概述美国联邦调查局在 2026 年 10 月 31 日发布通告，将币安 10 月 29 日的资产失窃事件归因于朝鲜黑客组织 TraderTraitor，并与特勤局、国税局刑事调查部门联合公布了 628 个相关地址，其中以太坊地址 608 个、比特币地址 19 个、Solana 地址 1 个。通告请求加密企业与基础设施运营方拦截涉及这些地址的交易，包括由其衍生的资金。这是本次事件从链上机构判断转为概述美国联邦调查局在 2026 年 10 月 31 日发布通告，将币安 10 月 29 日的资产失窃事件归因于朝鲜黑客组织 TraderTraitor，并与特勤局、国税局刑事调查部门联合公布了 628 个相关地址，其中以太坊地址 608 个、比特币地址 19 个、Solana 地址 1 个。通告请求加密企业与基础设施运营方拦截涉及这些地址的交易，包括由其衍生的资金。这是本次事件从链上机构判断转为

FBI证实朝鲜黑客策划币安攻击：深度起底TraderTraitor与洗钱路径

#热点话题

2026/11/02 16:40

概述

美国联邦调查局在 2026 年 10 月 31 日发布通告，将币安 10 月 29 日的资产失窃事件归因于朝鲜黑客组织 TraderTraitor，并与特勤局、国税局刑事调查部门联合公布了 628 个相关地址，其中以太坊地址 608 个、比特币地址 19 个、Solana 地址 1 个。通告请求加密企业与基础设施运营方拦截涉及这些地址的交易，包括由其衍生的资金。这是本次事件从链上机构判断转为执法机构正式认定的节点，此前的归因均来自区块链分析公司。

资金的移动方式是这次事件的另一个特征。Elliptic 的追踪显示，波场链上的主分发钱包连续 31 小时每小时出金一次，最长间隔 46 分钟，转账之间几乎不少于 30 秒，接收钱包通常在约两分钟内转出。该机构联合创始人 Tom Robinson 的描述是："模式重复而固定，同样的金额、同样的节奏、同样的路径，一小时接一小时。"这不是人工操作的节律。关于攻击本身如何发生，币安安全事件的时间轴与金额核对另有专文。

核心要点

FBI 的通告将事件归因于 TraderTraitor，并公布 628 个地址，但其中不含波场地址，而波场恰恰是洗钱量最大的一条链。被盗约 64.3 亿美元分布在 11 条链上，Elliptic 核实的冻结金额约 28.5 亿美元。波场链上被转出约 6.28 亿美元，Tether 冻结 3.787 亿 USDT 后剩余约 2.49 亿美元，其中约 2.42 亿美元在两天内完成移动。THORChain 因一次以太坊区块重组触发的双重退款缺陷自动暂停，意外中断了跨链兑换通道。币安已于 11 月 1 日分阶段恢复提现，首日净流出 36.4 亿美元，并称已补足约 95% 的被盗资产。

FBI 通告的内容

通告由联邦调查局会同特勤局与国税局刑事调查部门于 10 月 31 日发布，认定失窃资产"由 TraderTraitor 黑客操作或与其密切关联"，涉案金额表述为"超过 60 亿美元"，与币安自报的约 63 亿美元、Elliptic 统计的约 64.3 亿美元属于不同口径的同一事件。

请求拦截的对象列举得相当具体：THORNode 运营方、RPC 节点运营方、即时兑换服务、DeFi 服务、区块链分析公司及其他虚拟资产服务提供商。这份名单本身说明了执法机构对资金去向的预判，即后续洗钱将主要通过去中心化金融协议与即时兑换服务完成，而非传统交易所。通告同时指出，已观察到被盗资产主要被兑换为以太币。

公布的 628 个地址中没有波场地址，这是通告在覆盖范围上的一处空缺。按链上分析，波场是本次洗钱规模最大的一条链，而地址清单只覆盖以太坊、比特币与 Solana。

TraderTraitor 的履历

TraderTraitor 是美国政府给出的代号，指向 Lazarus 体系下一个以牟利为目标的子集团，关联别名包括 APT38、BlueNoroff 与 Stardust Chollima，这组对应关系在 2022 年 4 月 FBI、CISA 与美国财政部的联合通告中确认。其他安全机构使用的名称还有 UNC4899 与 Jade Sleet。

