30 分钟内 63 亿美元：史上最大盗窃案如何上演

历史上最大规模的金融盗窃事件仅用了不到30分钟。

周四伦敦时间晚上8点刚过，全球最大交易所币安控制的五个加密货币钱包突然被掏空了大约3亿美元的加密代币。在接下来的半小时里，攻击者多次重复这一手法，窃取了令人瞠目结舌的63亿美元比特币、以太坊及其他加密货币。

币安急于止血，加密公司冻结了能冻结的资产。不过，区块链分析公司Elliptic的分析显示，几小时内黑客控制了至少33.3亿美元——使这次黑客成为迄今为止最大的盗窃事件。

康奈尔大学经济学教授埃斯瓦尔·普拉萨德说：“这几乎是任何指标都非常巨大。”

盗窃的规模和速度让币安、其客户甚至最狂热的加密货币爱好者都不禁质疑，这种入侵怎么会发生在全球最大的数字资产交易所。

币安联席首席执行官董理查德周五公开了此次黑客攻击的规模，表示公司正在重建和重新测试其“整个基础设施系统”，并“对整个公司进行全面的安全审查”。

币安联邦调查局和区块链分析公司正竞相追踪资金，试图阻止其被套现。

此次盗窃是最新且规模最大的一波盗窃案，凸显了黑客对加密货币交易所构成的威胁以及朝鲜强大国家支持的黑客产业的能力，而该产业被认为是此次袭击的幕后黑手。

区块链追踪公司Chainalysis全球服务高级总监菲尔·拉拉特说：“规模才是真正的挑战，Chainalysis是一家与币安合作的区块链追踪公司。”他补充说，这名黑客是“国家支持的”，并且“极其复杂”。

抢劫前一天，黑客开始练习，首先通过Tornado Cash向一个在线钱包发送三笔小额加密货币支付，该服务旨在掩盖加密货币来源。Elliptic表示，攻击发生前约四小时，黑客在另外两个加密钱包上测试了针对币安的恶意软件。

黑客具体如何访问这些钱包尚不清楚。币安的初步调查显示，攻击者首先入侵了其一名软件工程师的笔记本电脑，随后提交了“未经授权的提款交易”。

工程师的笔记本电脑是黑客的诱人目标，因为这些员工通常拥有对IT系统多个部分的特权访问权限。

Teng随后表示，攻击者“不仅仅使用了一名工程师的权限，这也不是一次'一键'操作。这涉及更复杂的攻击过程”。公司表示已“发现了更多入侵点”，仍在调查中。

盗窃过程中，速度至关重要。据Elliptic称，63亿美元几乎全部在前30分钟内被盗走，约三小时后晚上11点进行了第二波更小的提款。

约38亿美元的以太坊被盗，黑客利用去年推出的一项新功能夺取了这些资产，该功能旨在让用户能够自动软件授权交易。

Sophos的Rafe Pilling及其他网络安全研究人员表示，此次攻击具备了名为TraderTraitor的组织的所有特征，该组织是一个朝鲜国家支持的实体，曾参与过多起此前的加密盗窃案。

“他们通常从攻破软件开发者或工程师的工作站开始，利用该权限进行侦察并开发技术攻击，”他说。“该团队擅长绘制授权传输所需的技术和业务流程。”

朝鲜是全球加密黑客的领导者。自2023年以来，联邦调查局已将TraderTraitor与至少三起加密货币盗窃案联系起来，包括去年的15亿美元盗窃案来自当时最大的加密货币交易所Bybit。

几乎4亿美元上个月，比特币从加密货币交易所Bitget被盗，这次攻击也与朝鲜黑客有关。Chainalysis的Larratt表示，调查人员发现用于接收Bitget被盗资金的一些钱包现在也包含了币安的资金。

几乎瞬间将数十亿美元资产跨境转移的能力，使加密货币对黑客极具吸引力。之前比特币该项目成立于2009年，黑客可能入侵银行账户，但随后必须通过一系列“骡子账户”网络和复杂的洗钱手段转移资金，比如先购买电子产品再卖现金。

皮林说：“这耗时了时间，创造了资金被拦截的机会，也侵蚀了犯罪分子的利润。”“加密货币消除了许多这些摩擦，从根本上消除了网络犯罪的经济学。”

尽管如此，黑客们还是未能带走全部资金逃脱。63亿美元中约有28亿美元存在于Tether和Circle，两枚与美元挂钩的稳定币。这些代币的一个特点是发行公司可以冻结或销毁它们。

晚上9点01分，Tether对黑客钱包发出冻结命令——“addBlackList”，三分钟后Circle也发出了。

这一快速反应立即捕获了16亿美元的Tether和8.25亿美元的Circle。当黑客将另外2亿美元从币安转移出去时，该资金进入黑名单钱包时立即被冻结。

据Elliptic称，其他公司实施的冻结又捕获了1.87亿美元的代币。

此次冻结事件也是有史以来规模最大的一次。第二大事件是今年四月的一次行动，当时价值3.44亿美元的资金被冻结在两个与伊朗中央银行有关联的钱包中。

但黑客们早已对此有所准备。他们不惜承受巨额损失，在冻结措施生效前迅速转移了9.34亿美元的泰达币，并通过去中心化交易所将其兑换为其他无法被冻结的代币。

大多数加密代币并不具备冻结功能：对于加密货币的坚定支持者而言，一个基本原则就是任何机构都不应能够控制他们所持有的资产及其使用方式。

因此，这些黑客将可以随意清洗这些代币。

为此，他们会采用多种手段，而各大分析公司正在密切关注这些手法。“混币”系统通过让大量钱包以某种形式汇集资金，随后在未来的某个时点再将资金分配回各钱包，从而切断账户之间的所有可追溯链条。

洗钱者还会通过多跳转账的方式，在不同钱包之间反复转移资金，以此增加追踪代币来源的难度。

Chainalysis表示，币安的黑客采用了前所未见的洗钱模式。Larratt指出，当资金转入波场区块链后，他们似乎在利用极其快速、自动化的流程来掩盖资金的最终去向。

“我们在短时间内观察到了数千笔交易，”他说，“资金在数百个钱包之间来回跳转，试图通过高度自动化的混淆手段制造大量干扰。”

他表示，调查人员正在监控一些已知被朝鲜黑客用于洗钱的特定平台。

随着调查的深入，显而易见的是，这起黑客攻击有可能削弱市场对整个加密货币行业的信心。

Prasad表示，多年来一直宣称自身系统安全并自诩为安全交易场所的币安，如今正面临声誉受损的局面。“这无疑对币安及其安全性的公信力造成了重大打击，”他说道。