727財經幣安63億美元被盜事件發生三天後，攻擊者已通過波場鏈上多條跨鏈路徑洗出約2.42億美元，其中THORChain、Relay、Chainflip為主要通道。凍結行動後仍被其控制的約35億美元贓款，包括約18270枚BTC和51.9萬枚ETH，目前基本尚未轉移。
本文來自：鏈上分析師 SomaXBT
編譯｜Odaily 星球日報 Azuma
距離幣安被盜 63 億美元已經過去了三天。截至 11 月 1 日晚 21:27，攻擊者（洗錢團隊）僅通過波場（Tron）這一條資金轉移路徑，就已經洗出了約 2.42 億美元。而在此前的凍結行動之後，攻擊者仍控制著約 35 億美元的贓款。
以下是我通過鏈上追蹤，對此次攻擊者洗錢活動進行的完整分析。
波場鏈上動向
攻擊者在波場網絡上共盜取了 6.28 億美元（包括 6.127 億 USDT 和 4640 萬 TRX）。
事件發生首日，Tether 凍結了 3.787 億 USDT，剩餘約 2.49 億美元的 TRX 由攻擊者控制，並繼續轉移。此後，這筆資金主要分成了三個方向。
第一個方向是通過跨鏈橋轉移，涉及資金約 1.94 億美元。其中，以下幾條路徑承擔了主要的資金轉移工作：
Relay：4800 萬美元；
THORChain：4400 萬美元；
Chainflip：3210 萬美元；
Symbiosis：1600 萬美元；
USDT0：550 萬美元；
Across：470 萬美元。
第二個方向是通過 Bitget Wallet 等服務轉移，涉及約 4300 萬美元。其中，Bitget Wallet 佔據了 4170 萬美元；此外還有 Bridgers 和 NEAR Intents。相關資金的最終去向仍有待確認。
第三個方向是仍留在波場網絡上的資金，總額約 2600 萬美元。主要去向包括：
JustLend：1200 萬美元；
USDT 兌換 USDD：520 萬美元；
HitBTC 的服務賬戶：420 萬美元；
Gate 的服務賬戶：140 萬美元；
ChangeHero 以及其他小型服務。
剩餘約 2200 萬美元則在整個轉移過程中損耗於手續費、滑點和價格波動。從跨鏈後的資金去向來看，大部分資金最終流入了以太坊主網，包括約 53300 ETH；此外，還有約 68.8 BTC 轉入了比特幣網絡；約 1590 萬 USDT 和 120 萬 USDC 留在以太坊；441 萬 USDC 轉入 Lighter；另有少量資金流入 Arbitrum 和 Base。
下圖展示了波場網絡上的贓款在凍結之後的完整流向，包括資金經過的各個跨鏈橋，以及最終抵達的目標鏈。
出逃路徑一：THORChain
THORChain 是此次攻擊者從波場網絡轉移資金的最大單一通道。攻擊者通過 2697 筆存款，向 THORChain 注入了 1.851 億 TRX 和 383 萬 USDT。
最終轉出的資金包括：
17,019 ETH，分散至 170 個以太坊地址；
53.25 BTC，分散至 20 個比特幣地址；
268,928 USDT 和 90,025 USDC，轉入以太坊；
2.41 ETH 轉入 Base；
8.01 ZEC。
此外，另有 4687 萬 TRX 和 33.9 萬 USDT 被退回攻擊者的波場錢包，隨後又通過其他渠道轉出。
從淨額來看，攻擊者通過 THORChain 兌換了約 4830 萬美元，最終收到約 4270 萬美元，約 570 萬美元（12%）損耗在手續費和滑點上。參與這些兌換的前端接口，則通過相關交易獲得了約 14.58 萬枚 RUNE（約合 9.5 萬美元）的收益分成。
下圖展示了通過 THORChain 轉出的資金最終流向哪些區塊鏈，以及對應的接收錢包。
出逃路徑二：Relay Protocol
Relay Protocol 在此次洗錢活動中扮演的角色遠超以往。
在過去的 TraderTraitor 黑客攻擊事件中，Relay 幾乎沒有參與贓款清洗，但在這次事件中，它成為了攻擊者從波場網絡轉移資金的第二大通道。攻擊者通過 735 筆存款，向 Relay 轉入了 3764 萬 USDT 和 3928 萬 TRX。
最終到賬的資金包括：
14,656 ETH，分散至 52 個地址；
966 萬 USDT，分散至 12 個以太坊地址；
