作者：BlockSec 原文鏈接：https://mp.weixin.qq.com/s/lHTGTwDb-qjG-o43XWOvMg 聲明：本文為轉載內容，讀者可通過原文鏈接獲得更多信息。如作者對轉載形式有任何異議，請聯繫我們，我們將按照作者要求進行修改。轉載僅用於信息分享，不構成任何投資建議，不代表吳說觀點與立場。 全文如下： 一、事件經過 2026 年 9 月 25 日 02:31（北京時間，下文時間均為北京時間），Bitget 的以太坊熱錢包轉出 0.84 ETH，TRON 熱錢包轉出 93 TRX。根據 Bitget 事後在直播中所述，這是攻擊者的兩筆測試轉賬，金額低於風控閾值，沒有觸發告警。 02:58 起大額轉出開始。03:05，Bitget 的對賬系統發現大額差異，風控自動阻斷了全平台用戶提現。但據 Bitget 介紹，攻擊者是直接向錢包系統寫入偽造的提現命令，轉出沒有停下。 最後一筆發生在 05:23，從測試轉賬算起共 2 小時 52 分鐘，Bitget 追蹤面板共記錄到 26 筆成功轉出；05:44，Bitget 停掉簽名機等錢包提現服務。 Bitget 披露的攻擊路徑是，攻擊者利用某第三方安全產品的零日漏洞，竊取了內部網絡的高權限憑證，向錢包系統寫入偽造的提現命令，繞過了風控校驗，並在每次轉賬後刪除相關記錄。Bitget 稱私鑰沒有洩露，冷錢包未受影響。 損失最初報約 3.516 億美元，補計 Zcash 和 TRON 後上調為約 3.875 億美元。面板記錄顯示，被盜資產涉及 13 種、12 條鏈，XRP 是單鏈損失最大的一塊。Bitget 表示用戶餘額不受影響，損失由用戶保護基金承擔。 二、洗錢路徑 從攻擊者目前的行為模式看，此次洗錢主要分為 3 個步驟：先把可凍結的資產兌換成原生代幣，再把分散在各鏈的資產往比特幣歸攏（以太坊作為主要的中轉），最後把 BTC 陸續送進混幣。 第一步完成得最快。被盜資產中有約 7,548 萬美元的 USDT、USDC 和 USDT0，另有 3,000 枚 Tether 發行的黃金代幣 XAUt。它們有中心化發行方，這很可能是攻擊者最先處理它們的原因。這些資產均在各自被盜後 41 分鐘內換成了 ETH 或 AVAX： 兌換走的是 UniswapX、Uniswap、1inch 和 MetaMask 錢包內置兌換等常規渠道，全部在 Bitget CEO 於 05:30 公開發帖說明此事之前完成。 第二步從 9 月 25 日被盜當天開始，截至 9 月 29 日，已持續近 5 天。據 Bitget 追蹤面板的統計（數據截至 9 月 29 日 20:30；下文如無特別注明，均為同一時間的快照數據），目前在途的跨鏈交易均以 BTC 為目標，按金額計約九成從以太坊發出。 圖 2：在途跨鏈交易的目標資產與發出鏈分布（Bitget 追蹤面板） 這一步的主通道是跨鏈兌換協議 THORChain。面板統計顯示，攻擊者打入 THORChain 的淨額約 2.69 億美元（7,804 筆），跨鏈兌換類中其次是 Chainflip，約 3,727 萬美元。 需要注意的是，上述數字均為經過額：同一筆資金可能先後經過多個通道，各通道金額不能簡單相加，也不等同於已完成清洗的金額。 第三步是比特幣的 CoinJoin，它把多個用戶的比特幣混在同一筆交易里，打斷輸入和輸出的對應關係。截至 9 月 29 日，累計進入 CoinJoin 的資金約 394 萬美元，相對攻擊者持有的 BTC 規模仍然很小。 以 9 月 27 日 19:03 上鏈的一筆 CoinJoin 交易為例，這筆交易共有 356 個輸入、401 個輸出，其中 4 個輸入（各 2.5 BTC，共 10 BTC）來自 Bitget 面板標注的攻擊者地址。 輸出中有大量相同面額，例如 21 個輸出各為 0.02097152 BTC，從鏈上無法區分這些輸出分別歸屬於誰。 到攻擊發生後的第 5 天，攻擊者仍控制約 3.42 億美元，佔被盜總額的 88.3%。其中 BTC 約佔 83.7%（約 3,386 枚），ZEC 約佔 8.5%，ETH 約佔 7.3%（約 9,357 枚），穩定幣約佔 0.2%。 