Elliptic：约 5,000 万美元被盗 XRP 大多已兑换成比特币

XRP 兑换进一步增加了被盗比特币的总量

据区块链分析公司 Elliptic 称，与币安盗窃案有关的黑客已将约 4,200 万枚 XRP（价值约 5,000 万美元）兑换成其他资产，其中大部分通过 THORChain 换成了比特币。该公司截至周五的最新报告称，这些兑换导致隔夜从被盗资产中获得的比特币大幅增加。兑换所得的比特币余额达到约 1,650 BTC，价值约 1.24 亿美元。

兑换的 XRP 只是被盗总额的一部分，并非全部。Elliptic 发现，与盗窃案相关的地址中仍有约 1.92 亿枚 XRP 尚未兑换，价值约 2.26 亿美元。这些 XRP 是 10 月 29 日事件中被转走的资产之一；币安后来将该事件涉及的资产估值为 63.4 亿美元。已兑换和剩余金额之间的差异表明，XRP 的转移仍在进行中，但无法据此确定接下来会有多少 XRP 被转移。

报告称，此次盗窃中的 XRP 转账于 10 月 29 日的短时间内开始。UTC 时间 20:05 至 20:09 之间，五个币安热钱包向一个攻击者地址发送了 2.3346 亿枚 XRP。美国联邦调查局已将更大范围的行动归因于朝鲜的 TraderTraitor 组织。币安已分阶段恢复提现，并表示冻结或拦截了约 28.5 亿美元，同时动用自有资金弥补客户损失。

XRP 在几天平静期后分阶段转移

被盗的 XRP 并未立即流入兑换服务。Elliptic 称，11 月 2 日凌晨 02:12 至 04:00 UTC 之间，约 2.33 亿枚 XRP 转入六个新建地址。随后，这些资金一直停留在那里，直到 11 月 5 日。这段停顿将最初的转账与之后的兑换分隔开来，也说明了为何盗窃事件的时间线很重要：XRP 的转移历时数日，并非一笔连续交易。

从 11 月 5 日下午开始，六个地址中的两个开始向数十个新账户分发 XRP。随后，这些账户兑换了代币，其中大部分通过 THORChain 兑换成比特币。Elliptic 还记录到，当晚有少量以太币经由 THORChain 转为比特币。这一模式表明，XRP 兑换属于一项更广泛行动的一部分，旨在通过不同服务转移被盗资产并将其转换为不同形式，而非仅仅在钱包之间转移原始代币。

并非所有大额持仓都走了这条路线。Elliptic 称，与此次盗窃相关的最大规模比特币和以太币资金池尚未转移，而以太币和 NEAR 的主要持仓中也只有少部分被转出。因此，已兑换的资产与仍停放着的大量持仓之间存在明显区别。报告并未说明这些尚未转移的余额何时会转移，甚至是否会转移，因此不能将当前 XRP 的活动视为其他资产转移的时间表。

这条错综复杂的链路横跨多个钱包、区块链和服务

自币安遭窃以来，Elliptic 已统计出这条洗钱链路涉及 16 条区块链上的 20,000 多个钱包。该公司还发现，相关活动涉及至少 36 项服务和至少 65,000 笔交易。换句话说，按其统计数据，平均每 30 秒就会出现一个新钱包，每 10 秒就会发生一笔交易。这一规模描绘出一条分散、多链的链路，但仅凭这些数据，并不能说明每个钱包或服务都对应一个独立参与者。

尽管资金流动规模庞大，Elliptic 估计，仍有约 31.1 亿美元留在与这起盗窃案相关的地址中，主要是以太币和比特币。该公司表示，截至目前，可能只有极少一部分已被套现。这一区别很重要：在不同钱包之间转移资产，或将一种代币兑换成另一种代币，并不等同于将其兑换成传统货币。因此，报告所呈现的资金流向显示，洗钱活动规模可观，但已完成套现的证据有限。

Elliptic 表示，资金流动也反映出不同资产在冻结方式上的差异。发行方可以冻结许多稳定币，但无法以同样的方式冻结 XRP，也无法冻结比特币。报告称，10 月 29 日 Tether 和 Circle 封锁了大笔稳定币后，攻击者优先转移了发行方无法通过该机制控制的资产。将 XRP 兑换成比特币延续了这一模式，但原文并未声称比特币因此就无法追踪或追回。

接下来的问题是，这条兑换路径是否会继续

目前 XRP 的资金流动属于更大规模兑换过程的一环。Elliptic 表示，所有被盗的 SOL（按该机构的估值约为 8700 万美元）均已被兑换、跨链转移或混币，其中大部分最终变成了比特币。约 2.2 亿美元 TRX 中，大部分早期洗钱活动也已进行；而以太币和 NEAR 的主要资金池中，只有小部分发生了转移。这些数字反映了不同资产组各自所处的阶段，而非所有被盗资金都沿着同一条路径流动。

部分兑换后的资金还流入了注重隐私的服务。Elliptic 统计，自 11 月 1 日以来，约有 33 枚 BTC（价值约 250 万美元）被转入类似 Wasabi 的 CoinJoin 混币服务。该机构还报告称，在 Privacy Cash 暂停存款前，约有 110 万美元的以太币和 SOL 流入其隐私资金池。这些仅占整体资金流向的一小部分；报告并未证实这些服务收到了所有兑换后的资产，也未证实这些资金已成功套现。

Elliptic认为，这些活动的速度和规律性更像是常规自动化操作，而非由AI代理实时决策；其依据包括固定的时间间隔、固定金额、盲目重试，以及相隔数小时才采用的策略。接下来会发生什么仍不清楚：短期内的关键问题是，约1.92亿枚XRP中是否会有更多被兑换，以及暂存的以太币之后是否会转移。报告也未能确定，THORChain运营方和其他跨链桥能否足够迅速地持续封锁已公布的攻击者地址，从而中断这条转移路径。

来源：BitcoinMagazine