时间	目标	金额	初始入口
2022 年	Ronin Network（Axie Infinity）	约 6.2 亿美元	向游戏公司员工投递伪造的职位邀约 PDF
2023 年	区块链与金融科技开发者	未公布	以协作邀请诱导目标引入恶意 npm 包
2023 年 7 月	JumpCloud 的加密行业客户	未公布	攻击身份管理供应商后经其特权通道下发恶意更新
2024 年 3 至 5 月	DMM Bitcoin，经由 Ginco	4,502.9 枚 BTC，约 3.08 亿美元	伪造的 GitHub 编程测试与窃取的会话凭据
2025 年 2 月	Bybit，经由 Safe{Wallet}	超过 40 万枚 ETH，约 15 亿美元	开发者 Mac 上的恶意 Python 应用与窃取的云会话令牌
2026 年 10 月	币安	约 63 亿美元	被入侵的 DevOps 工程师笔记本电脑与服务容器权限

这份履历里有一条贯穿始终的线索：入口几乎全部是掌握特权访问的人，而非密码学或合约本身。Ronin 事件的入口是一份职位邀约，DMM Bitcoin 是一份编程测试，Bybit 是开发者机器上的一个应用，币安是一台运维终端。签名基础设施在本次事件中被用于提交未经授权的提币交易，而完成这一步所依赖的 EIP-7702 委托授权机制属于以太坊的协议级功能，不是漏洞。真正被突破的始终是人与权限的边界。

资金去向

波场链上的自动化分发

按链上分析师 SomaXBT 在安全联盟 SEAL 框架下公布的统计，波场链上被转出约 6.28 亿美元，Tether 冻结 3.787 亿 USDT 之后，可动用部分约 2.49 亿美元，其中约 2.42 亿美元在两天内完成移动。这 2.42 亿美元中，约 1.94 亿美元通过跨链桥与兑换服务离开波场，约 2,600 万美元留在链上，约 2,200 万美元消耗于手续费、滑点与价格波动。

离开波场的路径	金额	链上细节
Relay	约 4,800 万美元	3,764 万 USDT 与 3,928 万 TRX，分 735 笔存入
THORChain	约 4,400 万美元	1.851 亿 TRX 与 383 万 USDT，分 2,697 笔存入
Chainflip	约 3,210 万美元	4,947 万 USDT 分 571 笔存入，其中 1,791 万 USDT 因兑换失败退回新钱包后重新发送
Bitget Wallet	约 4,170 万美元	去向尚未确认
Symbiosis	约 1,600 万美元	4,971 万 TRX，分 1,367 笔小额存入

上述均为被洗钱方使用的第三方服务，服务本身不是事件的参与方。笔数与金额的分布说明了操作方式：Symbiosis 的 1,367 笔与 THORChain 的 2,697 笔都是把大额拆成小额连续投递，而 Chainflip 路径上出现的失败后自动重发，表明整个流程由程序而非人工驱动。

此外，Chainalysis 观察到稳定币被存入波场上的 DeFi 协议以换取无法被冻结的凭证代币，其他分析将该协议指向 JustLend；TRM Labs 记录到 3 亿 USDT 进入一个随后开始向 JustLend 供应资金的钱包。Tronscan 的数据显示约 2.34 亿 USDT 被兑换为 TRX，另有 6,599 万 USDT 被发送至一个已被冻结的钱包。

为什么要把稳定币换掉

兑换本身是冻结机制的直接产物。稳定币由发行方铸造，合约中保留了将地址列入黑名单的函数，发行方可以单方面调用；TRX、ETH 与 BTC 没有发行方，也就不存在对应的开关。本次事件中稳定币部分的冻结比例远高于原生资产，攻击者在冻结生效前以折价抛售 USDT 换入 ETH，之后又在波场上把 USDT 换成 TRX 与 DeFi 凭证代币，都是同一逻辑的延续：把可冻结资产换成不可冻结资产，代价是手续费与滑点。按 SomaXBT 的统计，仅 THORChain 一条路径上损耗约 12%。

