要点

• 黑客至少为攻击币安准备了36小时
• 5个币安钱包首先损失了2.3346亿枚XRP
• 调查人员追踪到横跨10条区块链网络的63.6亿美元资金流转

根据一项新的区块链调查，这起创纪录的63亿美元币安黑客攻击始于约2.96亿美元XRP被盗。调查显示，攻击者在实施行动前至少准备了36小时。

TRM Labs在10月29日发布的调查中表示，协调世界时20:05至20:09之间，2.3346亿枚XRP从5个币安钱包被转出。这些资金先到达一个由攻击者控制的单一地址，随后比特币和以太坊上的大额转出才开始发生。

这些发现补充了Coinpaper此前对币安黑客事件的调查，更详细地还原了攻击者如何协同实施这起有记录以来规模最大的加密货币盗窃案。

币安黑客在清空XRP钱包前曾演练攻击

TRM Labs追踪发现，准备工作可追溯至10月28日上午，当时一个由攻击者控制的钱包收到了3笔来自Tornado Cash的少量转账。Tornado Cash是一种加密货币混币服务。

次日，该操作者部署了恶意以太坊代码，并在两个新创建的钱包上进行了测试。随后，修订后的版本又通过第三个钱包进行了演练。

在最后一次演练约4小时后，同一段代码被安装到一个币安以太坊热钱包上。

不过，首笔得到确认的盗窃发生在XRP Ledger上。

协调世界时20:05至20:09之间，5个币安钱包向同一个目的地址转出了2.3346亿枚XRP，价值约2.96亿美元。

这些转账完成后，每个钱包内仅剩维持最低要求的XRP余额。TRM表示，在其调查时点，被盗XRP仍未被转移。

这些协同转账是更大规模行动的一部分，而不是XRP Ledger底层协议存在漏洞的证据。

这一点之所以重要，是因为开发者也在分别推进XRPL代币安全改进，包括针对已发行资产的授权控制。

数分钟后比特币和以太坊钱包也被清空

XRP转出后，这场行动迅速蔓延。

大约在协调世界时20:20，一个币安比特币热钱包向攻击者控制的地址转出了18,270枚BTC，价值约14.7亿美元。

随后，这些比特币被拆分成更小额的多笔转账，增加了追踪被盗资金的难度。

在以太坊网络上，攻击者利用EIP-7702账户委托功能，在一个币安热钱包上安装了恶意执行指令。

TRM识别出50份预先签署的授权，这使攻击者得以执行一次大规模清扫操作，涉及167,464枚ETH和另外63种代币。

最初的以太坊清扫包括约16.15亿枚USDT，而其他未经授权的转账在当晚持续发生。

到10月30日协调世界时00:30，调查人员已识别出横跨10条区块链网络、总额约63.6亿美元的转账。

这项调查也为后来在与攻击者相关的钱包中发现的大额以太坊余额提供了更多背景。

调查人员怀疑与朝鲜有关的黑客所为

TRM Labs高置信度地将此次行动归因于TraderTraitor，这是一个与朝鲜有关、此前曾与多起重大加密货币盗窃案相关联的黑客组织。

该公司称，作出这一判断的依据包括准备方式、钱包活动和交易模式上的相似性。

不过，币安尚未独立确认作案者身份。

该交易所在初步调查中曾将一台被攻陷的员工笔记本电脑列为可能的入侵入口。后续发现则表明还存在其他漏洞，因此确切的攻击机制仍未确定。

币安表示，已冻结约30亿美元受影响资产，并承诺将通过其紧急保护基金和公司资源对客户进行赔付。

此次攻击还引发了更广泛的市场波动。随着投资者重新评估与交易所有关的风险，BNB大幅下跌。Coinpaper此前对BNB价格的分析曾讨论该代币跌破700美元的走势。