我的A9日记

币安被盗是谁干的，现在已经不只是 ZachXBT 一句猜测了：今天上午 10 点 10 分，链上分析公司 TRM Labs 发报告，直接点名朝鲜黑客小组 TraderTraitor，说这个判断是"高置信度"。 TRM 的数字是：10 条链上，币安钱包一共被转走约 63.6 亿美元（约 425 亿元人民币），大头 20 分钟内走完，是 Bybit 被盗那次的 4 倍。 先认识两个名字。ZachXBT 是币圈最出名的链上侦探，自己被骗过之后开始专门追黑客的钱（推特 111 万粉）。2025 年 Bybit 被盗 15 亿美元，第一个指向朝鲜、把赃款和以前几起交易所被盗案连上的就是他，FBI 随后正式认定是朝鲜。所以他一开口，圈里会当真。 Lazarus 是外界对朝鲜国家黑客的统称，TraderTraitor 是里面专门抢加密公司的那一支，Bybit 那 15 亿就是 FBI 点名的这一支干的。 时间顺序是这样（北京时间）：凌晨 4 点出头钱开始往外走；早上 8 点 17 分，有人在评论区喊 ZachXBT 去找黑客，他回了一句"很可能是 Lazarus"，比早上传得最广的那条（9 点 05 分）还早 48 分钟，两条都只有一句话，没给证据。10 点 10 分 TRM 出报告。10 点 25 分币安公布初查。 TRM 说依据是"链上和链下情报"，链下那部分没公开。能公开对上的有三点：黑客的操作钱包 28 号下午就从混币器 Tornado Cash 提了三小笔钱当手续费，2024 年印度交易所 WazirX 被盗（约 2.35 亿美元）也是这么起步的，那次被认定是朝鲜；正式动手前，黑客用自己的小号把攻击程序彩排了两轮；用来接管币安热钱包的 50 个授权签名是提前批量备好的，一次打包执行，Bybit 那次也是先拿下签名环节、再一口气提走。 最让人后背发凉的是币安自己的初查结论：一名运维工程师的笔记本电脑被攻破，攻击者借此进了内部服务，提交了未经授权的提币。币安说没发现私钥泄露，也没说是朝鲜。 而就在两天前，10 月 27 号，币安刚发过公告，说上周挡住了好几次朝鲜黑客攻击、没有损失。那一波手法叫"传染性面试"：假装招聘，面试时让你下载个项目跑一下代码测试，代码里藏着木马。 这名工程师的电脑怎么中的招，币安还没说，跟假面试有没有关系也还没确认。但两件事隔了两天，放一起看确实很难不多想。 钱去哪了。USDT、USDC 这类锚定美元的稳定币，发行方能在链上直接冻结，Tether、Circle、Ripple 等一共冻了约 26.7 亿美元；Arbitrum 链的安全委员会又从黑客钱包里强行挪走约 3000 万美元，ZachXBT 本人就是这个委员会的签名人之一。加起来大约 27 亿美元（约 180 亿元）。 黑客也在跟冻结抢时间。约 3.25 亿 USDT 被打折卖给做市商，换了约 12.2 万枚 ETH，折价超过 10%，亏钱也要换，因为 ETH 没人能冻。另有 6000 万 USDT 被押进借贷平台 Aave，借出约 1.98 万枚 ETH 跑了。 现在黑客手里还有 42 万多枚 ETH 和 18,270 枚 BTC，约 24 亿美元（约 160 亿元），谁都冻不了。BTC 已经开始被拆成 1000 枚、100 枚一份往外分。 这次洗钱路子跟 Bybit 不太一样。Bybit 那次是拆进上万个钱包，再用跨链兑换工具 THORChain 十天内换成 BTC；这次目前看到的是找做市商大额换、去借贷平台借 ETH，还没看到上跨链桥。TRM 预计下一步会走跨链桥、兑换服务和场外 OTC。 ZachXBT 10 月 6 号刚发过一篇卧底调查：他假扮客户，自己先垫了 34.97 万美元（约 233 万元）给一个华人洗钱团伙下单，说这个团伙帮 Lazarus 洗过 10 亿美元以上，Bybit 的赃款大部分走的就是这条线。这批 ETH 会不会流进同一张网，接下来几天看链上。 朝鲜这些年的账，有官方或大机构认定的：2022 年 Axie 的 Ronin 跨链桥 6.2 亿美元（约 41 亿元），2024 年日本 DMM Bitcoin 3.08 亿美元（约 21 亿元），2025 年 Bybit 15 亿美元（约 100 亿元）。Chainalysis 统计朝鲜光 2025 年就偷了至少 20.2 亿美元（约 135 亿元），历年累计 67.5 亿美元（约 451 亿元）。如果 TRM 的判断成立，这一单就快赶上它过去全部的累计了。 币安这边，官方说所有损失由 SAFU 基金加公司自有资金兜底，充提暂停，后面会发更新的储备证明。SAFU 是币安专门留来赔用户的应急基金，现在是 15,000 枚 BTC，10 月初市值约 12.7 亿美元，单靠它填不上 63 亿，所以才要加公司的钱。 何一在中文区回用户：会先确保完全扫描完成、没有安全隐患再开提币，因为站内资金更多，安全第一。什么时候恢复，没给时间。2019 年币安被盗 7000 枚 BTC 那次，提币停了一周左右。 CZ 的说法是：用户资金安全，很多同行、甚至以前关系不太好的对手都来帮了忙，很痛，但我们扛得过去。 也有人不买"朝鲜"这个账。评论区有人说：每次都是朝鲜干的是吧，啥证据没有就定罪，监守自盗的可能性又不是没有。 这个质疑不算无理。有链上分析指出，另一个没被接管的币安钱包是自己签名把 2.8 万枚 ETH 打给黑客的，打完又接着正常给用户提币，内鬼确实不能排除。但同一份分析也说，黑客要是拿下了整套签名系统，看起来也是一模一样，这个细节两边都证明不了。目前 FBI 等执法机构也还没表态。