币安黑客事件：被盗山寨币已换成约 2,300 枚比特币，价值 1.75 亿美元，主要的 BTC 和 ETH 仍未动

这笔比特币是怎么涨上来的

Elliptic 统计的是黑客把其他被盗币兑换后，进入新比特币地址的数量：

按我们计算，最新这一步不到一天就涨了约 39%。放到整起事件里，规模仍然不大：它约等于直接盗走的 18,270 枚 BTC 的 12.6%，1.75 亿美元约占 Elliptic 统计的 64.3 亿美元总额的 2.7%。

这些比特币来自几条路径。Elliptic 点名了 SOL、XRP、波场资产和 ETH。约 9,000 万美元的被盗 SOL 已经全部被兑换、跨链或混币，其中很大一部分最后变成比特币。早期的洗钱主要走波场，约 2.3 亿美元的 TRX 走了这条路，目前那边只剩约 100 万美元。

现在主要是 XRP 在推高这个数字

Elliptic 称，截至 11 月 7 日的一夜之间，又有约 4,400 万枚 XRP（5,100 万美元）离开黑客的 XRP 地址，大部分经 THORChain 换成比特币。与被盗事件相关的地址里还剩约 1.48 亿枚 XRP，价值 1.73 亿美元。到目前为止，约 1 亿美元的 XRP 已被兑换。

节奏变化很快。11 月 2 日到 11 月 5 日，全部 2.33 亿枚 XRP 都放在 6 个新地址里没有动。按我们计算，2.33 亿枚里还剩 1.48 亿枚，也就是约 64% 还没走这条路。Elliptic 说，剩下的大部分放在其中 3 个地址，这 3 个地址从 11 月 2 日起就没有动过。

作为对比，我们的市场数据显示，新加坡时间 11 月 8 日 00:50，XRP 24 小时成交额约 5.31 亿美元。剩余的 1.73 亿美元约为它的三分之一。Elliptic 的说明也解释了黑客为什么分小批出货：金额小，兑换和跨链时不容易推动价格，也不容易被筛查入金的交易所注意到。

更多比特币进了混币

一夜之间，约 53 枚 BTC（400 万美元）进入 Wasabi 类型的 CoinJoin，其中很多是 THORChain 刚支付出来的比特币。按 Elliptic 时间线，通过这种方式混币的总量约为 88 枚 BTC，价值 670 万美元，约占 2,300 枚的 3.8%。

报告内部有一处对不上：开头的要点还写着 11 月 1 日以来约 77 枚 BTC（580 万美元），11 月 7 日的条目却写 88 枚。Bitcoin.com News 用的是 88 枚，我们也用这个数字，因为它来自最新条目。报告开头也提醒，事态还在变化，描述可能不完整。

CoinJoin 会把多人的比特币合进一笔交易，切断输入和输出之间可见的联系。Elliptic 说，这次涉及的 CoinJoin 每笔有 101 到 491 个输入。另外，11 月 3 日以来约有 670 万美元的 ETH 和 SOL 进入 Privacy Cash 隐私池。两个数字碰巧相同，但属于不同的资金。

这种规模的洗钱是怎么运作的

Elliptic 统计，事发以来这笔资金用了 2 万多个钱包、16 条区块链、至少 36 个服务和至少 6.5 万笔交易。按它的说法，大约每 30 秒出现一个新钱包，每 10 秒发生一笔交易。

有人猜测是 AI 代理在操作资金，Elliptic 不认同。它列出的证据是固定的时间间隔、设定好的金额、盲目重试，以及隔几个小时才分步引入的新手法，中间还有像人类作息的停顿。仅在波场上，这笔资金就走了约 3.2 万笔交易，单小时最多约 1,300 笔，每一美元平均被转手约 9 次。它的结论是传统的自动化程序，目前没有看到 AI 代理自行决策的迹象。

THORChain 的例子说明路线变化有多快。新加坡时间 10 月 31 日 19:34，THORChain 因技术故障暂停大部分链上的兑换，黑客往那里的转账随后也停了，但他们很快换到其他跨链桥。THORChain 在 11 月 3 日深夜（UTC）恢复兑换，到 11 月 4 日晚，约 12,200 枚 ETH（2,900 万美元）已经通过它换成比特币。

Arkham 的数字没有显示同样的增长

Bitcoin.com News 查了 Arkham Intelligence，看到的情况不同。美东时间 11 月 7 日上午 10 点（新加坡时间 23:00），Arkham 把 18,384.725 枚 BTC 归到攻击者名下，只比最初的 18,270.2 枚多约 115 枚，远不到 2,300 枚。不过 Arkham 的记录确实显示，同一天有来自 THORChain 金库的比特币入账，也有通过 Sun.io 的 TRX 兑换。

