概述 美國聯邦調查局在 2026 年 10 月 31 日發佈通告，將幣安 10 月 29 日的資產失竊事件歸因於朝鮮黑客組織 TraderTraitor，並與特勤局、國稅局刑事調查部門聯合公佈了 628 個相關地址，其中以太坊地址 608 個、比特幣地址 19 個、Solana 地址 1 個。通告請求加密企業與基礎設施運營方攔截涉及這些地址的交易，包括由其衍生的資金。這是本次事件從鏈上機構判斷轉爲概述 美國聯邦調查局在 2026 年 10 月 31 日發佈通告，將幣安 10 月 29 日的資產失竊事件歸因於朝鮮黑客組織 TraderTraitor，並與特勤局、國稅局刑事調查部門聯合公佈了 628 個相關地址，其中以太坊地址 608 個、比特幣地址 19 個、Solana 地址 1 個。通告請求加密企業與基礎設施運營方攔截涉及這些地址的交易，包括由其衍生的資金。這是本次事件從鏈上機構判斷轉爲
FBI證實朝鮮黑客策劃幣安攻擊：深度起底TraderTraitor與洗錢路徑
概述
美國聯邦調查局在 2026 年 10 月 31 日發佈通告，將幣安 10 月 29 日的資產失竊事件歸因於朝鮮黑客組織 TraderTraitor，並與特勤局、國稅局刑事調查部門聯合公佈了 628 個相關地址，其中以太坊地址 608 個、比特幣地址 19 個、Solana 地址 1 個。通告請求加密企業與基礎設施運營方攔截涉及這些地址的交易，包括由其衍生的資金。這是本次事件從鏈上機構判斷轉爲執法機構正式認定的節點，此前的歸因均來自區塊鏈分析公司。
資金的移動方式是這次事件的另一個特徵。Elliptic 的追蹤顯示，波場鏈上的主分發錢包連續 31 小時每小時出金一次，最長間隔 46 分鐘，轉賬之間幾乎不少於 30 秒，接收錢包通常在約兩分鐘內轉出。該機構聯合創始人 Tom Robinson 的描述是："模式重複而固定，同樣的金額、同樣的節奏、同樣的路徑，一小時接一小時。"這不是人工操作的節律。關於攻擊本身如何發生，幣安安全事件的時間軸與金額覈對另有專文。
核心要點
FBI 的通告將事件歸因於 TraderTraitor，並公佈 628 個地址，但其中不含波場地址，而波場恰恰是洗錢量最大的一條鏈。被盜約 64.3 億美元分佈在 11 條鏈上，Elliptic 覈實的凍結金額約 28.5 億美元。波場鏈上被轉出約 6.28 億美元，Tether 凍結 3.787 億 USDT 後剩餘約 2.49 億美元，其中約 2.42 億美元在兩天內完成移動。THORChain 因一次以太坊區塊重組觸發的雙重退款缺陷自動暫停，意外中斷了跨鏈兌換通道。幣安已於 11 月 1 日分階段恢復提現，首日淨流出 36.4 億美元，並稱已補足約 95% 的被盜資產。
FBI 通告的內容
通告由聯邦調查局會同特勤局與國稅局刑事調查部門於 10 月 31 日發佈，認定失竊資產"由 TraderTraitor 黑客操作或與其密切關聯"，涉案金額表述爲"超過 60 億美元"，與幣安自報的約 63 億美元、Elliptic 統計的約 64.3 億美元屬於不同口徑的同一事件。
請求攔截的對象列舉得相當具體：THORNode 運營方、RPC 節點運營方、即時兌換服務、DeFi 服務、區塊鏈分析公司及其他虛擬資產服務提供商。這份名單本身說明了執法機構對資金去向的預判，即後續洗錢將主要通過去中心化金融協議與即時兌換服務完成，而非傳統交易所。通告同時指出，已觀察到被盜資產主要被兌換爲以太幣。
公佈的 628 個地址中沒有波場地址，這是通告在覆蓋範圍上的一處空缺。按鏈上分析，波場是本次洗錢規模最大的一條鏈，而地址清單隻覆蓋以太坊、比特幣與 Solana。
TraderTraitor 的履歷
