币安黑客洗钱新招：用迷因币转移43万美元

据Elliptic称，与朝鲜有关联的洗钱者创建了一次性模因币，通过去中心化交易所资金池转移了约43万美元，这些资金来自64亿美元的币安黑客事件。

Elliptic在Tom Robinson于11月9日发布的报告中表示，操作者于11月5日至7日期间铸造了FUK、OLCCL、MEILI、MMLI、DABI和SINU。每种代币的创建成本约为25枚NEAR，即90美元。

操作者将他们的代币与NEAR配对放入各自的交易池，然后通过它们转移了约117,000枚被盗NEAR。类似活动也出现在Tron上，而一条相关的Solana路径则使用了现有的、交易量稀少的代币。

模因币资金池让转账看起来像交易

在Robinson的描述中，一组钱包使用被盗加密货币购买这些代币，而另一组钱包则将代币卖入同一资金池并收取真实资产。由于资金池位于两者之间，这些钱包并未直接转移资金。

因此，接收账户可能看起来像获利了结的交易者。Robinson警告称，合规团队不应仅仅因为资金来自流动性池就假定这些资金是干净的。

“链上痕迹仍然可以被追踪，”报告称。

该手法早于此次盗窃：Elliptic在2025年Bybit黑客事件后发现了其使用情况。据称其效果是拖延调查人员，廉价创建的代币在使用后即被丢弃。

币安洗钱活动触及Tornado Cash

Elliptic另一份于11月9日13:15 UTC更新的洗钱追踪器显示，该行动涉及16条区块链上的超过20,000个钱包。其统计涵盖至少36项服务和65,000笔交易。

自11月8日以来，与此次盗窃有关的钱包已向Tornado Cash存入约7,000枚ETH，价值1,500万美元。部分存款来自已经通过coinjoin交易、随后又被转换回ETH的比特币。

在整个行动中，约3,000枚BTC（价值2.25亿美元）在从其他被盗资产转换后积累到了新地址中。据追踪器称，主要的比特币和以太坊持仓尚未移动。

约30亿美元仍留在与盗窃有关的地址中，而28.5亿美元已被冻结。Elliptic估计，可能只有极少量资金被套现。

追踪器称，FBI于10月31日将此次盗窃归咎于TraderTraitor，并敦促包括THORChain运营者在内的各项服务阻止相关交易。

币安将入侵追溯到员工电脑

正如crypto.news此前报道的那样，币安11月3日的说明描述了一次持续数月的入侵，涉及开发者软件、虚假招聘面试以及对内部系统的访问。

该交易所表示，6月，一次涉及被篡改的Homebrew安装的早期遭遇暴露了一名工程师的角色及其同事。

在9月的一次面试流程中，一名工程师将一份作业代码库下载到了工作电脑上。据该交易所称，恶意代码替换了一个合法的开发工具，并逃过了其端点安全系统的检测。

10月20日，攻击者利用被入侵的电脑和一个内部AI工具进入了两个钱包工程师的机器。被盗的容器部署凭据随后提供了对钱包签名操作的访问权限。

该交易所将影响定为63.4亿美元，并表示已预留超过全额的资金以覆盖损失。

独立的技术调查结果描述了恶意的 EIP-7702 权限如何使一个以太坊钱包能够执行攻击者控制的代码。Blockaid 识别出在一笔交易中提交了 50 项授权，其中一项成功匹配了币安 14 号钱包的交易计数器。

由于该钱包当时正在积极处理提款，其计数器不断变化。Blockaid 表示，这些授权覆盖了连续的计数器值，使攻击者在交易执行时拥有多次匹配该值的机会。

币安的初步调查表示，未发现任何钱包私钥泄露的证据。

被冻结的 Arbitrum 资金需要治理投票

追回工作包括 11 月 5 日提出的一项请求，要求返还被冻结的资产，其中包括被冻结在 Arbitrum 上的 8,425.997 ETH 和 7,456 万 ARB。

该网络的安全委员会临时升级了一份合约，将资产转移至一个冻结地址，随后恢复了原始实现。再次转移这些余额需要 DAO 批准。

币安提议通过临时合约升级返还现有的被冻结资产，而不寻求新的国库拨款。根据该提案，追回的资产可用于覆盖事件相关成本，并补充已用于补偿客户的储备金。

该交易所估计讨论、投票和执行需要七周或更长时间。其提议的时间表包括一周的论坛讨论、为期一周的温度检查、为期两周的链上投票，以及在批准后执行前大约还需 18 天。