不到一周内发生的两起加密资产盗窃案，呈现出相似的资金转移方式：攻击者先将可能被冻结的稳定币换成其他资产，再拆分资金并跨链转移，或兑换为隐私币，以增加追踪难度。对于市场而言，已被冻结的稳定币金额，以及攻击者仍控制的ETH和BTC数量，将影响资产追回的可能性，也关系到未来潜在的市场供给。
币安热钱包失窃后，稳定币迅速遭冻结
10月29日，攻击者从币安部署在多个区块链上的热钱包转出约63.6亿美元资产。热钱包连接互联网，供交易所处理提现等业务使用。区块链分析机构TRM Labs称，大部分资金在约20分钟内转出。美国联邦调查局将这起攻击归因于朝鲜黑客组织TraderTraitor；这是目前已知规模最大的加密资产盗窃案。
稳定币发行方能够冻结特定钱包中的代币，因此USDT和USDC可能无法继续流通。TRM称，在主要资金转入后约37分钟，Tether冻结了攻击者收款钱包中的约9.71亿枚USDT；Circle随后冻结了约8.23亿枚USDC。若将Tether、Circle、Ripple、World Liberty Financial及Arbitrum安全委员会采取的冻结行动合并计算，TRM估算冻结金额约为27亿美元，币安公布的数字则约为30亿美元。
为规避冻结，攻击者将约3.25亿枚USDT卖给做市商，换得约12.23万枚ETH。按交易时的市场价格计算，这笔交易的折价超过10%。另有约6000万枚USDT被存入借贷协议Aave作为抵押，借出约19,760枚ETH。以明显折价换取不易被冻结的资产，显示攻击者急于降低冻结风险。
拆分比特币并跨链转移，增加追踪难度
资金转换为ETH、BTC等无法由发行方直接冻结的资产后，追踪资金流向成为关键。TRM称，从币安转出的18,270枚BTC在同一区块内被拆分成多个1,000枚和100枚的整数金额，形成多条较小的转账路径。调查人员还发现，资金曾在多个钱包之间自动往返，其中包括此前使用过的地址，这可能让追踪工作更加复杂。
跨链桥可以将资产从一条区块链转移到另一条链，追踪人员因而需要在新的网络上继续查找。链上监测机构Onchain Lens称，周一披露的另一起疑似案件中，一个与Solana套利机器人King有关的钱包，资金先后经过多个Solana钱包，再通过Mayan跨链服务转至以太坊。King的运营方尚未确认遭到入侵，因此这条资金路径本身并不能证明该机器人或相关方已被攻破。
TRM指出，币安案早期的资金转移较多依赖做市商和借贷协议，与2025年Bybit遭窃15亿美元后较多使用跨链桥的做法不同。TRM预计，后续仍可能有跨链桥、兑换服务和场外经纪商参与资金流转。
欧盟实体疑似损失超过1.06亿美元
区块链调查员ZachXBT周一表示，一个身份尚未公开的欧盟实体可能在周日遭遇盗窃，多个交易所账户合计损失超过1.06亿美元。受害者和涉事交易所均未具名，因此目前仍属于未经确认的疑似案件。ZachXBT称，资金以USDC和USDT形式转出，其中USDC被换成ETH，操作与币安案早期的资金转移有相似之处。
ZachXBT还称，相关资金经过WellWallet、Kyrrex等即时兑换服务，之后通过名为Wagyu的兑换服务换成门罗币（Monero）。即时兑换服务可快速转换不同代币；门罗币则默认隐藏发送方、接收方和交易金额。资金进入门罗币后，依赖公开链上记录的追踪会更加困难。
攻击者持有的ETH与BTC关系到潜在卖压
TRM称，币安案攻击者仍控制超过42万枚ETH和18,270枚BTC，合计价值约24亿美元。这些资产不受稳定币发行方冻结机制的直接控制。如果大额ETH或BTC进入市场，可能增加可出售资产的供给。不过，目前尚不清楚资金会在何时、通过什么渠道转移，也可能分散在数周或数月内流动，因此现阶段不能据此判断近期会出现集中抛售。
币安联席首席执行官何一表示，交易所已拨出超过63.4亿美元的公司资金，用于补足被盗资产。据称，相关安排包括通过场外交易和交易所交易进行购买，可能形成相应的市场需求。购买规模、时间和执行方式，仍是评估后续资金流向时值得关注的信息。
币安表示将承担此次损失，目前未告知客户需要承担资金损失。不过，事件涉及交易所自有热钱包，仍凸显平台资产安全与交易所安全措施之间的关系。本案中，稳定币冻结限制了部分被盗资金的流动，也反映出发行方能够控制特定钱包中的代币。
后续关注钱包转账与冻结金额变化
接下来需要观察攻击者持有的ETH和BTC是否出现大额转账，尤其是资金是否流向交易所或场外交易渠道。TRM正在追踪资金拆分后的流向以及汇集地址。若出现大额转账，可能意味着被盗资产正接近出售环节，但单笔转账本身并不代表已经完成变现。
币安尚未公布签名系统遭到入侵的完整原因。对安全机制根因的说明，将影响外界判断其他平台是否面临类似风险。欧盟疑似案件仍待受害者、交易所或确切损失金额得到确认；在相关信息公布前，超过1.06亿美元仍应视为未经确认的估算。若冻结或追回金额更新，对攻击者实际控制资产规模的判断也可能随之改变。