一流动性池，该池将该代币与某借贷协议的凭证代币配对。TRM未披露具体是哪一家交易所或借贷协议。

TRM将这一路线分解为三个步骤：

入金：新创建的买家钱包从黑客追踪记录中的扇出钱包接收TRX，将其兑换为USDT，再转换为凭证代币，最后购买新代币。 铸造：创建者免费铸造新代币并发送至单独的卖家钱包。 提现：卖家在池中卖出代币，取出凭证代币，并将其赎回为USDT。

由于卖家的代币是零成本铸造的，因此从池中取出的所有有价值资产均由买家钱包提供，而这些买家钱包的资金源自黑客攻击。TRM未发现买家与卖家之间存在直接转账记录。流动性池是它们唯一的连接点，因此，仅监控钱包间支付的追踪系统会看到无关地址在进行新代币的交易。

例如，11月1日的一个案例中，扇出钱包向三个买家钱包发送了约294万TRX。随后，创建者向卖家钱包铸造了3亿枚代币。卖家在短短一分钟内将其卖出，提取了近1亿枚凭证代币，将其赎回为USDT，并转换回TRX。这里的“1亿”指的是凭证代币的数量而非美元金额，因为凭证兑换USDT的比率由借贷市场设定。TRM数据显示，截至11月1日，此类流动性池中提取的美元价值约为270万美元。

通往以太坊的退出路径仅部分可追踪

卖家钱包将TRX分散到五个新钱包中。在UTC时间03:22至04:26之间，这些钱包通过内置于钱包应用的交换路由器下达了价值966,558美元的38笔订单，全部支付至同一跨链服务的桥接钱包。

由于该服务不公开其订单的支付去向，TRM通过金额和时间进行匹配。其中11笔订单（约29万美元）与以太坊上的支付相匹配，资金在那里被兑换为ETH。这约占批次总值的30%。TRM在发布时仍在追踪其余27笔订单以及最终接收资金的以太坊钱包。

基于金额和时间的匹配是一种推断，而非来自服务本身的记录。它为调查人员提供了具体的以太坊地址以供检查，但大部分批次仍未被定位。在另一个同属TRON至以太坊路线的可追踪案例中，来自多个TRON地址的资金到达中间以太坊地址，随后被合并、转发至第二个地址，并拆分为50至80 ETH的块。这些ETH一直停留在落地地址。TRM将这种交换、合并和重新分配序列描述为典型的朝鲜洗钱手法。

存款声明在钱包间传递

TRM于11月2日标记了第二种TRON方法。钱包A将USDT存入借贷池并获得代表其存款索赔权的凭证代币。它通过普通代币转账将凭证发送给钱包B。钱包B赎回该凭证后，池子支付USDT，B随后将这些USDT通过桥接转出TRON网络。

如果仅追踪USDT，链条会在池子处断裂。A存入USDT，B取出USDT。由于池子庞大且与其他许多存款人共享，USDT的流向中没有任何内容能将两者联系起来。B的唯一交易对手是借贷市场和桥接服务，因此其历史记录看起来是干净的。联系仅存在于A向B传递的凭证代币交易中。

凭证携带的是存款本身，而非副本。如果A存入10万美元并将凭证交出，B可以根据市场规则赎回该存款，而A则失去自己的索赔权。这与此前利用被盗稳定币抵押借入ETH的情况不同。借款会留下由抵押品担保的债务，而传递凭证则完全转移了存款的所有权。

冻结生效的条件

两种TRON路线都确保持有黑客关联资金的钱包永远不会直接向兑现现金的钱包付款。桥接服务增加了第三种相同理念的实现方式。TRM观察到攻击者串联两次跨链交换，将资金从洗钱地址直接发送到第二个桥接的存款地址。这跳过了中间钱包，而在正常情况下，警报或冻结通常会落在该中间钱包上。

最初几小时内被冻结的27亿美元是在发行方已知受污染的地址上被拦截的。TRM建议合规团队遵循的价值追踪逻辑正是基于这些路线所打破的规则。它建议通过凭证代币和池代币追踪价值，并筛查下游的几个跳跃节点，包括跨链支付。它还警告，某些支付只能通过金额和时间进行匹配。如果只检查谁存入了USDT，钱包B将会通过审查。

最大的余额仍然处于停放状态。截至11月3日，约24亿美元的ETH和BTC尚未移动，而TRM在TRON上记录的洗钱活动每次规模从数十万到数百万美元不等。FBI呼吁阻止与TraderTraitor相关的钱包，这取决于首先识别出这些钱包。此处描述的每条路线都旨在使下一个钱包与前一个钱包没有可见的支付历史联系。