币安黑客事件：约 5000 万美元被盗 XRP 已被兑换，主要换成比特币，约 2.26 亿美元仍在相关地址

XRP 是怎么一步步转走的

Bitcoin Magazine 根据 Elliptic 更新写的报道提到，UTC 时间 10 月 29 日 20:05 到 20:09，也就是新加坡时间 10 月 30 日 04:05 到 04:09，币安的五个热钱包把 2.3346 亿枚 XRP 转到了攻击者地址。之后的时间线来自 Elliptic。

按我们的计算，4200 万除以 2.3346 亿，约等于被盗 XRP 的 18%，也就是说大约五分之四还没有走这条路线。Elliptic 的两个约数相加是 2.34 亿枚，比初始数量略高，这些数字都只能看作近似值。

Odaily 在新加坡时间 19:17 刊发了同样的 5000 万美元和 2.26 亿美元，链捕手几分钟后跟进。这些快讯都引自 Elliptic，能确认报告存在，算不上各自独立的链上测算。

被盗资金为什么总是流向比特币

Elliptic 统计，由其他被盗资产换来的比特币约有 1650 枚（约 1.24 亿美元），存放在新的比特币地址中。这个数字接近一天前的两倍，隔夜增量大部分来自经 THORChain 兑换的 XRP。11 月 3 日下午这一数字是 215 枚，11 月 4 日上午是 470 枚。

Tether 和 Circle 在头几个小时就冻结了稳定币，所以窃贼最先做的事，就是把钱换成没人能锁定的资产。Bitcoin Magazine 说得很直接：发行方能冻结很多稳定币，却不能用同样的方式冻结 XRP，也无法冻结比特币。Elliptic 认为这和 2025 年 2 月的 Bybit 案相似：当时朝鲜在十天内洗完全部 49.9 万枚被盗 ETH，主要是换成比特币，之后的变现则花了几个月。

10 月 29 日的数字说明了速度为什么关键。Elliptic 称，被盗资产中有 34.6 亿美元是稳定币，占 54%。以太坊上的 USDT 到账 37 分钟后就被 Tether 冻结，但在此之前，攻击者已在去中心化交易所把 4.34 亿枚 USDT 换成 ETH，又在 Tron 上把 2.34 亿枚 USDT 换成 TRX。Circle 则在任何兑换发生前冻结了全部 8.23 亿枚被盗 USDC。冻结生效前，约有 7.86 亿美元的稳定币被换走。

SOL 的路线后来成了 XRP 现在走的模板：分批卖成 USDC，跨链到以太坊，换成 ETH，再换成比特币，每一批大约在一小时内完成，其中一批在不到五小时内穿过了四条区块链。

THORChain 处在这条路线的中心。新加坡时间 10 月 31 日 19:34（UTC 11:34），它因技术故障暂停了多数网络上的兑换，我们此前报道过它在十条网络上恢复兑换。Elliptic 称，兑换在 11 月 3 日晚些时候恢复。10 月 31 日当晚，FBI 已公布攻击者地址，并呼吁 THORChain 节点运营方拦截。第一批 5000 万美元的 XRP 还是走通了，不过 Elliptic 的报告没有说途中拦下了多少。

64.3 亿美元现在在哪里

Elliptic 给出的被盗总额是 64.3 亿美元，Bitcoin Magazine 则称币安后来给出的数字是 63.4 亿美元。我们无法核对两者的差异，下表统一使用 Elliptic 的数据。

盗窃发生以来，Elliptic 统计到超过 2 万个钱包、16 条区块链、至少 36 个服务和至少 6.5 万笔交易。它判断这样的速度来自常规自动化程序，依据是固定的时间间隔、设定好的金额和盲目重试，目前没有看到 AI 代理在做决策的证据。

这 31.1 亿美元低于我们 11 月 2 日报道的 32.4 亿美元。Elliptic 按新加坡时间 11 月 6 日 15:55 前后（UTC 07:55）的价格给剩余资金估值，所以两个数字的差额不能当成转走的币量。

混币规模相对总额仍然很小。11 月 1 日以来，约 33 枚 BTC（250 万美元）进入了 Wasabi 类的混币交易，约 110 万美元的 ETH 和 SOL 进入了 Privacy Cash 资金池。另有约 1600 万美元转入了同时存放 2026 年 9 月 Bitget 被盗资金的地址，Elliptic 认为那起事件也是 TraderTraitor 所为。FBI 已把币安被盗案归因于这个朝鲜黑客组织。

