幣安遭駭：種種線索指向北韓

TRM Labs 全球政策主管 Ari Redbord 表示，這次 Binance 遭駭，重點不在被盜金額，而在事後應變：穩定幣發行商 Tether 與 Circle 在大約一小時內凍結了約 40% 的贓款——約 24 億美元——即便這起攻擊已成為史上最大規模的加密貨幣竊案。整段訪談大部分時間都放在這套應變機制上——Beacon Network、穩定幣凍結許可權、執法流程——以及將攻擊歸因於北韓；至於漏洞本身如何運作，只有簡短且語帶保留的討論。

Redbord 是從事件應變的第一線現身說法：他描述 TRM 連夜在 Slack 上開設戰情室、聯絡 Binance 與 Beacon Network（他稱其涵蓋約 85% 的中心化加密貨幣交易量與 100 個執法機關），以及 TRM 當晚就發布報告，將攻擊歸因於北韓。讀者讀完應該能掌握具體數字、追回資金的作戰手冊，以及尚未解答的問題——非穩定幣部分的贓款還能追回多少，以及 AI 是否正在擴大攻防落差。

數字說明：逐字稿的自動語音辨識把好幾筆金額聽錯（這起駭案先後被轉寫成「600 萬美元」、「六 78 億」、「六百萬六十億」）。從節目標題與前後文判斷，竊案規模約為 60 億美元；以下數字均依講者原話呈現，辨識錯誤之處另行標註。

重點在追回，不在竊案本身

Redbord 的核心論點是：這起竊案創下紀錄，業界的應變同樣創下紀錄。據他所述，Tether 與 Circle 在駭案發生約一小時內凍結了約 40% 的贓款——約 24 億美元——當晚追回的金額超過歷來任何一起加密貨幣駭案。他把凍結能力形容為「先銷毀、再重新發行」：把資金從非法錢包轉到一個無法動用的地址。

他反覆強調，即使有這筆追回，剩餘損失仍約為歷來任何駭案的兩倍。他稱這起事件以數量級而言是「人類史上最大的銀行搶案」，並拿 Netflix 紀錄片《史上最大搶案》（*The Biggest Heist Ever*）中約 7,000 萬美元的 Bitfinex 相關竊案相比（他說其中追回了 420 萬美元）。

「Tether 和 Circle 昨晚真的凍結了 40% 的贓款，大約 24 億美元，就在駭案發生一小時左右。」

「這是人類史上最大的銀行搶案，你知道，以數量級來說。」

歸因建立在事前佈局、演練與共同特徵

Redbord 說，TRM 當晚就把攻擊歸因於北韓。他的同事 Nick Carlson——他稱之為全球研究北韓與加密貨幣的首席專家、前 FBI 分析師——在報告發布前一刻得出結論：「這是北韓幹的。」Redbord 引用的證據包括：

• 攻擊前至少 36 小時，出現小額 Tornado Cash 提領。
• 攻擊程式先在兩個錢包上測試，接著在第三個錢包上用測試資金演練，資金再回流給攻擊者，之後才植入 Binance 熱錢包。
• 地址與先前北韓行動有關聯，尤其是 Bybit 與 Drift，特徵相似。

他把這種「先佈局、再演練」的模式稱為北韓的招牌手法。被問到這類鏈上訊號是否可能事先示警，他持保留態度：鏈上活動量龐大，「事後諸葛說我們該看到或不該看到什麼，實在太容易了。」

至於漏洞機制，Redbord 大致上以 Binance 的說法為準。他表示，Binance 的公開說法——一名工程師的筆電或電腦系統遭入侵，攻擊者藉此取得私鑰——與 TRM 在鏈上觀察到的情況、以及資金離開平臺的方式相符。他認為社交工程很可能是其中一環，並以 Drift 及今夏其他事件為前例，但不願再多談。

北韓的行徑像個預期不會有後果的國家

Redbord 認為，北韓不太在乎被識破，因為不會有人坐牢、不會有引渡，刑事追訴也幾乎不可能。他說，北韓的模式就是能偷多少偷多少、快速移轉，再變現用於武器擴散與破壞穩定。他稱這個政權是「香蕉共和國」、「徹頭徹尾的流氓政權」，並指出這筆竊款約等於其 200 億美元經濟規模的三分之一。

他說，下一階段是交給專業洗錢網路——中國組織犯罪集團透過場外交易（OTC）經紀商把加密貨幣換成現金；他說，販毒集團與跨國「殺豬盤」詐騙也出現同樣模式。

他提出的施壓手段（他強調這是個人看法，不代表現行政策）：

• 對中國施加外交壓力——他稱中國是北韓重要的貿易夥伴，「條條大路通中國」。
• 「網路私掠許可證」——藉助民間力量對付網路行為者。
• 發動攻勢型網路作戰。
• 制裁與可能的起訴。
• 《愛國者法案》傳票——他舉例說，他、Carlson 與當時的同事 Zia Farooqi（現為聯邦法官）曾在一樁北韓洗錢案中，向一家中國銀行調閱紀錄。