TraderTraitor 是美國政府給出的代號，指向 Lazarus 體系下一個以牟利爲目標的子集團，關聯別名包括 APT38、BlueNoroff 與 Stardust Chollima，這組對應關係在 2022 年 4 月 FBI、CISA 與美國財政部的聯合通告中確認。其他安全機構使用的名稱還有 UNC4899 與 Jade Sleet。
時間 | 目標 | 金額 | 初始入口 |
2022 年 | 浪人網絡（Axie Infinity） | 約 6.2 億美元 | 向遊戲公司員工投遞僞造的職位邀約 PDF |
2023 年 | 區塊鏈與金融科技開發者 | 未公佈 | 以協作邀請誘導目標引入惡意 npm 包 |
2023 年 7 月 | JumpCloud 的加密行業客戶 | 未公佈 | 攻擊身份管理供應商後經其特權通道下發惡意更新 |
2024 年 3 至 5 月 | DMM Bitcoin，經由 Ginco | 4,502.9 枚 BTC，約 3.08 億美元 | 僞造的 GitHub 編程測試與竊取的會話憑據 |
2025 年 2 月 | Bybit，經由 Safe{Wallet} | 超過 40 萬枚 ETH，約 15 億美元 | 開發者 Mac 上的惡意 Python 應用與竊取的雲會話令牌 |
2026 年 10 月 | 幣安 | 約 63 億美元 | 被入侵的 DevOps 工程師筆記本電腦與服務容器權限 |
這份履歷裏有一條貫穿始終的線索：入口幾乎全部是掌握特權訪問的人，而非密碼學或合約本身。Ronin 事件的入口是一份職位邀約，DMM Bitcoin 是一份編程測試，Bybit 是開發者機器上的一個應用，幣安是一臺運維終端。簽名基礎設施在本次事件中被用於提交未經授權的提幣交易，而完成這一步所依賴的 EIP-7702 委託授權機制屬於以太坊的協議級功能，不是漏洞。真正被突破的始終是人與權限的邊界。
資金去向
波場鏈上的自動化分發
按鏈上分析師 SomaXBT 在安全聯盟 SEAL 框架下公佈的統計，波場鏈上被轉出約 6.28 億美元，Tether 凍結 3.787 億 USDT 之後，可動用部分約 2.49 億美元，其中約 2.42 億美元在兩天內完成移動。這 2.42 億美元中，約 1.94 億美元通過跨鏈橋與兌換服務離開波場，約 2,600 萬美元留在鏈上，約 2,200 萬美元消耗於手續費、滑點與價格波動。
離開波場的路徑 | 金額 | 鏈上細節 |
繼電器 | 約 4,800 萬美元 | 3,764 萬 USDT 與 3,928 萬 TRX，分 735 筆存入 |
THORChain | 約 4,400 萬美元 | 1.851 億 TRX 與 383 萬 USDT，分 2,697 筆存入 |
鏈式 | 約 3,210 萬美元 | 4,947 萬 USDT 分 571 筆存入，其中 1,791 萬 USDT 因兌換失敗退回新錢包後重新發送 |
比特幣錢包 | 約 4,170 萬美元 | 去向尚未確認 |
共生 | 約 1,600 萬美元 | 4,971 萬 TRX，分 1,367 筆小額存入 |
上述均爲被洗錢方使用的第三方服務，服務本身不是事件的參與方。筆數與金額的分佈說明了操作方式：Symbiosis 的 1,367 筆與 THORChain 的 2,697 筆都是把大額拆成小額連續投遞，而 Chainflip 路徑上出現的失敗後自動重發，表明整個流程由程序而非人工驅動。
此外，Chainalysis 觀察到穩定幣被存入波場上的 DeFi 協議以換取無法被凍結的憑證代幣，其他分析將該協議指向 JustLend；TRM Labs 記錄到 3 億 USDT 進入一個隨後開始向 JustLend 供應資金的錢包。Tronscan 的數據顯示約 2.34 億 USDT 被兌換爲 TRX，另有 6,599 萬 USDT 被髮送至一個已被凍結的錢包。