XRP 走势能说明什么，不能说明什么

今天 XRP 比比特币弱。OKX 公开行情显示，新加坡时间 11 月 7 日 00:41，XRP-USDT 报 1.1937 美元，24 小时开盘价为 1.2499 美元，跌幅约 4.5%；同一时间 BTC-USDT 报 75,714.9 美元，开盘价 76,642.7 美元，跌幅约 1.2%。

我们打开的来源中，没有一个把这个差距和黑客兑换联系起来，我们也不作这样的判断。规模对比可以帮你自己衡量。我们的爆仓与行情数据显示，截至新加坡时间 11 月 7 日 00:38，币安 XRPUSDT 永续合约过去 24 小时成交额为 9.608 亿美元。按这个尺度，已兑换的 5000 万美元约相当于单一平台一天永续成交额的 5%，还没动的 2.26 亿美元约相当于 24%。而且这些兑换是分散在许多账户、经 THORChain 完成的，并没有走这个订单簿。

同一时点的资金费率页面显示，XRP 每个结算周期的费率在币安为 0.0047%，在 OKX 为 0.0036%。两者都是正值，也都低于 BTC 的 0.0093% 和 0.0045%，按这个费率是多头向空头支付一小笔费用。我们的数据还记录到，24 小时内 XRPUSDT 爆仓 634 万美元，同期观测到的爆仓总额为 2.329 亿美元。

这对你意味着什么

• 在你自己的币安账户里检查 XRP：打开钱包页面，确认余额，查看你使用的网络是否开放充值和提现。Bitcoin Magazine 报道，币安已分阶段恢复提现，并称用自有资金承担客户损失。Elliptic 的更新追踪的是窃贼钱包，与个人余额无关。
• 不要理会任何以“币安赔付”为由发来的消息，也不要因为这起事件连接钱包。只使用官方 App 或官网。
• 如果你在币安或 OKX 交易 XRP 永续合约，请在下次结算前查看强平价格和资金费率。XRP 在 OKX 上 24 小时已跌约 4.5%，而没有人能告诉你剩下的 1.92 亿枚 XRP 什么时候会动。
• 如果你在交易所之外买入 XRP 或 BTC，请保留转账哈希和卖家信息。Elliptic 称，客户可以用近 1.8 万个相关地址进行筛查，中心化服务是这些资金可能被拦下的环节，所以你之后的充值可能要经过这份名单的比对。

Elliptic 预计接下来会发生什么

Elliptic 预计，ETH 会分成许多小笔换成比特币，然后在几个月内通过场外经纪商出售。主要的 ETH 和 BTC 持仓还没有动。该公司称，这部分资金很可能仍在朝鲜手中，而正在被清洗的部分可能已经交给中国的洗钱网络，链上数据无法区分这一点。

继续冻结会更难。Elliptic 指出，这次被冻结的资金占比为 44%，Bybit 案之后只有约 3%。它认为剩下的最好机会，一是中转途中短暂停留的稳定币，二是变现环节的中心化服务。目前变现的金额很可能微乎其微，因为窃贼要把这些币变成能花的钱，仍然需要交易对手。

接下来可以看两个数字：Elliptic 下次更新中的 1.92 亿枚 XRP，以及持有攻击者 89% ETH 的九个大地址有没有动静。

我们无法确认的事

• THORChain 节点运营方或其他服务拦下了多少 XRP，Elliptic 没有给出数字。
• 这些兑换有没有给交易所订单簿带来抛压，我们打开的来源都没有测算。
• 64.3 亿美元和 63.4 亿美元哪个总额更准确。前者来自 Elliptic，后者是 Bitcoin Magazine 报道的币安数字。

常见问题

被盗的 XRP 还能被冻结吗？

Bitcoin Magazine 称，发行方无法像冻结稳定币那样冻结 XRP。Elliptic 认为继续冻结的机会主要在中转途中的稳定币，以及资金变现时经过的中心化服务。

窃贼已经把 XRP 卖成现金了吗？

目前看不到可观的变现。约 4200 万枚 XRP 已转走并被兑换，主要换成了比特币，Elliptic 称整起盗窃案中已变现的金额很可能微乎其微。

这会影响我在币安的余额吗？

这份报告追踪的是窃贼钱包。请在你自己的币安账户里查看余额和提现状态，也可以看我们之前关于币安申请返还资产的报道，了解相关的记录核对方法。