节奏本身是证据

Elliptic 记录的分发节奏具有机器特征：主钱包每次补入约 4,000 万美元，出金速度维持在每小时 700 万至 1,100 万美元，一夜之间约 1.96 亿美元分发至约 200 个钱包；THORChain 上的兑换以每两小时约 100 笔的频率进行，金额反复复用，其中一个数值出现了 19 次。当某条跨链桥拒绝存入时，资金会自动由新钱包向同一目标重新发送。Robinson 特别指出这并非 AI 代理在运作，而 Bybit 事件中的洗钱"遵循人类的作息规律"。差别在于本次流程已被完全脚本化。

THORChain 的意外暂停

10 月 31 日 11:34 UTC，以太坊上发生一次单区块重组，移除了一笔 THORChain 已经计入的 10 ETH 存款。该笔兑换随后因未达到价格限制而触发退款，系统退还了金库实际从未收到的资金，同时也退还了发送方的真实存款，10 ETH 被支付了两次。这笔多余的支出触发了自动暂停。

节点运营方随后暂停了涉及 13 条连接网络中 10 条的兑换，包括比特币、以太坊、Solana 与波场，Avalanche、Base 与 XRP 上的交易继续运行。波场自 10 月 31 日中午前后即处于暂停状态，截至 11 月 1 日美东时间 13:20 仍未恢复。THORChain 方面表示，各节点"将在认为安全时自行决定重新启用各条链"。

Chainalysis 对这次暂停的评价是，它"在无意中延迟了相当一部分币安失窃资金的洗钱进程"，因为暂停"阻止了包括朝鲜洗钱者在内的所有用户使用跨链兑换"。这句话里的"所有用户"是关键：去中心化协议无法只对特定地址关闭，拦截与中断在这里是同一个动作。THORChain 技术联合创始人 Chad Barraford 对 FBI 的拦截请求回应称，"THORNode 运营方掌握的信息，不超过已经公开且可实时获取的范围"，并未说明节点是否会执行拦截。跨链兑换服务 Symbiosis 则表示"部分机制存在缺口"，正在"边做边补"。

币安的处置与用户动向

币安在 10 月 31 日表示已划拨超过 63.4 亿美元公司资金用于承担损失，并以公司资金购入代币补足了约 90% 的被盗资产，剩余约 10% 流动性较差，筹措所需数量需要更长时间。该公司在社交平台的表述是："我们的承诺不变，币安将完全承担本次事件中被盗资金的财务影响。"

11 月 1 日，提现分阶段恢复，首个阶段自比特币开始，窗口为格林尼治时间 06:00 至 15:30。币安公布的数据显示，该窗口内处理提现 46.5 亿美元、存入 10.1 亿美元，净流出 36.4 亿美元，按其说法约相当于平台在管资产的 2.1%。同日该公司称被盗资产的补足比例已达 95%。

净流出的规模说明了一部分用户的选择。对准备把资产分散到其他平台的用户来说，转移之前需要确认的通常是目标平台是否支持自己持有的币种，以及转入后能否继续做合约与理财，资产支持查询上传一张持仓截图即可得到现货、合约、理财三项的支持情况，无需登录也不索取账户权限。若要在费率与可用地区层面做横向比较，八家交易所的对比按标准档费率、首个可达的折扣门槛与地区可用性逐项列出，比单看挂牌费率更接近实际成本。至于补足之后账目是否重新平衡，判断依据是事件后的第一份储备证明，这类报告的结构与可核对的部分可参考 MEXC 的储备证明页面。

James Mitchell 独家观点

执法机构的正式归因改变的不是事实，而是责任链条。在 FBI 通告之前，朝鲜方向的判断来自 TRM Labs、Chainalysis 与 Elliptic，这些是商业机构的分析结论；通告发布之后，拦截请求具备了执法背书，服务提供商在收到明确清单后继续放行的行为性质也随之改变。这是通告真正的作用，它把一个技术判断变成了合规义务的触发点。

但通告暴露的覆盖缺口同样值得注意。628 个地址里没有一个波场地址，而波场是本次洗钱量最大的一条链，仅两天内就有约 2.42 亿美元完成移动。地址清单天然滞后于资金移动，当分发由脚本驱动、接收钱包在两分钟内即完成转出时，静态清单的有效期以分钟计。这不是执法机构的疏漏，而是这类对抗的结构性特征。

