SomaXBT：朝鲜黑客两日内洗白约2.42亿美元Binance被盗资金
链上分析师、Security Alliance（SEAL）贡献者 SomaXBT 表示，Binance 被盗事件已过去两天，攻击者（洗钱团队）仅通过 Tron 链一腿就已洗白约 2.42 亿美元，这是在冻结后他们仍控制的约 35 亿美元中的一部分。
SomaXBT 称，Tron 链上被盗约 6.28 亿美元（含 6.127 亿 USDT 与 4640 万 TRX），Tether 在第一天冻结了 3.787 亿 USDT，攻击者可移动的剩余资金约 2.49 亿美元。其中约 1.94 亿美元通过跨链桥与兑换服务流出 Tron：Relay 处理约 4800 万美元、THORChain 约 4400 万美元、Chainflip 约 3210 万美元、Symbiosis 约 1600 万美元，合计约 1.4 亿美元；另有约 4300 万美元通过 Bitget Wallet 等渠道流出，目的地尚未完全明确；约 2600 万美元仍留在 Tron；约 2200 万美元因手续费、滑点与价格波动损失。大部分跨链资金最终落到以太坊主网（约 5.33 万 ETH）及比特币等链。
与此同时，美国联邦调查局（FBI）于 10 月 31 日发布告警，将约 10 月 29 日 Binance 超过 60 亿美元虚拟资产被盗事件归责于朝鲜 TraderTraitor 活动，并与美国特勤局、国税局刑事调查部门联合敦促 THORNode 运营者、RPC 节点运营者、即时兑换、DeFi 服务及其他虚拟资产服务提供商，阻止与所列地址或其衍生地址相关的交易。
原始来源：
标题：1/ Binance exploit just passed 2 days, and so far the attackers (laundering team) have laundered ~$242M through the Tron leg alone... 发布者：SomaXBT（@somaxbt） 发布日期：2026-11-01 URL：https://x.com/somaxbt/status/2116884703655723207 来源性质：当事人原帖 核验情况：本次读取完整线程（1–9 条），核验日期 2026-11-01 支持内容：两日内通过 Tron 腿洗白约 2.42 亿美元；Tron 被盗规模、Tether 冻结金额、剩余可移动资金；Relay/THORChain/Chainflip/Symbiosis 等具体流出金额及合计约 1.4 亿美元；其他渠道、留在 Tron 金额及损失金额；最终主要落点。
ABAB AI 解读
SomaXBT 是链上威胁调查员，并担任 Security Alliance（SEAL）的情报贡献者。他持续追踪此次 Binance 事件的资金流，重点拆解 Tron 链上的洗白路径。FBI 已将整体事件（约 10 月 29 日超 60 亿美元被盗）正式归责于朝鲜 TraderTraitor，并点名要求 THORNode 运营者等配合阻止相关交易，这与此前对 Bybit 等事件的归因一致。
从资金路径看，Tron 上初始被盗约 6.28 亿美元后，Tether 迅速冻结大部分 USDT，攻击者转向无法被稳定币发行方直接冻结的原生 TRX 及其他路径。跨链桥成为主要出口：Relay、THORChain、Chainflip、Symbiosis 四家合计处理约 1.4 亿美元流出。这些服务本身是去中心化或半去中心化的，节点运营者可自主决定是否过滤地址，因此 FBI 的呼吁需要各节点自愿执行，而非强制指令。SomaXBT 追踪显示，大部分资金最终进入以太坊与比特币地址，且部分目的地（如 Bitget Wallet 相关渠道）仍待进一步解析。
相比 2025 年 Bybit 事件（同样被归因于 TraderTraitor，规模约 15 亿美元），此次洗白更依赖多桥并行与高频小额存款，以降低单点被拦截风险。Relay 在本次扮演的角色大于以往 TraderTraitor 案例，显示攻击方会根据可用通道动态调整。THORChain 作为单条最大出口之一，其节点如何回应 FBI 请求，将成为观察重点。
对追踪方而言，2.42 亿美元的两日流出只是 Tron 腿的局部进展，攻击者在其他链上仍控制数十亿美元未动资产。最终去向取决于节点是否配合冻结、跨链服务能否持续追踪，以及后续在以太坊/比特币上的二次分散。观察指标是 THORChain 等被点名服务是否公开响应 FBI 地址列表，以及 SomaXBT 等分析师后续报告的“已解析目的地”比例变化。
ABAB News · 认知定律
稳定币冻结迫使攻击者转向原生资产与跨链桥，多桥并行把单点拦截变成多节点自愿配合问题。
FBI 点名要求 THORNode 等阻止交易，实际效果取决于各节点是否响应，而非告警本身即能冻结资金。