面板對賬顯示，截至 9 月 25 日，兌換和跨鏈中的損耗約 378 萬美元；Tether 和 Circle 凍結約 34 萬美元，另據 NEAR Intents 披露，約 50 萬美元在其執行途中被凍結。 三、凍結情況 截至 9 月 29 日，公開可見的凍結合計約 84 萬美元，約佔被盜總額的 0.2%：穩定幣發行方 Tether 和 Circle 凍結了約 34 萬美元，跨鏈服務 NEAR Intents 自述在執行途中凍結了約 50 萬美元。這兩類凍結的機制不同。 1. 穩定幣發行方的凍結 對於由 Tether 和 Circle 發行的穩定幣，發行方可以凍結指定地址上的餘額。很可能是為了避免被發行方凍結，本案中被盜的穩定幣在各自被盜後 41 分鐘內就已全部兌換為原生代幣（見第二節）。但這並不意味著資產轉移的過程中沒有再出現穩定幣，而這也為 Tether 和 Circle 的凍結創造了條件。 截至 9 月 29 日，約 34 萬美元被 Tether 和 Circle 凍結。我們逐筆排查其資金來源，發現主要來自攻擊者跨鏈過程中作為中轉的穩定幣。 最大的一筆約 31.8 萬美元，來自攻擊者在 BSC 和以太坊上共用的地址 0xe07b...7d57。攻擊者在 BSC 上把 BNB 換成 BSC-USD 等穩定幣，按 20 萬、10 萬、2 萬的整數分塊，經 PancakeSwap 跨鏈（底層為 Across）等通道送到以太坊。 在以太坊一側取出 USDT 或 USDC，幾分鐘內再換成 ETH。 BSC-USD（全稱 Binance-Peg BSC-USD）由 Binance 發行，合約沒有凍結函數；跨到以太坊之後，這些資金變成了 Tether 和 Circle 可以凍結的 USDT 和 USDC。 該地址經 PancakeSwap 跨鏈的 48 筆資金，中位到賬時間 88 秒，但其中 4 筆穩定幣延遲了 62 至 83 分鐘，成為最後到賬的幾筆，07:36 到 07:47 才到賬，而攻擊者此前在這個地址上的操作已在 07:07 停止。 約 27 小時後，攻擊者回到這個地址，轉走了賬上的 170.47 ETH，但此時這筆 USDT 和 USDC 已被 Circle 和 Tether 凍結。 另外兩處的情況類似。0x9acc...b046 被凍結的 21,090 USDT 是一筆 THORChain 退款：攻擊者把跨鏈來的 USDT 送進 THORChain 換 BTC，部分訂單被退回，同地址其他退款都在 17 分鐘內到賬，這一筆用了 109 分鐘，到賬時攻擊者已離開。 TRON 上的兩筆則是攻擊者按整數轉走後剩下的零頭。 這幾筆凍結有一個共同點，那就是它們在地址中停留的時間足夠長。相比之下，9 月 29 日 15:01 到賬的一筆 425,959 USDT，停留 1 小時 14 分鐘後就被換成 ETH 送進了 THORChain，短於已有凍結中最快的一次（從地址首次收到穩定幣到被凍結，約 5 小時 24 分），沒有被凍結。 但停留時間長，並不意味著一定會被凍結。截至 9 月 29 日，面板顯示攻擊者關聯的 5 個地址上仍有約 31 萬美元的穩定幣處於可凍結狀態。 其中金額最大的一筆是 0xec13...691f 上的 267,364 USDC，於 9 月 29 日 13:57 到賬，截至 21:27（見下圖）已停留約 7.5 小時，仍未被凍結。 作為參照，此前 Circle 凍結 0xe07b...7d57 上的 USDC，從該地址首次收到 USDC 算起用了約 7.6 小時，兩者基本相當。 2. 跨鏈服務的處理 另一類凍結髮生在跨鏈服務處理兌換請求的過程中。據 NEAR Intents 9 月 28 日的披露，攻擊者曾嘗試經其轉移超過 5,000 萬美元，風控層 SHIELD 識別後不予報價或中止執行，最終約 16.6 萬美元通過，約 50.3 萬美元在執行途中被凍結，目前仍被限制。 這些數字是 NEAR Intents 的自述，原文注明誤差可能在 10% 以內。 以 Bitget 面板標注為「NEAR Intents 扣單」的一筆訂單為例：9 月 26 日 00:35，攻擊者地址從 XRP Ledger 向 NEAR Intents 充值 173,819 XRP（面板估值約 26.6 萬美元），目標是兌換成 BTC。 