爲什麼要把穩定幣換掉
兌換本身是凍結機制的直接產物。穩定幣由發行方鑄造，合約中保留了將地址列入黑名單的函數，發行方可以單方面調用；TRX、ETH 與 BTC 沒有發行方，也就不存在對應的開關。本次事件中穩定幣部分的凍結比例遠高於原生資產，攻擊者在凍結生效前以折價拋售 USDT 換入 ETH，之後又在波場上把 USDT 換成 TRX 與 DeFi 憑證代幣，都是同一邏輯的延續：把可凍結資產換成不可凍結資產，代價是手續費與滑點。按 SomaXBT 的統計，僅 THORChain 一條路徑上損耗約 12%。
節奏本身是證據
Elliptic 記錄的分發節奏具有機器特徵：主錢包每次補入約 4,000 萬美元，出金速度維持在每小時 700 萬至 1,100 萬美元，一夜之間約 1.96 億美元分發至約 200 個錢包；THORChain 上的兌換以每兩小時約 100 筆的頻率進行，金額反覆複用，其中一個數值出現了 19 次。當某條跨鏈橋拒絕存入時，資金會自動由新錢包向同一目標重新發送。Robinson 特別指出這並非 AI 代理在運作，而 Bybit 事件中的洗錢"遵循人類的作息規律"。差別在於本次流程已被完全腳本化。
THORChain 的意外暫停
10 月 31 日 11:34 UTC，以太坊上發生一次單區塊重組，移除了一筆 THORChain 已經計入的 10 ETH 存款。該筆兌換隨後因未達到價格限制而觸發退款，系統退還了金庫實際從未收到的資金，同時也退還了發送方的真實存款，10 ETH 被支付了兩次。這筆多餘的支出觸發了自動暫停。
節點運營方隨後暫停了涉及 13 條連接網絡中 10 條的兌換，包括比特幣、以太坊、Solana 與波場，Avalanche、Base 與 XRP 上的交易繼續運行。波場自 10 月 31 日中午前後即處於暫停狀態，截至 11 月 1 日美東時間 13:20 仍未恢復。THORChain 方面表示，各節點"將在認爲安全時自行決定重新啓用各條鏈"。
Chainalysis 對這次暫停的評價是，它"在無意中延遲了相當一部分幣安失竊資金的洗錢進程"，因爲暫停"阻止了包括朝鮮洗錢者在內的所有用戶使用跨鏈兌換"。這句話裏的"所有用戶"是關鍵：去中心化協議無法只對特定地址關閉，攔截與中斷在這裏是同一個動作。THORChain 技術聯合創始人 Chad Barraford 對 FBI 的攔截請求迴應稱，"THORNode 運營方掌握的信息，不超過已經公開且可實時獲取的範圍"，並未說明節點是否會執行攔截。跨鏈兌換服務 Symbiosis 則表示"部分機制存在缺口"，正在"邊做邊補"。
幣安的處置與用戶動向
幣安在 10 月 31 日表示已劃撥超過 63.4 億美元公司資金用於承擔損失，並以公司資金購入代幣補足了約 90% 的被盜資產，剩餘約 10% 流動性較差，籌措所需數量需要更長時間。該公司在社交平臺的表述是："我們的承諾不變，幣安將完全承擔本次事件中被盜資金的財務影響。"
11 月 1 日，提現分階段恢復，首個階段自比特幣開始，窗口爲格林尼治時間 06:00 至 15:30。幣安公佈的數據顯示，該窗口內處理提現 46.5 億美元、存入 10.1 億美元，淨流出 36.4 億美元，按其說法約相當於平臺在管資產的 2.1%。同日該公司稱被盜資產的補足比例已達 95%。
淨流出的規模說明了一部分用戶的選擇。對準備把資產分散到其他平臺的用戶來說，轉移之前需要確認的通常是目標平臺是否支持自己持有的幣種，以及轉入後能否繼續做合約與理財，資產支持查詢上傳一張持倉截圖即可得到現貨、合約、理財三項的支持情況，無需登錄也不索取賬戶權限。若要在費率與可用地區層面做橫向比較，八家交易所的對比按標準檔費率、首個可達的折扣門檻與地區可用性逐項列出，比單看掛牌費率更接近實際成本。至於補足之後賬目是否重新平衡，判斷依據是事件後的第一份儲備證明，這類報告的結構與可覈對的部分可參考 MEXC 的儲備證明頁面。
