币圈界报道：

1.088亿美元稳定币离场：一场精心策划的跨平台资金转移

据Bitquery于11月开展的链上分析，一笔总额达1.088亿美元的USDC从交易所主钱包中转出。在接收的15个目标地址中，有11个此前已有资金提取历史记录。其中6298万美元被迅速兑换为27,553枚ETH，仅剩370万美元以可冻结形式的USDC留存于链上。

三平台协同行动：21小时内的资金撤离路径

首笔转账于11月1日UTC时间12:25由OKX发起，44分钟后Kraken完成95%的支付份额，剩余部分由Crypto.com与OKX共同补足。约7320万美元在当日12:25至23:00的三小时内完成转移，最后一笔到账时间为次日09:09。

一个接收钱包在91分钟内接收了43次来自Kraken的提款，每次金额均低于5万美元。分析认为，此举旨在绕过单笔限额机制，尽管改变了转账形态，但未影响整体资金规模。

涉案金额多维估算：从初步推测到剔除干扰后的净额

最初由链上调查员ZachXBT提出的公开估测值超过1.06亿美元。经Bitquery统计，实际从交易所主钱包流出的总额为1.088亿美元。若剔除两个仅通过中间商关联的地址，净额降至9570万美元。

受害者尚未公布具体损失数据。由于调查范围限于以太坊网络及三家交易所主钱包，其他链或外部钱包中的资金流动可能进一步推高总额。当前身份仍处于保密状态，但钱包历史显示其自5月以来持续使用Kraken进行交易活动，此观点目前尚存争议。

旧地址行为模式揭示深层逻辑：为何登录凭证不足以解释动向

在15个接收钱包中，11个在11月1日前曾从同一交易所提取过资金，合计接收84%的资金量。最早的一个钱包首次提款时间为5月4日，且在事件发生前已完成48次提现。夏季期间，多个钱包间存在频繁互转行为。

其中8个为Trust Wallet智能账户，用于支付网络费用，但未发现应用本身存在安全漏洞。这些历史轨迹使Bitquery判断，相关钱包应属用户自有资产，而非交易所失守所致。资金在三分钟内即完成链上转移，后续转移需依赖私钥持有者，因此极可能是账户登录凭证与私钥同时被获取。

这一推断基于行为分析，尚未获得受害者或交易所确认。若这些地址属于员工、承包商或合作方，早期提款记录说明信任对象是个人而非系统漏洞。目前无迹象表明三大交易所自身遭到入侵，所有提款均源自单一客户账户。

白名单机制失效场景：新旧地址的双重挑战

白名单机制限制只能向预设地址转账。本次事件暴露出两种典型情况：

对于11个已有历史记录的钱包，即使启用白名单也无法防范，因其已获授权，系统仅验证地址有效性，不审查密钥持有人身份。

针对4个全新地址（共接收1727万美元），情况相反。来自OKX和Kraken的首笔付款均流向无任何过往记录的地址。若账户启用了白名单，窃贼可将其加入；若未启用，则资金可自由流向任意地址。当前无法确认相关账户是否开启该功能。

为此，各交易所部署了额外防护措施：

  • OKX：新增“新地址锁定”功能，禁止向新添加收款人转账24小时。
  • Crypto.com Exchange：对新增白名单地址实施24小时冻结，关闭需再等待24小时生效。
  • Kraken：全局锁定机制阻止新地址添加及受保护设置变更，解除需等待设定延迟期，除非预先配置可覆盖的主密钥。

上述机制仅适用于新地址，不影响已存在于白名单中的钱包。只要密钥有效，旧地址仍可随时使用。

可冻结资产在数小时内被彻底转换

USDC发行方Circle具备冻结任一地址的能力，而ETH无发行方，DAI亦无冻结功能。因此，将稳定币转换为非可冻结资产成为窃贼核心策略。

11月1日午夜前后，一个新钱包开始通过UniswapX出售稳定币。该平台采用拍卖机制匹配订单。在约四个小时内，售出价值6298万美元的USDC与USDT，换取27,553枚ETH，均价约为每枚2286美元。其余部分转入DAI。

Bitquery在销售期间及周一检查中未发现Circle发出冻结指令，也不清楚是否有第三方提出请求。

截至11月2日UTC时间13:47，仍有7827万美元滞留于以太坊网络，位于被关联到窃贼的地址中，多数已脱离发行方控制：

  • ETH：6890万美元（完全不可冻结）
  • DAI：560万美元（无冻结能力）
  • USDC：370万美元（仍可由Circle冻结）

约3050万美元已转出。最大一笔为812万美元，流入KuCoin存款地址，疑似欧洲交易所Kyrrex的聚合账户。LI.F.I桥接服务收取434万美元，其中部分通过一次性订单钱包处理，分析公司TRM标记其为Wagyu——一种将资产转换为门罗币的服务。即时交易所FixedFloat则收到132万美元。

ETH已无法追回。现存可干预资金取决于各方权限：Circle对剩余USDC拥有控制权，KuCoin与Kyrrex对其账户内资金具有管理权，即时交易所则对下单方负责。

访问权限判定的关键证据：日志审计的必要性

Kraken处理了178笔提款，可提供账户所有者行为细节。三条关键日志可用于验证推测：新地址添加时间点及其是否触发等待期；提款方式是通过登录会话还是具备提款权限的API密钥；以及11月1日12:25前是否存在安全设置变动。

若日志显示因等待期被阻拦后仍成功转移，问题根源更可能指向账户配置缺陷；若设置完好却仍能移动资金，则“私钥泄露”可能性更高。近期唯一可见信号是Circle是否会冻结剩余374万USDC，其中绝大部分集中在五个钱包中，且在资金转移前未被冻结。

安全反思与防御建议：从地址转向密钥控制

此次事件强调，持有大量交易所余额者应以密钥持有者而非地址作为审计核心。对于每个目的地，必须明确：今日哪个设备（手机、电脑、浏览器插件或服务）能为其签名？该设备是否也掌握交易所登录凭证？Bitquery指出，一次设备入侵即可同时暴露双重权限。

建议采取以下防御策略：使用硬件密钥管理登录与白名单钱包；启用新地址等待期机制；将白名单监控提升至与账户本身同等严格程度。当资金进入你已停止使用的钱包时，应视为严重警告信号。类似案例中，Coindoo发现机器人停用后老地址仍被清空，说明一个不再关注的地址，可能仍在被他人操控。