充值已經確認，但這筆訂單至今停在「處理中」狀態，早已超過 01:35 的截止時間，並且未產生退款。面板共標注了 4 筆這類訂單，合計約 29.4 萬美元。 除 NEAR Intents 外，攻擊者的資金還經過了多個跨鏈服務。面板統計顯示，經手額最大的是 THORChain，約 2.69 億美元；其後依次是 USDT0/LayerZero 約 5,513 萬美元、Circle 的跨鏈協議 CCTP 約 4,933 萬美元、Chainflip 約 3,727 萬美元、Across 約 1,438 萬美元、Stargate 約 1,282 萬美元。 以上均為經過額，不能相加。 THORChain 的經手額最大，也引發了爭議。9 月 26 日，Bitget CEO Gracy Chen 公開要求 THORChain 拒絕為攻擊者地址提供服務，稱「去中心化是一項設計原則，不是為已知被盜資金提供便利的擋箭牌」。 也有人指出，THORChain 今年 5 月因自身簽名機制存在漏洞、被盜約 1,070 萬美元時，曾暫停整個網絡。對此，THORChain 回應稱，暫停網絡不等於選擇性凍結特定資金或某一筆兌換，協議在設計上不做審查。截至 9 月 29 日，仍有被盜資金經 THORChain 從 ETH 換成 BTC。 四、「朝鮮黑客」的判斷，以及與 Bybit 的異同 這次事件發生後數小時內，就被多方指向朝鮮黑客。主要依據有三類。 一是 Bitget 自己的判斷。Bitget CEO Gracy Chen 稱，根據 IP 行為特徵和鏈上特徵，這次攻擊與朝鮮相關黑客組織的手法一致，並表示發現部分 IP 與某朝鮮團伙使用的 VPN 吻合，但相關技術依據尚未公佈。 二是鏈上的資金關聯。事發後約 6 小時，鏈上分析師 Specter 稱，Bitget 被盜的 XRP 跨鏈後，可以直接關聯到今年 7 月的 AFX 被盜案，該案被歸因於 TraderTraitor；也有媒體指出，這一關聯只經過一個持有約 4,300 美元的以太坊錢包，證據較薄。 三是洗錢網絡和手法的重合。ZachXBT 公開了 5 名替攻擊者洗錢的華語地下洗錢者的社交賬號和相關交易，並稱其中一人今年早些時候也經手過 Kelp DAO 被盜的 2.92 億美元資金。 他表示，在多起被歸因於 TraderTraitor 的案件之後，他都觀察到同樣的模式，並一直在追蹤這些團伙；目前資金正經跨鏈橋在各鏈之間轉移，並被存入 Wasabi 等混幣服務。Arkham 也指出，攻擊者使用了朝鮮關聯黑客常用的「剝皮鏈」（peel chain）手法。 在這些線索中，2025 年的 Bybit 案被反復提及。當時 Bybit 的以太坊冷錢包被盜約 15 億美元，五天後，FBI 發佈公告認定朝鮮對此負責，並把這類活動稱為「TraderTraitor」；安全公司 Sygnia 的報告稱其也被稱為 Lazarus Group。 兩案確實有相似之處。 一是都沒有竊取交易所的私鑰，而是借道第三方：Bybit 案中，攻擊者先攻破 Safe{Wallet} 一名開發者的電腦，再篡改 Safe 網頁端腳本，讓 Bybit 簽名人簽下交出冷錢包控制權的交易。 本案據 Bitget 披露，攻擊者利用的是第三方安全產品的零日漏洞。 二是洗錢手法相近，主通道都是 THORChain：Bybit CEO Ben Zhou 2025 年 3 月 4 日公佈的統計顯示，當時 72% 的被盜資金經 THORChain 轉移。至於兩案洗錢路徑的差異，例如本案多了兌換穩定幣和跨鏈歸攏的步驟，主要取決於被盜錢包里有哪些資產，並不能用來區分攻擊者。 但在攻擊和洗錢都高度服務化的今天，僅憑上述信息，很難簡單斷定攻擊者的身份。本案的攻擊入口據 Bitget 披露是第三方安全產品的漏洞；THORChain、CoinJoin 這類服務任何人都可以使用；替攻擊者洗錢的地下團伙，與攻擊者本身也未必是同一批人。 因此，鏈上的重合更直接說明的是本案與此前案件的洗錢團伙可能相同，而不一定意味著攻擊者相同。更確定的結論，還有待 Bitget 公佈完整的調查報告，或執法機構發佈公告。