James Mitchell 獨家觀點
執法機構的正式歸因改變的不是事實，而是責任鏈條。在 FBI 通告之前，朝鮮方向的判斷來自 TRM Labs、Chainalysis 與 Elliptic，這些是商業機構的分析結論；通告發布之後，攔截請求具備了執法背書，服務提供商在收到明確清單後繼續放行的行爲性質也隨之改變。這是通告真正的作用，它把一個技術判斷變成了合規義務的觸發點。
但通告暴露的覆蓋缺口同樣值得注意。628 個地址裏沒有一個波場地址，而波場是本次洗錢量最大的一條鏈，僅兩天內就有約 2.42 億美元完成移動。地址清單天然滯後於資金移動，當分發由腳本驅動、接收錢包在兩分鐘內即完成轉出時，靜態清單的有效期以分鐘計。這不是執法機構的疏漏，而是這類對抗的結構性特徵。
我認爲本次事件最值得記住的一點與 THORChain 有關。真正中斷洗錢的不是任何一方的攔截決定，而是一次以太坊區塊重組引發的退款缺陷觸發的自動暫停。一個純屬意外的技術故障，效果超過了所有主動措施。這件事同時說明了去中心化協議在這類場景下的兩難：它無法針對特定地址關閉，要麼全開，要麼全關。在可預見的將來，跨鏈兌換環節的治理方式會是這次事件留下的最長期的議題，而不是歸因本身。
常見問題
FBI 是否正式確認朝鮮爲幣安事件主使？
是。聯邦調查局於 2026 年 10 月 31 日會同特勤局與國稅局刑事調查部門發佈通告，將事件歸因於朝鮮黑客組織 TraderTraitor，並公佈 628 個相關地址，表述涉案金額爲超過 60 億美元。
TraderTraitor 是什麼組織？
美國政府給出的代號，指向 Lazarus 體系下一個以牟利爲目標的子集團，別名包括 APT38、BlueNoroff 與 Stardust Chollima。此前被歸因於該組織的案件包括 2022 年 Ronin Network 約 6.2 億美元、2024 年 DMM Bitcoin 約 3.08 億美元與 2025 年 2 月 Bybit 約 15 億美元。
被盜的錢現在在哪裏？
分佈在 11 條鏈上，Elliptic 覈實的凍結金額約 28.5 億美元。波場鏈上被轉出約 6.28 億美元，Tether 凍結 3.787 億 USDT 後，剩餘部分中約 2.42 億美元在兩天內通過 Relay、THORChain、Chainflip、Symbiosis 等跨鏈服務移出，另有約 4,170 萬美元經由 Bitget Wallet，去向尚未確認。
爲什麼攻擊者要把穩定幣換成其他資產？
穩定幣由發行方鑄造，合約中保留了將地址列入黑名單的函數，發行方可單方面凍結；TRX、ETH 與 BTC 沒有發行方，不存在對應機制。把可凍結資產換成不可凍結資產的代價是手續費與滑點，僅 THORChain 一條路徑上的損耗就約爲 12%。
THORChain 爲什麼暫停？
10 月 31 日 11:34 UTC 以太坊發生單區塊重組，移除了一筆已被計入的 10 ETH 存款，隨後的退款流程重複支付了這 10 ETH，觸發自動暫停。節點運營方隨後暫停了 13 條連接網絡中 10 條的兌換。Chainalysis 表示這次暫停在無意中延遲了相當一部分失竊資金的洗錢進程。
幣安的提現恢復了嗎？
11 月 1 日分階段恢復，首個階段自比特幣開始，窗口爲格林尼治時間 06:00 至 15:30。該窗口內幣安處理提現 46.5 億美元、存入 10.1 億美元，淨流出 36.4 億美元。
用戶的資產有損失嗎？
幣安表示已劃撥超過 63.4 億美元公司資金承擔損失，10 月 31 日稱已補足約 90% 的被盜資產，11 月 1 日稱比例達到 95%，剩餘部分流動性較差，籌措需要更長時間。
