币安被盗后 Lazarus 累计盗窃估算达 118.7 亿美元，追回账本该怎样记？

先给 118.7 亿美元写清楚统计对象

Odaily 这条报道的时间是 11 月 1 日新加坡时间 16:42。报道说，Darkfost 的累计估算包含此次币安攻击，也提到部分资金在后续洗钱过程中损失。因此，转述时应当保留“分析师估算”“累计窃取”以及归属对象，不能只留下一个脱离口径的金额。查看 Odaily 原文。

PANews 同样报道 118.7 亿美元，并把数字归于 Darkfost。它可以帮助读者核对媒体如何转述，却没有提供一份独立重算的历史损失表。两家媒体刊登同一位分析师的说法，不能直接算成两次独立测量。PANews 的报道注明了估算来源。

ChainCatcher 也把累计金额归于 Darkfost，并提到洗钱过程中的损失。三篇报道的共同上游仍是同一份估算。读者若要检查统计是否漏算、重复或调整，需要看到逐起事件的明细；目前打开的报道没有展示这种可复算账本。ChainCatcher 的报道内容。

累计窃取金额与当前持有余额，需要不同证据。要回答攻击者现在控制多少资产，还得知道哪些资产仍在其控制之下、哪些已经转出或兑换，以及估值采用什么时点。本轮来源没有给出完整对账，因此不能从累计金额中减去一个猜测的洗钱成本，再宣布“剩余资金”是多少。

可供冻结或追回的金额也要另查。一个历史总数没有自动对应到具体地址、保管机构或追回程序。阅读下一条进展时，应寻找改变某项资产控制权的证据，例如明确的资产、数量与处置记录，而不是把历史累计规模当成随时可以追回的资金池。

被盗、补足与追回，分开记账

CNBC 报道此次币安被盗金额约为 63 亿美元，并转述平台称约九成受影响资产已经补足。报道列出的资金来源包括用户安全资产基金、部分合约保险基金和公司金库。这说明补足可以来自平台自身财务资源，不能因此推导出攻击者归还了同等金额。CNBC 报道补足资金来源。

读者可以在自己的记录里分别设置“本次被盗”“平台补足”“已证实追回”几个栏目，每项旁边写上币种、来源与时间。这是整理消息的方法，没有在计算平台的资产负债。若平台拿自有资产填补缺口，应记入补足栏；只有证据明确指向被盗资产返还，才进入追回栏，避免一笔钱记两次。

118.7 亿美元也不能再加上此次币安损失。Darkfost 的报道口径已经将币安事件包含在内，重复相加会把同一事件算两遍。比较数字时，应先看一个说的是跨事件累计盗窃，另一个说的是单次事件损失，再决定有没有相加的意义。Odaily 说明此次事件已计入累计估算。

同理，不应把币安报道中的补足比例套到 Lazarus 的历史累计数字上。CNBC 的比例针对币安受影响资产，并没有给整个组织历次盗窃提供追回比例。跨越统计对象直接相乘，虽然能得到一个小数点清楚的结果，却无法说明这个结果究竟属于谁、表示什么。CNBC 所述比例的对象是币安资产。

币种也应单列。CNBC 转述币安称 BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD、ZEC 已全部获得支持，并称尚未补齐的部分是前十大以外、流动性较低的代币。对持有具体代币的人来说，这种按资产区分的说法，比把总体比例平均套到每个余额上更有用。CNBC 列出了所涉币种。

这份名单仍应按报道时点理解。实际操作前，要把自己的币种与账户当前显示的信息对照。名单没有提供你的提现收据。资产获得支持、某条服务恢复、某笔转账完成，是不同问题，记录时分别留行，后续才能知道哪项有了新证据，哪项仍需等待。

确认攻击归属，仍不能补齐历史账本

CNBC 报道 FBI 判断朝鲜应对此次币安盗窃负责，也报道该机构称被盗资产被转换为以太坊。这里涉及的是本次事件的归属与资金动向，不能据此认定 Darkfost 历史累计数字里的每起事件、每项估值都已经得到独立核验。CNBC 关于 FBI 判断的报道。

