北韓 4 天開 1.2 萬個錢包洗幣安贓款，Elliptic：已開始混幣
北韓駭客盜走幣安逾 60 億美元後，不到 4 天就動用約 1.2 萬個錢包洗錢，在 11 條鏈上送出逾 4 萬筆交易，平均每 25 秒開一個新錢包。11 月 1 日起，部分贓款首度被送進比特幣混幣交易。
區塊鏈分析公司 Elliptic 估計，仍有約 32.4 億美元留在與竊案相關的地址，主要是 ETH 與比特幣，大多還沒開始洗；真正換成現金的金額可能「微乎其微」。
Elliptic 預期，攻擊者會照 2025 年 Bybit 案的路數，把 ETH 分批換成比特幣，再用幾個月時間經場外交易商與交易所換成現金。
廣告 - 內文未完請往下捲動
以太坊 USDT 37 分鐘就被凍結，攻擊者在各鏈搶先換走約 7.86 億美元穩定幣
攻擊者在台灣時間 10 月 30 日凌晨 4 點 05 分到 7 點 56 分之間，從 11 條鏈轉走資產，其中約 34.6 億美元（54%）是 USDT 與 USDC 等穩定幣。穩定幣可以被發行商凍結，攻擊者第一步就是搶在凍結前換成 ETH 與 TRX 這類凍不住的資產。
以太坊上，Tether 在 USDT 進到攻擊者錢包 37 分鐘後凍結。在那之前，攻擊者已在 Uniswap 等去中心化交易所把 4.34 億枚 USDT 換成 ETH，又用 5,990 萬枚 USDT 當抵押，在借貸協議 Aave 借出 19,762 枚 ETH。
Tron 上，攻擊者經 SunSwap 換掉 2.34 億枚 USDT，其餘被 Tether 凍結。Circle 則趕在被盜的 8.23 億枚 USDC 被換掉前全數凍結。
合計約 7.86 億美元的穩定幣搶在凍結前被換掉，被凍結或扣押的資產則有 28.5 億美元。被盜的 18,270 枚比特幣在同一個半小時內被拆進 19 個地址，之後就沒再動過。
Tron 上拆進約 7,700 個地址，再經跨鏈橋換回 ETH
洗錢的主戰場在 Tron。台灣時間 30 日上午 10 點 19 分起，一個分發錢包把攻擊者的 6.846 億枚 TRX 以小額分批打到數百個新地址，最後擴散到約 7,700 個地址。經跨鏈橋流出 Tron 的 TRX 幾乎都換成以太坊上的 ETH，至少已有 1.47 億美元橋出。
這條路線經 THORChain 等服務流出的經過，見北韓兩天洗出 2.4 億美元幣安贓款。
31 日起攻擊者加開新路線：部分 TRX 換成標榜「免凍結」的穩定幣 USDD；另有一個地址把 1.28 億枚 TRX 存進借貸平台 JustLend 的資金池，再提領到 16 個新地址，存款與提款之間沒有直接轉帳可以串起來。
分發錢包的速度也從 30 日多數時段每小時不到 1,200 萬枚 TRX，加快到 31 日最高每小時 3,700 萬枚，連續兩個平壤夜晚都沒停。這個錢包在 51 小時內轉出 1,113 筆，最後一筆在台灣時間 11 月 1 日下午 1 點 33 分。
抵達以太坊的 ETH 被轉進新地址後就停住。目前約 68,700 枚 ETH 分散在約 850 個地址，多數各放 10 到 100 枚；握有攻擊者 89% ETH 的 9 個最大地址，30 日之後都沒動過。
外界猜測是 AI 代理在搬錢，Elliptic 判斷是一般的自動化程式：時間間隔與金額固定、失敗就盲目重試、新手法隔幾小時分階段上線，中間還有像人類作息的停頓。光是 Tron 上就有約 3.2 萬筆交易，尖峰一小時約 1,300 筆，每一美元平均被轉手約 9 次。
