币安这起案子，第一幕讲的是「谁签了不该签的东西」。第二幕讲的是钱出门之后发生了什么。

10 月 29 日，攻击者从币安热钱包转走约 63 亿美元，横跨至少十条链，是加密史上最大的一起盗窃（CNBC）。第一幕我们写过了，四分钟、50 个 EIP-7702 授权、一笔交易转出 167,464 枚 ETH 和 16 亿美元 USDT，链上记录都在这篇文章里。

四天过去，问题变了。不再是热钱包怎么失守，而是钱现在在哪、还有谁能拦住、以及币安补的那 90% 到底补了什么。

FBI 在 10 月 31 日说了什么

10 月 31 日美东时间，FBI 把这起窃案归到朝鲜头上。公告点名 TraderTraitor，也就是该局此前多次与交易所被盗案关联的朝鲜国家级黑客组织，并称被盗资产正在被换成以太坊，为「后续洗钱阶段」做准备（CNBC）。

公告不只是一个定性。据 ForkLog 报道，FBI 同时公布了数百个与攻击者相关的地址，并要求 THORChain 节点运营方、DeFi 协议和其他加密服务商限制与这些地址的交易。这才是定性的实际作用：给交易所和跨链桥一份能拿去比对的黑名单。

它也印证了作案手法。TRM Labs 对 CNBC 说，这次攻击的几个特征与朝鲜此前的手法一致，包括 2026 年 4 月的 Bybit 案和 KelpDAO 案：先用小额 Tornado Cash 提现养一个操作钱包，盗窃前很久就开始铺垫，签名提前拿到手，最后一口气执行。

洗钱那条腿：先进 Tron，再上 Solana

偷到的东西不是一种币。有 ETH，有 BTC，有稳定币，还有一堆长尾代币。洗钱团队第一件事，是把多链的赃物变成能动的钱。

Tron 成了主洗池。研究员 SomaXBT 逐日追踪后统计，头两天仅 Tron 这一条腿就洗出约 2.42 亿美元（ForkLog）。其中约 4400 万美元走 THORChain，4800 万美元走 Relay，3210 万美元走 Chainflip。

Chainalysis 也在跟同一笔钱。该机构称，洗钱方从攻击发生后的头几个小时起，就利用 Tron 上的 DeFi 借贷市场抢在稳定币冻结之前转移资金；资金随后开始离开 Tron，公开提到的下一站是 Solana。它同时提醒，并非所有从 Tron 出去的钱都落在 Solana，具体金额也没有确认。

为什么是 Tron？便宜、快、USDT 存量最大。十亿美元的余额很扎眼，一千笔几十万美元的存款不扎眼。拆分就是全部诀窍，这也是为什么跨链桥对洗钱方和对正常用户一样重要。

冻结地图：什么能停，什么停不了

这一段对「大案必有大冻结」的想法不太友好。

稳定币能停。Tether 和 Circle 可以把地址拉黑，冻结自家代币。我们在 10 月 30 日的链上核对里看到，第一个接收地址上约 11.8 亿美元 USDT 和 8.23 亿美元 USDC 已被发行方冻结。这部分钱确实动不了。

原生币停不了。ETH、BTC、SOL、TRX 没有发行方，没有客服，也没有黑名单。洗钱方只要把稳定币换成原生币，或者干脆留下本来就偷到的原生币，就没有任何公司能冻结。能拦住它们的，只有中心化场所主动拒收。

攻击者利用的就是这个不对称。FBI 的地址清单能帮中心化交易所和跨链桥拒收，但管不到自托管钱包、去中心化兑换和混币器。

意外的刹车：THORChain 自己出事了

这周最荒诞的细节是，拖慢洗钱方的不是警察，是一个 bug。

10 月 31 日，以太坊出现一次单区块重组。一笔 10 ETH 的存款所在区块被丢弃，但 THORChain 已经记账并给用户退了款，等于白付了 10 ETH。自动偿付检查发现缺口，先停掉 ETH 兑换；约两分钟后，节点运营方停止签名出站交易，随后十条链一起暂停（ForkLog）。