441 萬 USDC，轉入永續合約 DEX Lighter 的 43 個賬戶（這些資金此後已全部被轉走）；
0.656 BTC，轉入比特幣網絡。
資金轉移的速度相當驚人。最大的資金接收地址（0xc8D516a53e28909d9eAB92642938762eA36F9093）通過 97 筆交易累計收到 2804 ETH 和 102 萬 USDT，其中某個波場錢包幾乎每分鐘都會向其輸送約 10 萬 USDT。
此外，353 萬 TRX 和 119 萬 USDT 被退回攻擊者的波場錢包，隨後再次轉出。
下圖展示了通過 Relay 轉移的資金最終流向哪些區塊鏈，以及對應的接收錢包。
出逃路徑三：Chainflip
Chainflip 是攻擊者使用的第三大通道，也是整個過程中情況最混亂的一條路徑。
攻擊者通過 571 筆存款，向 Chainflip 轉入了 4971 萬 USDT，但其中相當一部分兌換交易失敗。每次交易失敗後，資金都會被退回一個新創建的波場錢包，隨後攻擊者又會立即將這筆錢重新轉入 Chainflip，嘗試再次兌換。
累計有 1791 萬 USDT 因交易失敗而被退回，並重新發起轉賬，其中部分資金甚至被反復嘗試了數次。
最終成功轉出的資金包括：
13,174 ETH，分散至 196 個以太坊地址；
415,604 USDT，轉入以太坊；
14.94 BTC，轉入 2 個比特幣地址。
下圖展示了通過 Chainflip 轉移的資金最終流向哪些區塊鏈，以及對應的接收錢包。
出逃路徑四：Symbiosis
Symbiosis 是第四大資金轉移通道。與前面幾條路徑不同，攻擊者在這裡採取了廣撒網的方式，而非集中進行大額轉賬 —— 他們通過 1367 筆小額存款，向 Symbiosis 轉入了 4971 萬 TRX。
最終到賬的資金包括：
6846 ETH，分散至 402 個以太坊地址；
130,129 USDC，轉入以太坊；
14.45 ETH，轉入 Arbitrum。
另有 28 筆存款（共計 104 萬 TRX）兌換失敗，隨後以 33.6 萬 USDT 的形式退回攻擊者的波場錢包。
下圖展示了通過 Symbiosis 轉移的資金最終流向哪些區塊鏈，以及對應的接收錢包。
其他路徑
除了上述幾條主要路徑，攻擊者還通過其他渠道轉移了資金。
從波場網絡轉出的其他資金流向如下：
Bitget Wallet： 約 4170 萬美元。其中，3690 萬美元通過其「兌換 + 跨鏈」功能轉移，481 萬美元通過其跨鏈橋轉移。這是目前仍有大量資金去向尚未查明的一條路徑，相關目的地由該服務掌握，仍有待進一步確認。
USDT0： 569 萬 USDT 兌換為 550 萬 USDT0，轉入以太坊，另有 3.35 萬 USDT0 轉入 Arbitrum。剩餘 15.85 萬美元未能成功交付，仍滯留在跨鏈橋中，可能已被凍結。
Across Protocol： 463 萬 USDT 兌換為 1615 ETH 和 99.1 萬 USDC，轉入以太坊。
Bridgers： 151 萬美元。
NEAR Intents： 17.1 萬美元。
Bridgers 和 NEAR Intents 兩條路徑的最終資金去向仍有待確認。
仍留在波場網絡上的資金如下：
JustLend：1200 萬美元，以及通過 USDT 兌換 USDD 轉移的 520 萬美元；
HitBTC 和 Gate 的服務賬戶：分別有 417 萬美元和 140 萬美元；
ChangeHero：43.2 萬美元；
Fixed Float 及其他小型服務。
下圖重點展示了這些規模較小的資金轉移路徑，以及仍然留在波場網絡上的資金。
當前資金狀況
截至發文，攻擊者在波場網絡上仍有約 750 萬美元，已經跨鏈轉出的資金則繼續在以太坊和比特幣網絡上流動。
至於仍由攻擊者控制、存放在其他區塊鏈上的 30 億美元以上資產（包括 18,270 BTC、約 51.9 萬 ETH、2.33 億 XRP 和 97 萬 SOL），目前基本尚未被轉移。
以上就是攻擊者在波場網絡上的完整資金流向追蹤，大約 2.42 億美元在兩天左右的時間里已被洗出。我仍在繼續追蹤這些資金在以太坊和比特幣網絡上的流動情況，同時密切關注仍未被轉移的 30 億美元以上贓款。