FBI正式认定朝鲜所为：币安60亿美元被盗案始末与合规警示
美国联邦调查局（FBI）已正式将币安（Binance）超过60亿美元的盗窃事件归咎于朝鲜，并公布了一份持有部分赃款的地址清单。对于德国的用户而言，这主要是一起关于洗钱的故事，以及当被标记的代币最终流入受监管交易所时会发生什么。请放心，您自己在币安的余额不受此清单影响：该交易所表示，它已从公司资金中替换了90%的缺失持仓，并重新开放了提款服务。
10月31日FBI公告内容解读
2026年10月31日（星期六），美国联邦警察与美国特勤局及国税局刑事调查部联合发布了这一公告。公告指出，朝鲜负责在2026年10月29日或前后从加密货币交易所币安盗取价值超过60亿美元的虚拟资产。该机构将责任团体命名为“TraderTraitor”（交易者叛徒）。
公告中有两点超越了简单的责任归属。首先，列出了三个区块链上资金流动的地址清单。其次，向一系列公司发出请求，要求阻止与这些地址的交易。FBI预计攻击者将继续通过去中心化金融（DeFi）服务和即时兑换服务转移赃款。
在此前的周六之前，这种责任归属仅是私营分析机构的评估。TRM Labs和Chainalysis早在早期就将线索追溯至朝鲜，我们曾在10月30日总结了当时的怀疑状态。自10月31日起，一个正在调查该案件的官方机构为其背书。
TraderTraitor：FBI如何将此团伙与朝鲜联系起来
“TraderTraitor”是美国当局自2022年以来用于指代针对加密货币公司的国家支持型朝鲜攻击行动的代号。其特点不在于技术入侵手段，而在于路径：虚假招聘、篡改的申请文件和交易软件，以及经过数月建立的员工联系。据当局称，同一团伙也被认为对2025年Bybit约14.6亿美元的盗窃案负责。
一直在区块链上跟踪此案的分析公司Elliptic在FBI之前就得出了相同的结论。该公司的推理基于三点观察：被盗资金与Bitget攻击的收益一起被清洗，Elliptic也将后者归咎于朝鲜；攻击者使用了之前在BigONE、WOO X和AFX的TraderTraitor盗窃案中使用的相同服务；他们在大约三小时内并行操作了11条区块链，Elliptic认为只有少数行动者能协调如此规模的操作。
有一点需要明确背景：官方的责任归属并非法院判决，也不是制裁决定。此类归属声明仅表明在调查人员看来证据指向何方。
地址分布：600多个以太坊地址，不到20个比特币地址，1个Solana地址
FBI的清单涵盖以太坊上600多个地址，比特币上不到20个地址，以及Solana上的单个地址。这种分布并非偶然，而是遵循了收益的构成情况。
Elliptic估计盗窃金额为64.3亿美元，币安自身引用约为63亿美元，TRM Labs约为63.6亿美元。范围的差异源于估值时使用的价格以及哪些流出被视为攻击的一部分。例如，Elliptic明确排除了提款暂停后流出的1.69亿美元，该公司将其视为币安的内部转账。
在Elliptic的分解中，以太坊上共有38亿美元涉及186种不同的代币，其中包括19亿美元的USDT和8.23亿美元的USDC。比特币方面，流出了价值14.8亿美元的18,270枚BTC。通过Tron网络，移动了6.127亿美元的USDT，通过XRP Ledger移动了2.33亿枚XRP。Solana、NEAR、Base、Optimism、Arbitrum、Avalanche和Polygon也受到影响。四项资产合计占盗窃总额的74%：以太坊上的USDT、比特币、USDC以及Tron上的USDT。
因此，以太坊上有600多个地址而Solana上只有一个，这更多反映的是攻击者的技术手法，而非区块链本身的特性。在以太坊上，攻击者将收益分散到许多小步骤中，跨越合约和辅助地址。仅在10月29日UTC时间20:24，以太坊上的一笔转账就移动了价值25.3亿美元的资金。
根据Elliptic的分析，攻击者无需窃取密钥：他们让币安自己的系统进行签名。
THORNodes、RPC节点、即时兑换服务：封锁请求的目标是谁
该请求的收件人异常具体。FBI、特勤局和IRS-CI联系了私营企业，明确包括THORNodes运营商和RPC节点运营商，以及即时兑换服务、去中心化金融服务、区块链分析公司和其他虚拟资产服务提供商。
