鏈上偵探ZachXBT：FTX駭客真有其人，別跟巴哈馬政府搞混了！

FTX 申告破產後，傳出駭客或內部盜走資金的事件，有數億美金資產遭轉移，並於中心化與去中心化平台變賣。關於這件事的後續，有多種說法：

(1) 巴哈馬政府要求轉移

11/11 FTX 官方與前員工表示為配合巴哈馬政府監管所為，11/13 巴哈馬當局出面否認有指示 FTX，11/18 巴哈馬再出面承認於 11/12 控制部分 FTX 資產。

(2) 前員工或駭客所為

事件發生時，FTX 官方表示此非授權交易，前任執行長 SBF 受訪時也表示，不是前員工就是員工電腦遭植入惡意軟體。

無論如何，在鏈上被標記「搶奪」的地址，仍在轉換盜來的各種資產。據巴哈馬政府陳述，他們保管的數位資產是存放於託管商 Fireblocks 的帳戶 ; 因此可知，不可能又再鏈上進行各種換鏈與變賣的行動。

(3) 交易所 Kraken 已掌握駭客身份

一位投資公司創辦人引述資安公司說法，表示 FTX 未授權交易事件，很可能是源自一位經驗不足的內部人員(原文是寫insider)，他有使用美國交易所 Kraken 來釋出資金。雖然這樣說的沒頭沒尾，但 Kraken 的資安長在底下回覆：我們知道那位用戶的身分。

(4) 被誤傳的 FTX 駭客身份

網路新聞指稱：「駭客遭爆是 FTX 前工程師 Samuel Hyde」但 Samuel Hyde 其實是美國喜劇演員，由推特號 @tittyrespecter 傳出的 FTX 駭客照片，其實只是迷因圖片。

因為有諸多流言瘋傳，著名鏈上偵探的 ZachXBT 做了詳細的分析，來破除「駭客 = 巴哈馬政府」、「Kraken 掌握駭客身份」等誤導資訊。

駭客地址 0X59 既不屬於 FTX 也不是巴哈馬

ZachXBT 表示，地址 0X59 曾是個黑客，他既不是巴哈馬官方，也不是 FTX 團隊。(ZachXBT 提到的地址)

證明這件事的線索是從他 11/12 開始用各種跨鏈橋，來賣 ETH、DAI 跟 BNB，讓這些幣沒有辦法被凍結開始。ZachXBT 強調 0X59 在鏈上兑幣時發生的高度滑價，例如他將 AAVE 賣掉時，滑價了高達四百萬美元。

2/ The first clue that 0x59 was a blackhat and neither Bahamian officials or FTX team was when 0x59 began selling tokens for ETH, DAI, and BNB and using a variety of bridges so crypto couldn’t be frozen on 11/12.

Also look at the slippage on some of these swaps pic.twitter.com/SwKYyBOox2

— ZachXBT (@zachxbt) November 20, 2022

變賣資產模式是 ZachXBT 判斷的關鍵。他表示，0x59 的行為模式跟其他從 FTX 提取的地址不一樣，其他地址是有多簽來保管資金，而 0x59 會賣掉代幣，並且偶爾將資產跨到別的鏈上。

第二個線索：採用可疑服務

0x59 在 11/12 曾經透過 BNB Chain 將 3168 個 BNB 轉到 0x24 開頭的地址，再轉到火幣交易所。而這個 0x24 地址就有用過一些可疑的小交易所：俄羅斯交易所 Laslobit。

第三個線索：資金洗到 Ren 跨鏈橋

0x59 將 ETH 轉換成 renBTC，接著使用 REN 跨鏈橋。這很明顯就是希望透過跨鏈來清洗資金。(另註：Ren Protocol 在 2021 年初被 Alameda 收購)

澄清誤會：Kraken 掌握到的並非駭客

ZachXBT 表示，有許多誤導資訊認為，Kraken 或是其他交易所已經找到駭客，但其實是 FTX 透過多簽地址將資金轉移到 TRON 鏈上錢包。之所以 Kraken 會被用到，是因為 FTX 的熱錢包缺少 TRX 作為 Gas 費用。同樣的行為模式在另一個多簽地址 0x97 上面也有見到。

多簽地址的資金轉移僅為保護資金

ZachXBT 表示，這些多簽地址的轉移，與 FTX 法務顧問表示，基於防禦考量，已開始將所有數位資產轉移至冷儲存一事相吻合。而且這些動作也都在 0x59 發生之後。

駭客沒有在交易迷因幣

ZachXBT 也想破除人們對駭客有在交易迷因幣的傳聞。事實上，這只是一種透過智能合約，來欺騙區塊瀏覽器 EtherScan 錯誤顯示代幣發送者的伎倆。

審視你看到的資訊，慎選媒體

ZachXBT 表示，一定要審視自己接收到的資訊，很多人都在利用 FTX 事件在亂編故事。