Chainalysis 指出了其中的讽刺：暂停期间，任何人都没法通过 THORChain 的大部分桥做跨链兑换，包括那支朝鲜洗钱团队。多付的 10 ETH 后来被用户主动退回。这次暂停不是对 FBI 要求的响应，只是一次恰好砸在洗钱行动中间的意外。

它也说明，这场对抗的关口大多在私营基础设施上：跨链桥、交易所、稳定币发行方。它们会出故障，会暂停，偶尔也会在错误的时间做对的事。

币安的「90%」到底是什么意思

10 月 31 日，币安称已补上受影响资产的约 90%。BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD、ZEC 这些前十大币种已 100% 足额；剩下的 10% 主要是前十之外、流动性较差的长尾代币，正在场内和场外继续买入，直到补齐 100%（CNBC）。

钱从三个口袋出：用户安全资产基金（SAFU）、部分期货保险基金、公司金库。

两件事同时成立。币安用户可以按面值提现，这对用户是实的。被偷的币仍然在外面，币安是用自己的钱补了资产负债表，不是把攻击者的币拿了回来。「补上 90%」是会计口径，不是追回口径。

提现已在 11 月 1 日恢复，先开比特币网络，再开以太坊和 BNB Smart Chain。币安最早的说法是一名 DevOps 工程师的笔记本电脑被入侵，攻击者借此进入服务容器、提交未经授权的提现交易；联合 CEO Richard Teng 后来表示，攻击过程比「单个工程师权限被滥用」更复杂。截至目前，币安没有发布根因报告。

持有 crypto 的人该记住什么

道理不新，只是这周标价很贵：

  • 交易所余额是债权，不是托管。 你把币借给交易所，手里拿的是一张欠条。这次币安认了这张欠条，不是每家都认得起。
  • 冻结保护的是稳定币，不是你的 ETH。 全是 USDT 的仓位看起来最稳，直到它被换成原生币、跨链转走。原生币没有发行方兜底，这是双刃剑。
  • 地址筛查已经变成用户技能。 FBI 的清单是公开的。做收币生意的，进账前比对制裁和攻击者名单，否则下一个解释「存款为什么被冻结」的人就是你。
  • 中心化交易所是线索的终点，也是继续的起点。 只有中心化场所拒收，定性才可能变成追回。这也是 FBI 要求跨链桥和协议一起拦的原因。

最后

币安案已经不是一个事件配一个数字。它是一场还在进行的三方拉锯：一条仍在运转的洗钱管线，一圈只覆盖发行方代币的冻结边界，一家选择自己吞下损失、不转嫁给用户的交易所。

63 亿美元这个数字还会被分析师修正。不会变的是结构：在 crypto 里，盗窃很快，洗钱是自动化的，追回则取决于几家私营公司愿不愿意说「不」。

本文接续我们 10 月 30 日的链上复盘：币安热钱包被盗：50 个签名，4 分钟，16.7 万枚 ETH。

常见问题

FBI 确认是朝鲜干的吗？

确认。10 月 31 日美东时间，FBI 发公告称朝鲜国家级黑客对币安逾 60 亿美元虚拟资产被盗负责，点名 TraderTraitor 组织，并称被盗资产正在被转换为以太坊，为后续洗钱做准备。

到底冻结了多少钱？

比「90%」这个数字听起来少。币安的 90% 指的是它用自有资金补上了多少缺口，不是执法机构或发行方追回多少。冻结只对稳定币有效：USDT 和 USDC 可以被发行方拉黑，ETH、BTC 不能。我们在 10 月 30 日的链上核对里，看到第一个接收地址上约 11.8 亿美元 USDT 和 8.23 亿美元 USDC 被发行方冻结。

为什么洗钱总是走 Tron？

便宜、快、USDT 存量最大。大额余额很显眼，拆成上千笔小额存款就不显眼。Chainalysis 说这次洗钱方还用了 Tron 上的 DeFi 借贷市场，抢在稳定币黑名单生效之前把钱挪走。之后资金被跨链转出，目前公开指认的下一站是 Solana。

币安补了 90%，是不是用户的钱就回来了？

用户能按面值提现，这点是真的。但被偷的币并没有从攻击者手里追回，币安是用自己的钱补了资产负债表上的窟窿。剩下 10% 主要是前十大币种之外、流动性较差的长尾代币，币安称正在场内和场外继续买入。