判断谁实施攻击，与计算累计损失，所需材料不同。前者需要归属证据；后者需要事件范围、损失定义、估值时点与后续修订。读者可以同时接受“媒体报道了 FBI 的判断”，并继续追问累计数如何相加，两者没有冲突。一条归属消息不能代替整张损失明细表。

本轮打开的报道没有展示完整明细，因此本文不按年份拆分 118.7 亿美元，不计算币安在其中的占比，也不估算洗钱后净剩多少。要继续做这些计算，应先取得带有事件日期、损失口径和调整记录的表格，否则容易把不同时间的估值拼成一个看似精确的结果。

转述时也应守住用词。“Darkfost 对累计盗窃金额的估算”保留了证据状态；“Lazarus 手里有 118.7 亿美元”则把对象换成了当前余额。对于正在查看交易所账户的人，这个变化会直接影响理解，不能让读者自己在正文末尾才发现两者并不相同。

回到自己的提现记录

先打开已有提现记录，记下币种、所选网络、接收地址、申请金额以及页面显示的状态。如果记录提供交易标识，再与接收端的记录对照。这里给出的是针对某笔付款的核验顺序，并没有确认某个账户当前可提，也没有承诺多久完成。

把平台整体消息作为背景。CNBC 报道提现分阶段恢复，先是比特币网络，随后包括以太坊及 BNB Smart Chain。分阶段恢复描述服务进展。要确认自己的款项，仍需查看对应申请和接收端记录，不能从“网络开放”直接跳到“本人到账”。CNBC 报道分阶段恢复进展。

若两端记录不一致，先保留交易标识和页面的原始状态文字，再从自己一直使用的账户界面联系支持。询问时说明具体币种与网络，把问题落在对应申请上。累计盗窃金额没有包含你的交易标识，不能用来判断这笔申请卡在哪个环节。

遇到要求连接钱包或先付款才能领取这 118.7 亿美元中一部分的消息，不要照做。本轮打开的报道讨论分析师估算和平台资产补足，没有建立与该累计金额挂钩的公开领取安排。查看通知时直接打开原有账户，不从陌生私信里的所谓补偿链接进入。

向支持询问时，可以要求解释这笔申请所显示的状态，以及它是否已经按选定网络处理。把答复保存在对应记录旁边，不要将针对本人申请的回复扩大为所有用户的情况。日后比较两次进展，也要保留各自时间，避免把后来某个币种的消息误套到此前另一个币种上。

同一资产名称出现在不同报道中，也先检查报道谈的是被盗数量、补足数量还是转账结果。只有对象和口径一致，才考虑比较增减。若来源没有说明数量对应哪个阶段，就先追查原文，不在账本中填上自行推算的“追回”。

下一条进展需要带来什么

如果后续公开 Darkfost 的逐起统计表，就能进一步检查累计范围。若有明确追回进展，应给出资产、数量与返还证据。若要确认个人提现结果，应回到对应付款记录。这些材料都能增加信息，但改变的是不同栏目，不能拿其中一项替另一项作答。

记录下一条数字前，先写清句子的主语：历史盗窃、币安补足、追回资产，还是自己的转账。再附上来源与时间。证据没有回答的地方先留空，后续补入新记录；这样才能随着事件发展更新判断，而不会把历史累计估算记成已经收到的钱。

常见问题

118.7 亿美元是攻击者现在持有的余额吗？

已打开报道将它归为 Darkfost 的累计盗窃估算，没有提供当前持仓对账。

能把币安单次事件的损失再加进去吗？

报道中的累计数字已包括币安事件，再次相加会重复计算。Odaily 对统计范围的说明。

怎样核对个人转账已经收到？

对照所选资产、网络的提现记录及接收记录。历史盗窃总额不能替代这两份凭据。