资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
核心要点
1.088亿美元的USDC从交易所账户转出。在接收的15个钱包中，有11个此前有过资金提取记录。6298万美元的稳定币被兑换为27,553枚ETH。仅有370万美元以可冻结形式的USDC形式留存。
上述数据来自Bitquery于11月进行的调查。该调查追踪了资金流向，起因是链上调查员ZachXBT标记了一起针对某欧盟实体的疑似盗窃事件，相关信息由X账号“Officer’s Notes”转发。
跨越三家交易所的21小时行动
第一笔提款于11月1日UTC时间12:25从OKX发出。44分钟后，Kraken跟进并支付了总额的95%，Crypto.com与OKX共同提供了剩余部分。约三分之二的资金（7320万美元）在UTC时间12:25至23:00的三个小时内流出。最后一笔付款于次日早晨09:09抵达。
一个钱包在91分钟内接收了43次Kraken的提款，每次金额均低于5万美元。Bitquery分析认为，这是窃贼为了规避单笔提款限额而采取的手段。如果是这样，限额改变了流出的形态，但并未改变其规模。
涉案金额估算
- 1.06亿美元以上： 最初由ZachXBT给出的公开估算值。
- 1.088亿美元： Bitquery统计从交易所主钱包转至15个地址的USDC总额。
- 9570万美元： 剔除两个仅通过中间商与窃贼关联的钱包后的统计值。
受害者尚未确认任何损失的具体数字。由于Bitquery仅检查了以太坊网络及三家交易所的主钱包，其他链或其他钱包中的资金可能使总数增加。受害者身份未公开。钱包历史记录指向一家自5月以来使用Kraken的交易或支付业务，Bitquery对此观点持保留态度。
为何旧钱包指向交易所登录之外的因素
在15个接收钱包中，有11个在11月1日之前已从同一交易所提取过资金，且它们共同接收了84%的资金。最早的一个钱包于5月4日首次从Kraken提款，并在盗窃发生前进行了48次提款。夏季期间，几个钱包之间互相转账。15个钱包中有8个是Trust Wallet智能账户，旨在用USDC支付网络费用，但Bitquery未发现指向应用程序本身漏洞的证据。
正是这段历史使得Bitquery将这些钱包视为受害者自有资产，这也解释了为何仅凭交易所登录无法解释随后发生的事情。USDC通常在三分钟内转移到新钱包，而将其进一步转移需要接收钱包的私钥。Bitquery得出结论：窃贼很可能同时持有登录凭证和私钥。这表明受害者的设备或钱包设置遭到入侵，或者是受害者内部人员所为。区块链无法区分这两种情况。
这种所有权判断仍基于钱包行为的推断，受害者及交易所均未予以确认。如果其中一些地址属于员工、承包商或交易对手，早期的提现记录将表明该实体信任的是个人，而非其自身密钥泄露。无论如何，追踪过程中没有任何迹象显示Kraken、Crypto.com或OKX遭受了入侵。这些提款均来自单一客户的账户。
白名单机制的局限性与突破
白名单允许账户仅向预先批准的地址提款。此次追踪将盗窃分为两种情况，测试了该设置的不同表现：
11个熟悉钱包的情况： 这是白名单无法解决的情形。如果这些地址已获批准，传输将通过检查，因为该设置仅限制地址，而不涉及当前谁持有其密钥。
4个新钱包的情况： 这些钱包接收了1727万美元，是相反的情形。来自OKX和Kraken的首笔付款均流向无任何历史记录的地址。正如Bitquery所述，如果账户使用了白名单，窃贼能够将其添加进去；如果没有白名单，资金可以去往任何地方。目前尚不清楚这些账户是否开启了此功能。
第二种途径正是交易所额外控制措施所针对的对象：
- OKX： 除白名单外，还有一个新的新地址锁定功能，禁止向新添加的收款人提款24小时。
- Crypto.com Exchange： 对新增白的地址实施24小时冻结，关闭该功能需再等待24小时生效。
- Kraken： 全局设置锁定阻止新提款地址及对受保护设置的更改。解除锁定需等待用户设定的延迟期，除非事先设置了可覆盖等待期的主密钥（Master Key）。
这些措施均不影响已在列表上的钱包。减缓新地址速度的锁定，仍允许任何拥有正确密钥的人使用旧地址。
数小时内从可冻结USDC中被替换
提款以USDC形式离开，其发行方Circle可随时冻结任何地址的USDC。ETH没有发行方，DAI没有冻结功能，因此转换资产是窃贼的首要任务。
11月1日UTC午夜前不久，一个新钱包开始通过UniswapX出售稳定币。UniswapX是一种交易公司竞争填充订单的拍卖机制。在大约四个小时内，它售出了价值6298万美元的USDC和USDT，换取27,553枚ETH，约合每枚2286美元。另一部分资金进入了DAI。Bitquery在销售期间或周一的检查中未发现Circle的冻结操作，并表示不知道是否有人要求Circle采取行动。
截至11月2日UTC时间13:47，仍有7827万美元停留在以太坊网络上，位于Bitquery关联到窃贼的地址中，大部分已超出任何发行方的控制范围：
- ETH： 6890万美元（无发行方可冻结）
- DAI： 560万美元（无冻结功能）
- USDC： 370万美元（Circle可冻结）
约有3050万美元已经转出。最大的一笔转出金额为812万美元，流向KuCoin存款地址，Bitquery认为这是欧洲交易所Kyrrex的聚合账户。LI.FI（桥接和交换路由器）收取了434万美元，其中一部分通过一次性订单钱包进行，分析公司TRM将其标记为Wagyu，一种转换为门罗币（Monero）的服务。无需账户的即时交易所FixedFloat收取了132万美元。
看到以太坊上的ETH，受害者已无法将其追回。仍可触及的资金取决于对其部分拥有权力的各方：Circle对剩余的USDC，KuCoin和Kyrrex对存入其账户的资金，以及即时交易所对下单者。
如何确定访问权限
Kraken处理了178笔提款，可以确认账户所有者及其内部发生的情况。三条记录将验证Bitquery的理论：四个新地址是何时添加的，当时是否有锁定或延迟适用；提款是通过登录会话还是通过具有提款权的API密钥进行的；以及在11月1日UTC时间12:25之前的几小时内是否有任何安全设置发生变化。
如果日志显示新地址因等待期被关闭而通过，教训将偏向账户设置问题。如果设置完好无损且资金仍通过旧钱包移动，则“私钥泄露”的说法更具说服力。最近的公开信号较为狭窄：即Circle是否会冻结仍持有的374万USDC，其中几乎全部集中在五个钱包中，在窃贼转移之前。
反思与建议
对于任何持有大量交易所余额的人来说，此次追踪主张按密钥持有者而非地址来审计提款列表。对于每个保存的目的地，问题是今天哪个手机、笔记本电脑、浏览器扩展或服务可以为其签名，以及该设备是否也持有交易所登录凭证。Bitquery的观点是，此类设备的单次入侵将同时打开两者。
它建议的防御措施源于此：用于登录和白名单中钱包的硬件密钥，开启新地址等待期，以及对白名单钱包的监控如同对账户本身的监控一样严格。资金进入你已停止使用的钱包是一个警告信号。当老钱包在交易者停止使用机器人后被清空时，Coindoo发现了类似的漏洞：一个你不再关注的地址，可能仍有人能从中支出。
