TRM披露朝鲜黑客新洗钱路径：多链套利与凭证代币掩护资金追踪

美国联邦调查局（FBI）已将10月底发生的一起大规模加密资产盗窃案定性为由朝鲜黑客组织实施，其行动代号为“TraderTraitor”，与此前Bybit遭窃事件命名一致。据TRM Labs报告，10月29日，约63.6亿美元从Binance钱包流向十个不同区块链网络，成为全球关注焦点。

新型洗钱路径：基于凭证代币的隐蔽流转

在此次事件中，攻击者采用创新手段规避监管追踪。一种典型模式是：攻击者在TRON网络上创建仅限自身铸造的新代币，并将其与借贷协议的凭证代币绑定至单一去中心化交易所流动性池。该设计使得交易行为看似正常，实则隐藏了真实资金来源。

整个流程分为三步：首先，买家钱包接收来自黑客关联地址的TRX，兑换为USDT后转换成凭证代币并购买新代币；其次，创建者免费铸造大量新代币并转入卖家钱包；最后，卖家迅速卖出代币，赎回凭证并兑换回USDT，再转回TRX。由于代币成本为零，所有价值均由初始买家提供，而交易链条仅通过流动性池连接，导致传统支付监控系统难以识别关联。

例如，11月1日一个案例显示，扇出地址向三个买家发送约294万TRX，随后创建者向卖家钱包发放3亿枚代币。卖家在一分钟内完成抛售，提取近1亿枚凭证代币并赎回为USDT，价值约270万美元。此类操作在短时间内完成，极大增加了追踪难度。

跨链退出路径：部分可追踪但多数仍未知

在完成洗钱第一步后，卖家将TRX分散至五个新钱包，并在UTC时间03:22至04:26之间，通过内置交换路由器下达38笔订单，总金额达966,558美元，全部支付至同一跨链服务的桥接钱包。

由于该服务不公开订单去向，TRM只能依据金额与时间进行推断匹配。其中11笔订单（约29万美元）被确认与以太坊上的支付对齐，占批次总额约30%。其余27笔仍在追踪中，尚未定位最终接收方。

另一可验证案例显示，多个TRON地址的资金汇聚至中间以太坊地址，经合并、转发并拆分为50至80 ETH的区块后长期停留。这种分批转移、合并重分配的操作模式，被认定为典型的朝鲜洗钱特征。

凭证代币传递：切断资金溯源链条

TRM于11月2日揭示第二种技术路径：钱包A将USDT存入借贷池，获得代表其存款的凭证代币，再通过普通转账方式将凭证发送给钱包B。钱包B随后赎回凭证，获得等值USDT，并通过桥接服务将资金移出TRON网络。

若仅查看USDT流动，链条将在借贷池处断裂——A存入，B取出，两者无直接转账记录。由于池子规模庞大且共享用户众多，无法从中发现二者联系。唯一线索是凭证代币的传递，而这类信息通常不在公开链上显式呈现。

值得注意的是，此操作并非借款行为，而是所有权的完全转移。一旦凭证转移，原存款人即失去索赔权，与抵押借入资金有本质区别。

冻结为何失效？关键在于路径设计

上述两条路线均确保受污染钱包不会直接向兑现现金的钱包付款。跨链桥接也被用于构建间接路径，攻击者通过两次连续跨链交换，将资金从洗钱节点直达最终接收钱包，跳过了常规警报触发点。

最初数小时内被冻结的27亿美元，源于发行方主动拦截已知污染地址。然而，当前多数资金未被锁定，主要原因是攻击者刻意规避了可被识别的支付路径。TRM建议合规团队应转向追踪凭证代币与池代币的流转，并筛查下游多个跳跃节点，包括跨链服务的使用情况。

TRM强调，部分资金仅能通过金额与时间匹配推断，无法依赖链上明文记录。如果仅审查谁存入了USDT，钱包B将被视为“干净”账户，从而逃避审查。

截至目前，约24亿美元的ETH与BTC仍处于停放状态，未见明显活动迹象。虽然部分资金已被匹配至以太坊地址，但整体追踪进展缓慢。随着攻击者不断优化洗钱策略，监管机构面临前所未有的挑战。