28 枚比特幣送進 18 筆混幣交易，2.33 億枚 XRP 首度移動
Tron 上的分發停下後，其他鏈接著動。台灣時間 11 月 1 日下午 3 點起，NEAR 被轉到新帳戶，之後沒再動；下午 4 點 19 分起，部分停放的 ETH 以每批約 10 枚的方式重新移動；下午 5 點 38 分起，約一半的 SOL 轉到一個新地址，之後陸續被小額拆出。
混幣也在同一天開始。下午 1 點 55 分起，由 Tron 贓款換成的比特幣開始送進採用 WabiSabi 協定的混幣交易，Wasabi 錢包等錢包都用這套協定；當天稍晚，部分停放的 ETH 也換成比特幣，多數同樣送去混幣。
到台灣時間 2 日下午 2 點 02 分，約 28 枚比特幣（約 220 萬美元）已經過 18 筆混幣交易。混幣交易把許多用戶的比特幣併進同一筆交易，切斷進出款項之間看得到的關聯，這次每筆有 101 到 491 個輸入。
2 日上午 10 點 12 分到中午 12 點，被盜的 2.33 億枚 XRP 自案發後首度移動，全數轉到 6 個新地址後停住。Solana 上，攻擊者把 SOL 換成 USDC 再換回來，也像在 Tron 上一樣借道借貸資金池，從一個地址存入、另一個地址提出。
Elliptic 指出，拆分地址、經至少 7 座跨鏈橋換鏈、在去中心化交易所換幣、借道借貸資金池與混幣都不是新招，但疊在一起讓資金更難追。拆成小額也讓兌換時不會推動價格，較不容易被篩查入金的交易所注意，還能自己決定分批洗的節奏。
Elliptic 也提醒，有第三方從長相相近的地址把假代幣打到攻擊者地址，這類地址投毒詐騙並不是攻擊者所為。
32.4 億美元仍在相關地址，Bybit 案贓款最後經場外交易商出金
Elliptic 估計被盜的 64.3 億美元中（幣安自己的估計約 63 億美元），28.5 億美元已凍結，約 32.4 億美元仍留在與竊案相關的地址。其中大部分還沒開始洗，也就是那批比特幣，以及 9 個最大地址裡的 ETH。
Elliptic 判斷，這些沒動的資金很可能仍在北韓手上，已在洗的部分則未必。北韓過去曾把贓款交給中國的洗錢網路，鏈上資料看不出這次是否也是如此。另有約 1,600 萬美元流進同樣存放 Bitget 9 月駭案贓款的地址，那起駭案也被認為是北韓駭客組織 TraderTraitor 所為。
目前發生的多半只是換幣，資金仍在公開區塊鏈上、仍在與竊案相關的地址裡。要換成能花的錢，攻擊者得找中心化交易所或場外交易商當對手方，那也是資金可能被認出並攔下的地方。
2025 年 2 月 Bybit 遭駭後，北韓 10 天內就把 49.9 萬枚被盜 ETH 洗完，主要換成比特幣，但換成現金又花了好幾個月。Elliptic 追到那批資金最後在 Tron 上換成 USDT，經疑似中國的場外交易服務出金，這些交易商在鏈下付款給賣方，鏈上的軌跡就斷在他們手上。
Elliptic 認為幣安案目前洗得比較慢：ETH 與比特幣凍不住，攻擊者不急；金額是 Bybit 案的兩倍以上，急著換會在兌換上損失慘重；FBI 公布攻擊者地址後，各服務也都在盯。Elliptic 預期 ETH 會分成許多小額交易換成比特幣，再用幾個月時間經場外交易商換成現金。
已凍結的 44% 本身就不尋常，Bybit 案只凍結約 3%。Elliptic 認為後續要再凍結會更難，剩下的機會在轉移途中短暫停留的穩定幣，以及換現時必經的中心化服務；Elliptic 的警示已促成部分穩定幣凍結。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
