1.088亿美元USDC被盗事件追踪：链上分析揭示窃贼操作路径

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

链上数据分析显示，一笔价值1.088亿美元的USDC从交易所主钱包流出，涉及OKX、Kraken和Crypto.com三家平台。接收方为15个地址，其中11个此前已有提取记录，共占总金额的84%。

三小时集中提款与规避策略

首笔提款于11月1日UTC时间12:25从OKX发起，44分钟后Kraken完成95%的支付，剩余部分由Crypto.com与OKX共同承担。在接下来的三个小时内，约7320万美元资金完成转移，最后一笔到账时间为次日09:09。

一个钱包在91分钟内接收了43次来自Kraken的转账，每次金额均低于5万美元。这一行为模式被分析认为是为绕过单笔提款上限而采取的策略。尽管形态改变，但整体规模未受影响。

涉案金额多维度估算

根据调查，原始估算值为1.06亿美元以上；Bitquery统计确认总额达1.088亿美元；剔除两个疑似中间环节的钱包后，实际金额约为9570万美元。

目前受害者身份尚未公开，也未确认具体损失数额。由于调查范围仅限以太坊网络及三家交易所主钱包，其他链或账户的资金可能使总数进一步上升。相关钱包历史指向一家自5月以来频繁使用Kraken的交易实体，但该推断仍待验证。

旧钱包为何不指向普通用户行为

15个接收钱包中，11个在11月1日前已从同一交易所提取过资金，且累计接收超八成资金。最早的一个钱包于5月4日首次提款，并在事件前完成48次类似操作。夏季期间，多个钱包间存在频繁互转。

其中8个为Trust Wallet智能账户，用于支付网络费用，但未发现应用层漏洞证据。这些历史记录促使分析机构将这些钱包视为持有者自有资产，而非系统性攻击产物。

这解释了为何仅凭交易所登录无法说明问题——资金转移需私钥授权。因此，若能成功执行大量提款，极可能意味着窃贼同时掌握登录凭证与私钥，暗示设备入侵或内部人员作案。区块链本身无法区分这两种情况。

白名单机制的失效与应对措施

白名单可限制提款目标地址，但无法控制密钥归属。对于已有批准记录的11个旧钱包，即使启用白名单也无法阻止资金流出。

而对于4个新地址（接收1727万美元），则体现白名单的实际作用：若账户开启此功能，窃贼可通过添加新地址绕过限制；若未启用，则资金可自由流向任意地址。

各平台现有防护措施如下：

• OKX：新增“新地址锁定”功能，禁止向新添加收款人提款24小时。
• Crypto.com：对新增白名单地址实施24小时冻结，关闭需再等24小时生效。
• Kraken：全局锁定机制阻止新地址添加及设置更改，解除需等待设定延迟期，除非有主密钥覆盖。

上述机制不影响已有白名单中的地址，仍允许合法密钥持有者继续使用旧地址。

资产转换规避冻结机制

USDC发行方Circle具备冻结任意地址的能力，而ETH和DAI无此类功能，因此窃贼必须迅速将稳定币转换为不可冻结资产。

11月1日午夜前后，一个新钱包开始通过UniswapX出售稳定币。该平台采用拍卖式订单匹配机制，在四小时内完成6298万美元的USDC与USDT兑换，获得27,553枚ETH，均价约每枚2286美元。另有部分资金转入DAI。

截至11月2日13:47，仍有7827万美元滞留于以太坊网络，分布如下：

• ETH：6890万美元（无发行方可冻结）
• DAI：560万美元（无冻结功能）
• USDC：370万美元（仍可被Circle冻结）

约3050万美元已完成转移。最大一笔812万美元流入KuCoin存款地址，推测为欧洲交易所Kyrrex的聚合账户。LI.FI平台收取434万美元，其中部分经由一次性订单钱包，被TRM标记为Wagyu服务，用于转换为门罗币。即时交易所FixedFloat接收132万美元。

ETH已脱离追回可能。剩余可追溯资金取决于多方控制权：Circle对370万USDC，KuCoin与Kyrrex对存入资金，以及即时交易所对下单者。

关键访问权限验证路径

Kraken处理了178笔提款，其日志可用于验证理论：四个新地址添加时间、是否启用锁定或延迟、提款方式（登录会话或API密钥）、以及事件前几小时内的安全设置变更。

若新地址因等待期被阻断，则表明账户配置存在问题；若设置正常却仍能动用旧钱包，则更支持“私钥泄露”的判断。当前唯一明确信号是：Circle是否会冻结剩余374万USDC，其中近全部集中在五个钱包。

安全反思与防御建议

此次事件强调，持有大量余额的用户应基于密钥持有者而非地址本身来审计提款记录。每一个目的地背后，都应追问：今天哪个设备或服务仍能为其签名？该设备是否也保存着交易所登录凭证？

Bitquery指出，一次设备入侵即可同时暴露登录信息与私钥。建议采取以下措施：

• 使用硬件密钥管理登录与白名单钱包
• 强制启用新地址等待期
• 对白名单钱包的监控应等同于对账户本身的监控
• 一旦资金进入长期未使用的钱包，即发出警示

类似案例曾出现在Coindoo报告中：当机器人停止运行后，老钱包被清空，提示一个不再受控的地址可能仍可被支出。