FBI 公佈的地址清單能攔住資金嗎？
作用有限。清單覆蓋以太坊、比特幣與 Solana，不含波場地址，而波場是本次洗錢量最大的一條鏈。分發由程序驅動，接收錢包通常在約兩分鐘內轉出，靜態清單的有效期因此很短。清單的主要意義在於爲服務提供商確立了明確的合規依據。
這次洗錢與此前案件有什麼不同？
節奏完全腳本化。Elliptic 記錄到主錢包連續 31 小時每小時出金，金額與路徑反覆複用，跨鏈橋拒絕存入時由新錢包自動重發。該機構指出，Bybit 事件中的洗錢仍遵循人類作息規律，本次則沒有這一特徵。
免責聲明
本文僅供一般信息參考，不構成投資、財務、法律或稅務建議。文中數據截至 2026 年 11 月 2 日 08:30 UTC，調查與資金追蹤仍在進行，相關金額、歸因結論與服務狀態可能隨官方後續披露而變化。加密資產波動劇烈，可能造成超出本金的損失。讀者應自行覈實原始披露內容並獨立判斷，必要時諮詢具備相應資質的專業人士。
關於作者
James Mitchell 專注於比特幣和山寨幣的技術分析、市場趨勢及交易策略。他常駐倫敦，擁有超過 10 年的金融市場經驗。加入 MEXC Learn 之前，James 曾在一家歐洲領先的投資機構擔任高級分析師，並在風險管理和量化交易領域積累了專業經驗。
James 於 2017 年開始轉向加密貨幣市場，此後憑藉以數據爲基礎的分析方法逐漸受到關注。他擁有倫敦政治經濟學院金融經濟學碩士學位。其分析框架將傳統技術分析與鏈上指標相結合，旨在爲讀者提供具有實際參考價值的市場洞察。
專業領域：技術分析、市場趨勢與週期、交易策略、比特幣與山寨幣分析、風險管理。
閱讀更多
想最快獲取 MEXC 最新資訊？立即加入我們的官方電報羣！
市場機遇
DigiMaaya實時價格 (EMYA)
$0.02901
$0.02901$0.02901
USD
DigiMaaya (EMYA) 實時價格圖表
本頁面分享的文章均源自公開平台，僅供參考。該內容不代表 MEXC 的立場或觀點。所有版權歸 James Mitchell 所有。如果您認為任何內容侵犯了第三方的權益，請聯絡 service@support.mexc.com 以便及時刪除。 MEXC 不保證任何內容的準確性、完整性或及時性，且不對基於所提供信息而採取的任何行動負責。本內容不構成財務、法律或其他專業建議，亦不應被解釋為 MEXC 的推薦或認可。如需專家見解和深入分析，請造訪 MEXC 學院。
DigiMaaya 最新動態
查看更多
Coldcard Mk3 警告隨 $38M Bitcoin 掃蕩而來，但原因仍未確認
比特幣硬體錢包製造商 Coinkite 已警告用戶，Coldcard 裝置存在種子生成問題，影響範圍涵蓋所有 4.0.1 及更高版本的 Mk3 韌體。此警告是在安全研究人員調查一宗涉及 594.48 BTC（價值約 3,800 萬美元）的協調性盜取事件時出現的。然而，目前尚無公開的技術證據證實 Coldcard 的問題導致了這些轉帳。
2026/07/31
Bitget 將退出日本：日本居民服務將於 2026 年 12 月 31 日終止
Bitget 將於 2026 年 12 月 31 日終止對日本用戶的服務。受影響的用戶必須在截止日期前平倉並提取資產。
2026/08/04
Mastercard 完成對 BVNK 的收購，金額高達 18 億美元——穩定幣進入全球支付核心
Mastercard 於三月宣布該交易後，已於 2026 年 8 月 3 日（UTC +8）完成對穩定幣基礎設施供應商 BVNK 的收購。
2026/08/04
您可能也會喜歡
熱門
目前熱門備受市場關注的加密貨幣
加密貨幣價格
按交易量計算交易量最大的加密貨幣