RPC节点是钱包或应用程序与区块链通信的服务器：它接受交易并将其传递到网络。THORNode是THORChain协议的节点，通过它可以跨区块链交换硬币而不需要中间交易所。两者都不是传统意义上的金融服务提供商，但它们处于可以在传输到达网络之前实际拒绝传输的位置。
这才是本公告中的真正新闻。除了可以冻结余额的交易所和稳定币发行商外，当局正转向其背后的技术基础设施。任何运行RPC端点的人都在执行立法者迄今很少涉及的功能。
封锁请求既非扣押也非制裁
关于此清单最重要的句子在于它未能实现什么。这是一份对公司的请求，而非命令，且截至目前，其中不包含美国财政部将地址列入SDN名单的制裁决定，也未授权任何人将冻结的余额退还给币安或客户。
这一区别具有实际后果。制裁列表有义务要求每个与美国有关联的公司避免与该地址进行交易，并且其效力超越美国法律，延伸至银行和支付提供商。相比之下，FBI的请求通过合规部门、分析软件和个别运营商的决策起作用。谁遵循它是自愿的，或者因为其自身的反洗钱检查无论如何都需要这样做。
归还已冻结的资金需要单独的路径：扣押令、相关发行商所在国的诉讼程序或民事诉讼。案件的这一部分将耗时数月。
28.5亿美元被冻结：为何稳定币与比特币处境不同
在经过自我审查后，Elliptic验证了28.5亿美元已被冻结或保障，占收益的44%。币安自身称约为30亿美元。构成引人注目：冻结金额的94%是稳定币。
原因在于结构。像USDT或USDC这样的稳定币是一家公司的支付承诺，映射到区块链上的合约中，而该合约具有冻结功能。因此，Tether、Circle和Ripple能够一键 immobilise 特定地址的余额；第一笔USDT冻结就在攻击当晚运行。在Arbitrum协议中，安全理事会也介入干预，据报道，Optimism的管理层也将资金移出了攻击者的控制范围。
原生币种并非如此运作。对于比特币、XRP、Solana和NEAR，没有发行商可以关闭地址。根据Elliptic的统计，这些正是攻击者仍持有的持仓：约32.1亿美元，其中包括价值约11.6亿美元的519,104枚ETH和价值约14.1亿美元的18,270枚BTC。
这种抗审查性正是使比特币对投资者具有吸引力的属性。但在盗窃事件中，它对受害方不利。因此，黑名单是唯一对原生币种有效的工具：你无法停止硬币，只能阻止它们进入受监管金融系统的入口。
EIP-7702：币安系统签名的委托机制
攻击发生后第二天，币安将一名DevOps工程师的受损笔记本电脑列为可能的入口点，同时表示当时没有迹象表明私钥泄露。Elliptic的分析表明，攻击者不需要密钥，而是利用了以太坊自2025年起才具备的一项功能。我们在攻击当天详细记录了热钱包的技术序列。
EIP-7702允许通过签名将合约分配给普通账户作为代理。然后该账户表现得像一个可编程钱包。该功能旨在方便，例如让应用程序覆盖费用或将多个步骤捆绑到一个交易中。据Elliptic所述，10月29日UTC时间20:20的一笔单笔交易携带了50个此类授权，从而将标记为“Binance 14”的币安热钱包的控制权交给了一个清理合约，随后该合约自行抽干了余额。
所谓清理合约（sweeper contract）是一种自动将传入或现有余额转发到目标地址的程序。币安首席执行官Richard Teng在10月30日表示，此次攻击并非由单人完成。根据Elliptic的时间线，第一笔转出币安钱包的交易于10月29日UTC时间20:05通过XRP Ledger运行。
对于持有者而言，这一点值得注意：资金离开交易所不是因为区块链失败，而是因为绕过了公司内部的一个审批流程。如果您拥有硬件钱包，该审批权在您手中，并且位于一台不接受您未在显示屏上确认的委托的设备上。
Aave、SunSwap和546次转账：自动化洗钱流程
自10月30日以来攻击者所做的事情解释了为什么600个地址的清单很快就会过时。Elliptic记录了几个路径，通过这些路径，可冻结的稳定币变成了不可冻结的硬币。