「如果他們偷了 60 億美元，我們就該盡一切所能把它偷回來。」

Beacon Network 與執法機關補上單純追蹤做不到的事

Redbord 把當晚的應變形容為全員動員的戰情室：TRM 聯絡可能受影響的客戶與小型交易所、主動接觸 Binance，並在 Slack 戰情室裡協調區塊鏈情報與全球調查團隊，同時通知 Beacon Network 夥伴。Beacon 是他口中加密貨幣界最大的資訊分享網路，成員包括 Binance、Coinbase、Kraken、OKX、Robinhood、Stripe、PayPal，以及 100 個執法機關。

他描述的機制是：資金即時流動時，調查人員——包括獨立追蹤專家 Zack XBT——標記非法所得並發出警示；交易所封鎖相關地址，並與執法機關合作扣押資金。Redbord 把追回功勞歸給調查人員與交易所，而非 TRM。

他說，執法機關無可取代的角色在於法律程式。交易所與穩定幣發行商需要傳票、搜尋令或扣押令才能行動，而扣押的資金通常還得經法院的民事沒收程式。獨立調查人員能追蹤，卻無法以傳票調閱交易所的底層紀錄。

flowchart TD
    A["攻擊者在鏈上移轉贓款"] --> B["調查人員即時標記地址"]
    B --> C["Beacon Network 向交易所與執法機關發出警示"]
    C --> D["交易所封鎖地址"]
    C --> E["穩定幣發行商凍結並銷毀"]
    D --> F["執法機關傳喚、取得令狀、扣押"]
    E --> F
    F --> G["民事沒收與重新發行"]

GENIUS 法案的凍結許可權，剛剛經歷了最佳實戰驗證

Redbord 認為，這起事件不只是資安破口，更是法遵與國家安全的成功案例。他說，GENIUS 法案明文規定的正是這次發生的情況：穩定幣發行商執行法遵，包括在自家代幣遭非法使用時予以凍結、扣押與銷毀。他稱當晚的凍結「是這件事發生的絕佳範例，史上最佳」，但也指出另外一半資金無法用這種方式處理。

他也提到 CLARITY 法案——他說「願它安息」，暗示該法案已停滯——該法案透過一節關於資訊分享、攔阻與打擊網路認證的條文，把 Beacon Network 法制化。

至於業界的反彈，他預期會有一些，也認為在資安方面有些批評有理，但他比主持人樂觀。他舉例說，Coinbase 在駭案當晚公開表示願意支援 Binance，儘管兩家是死對頭；他也說，那週他會面的一個聯邦執法機關對自身追蹤能力很有信心，同時擔心與業界斷了聯絡。他建議，Binance 身為規模遙遙領先的加密貨幣企業，可以召集業界共同強化資安，並讚許 DeFi Education Fund 在 Kelp 與 Drift 事件後的工作。

AI 可能正在擴大攻防落差，但本案尚未證實

Redbord 說，目前還不知道 AI 是否涉入這起特定駭案，TRM 也沒查出關聯。但他敢賭 AI 在某個環節被用上了，哪怕只是漏洞利用的部分；他說北韓已大力運用開放模型與前沿模型，進行社交工程與技術性攻擊。

他更大的憂慮是規模。他問：如果去年有 7,500 起勒索軟體攻擊，那麼當「代理型附屬組織」取代真人之後，為什麼不會變成 7.5 萬起、甚至 750 萬起？一旦國家行為者能癱瘓醫院系統或大型交易所，那就是「文明級威脅」。他說，這很可能會佔據他職涯剩下的全部時間。他說，TRM 自己的方向是用 AI 結合鏈上與鏈下資料——辨識搬運資金的空殼公司與 OTC 經紀商——拼出整體風險影像。

「就算答案是『沒有』，我們也該當作『有』來準備。」——主持人這麼說，Redbord 回答：「百分之百。」

業界該改變什麼

Redbord 把問題定調為攻與防。在防守面，他說從最小的 DeFi 專案到 Binance，每個協議都必須強化資安，業界也必須查清這次入侵究竟怎麼發生。他指出，雖然從銀行追回資金沒那麼快，但同樣沒人能走進銀行搶走 60 億美元。

在攻擊面，他主張面對國家級行為者——「犯罪國家」——就該動用完整的國安工具：制裁、起訴、攻勢型網路作戰，以及《愛國者法案》傳票。他最後談到社群的力量，回憶 TRM 六年間從八人成長到約 500 人，看著新進員工與 Carlson 這樣的老將，和 Tether、Circle、World Liberty、Ripple 並肩協調。他也坦承萬聖節糖果吃太多、壓力太大，並把這筆帳算在北韓頭上。

未解的問題與觀察重點

尚未化解的矛盾在算術上：凍結追回了約 40%，剩下的損失仍約為歷來任何駭案的兩倍，而無需許可的資產——以太幣與比特幣——一旦分散到小型 OTC 經紀商手中，最難追回。剩餘資金能否被扣押，取決於 Redbord 描述的那套緩慢機制：Beacon 警示、交易所封鎖、傳票與民事沒收。接下來有兩件事值得追蹤：Binance 關於工程師筆電遭入侵的說法，未來幾天能否站得住腳；以及 GENIUS 法案的凍結許可權會不會成為立法回應的範本——還是這起入侵反而會激起監管反撲，物件正是這個在 Redbord 自己口中，同一晚既暴露弱點、又展現最快追回能力的產業。