我认为本次事件最值得记住的一点与 THORChain 有关。真正中断洗钱的不是任何一方的拦截决定，而是一次以太坊区块重组引发的退款缺陷触发的自动暂停。一个纯属意外的技术故障，效果超过了所有主动措施。这件事同时说明了去中心化协议在这类场景下的两难：它无法针对特定地址关闭，要么全开，要么全关。在可预见的将来，跨链兑换环节的治理方式会是这次事件留下的最长期的议题，而不是归因本身。

常见问题

FBI 是否正式确认朝鲜为币安事件主使？

是。联邦调查局于 2026 年 10 月 31 日会同特勤局与国税局刑事调查部门发布通告，将事件归因于朝鲜黑客组织 TraderTraitor，并公布 628 个相关地址，表述涉案金额为超过 60 亿美元。

TraderTraitor 是什么组织？

美国政府给出的代号，指向 Lazarus 体系下一个以牟利为目标的子集团，别名包括 APT38、BlueNoroff 与 Stardust Chollima。此前被归因于该组织的案件包括 2022 年 Ronin Network 约 6.2 亿美元、2024 年 DMM Bitcoin 约 3.08 亿美元与 2025 年 2 月 Bybit 约 15 亿美元。

被盗的钱现在在哪里？

分布在 11 条链上，Elliptic 核实的冻结金额约 28.5 亿美元。波场链上被转出约 6.28 亿美元，Tether 冻结 3.787 亿 USDT 后，剩余部分中约 2.42 亿美元在两天内通过 Relay、THORChain、Chainflip、Symbiosis 等跨链服务移出，另有约 4,170 万美元经由 Bitget Wallet，去向尚未确认。

为什么攻击者要把稳定币换成其他资产？

稳定币由发行方铸造，合约中保留了将地址列入黑名单的函数，发行方可单方面冻结；TRX、ETH 与 BTC 没有发行方，不存在对应机制。把可冻结资产换成不可冻结资产的代价是手续费与滑点，仅 THORChain 一条路径上的损耗就约为 12%。

THORChain 为什么暂停？

10 月 31 日 11:34 UTC 以太坊发生单区块重组，移除了一笔已被计入的 10 ETH 存款，随后的退款流程重复支付了这 10 ETH，触发自动暂停。节点运营方随后暂停了 13 条连接网络中 10 条的兑换。Chainalysis 表示这次暂停在无意中延迟了相当一部分失窃资金的洗钱进程。

币安的提现恢复了吗？

11 月 1 日分阶段恢复，首个阶段自比特币开始，窗口为格林尼治时间 06:00 至 15:30。该窗口内币安处理提现 46.5 亿美元、存入 10.1 亿美元，净流出 36.4 亿美元。

用户的资产有损失吗？

币安表示已划拨超过 63.4 亿美元公司资金承担损失，10 月 31 日称已补足约 90% 的被盗资产，11 月 1 日称比例达到 95%，剩余部分流动性较差，筹措需要更长时间。

FBI 公布的地址清单能拦住资金吗？

作用有限。清单覆盖以太坊、比特币与 Solana，不含波场地址，而波场是本次洗钱量最大的一条链。分发由程序驱动，接收钱包通常在约两分钟内转出，静态清单的有效期因此很短。清单的主要意义在于为服务提供商确立了明确的合规依据。

这次洗钱与此前案件有什么不同？

节奏完全脚本化。Elliptic 记录到主钱包连续 31 小时每小时出金，金额与路径反复复用，跨链桥拒绝存入时由新钱包自动重发。该机构指出，Bybit 事件中的洗钱仍遵循人类作息规律，本次则没有这一特征。

免责声明

本文仅供一般信息参考，不构成投资、财务、法律或税务建议。文中数据截至 2026 年 11 月 2 日 08:30 UTC，调查与资金追踪仍在进行，相关金额、归因结论与服务状态可能随官方后续披露而变化。加密资产波动剧烈，可能造成超出本金的损失。读者应自行核实原始披露内容并独立判断，必要时咨询具备相应资质的专业人士。