幣安駭客洗錢新招：用迷因幣搬走 43 萬美元

根據 Elliptic 的說法，與北韓有關的洗錢者創建了用完即棄的迷因幣，透過去中心化交易所資金池，從幣安 64 億美元駭客事件中轉移了約 43 萬美元。

Elliptic 在 Tom Robinson 於 11 月 9 日發表的報告中表示，操作者在 11 月 5 日至 7 日期間鑄造了 FUK、OLCCL、MEILI、MMLI、DABI 和 SINU。每種代幣的創建成本約為 25 枚 NEAR，即 90 美元。

操作者將他們的代幣與 NEAR 配對，放入各自的交易池中，然後透過這些池子轉移了約 117,000 枚被盜的 NEAR。Tron 上也出現了類似活動，而一條相關的 Solana 路徑則使用了現有的、交易量稀少的代幣。

迷因幣池讓轉帳看起來像交易

在 Robinson 的描述中，一組錢包使用被盜的加密貨幣購買這些代幣，而另一組錢包則將代幣賣入同一個池中並收取真實資產。由於錢包之間隔著這個池子，這些錢包並未直接轉移資金。

因此，收款帳戶可能看起來像是在獲利了結的交易者。Robinson 警告，合規團隊不應僅因為資金來自流動性池就假定其為乾淨資金。

「線索仍然可以在鏈上追蹤，」報告寫道。

這種手法早於此次盜竊：Elliptic 在 2025 年 Bybit 駭客事件後發現了其使用。其所述效果是拖延調查人員，而廉價創建的代幣在使用後即被丟棄。

幣安洗錢活動觸及 Tornado Cash

Elliptic 另一份於 11 月 9 日 13:15 UTC 更新的洗錢追蹤器顯示，該行動涉及 16 條區塊鏈上的超過 20,000 個錢包。其統計涵蓋至少 36 項服務和 65,000 筆交易。

自 11 月 8 日以來，與此次盜竊相關的錢包已向 Tornado Cash 存入約 7,000 枚 ETH，價值 1,500 萬美元。部分存款來自已經過 coinjoin 交易、隨後又被兌換回 ETH 的比特幣。

在整個行動中，約 3,000 枚 BTC（價值 2.25 億美元）在從其他被盜資產兌換後，已累積到新地址中。根據該追蹤器，主要的比特幣和以太幣持倉尚未移動。

約 30 億美元仍留在與盜竊相關的地址中，而 28.5 億美元已被凍結。Elliptic 估計，可能只有微不足道的金額已被變現。

該追蹤器表示，FBI 於 10 月 31 日將此次盜竊歸因於 TraderTraitor，並敦促包括 THORChain 操作者在內的各項服務封鎖相關交易。

幣安將入侵追溯到員工電腦

幣安 11 月 3 日的說明描述了長達數月的入侵，涉及開發者軟體、虛假招聘面試以及對內部系統的存取，正如 crypto.news 先前報導的那樣。

該交易所表示，6 月一次涉及被篡改的 Homebrew 安裝的較早遭遇，暴露了一名工程師的角色及其同事。

在 9 月的一次面試過程中，一名工程師將一份作業儲存庫下載到工作電腦上。據該交易所稱，惡意程式碼替換了一個合法的開發工具，並逃過了其端點安全系統的偵測。

10 月 20 日，攻擊者利用這台遭入侵的電腦和一個內部 AI 工具，進入了兩名錢包工程師的機器。被竊取的容器部署憑證隨後提供了對錢包簽名操作的存取權限。

該交易所將影響金額定為 63.4 億美元，並表示已撥出超過全額的資金來彌補損失。

獨立的技術調查結果描述了惡意的 EIP-7702 權限如何使一個以太坊錢包得以執行攻擊者控制的程式碼。Blockaid 識別出在單一交易中提交了 50 筆授權，其中一筆成功匹配了 Binance 14 錢包的交易計數器。

由於該錢包當時正在積極處理提款，其計數器持續變動。Blockaid 表示，這些授權涵蓋了連續的計數器數值，使攻擊者在交易執行時有多個機會匹配該數值。

Binance 的初步調查表示，並未發現任何錢包私鑰洩漏的證據。

被凍結的 Arbitrum 資金需要治理投票

追回工作包括 11 月 5 日提出的一項請求，要求返還被凍結的資產，其中包括被凍結在 Arbitrum 上的 8,425.997 ETH 和 7,456 萬 ARB。

該網路的安全委員會臨時升級了一份合約，將這些資產轉移至一個凍結地址，隨後恢復了原始實作。再次轉移這些餘額需要 DAO 的批准。

Binance 提議透過臨時合約升級來返還現有的凍結資產，而不尋求新的財庫撥款。根據該提案，追回的資產可涵蓋事件相關成本，並補充已用於補償客戶的儲備。

該交易所估計討論、投票和執行需要七週或更長時間。其擬定的時程包括一週的論壇討論、為期一週的溫度檢查、為期兩週的鏈上投票，以及批准後約 18 天再進行執行。