4.34亿美元USDT通过去中心化交易所和市场 maker 兑换成160,451 ETH，计算折扣率为市场价格的12%至26%。5990万美元USDT存入借贷协议Aave作为抵押品，攻击者借此借出19,762 ETH；Aave已冻结受影响的市场，贷款仍未偿还。通过Tron，2.34亿美元USDT在SunSwap上兑换成6.38亿TRX，其中3800万至6700万美元已离开Elliptic追踪的地址。比特币持仓正在通过剥离链（peel chain）运行，在每一步中，一小部分从大额中拆分出来，分布在19个地址上；截至Elliptic的最新读数，没有任何资金到达服务提供商。
速度特别具有揭示性。主要的Tron洗钱钱包从10月30日起发送了546次转账，中位间隔为96秒，最长停顿为39分钟。Elliptic认为这是软件操作，并明确指出无法确定是否涉及AI代理。
Chainalysis首席执行官Jonathan Levin告诉CoinDesk，攻击者已经使用了数千个地址，并预计未来几周这一数字将达到数万。TRM Labs首席政策官Ari Redbord估计，收益将在数个月内被拆分并通过较小的交易所分流；在接受澳大利亚广播公司（ABC）采访时，他将此次盗窃比作银行抢劫，只不过这次是以互联网的速度进行。两家公司都强调，资金在实时内仍可追踪。
脏币：当交易所存款受阻时
在这个案例中，真正触及德国持有者关心的问题如下：我的账户中的硬币是否会因为在其历史中出现过某个被标记的地址而被算作“脏币”？
其技术术语为脏币（tainted coins）：即可追溯来源触及被标记地址的硬币。交易所使用的分析软件会对存款进行风险评估，除了直接发送者外，还会回溯多个站点。根据设置的不同，间接连接跨越两到三个中间步骤就足以导致存款进入人工审核。
在实践中，普通买家的风险很低，但并非为零。在任何受监管平台上购买比特币并保留在那里的人与历史无关。然而，通过去中心化交易所、即时兑换服务或点对点交易购买的人，则承担了接收硬币的历史。来自该方向的金额后来存入交易所时，可能会被暂时扣留，直到来源澄清为止。
现实情况是这样的：平台要求提供来源证明，即购买收据、账户对账单或交易历史。拥有这些文件的人通常能获得余额释放。没有文件的人则需与合规部门协商。由此得出的冷静建议是归档购买收据，无论本案例如何：最终您也需要同样的文件给税务局。
德国的反洗钱监督：MiCA平台必须履行的义务
对于在德国运营的提供商，随着MiCA法规全面生效，适用的义务网络比2025年之前更加密集。持牌加密货币服务提供商受《反洗钱法》约束，必须监控交易，向金融情报单位提交可疑活动报告，并在有合理怀疑时临时持有资产。
FBI清单对于德国平台来说不是一项法律行为，但它是一个坚实的指标。一旦提供商知道了一个官方归属的地址，它就不能再声称不知情。在监管实践中，这意味着此类清单会在几天内反馈到提供商的筛查规则中，即使没有来自布鲁塞尔或波恩的命令。
第二点涉及稳定币发行商。USDT发行商Tether和USDC发行商Circle在此次事件中在任何权威机构呼吁之前就已冻结了资金。根据MiCA，电子货币代币的发行商需要在欧盟获得授权，因此它们的冻结实践成为受监督活动的一部分。对于持有者来说，这意味着两点：稳定币是市场上最有可能追回被盗资金的部分，也是外部机构在技术上可以 immobilise 您余额的同一部分。
FBI黑名单：600个地址只是追踪的开始
FBI清单描述了截至10月31日的中间状态，而Chainalysis已经预计会有数万个地址。为此，您的投资组合可以采取三个步骤：
- 检查您的硬币存放在哪里以及谁在那里受到监管。拥有欧盟授权的平台受反洗钱监督和隔离客户持仓的义务约束。在德国哪些提供商能够证明这一点，请参阅我们对受监管加密货币交易所的概述。
- 将长期持有与交易余额分开。您希望持有多年的东西不必放在交易所。币安案例表明，即使是最大的提供商也是目标；币安用公司资金弥补损失是一个公司决定，而非客户权利。我们的软件钱包概述比较了替代方案。
- 归档每个头寸的购买收据。来源证明是对抗存款被扣留的唯一补救措施，而这些也是您在切换提供商时需要的文件。在德国何处购买及其成本是多少，请参阅我们的加密货币交易所比较。
最关键的问题仍然悬而未决：该请求是否会成为制裁列表。如果美国财政部将地址列入SDN名单，每个与美国有关联的公司的情况将从自愿变为强制。在此之前，每个运营商自行决定，而这正是使得衡量此清单的成功变得困难的原因。
