朝鲜黑客在4天内通过数万次交易转移64.3亿美元被盗加密货币，AI主导洗钱说法遭质疑

负责实施64.3亿美元币安（Binance）盗窃案的朝鲜黑客，在不到四天的时间里，通过超过40,000笔交易和约12,000个钱包地址转移了被盗的加密货币。然而，调查人员未发现人工智能（AI）代理指挥此次洗钱操作的证据。

区块链分析公司Elliptic于周一表示，交易模式指向常规的软件自动化操作，其特征包括固定的时间间隔、重复的转账金额以及在没有策略重大变化的情况下重试失败的交易。这些发现挑战了此前关于自主AI代理正在协调被盗资产在去中心化交易所、借贷协议和区块链跨链桥之间流动的猜测。尽管该行动规模庞大，但Elliptic指出，现有证据并未表明软件正在做出独立决策。

这一分析紧随美国联邦调查局（FBI）于10月31日将币安攻击事件归因于朝鲜“TraderTraitor”黑客组织之后。该组织于10月29日从11条区块链上窃取了资产。

为何洗钱行为看起来是自动化的而非由AI驱动？

Elliptic的调查确定了与执行预定义指令的软件一致的交易模式，而非适应不断变化的条件的自主系统。仅在波场（Tron）网络上，攻击者就进行了约32,000笔交易，在一小时内达到1,300次转账的高峰。按照这个速度，交易大约每三秒发生一次。主要分发钱包在51小时内完成了1,113次转账，通过将被盗TRX分散到数千个新创建的地址中来进行资金清洗。

许多转账发生在固定的时间间隔内，而接收钱包经常在几分钟内将资金继续传递下去。调查人员还观察到失败的交易被重试，并且有时在相隔数小时的不同阶段引入了新的洗钱方法。这些特征符合在人类监督下运行的自动化脚本的特点。自主AI代理可能会识别交易失败的原因，选择不同的目的地或在没有明确人类指示的情况下调整其策略。Elliptic尚未观察到确立这种独立决策水平的证据。

这种区别并不能排除未公开的AI辅助可能性。区块链交易揭示的是资产的流动，而不是背后的软件架构或决策过程。

投资者启示

常规自动化已经能够以机器速度通过DeFi基础设施移动数十亿美元的资金，这为交易筛查带来了重大挑战，而无需依赖自主AI。

64.3亿美元被盗资金中有多少已被冻结？

Elliptic估计，约有28.5亿美元，即被盗资产的44%，已被冻结或没收。截至11月2日，约32.4亿美元仍停留在与盗窃相关的地址中，主要以比特币和以太坊形式存在。最初的应对措施 heavily 依赖于稳定币发行商。泰达（Tether）和Circle在攻击者能够将大量持仓转换为不受中心化冻结控制的加密货币之前，冻结了被盗的USDT和USDC。

然而，在限制生效之前，黑客已转换了约7.86亿美元的稳定币，其中包括通过去中心化交易所和抵押借贷安排进行的交易。区块链层面的干预也有助于遏制事态。此前报道显示，Arbitrum安全委员会通过紧急干预冻结了与漏洞相关价值3,050万美元的资产。这些行动限制了对大量资金的访问，但冻结并不等同于追回资产或将其返还给币安。Elliptic估计，被盗加密货币中可能只有微不足道的部分已被兑现。尽管经过反复转账和转换，大部分剩余资产仍然可以在公共区块链上被识别。

跨链桥和借贷协议如何使追踪变得复杂？

攻击者至少使用了七个跨链桥来在网络之间移动资产，通常在发送大额资金之前进行小额测试转账。波场成为主要的洗钱通道，资金分布在约7,700个地址中，随后部分资金被桥接到以太坊。调查人员确认至少有1.47亿美元通过跨链桥从波场转出。

黑客还使用了去中心化借贷基础设施，包括JustLend，通过一个地址存入加密货币并通过另一个地址提取。此类交易可以通过协议而非直接支付来阻断简单的钱包对钱包追踪。类似的技术曾在早期关于币安漏洞后自动化洗钱的报道中被提及。11月1日，调查人员还检测到首次使用比特币混币技术。到11月2日凌晨，约有28枚比特币（价值220万美元）通过了旨在掩盖交易历史的18次CoinJoin交易。

投资者启示

跨链转账和借贷协议增加了追踪被盗资金的复杂性，使得持续监控比静态钱包黑名单更有用。

被盗资金下一步将流向何处？

Elliptic预计，攻击者将继续把以太坊转换为比特币，然后尝试通过中心化交易所和场外交易商兑现，这个过程可能持续数月。该公司引用2025年Bybit黑客攻击作为先例，当时朝鲜攻击者在迅速转换被盗以太坊后，逐渐通过疑似洗钱网络转移收益。FBI已敦促交易所、区块链基础设施提供商和DeFi服务阻止涉及已识别的TraderTraitor钱包的交易。

Elliptic表示，其监控系统现在将与币安盗窃案相关的地址数量增加到9,500多个。面临的直接挑战是防止被盗资产到达能够将加密货币兑换为可流通资金的服务。虽然调查人员已经追踪了大量活动，但缺乏自主AI决策的证据并没有减少这种规模的自动化洗钱所带来的运营威胁。