Chainalysis：AI 不到10分钟追踪Bitget 3.87亿美元被盗案，指向朝鲜黑客

Chainalysis 10月1日发布的报告称，其内部人工智能工具在调查加密货币交易所 Bitget 3.87亿美元黑客事件时，将一项桥接对账任务从超过20小时的人工操作缩短至不到10分钟。该公司将9月24日发生的攻击归因于朝鲜行为体，并称该事件使其追踪的2026年盗窃总额超过10亿美元。

AI 加速跨链追踪，但调查仍由人主导

Chainalysis 表示，节省的时间用于将桥接存款与支付进行匹配，这是涉及 Bitget 与执法合作伙伴的更广泛调查的一部分。调查团队昼夜工作，使用定制自动化工具追踪碎片化交易线索，并与交易所和当局共享发现。

按照 Chainalysis 描述的过程，调查人员设定匹配规则、检查结果并决定追查哪些线索。公司称，其 AI 帮助为具体案件构建工具，而不是接管调查。报告中写道：“我们的调查人员仍然定义逻辑、审查输出并指导调查。”

借助十多年的跨链归因数据，自动化工具将一条网络上的存款与另一条网络上的支付连接起来，帮助重建在单独区块链上看似无关的活动。在被盗 XRP 的轨迹中，调查人员识别出资金通过一个跨链流动性协议转移，该协议支付比特币，而不是将 XRP 直接发送至交易所。报告称，约一天半时间内，数千万美元通过该路线转移。匹配存款和支付后，调查人员继续追踪后续交易，经过多个协议进入攻击者控制的比特币地址。Chainalysis 称，新识别出的地址在数分钟内被标记为被盗资金，并通过其数据平台提供给合规团队。

Bitget 被盗资金跨四条链转移

Chainalysis 记录到，在攻击发生后的前三小时内，共有23笔转账从 Bitget 转出，金额约3.87亿美元。其细分比例为：以太坊49.7%、XRP 40.8%、Zcash 7.6%、Tron 1.8%。除初始提款外，该公司还识别出跨链流动性和消息协议、即时兑换服务以及与洗钱服务的关联。公布的资金图谱显示了入侵后数百笔转账的一部分。

Bitget 表示，其系统于9月24日18:31 UTC检测到来自部分热钱包和温钱包基础设施的未经授权转账。交易所在计入额外 Zcash 和 Tron 转账后，将损失估计从3.516亿美元上调至3.875亿美元。CEO Gracy Chen 的初步说明称，攻击者攻破了一个关键后端系统，操纵交易数据并触发授权流程。Bitget 表示冷钱包和私钥仍然安全。据报告中的调查结果，交易所后续调查发现一款第三方安全产品存在漏洞，使攻击者得以获取凭证并伪造提款命令。Bitget 称 Mandiant 和 SlowMist 等公司协助取证和追踪。

THORChain 拒绝地址封锁请求

在被盗资金开始通过 THORChain 转移后，Chen 曾寻求阻止攻击者地址使用该协议。THORChain 拒绝选择性封锁，称其紧急控制措施旨在保护网络安全，而不是冻结单个钱包。Chen 认为，去中心化不应庇护为已知被盗资金提供便利的服务。THORChain 坚持认为，在安全事件期间暂停网络与拒绝向特定地址提供服务不同。安全公司 GoPlus 质疑该协议与比特币和以太坊的比较，指出 THORChain 由验证者控制的金库和签名系统使其运营者拥有不同于底层区块链验证者的权力。

在发行方方面，早前报道称，截至9月26日，Circle 和 Tether 与本次事件相关的 USDC 和 USDT 冻结总额约为318,000美元。根据 Bitget 的追回条款，成功导致资金被冻结的合格协助可获得5%赏金，成功追回资金则另有5%奖励。

Bitget 恢复提现，美国追缴另一宗朝鲜资金来源

在9月30日的更新中，Bitget 确认已恢复主要资产提现：比特币于9月28日恢复，以太币于9月29日恢复，USDT于9月30日恢复。其时间表将剩余代币、法币和 P2P 提现安排在10月2日08:00 UTC。Chen 还表示，保护基金已返还超过3亿美元。Bitget 9月29日的储备快照报告称，在19种覆盖资产中，总体比率为131%，每种资产均高于100%，交易所维持客户余额未受影响的说法。

在另一宗美国案件方面，9月8日报道称，一家联邦法院下令没收约212,700美元稳定币，这些资金与朝鲜 IT 工人赚取的工资有关。检方称，这些工人隐瞒身份，获得海外工作，并通过加密货币转移收入。美国司法部2025年6月的投诉称，不知情的雇主，包括区块链公司，通常以 USDC 或 USDT 支付这些工人。检方描述了通过代币交换、跨链转账、虚假身份账户和小额交易进行洗钱的手法。法官 Rudolph Contreras 批准了针对已识别钱包的没收请求，但以检方未在公开通知中充分识别其余资产为由，无偏见地拒绝了覆盖其余财产的请求。

Chainalysis 将本次 Bitget 盗窃归因于朝鲜行为体，而 Chen 的初步评估更为谨慎。她提到 IP 行为和 VPN 基础设施与已知朝鲜黑客行动一致，但在当时并未确认责任。