Odaily 在 11 月 8 日 00:40 引用 Bitcoin.com News 报道了同样的对比。两家都没有解释差异。我们的理解是，两家追踪的地址范围可能不同，Elliptic 统计的是它追踪到的新建地址，但这一点无法从公开页面验证。所以 2,300 枚应看作 Elliptic 的追踪结果，并不是所有追踪工具都认同的数字。

哪些资产还没动

Elliptic 对 64.3 亿美元的最新拆分如下：

这些金额的估值时间不一样，不能简单相加去凑总额。18,270 枚 BTC 在最初半小时内被分到 19 个地址，之后再没动过。

Elliptic 认为，未动的资金很可能仍在朝鲜手里，正在洗的那部分可能已经转交中国洗钱网络，但链上数据看不出是否已经交接。报告还说，约 1,600 万美元流入了同时持有 2026 年 9 月 Bitget 被攻击所得的地址，Elliptic 认为那次也是同一团伙 TraderTraitor 所为。FBI 在 10 月 31 日点名了这个团伙，朝鲜已否认，详见我们之前的报道。

Elliptic 预计接下来会怎样

2025 年 2 月 Bybit 被盗后，朝鲜在 10 天内洗完了全部 49.9 万枚 ETH，主要是换成比特币。变现又花了几个月，Elliptic 发现，这些资金最终在波场上换成 USDT，通过疑似中国场外交易服务卖出。

Elliptic 称，这次币安的洗钱速度比 Bybit 慢，并给出三个原因：ETH 和 BTC 无法冻结，黑客不用急；金额是 Bybit 的两倍多，出得太快会在兑换上损失很大；FBI 已经公布地址，各家服务都在盯。它预计 ETH 会分成很多小笔换成比特币，然后在几个月内通过场外经纪商卖出。

Elliptic 还说，继续冻结会更难。剩下最有机会的，是短暂经过的稳定币，以及资金变现时经过的中心化服务。

当时的行情

我们没有找到把这次更新和价格变动联系起来的报道，下面的数字只说明当时的行情。新加坡时间 11 月 8 日 00:50，我们的数据显示 BTC 24 小时下跌 0.08%，约 75,689 美元；XRP 下跌 2.93%，约 1.158 美元。几分钟后 OKX 公开行情显示 BTC 为 75,753.9 美元，XRP 为 1.1593 美元。

我们的爆仓数据页在 00:05 记录到币安和 OKX 过去 24 小时约 4,565 万美元的爆仓。PANews 引用 CoinGlass 的数据称，11 月 7 日全市场爆仓 8,118 万美元，其中多单 5,421 万美元，BTC 占 949 万美元。XRP 资金费率方面，我们的数据显示币安为 0.01%，OKX 约 0.0058%，可以在资金费率页对比。

你可以核对什么

如果你持有 XRP，要看的是黑客地址里还剩的 1.48 亿枚，尤其是没动过的 3 个大地址。Elliptic 会在同一页面更新报告，下次更新时对比这个数字。

如果你通过场外卖家或私下交易买 BTC、USDT，留好交易哈希和对方的信息。Elliptic 称，客户可以对照近 18,000 个与被盗相关的地址做筛查，还向所有企业提供免费黑名单。所以经过这些地址的币，可能被筛查入金的服务标记。我们的理解是，个人交易记录完整，遇到询问时更容易说清楚。

收到“币安赔偿”或要求重新连接钱包的消息，一律先当诈骗。只有在自己的币安账户内或官方公告页看到同样的通知，才算数。私信发来的链接，不要签名授权。

我们没能确认的内容

• Arkham 的总数和 Elliptic 的统计为什么相差约 2,185 枚 BTC。
• 换来的比特币有多少还在朝鲜手里，多少已转给洗钱网络。Elliptic 说链上数据看不出来。
• XRP 兑换有没有影响交易所盘口。我们读到的来源都没有测量这一点。
• 最新数字。Elliptic 的统计截止到新加坡时间 11 月 7 日 16:00。

常见问题

被盗的币安资产有多少换成了比特币？

据 Elliptic 新加坡时间 11 月 7 日 16:00 的更新，约 2,300 枚 BTC（1.75 亿美元）在新地址里，来自其他被盗资产。这不包括直接盗走的 18,270 枚 BTC。

黑客把比特币卖成现金了吗？

Elliptic 认为变现金额很可能微乎其微。资金换了币种，但还在与被盗相关的公链地址里，主要的 BTC 和 ETH 也没有动。

被盗的 XRP 还剩多少？

被盗约 2.33 亿枚，与被盗相关的地址里还剩约 1.48 亿枚，价值 1.73 亿美元。

已经冻结了多少？

Elliptic 统计已冻结或查封 28.5 亿美元，约占 64.3 亿美元的 44%。Bybit 事件后，冻结比例约为 3%。