在2022年10月29日，全球最大加密货币交易所之一的币安（Binance）遭遇了恶性攻击，攻击者盗取了约64.3亿美元的加密资产，该事件涉及11条不同的区块链。根据官方报告，攻击的起因是因工程师的笔记本电脑被黑客入侵。此次盗窃中，约34.6亿美元（占54%）是稳定币（如USDT、USDC），由于稳定币的发行方具备冻结资产的能力，攻击者面临的首要任务是尽快将这些可被冻结的资产转移至不可冻结的资产，例如以太坊（ETH）和Tron（TRX）。
首先，值得注意的是，币安的Tether在被盗的USDT到账后仅37分钟便冻结了相关资金。然而，在该资金被冻结之前，攻击者已在去中心化交易所（DEX）如Uniswap中，将4.34亿美元的USDT兑换为ETH，并通过Aave借贷协议将5,990万美元的USDT抵押借出19,762枚ETH。在Tron链上，黑客通过SunSwap成功将2.34亿美元的USDT转换为TRX。Circle则在黑客进行交易之前，及时冻结了全部8.23亿美元的USDC。综合以上数据，约28.5亿美元的资金被及时冻结或扣押，而在冻结前成功转换的稳定币总计约7.86亿美元。
其次，Tron链迅速成为该次盗窃的主要洗钱通道。事件发生约5小时后，即10月30日02:19 UTC，攻击者开始大规模转移其持有的6.846亿TRX，最终将资金分散至约7,700个新地址。通过跨链桥，攻击者在接下来的2.5小时内进行了多笔小额转账，大部分TRX最终在以太坊链上以ETH形式存在，至少有1.47亿美元资金通过跨链桥转出。 qmh
此外，进入以太坊链的ETH在转至新地址后停滞不动，目前约68,700枚ETH存放在850个较小的地址中，其中大部分每个地址持有10至100枚ETH，而攻击者的9个最大地址则集中持有89%的ETH，并自事件发生后保持不动。这表明，其赖以逃避追踪的策略极为有效。
在此基础上，攻击者于10月31日增加了新的洗钱路线。部分TRX被兑换为以“不可冻结”的USDD为标榜的稳定币，并且通过JustLend借贷金库进行了提现，进一步提升了交易的隐蔽性。在此期间，攻击者的分发钱包交易频率显著提升，从每小时少于1,200万TRX加速至高达3,700万TRX。
最后，11月1日，随着Tron链的活动基本停止，其他区块链亦开始活跃起来。NEAR链上的资金转移、新账户创建、停放的ETH再次移动等，均表明攻击者通过多链操作增加了洗钱的复杂性。同时，来自Tron资金的比特币（BTC）通过Coinjoin混币协议进行混淆操作，这进一步提高了追踪的难度。 qmh
综上所述，朝鲜黑客通过多种策略实现了快速且高度自动化的资金洗钱。研究表明，随着加密货币及其交易所的不断发展，黑客利用这些技术进行洗钱的可能性将在未来持续增加，相关领域应加强网络安全及监控措施，以应对此类风险。
