图文还原币安被盗7,074枚BTC转移全过程

全球知名的交易所币安于05月08日上午发布公告称，当天凌晨1时15分，币安遭到了黑客大规模的系统性攻击，黑客获取了大量API密钥，谷歌验证2FA码等信息，一次性提走了7,000枚BTC。

这是2019年以来，继 Cryptopia、DragonEx 和 Bithumb 之后，第四个遭黑客攻击的大型数字货币交易平台。根据区块链安全公司 PeckShield 数字资产护航系统的数据显示，本次黑客攻击事件中，币安共计损失了7,074枚 BTC（按当天价格计，价值约4,200万美元），恰逢数字货币市场行情整体回暖的关键时刻，币安的突然遭袭会不会成为刺激行情下行的又一只黑天鹅？

PeckShield 安全人员深入剖析了黑客实施攻击的全过程，并对被盗链上资产进行全路径还原发现：

1、黑客从攻击成功并未及时抛售，大概率会长期持币。

2、为了逃避追踪，黑客分批多次转移了被盗资产，但只是最基础的换地址操作。

3、资产最终被分散至7个主要新地址，暂时尚未监测到流入交易所，并没有抛售的迹象。

透过以下三张数字资产全路径转移图，我们可以清晰地看到币安被盗后的24小时内，佛系黑客的淡定”销赃“全过程。

第一步：20个主要分散存储地址

 （ 图1：黑客将盗取的7,074枚 BTC 分散至20个主要地址   ）

大部分黑客攻击得手之后，如果是团伙作案的话，第一步大概率是将资金转往非知名交易所，趁事情没曝光前悄悄抛售、提现、分赃。然而，本次黑客攻击得手之后，首先采取的是资金分散存储，将7,074枚 BTC 以每个地址100枚-600枚不等的额度分散于20个主要 (大于1枚 BTC ）新地址。

第二步：开始汇聚地址，实施资产转移

 （ 图2：黑客开始启动资金整理   ）

在将所盗取7,074枚 BTC 分散存储开后，7个小时后，黑客再一次开始整理资金，先清空了20个地址中的2个地址，并将2个分别存储有566枚和671枚的 BTC 汇聚成1,226枚BTC转入 bc1qkwu、bc1q3a5 开头的两个新地址。最终又将该笔资金中的其中519.9枚 BTC 汇入另一个地址，剩余的707.1枚 BTC 作为最终分布的7个地址之一尚无异动。

第三步：资产最终分散至7个新地址，暂无异动

 （ 图3：币安被盗7,074枚 BTC 转移全过程   ）

通过上一步操作，黑客表露出了进一步汇聚资产的意思，但并没有即时进行。又隔了5个小时，晚间22:35分起，黑客将此前20个地址中的若干地址余额汇聚起来，将资金转移至 bc1q2rdpy、16SMGihY9、1MNwMURYw、bc1qw7g5u、bc1qnf2ja、bc1qx3628、bc1q3a5hd 开头的7个新地址，其中前6个地址分别有1,060.64枚 BTC，最后一个地址转入707.1枚 BTC，加上其他小额地址（一笔存储有1.3枚 BTC 的地址），本次币安被盗的7,074枚 BTC 已基本全部被转移。

截止目前，黑客分散后的7个主要地址，尚未监测到有进一步的异动。初步判断，短时间内黑客应该不会有转往交易所销赃的意思，最终以每个地址1,060枚 BTC 分散存储，或许只是为了方便存储管理。整体而言，目前所有被盗资产尚控制在黑客手中，PeckShield 数字资产护航系统已对黑客全部关联地址实施了全程监控和实时异动预警。

附：被盗7,074枚BTC最终停留主要地址：

最终被盗资产分布地址
bc1q2rdpyt8ed9pm56u9t0zjf94zrdu6gufa47pf62	1060.64 BTC
16SMGihY94H8UjRcxwsLnDtxRt7cRLkvoC	1060.64 BTC
1MNwMURYw1LkPnnpda2DQkkUsXXeKL9pmR	1060.64 BTC
bc1qw7g5uxxl750t0h2fh9xajwuxp4qt634yh3vg5q	1060.64 BTC
bc1qx3628eh9tdnm0uzculu8k6r2ywfkc5zns2hp0k	1060.64 BTC
bc1qnf2ja3ffqzc3hskanjse6p8zag52fm6jgmmg9u	1060.64 BTC
bc1q3a5hd36jrqeseqa27nm40srkgxy8lk0v0tpjtp	707.1 BTC

PeckShield（派盾科技）是面向全球顶尖的区块链数据与安全服务提供商。商业与媒体合作（包括智能合约审计需求）， 请通过 Telegram、Twitter 或邮件 （[email protected]）与我们联系。