Bitquery追踪到一笔超亿美元的加密失窃事件，攻击者拿到账号与私钥权限，借助交易所白名单内的旧地址完成提现。15个收款地址里有11个曾经接收过该平台资金，占到赃款总额的八成以上。黑客拆分多笔小额交易规避提现限制，得手后迅速兑换成ETH和DAI，脱离稳定币发行方的冻结管控。下面小编简单解读白名单机制暴露出来的安全漏洞。

这起涉案金额约1.088亿美元的加密货币盗窃事件，暴露出交易所账户安全与钱包管理环节的潜在漏洞，黑客借助曾经使用过的提现地址转移资金。区块链分析平台Bitquery在以太坊链上追踪了全部交易，交易模式显示攻击者可能同时获取了交易所账号凭证以及私钥。

本次被盗账户来自Kraken、OKX和Crypto.com，调查团队正在复盘资金流转路径，研判哪些安全机制本可以拦截提现操作。

黑客使用已通过审批的钱包地址收款

首轮提现发生在11月1日，世界协调时12:25，OKX率先出现提现，44分钟后Kraken发生提现。Crypto.com也有部分资金转出，Bitquery统计的涉案金额中，Kraken占比约95%。

在三小时内，约7320万美元资金从交易所账户转出，最后一笔可追踪提现发生在次日上午。其中一个收款地址在91分钟内接收了来自Kraken的43笔转账，每笔金额均低于5万美元。调查人员判断该操作模式意在规避单笔提现限额。

本次调查的核心发现在于收款钱包：15个收款地址里，有11个地址此前就接收过来自这几家交易所的转账，流经这部分地址的资金占到总被盗金额的84%。

这一情况冲击了传统提现白名单安全逻辑：即便交易所认定目标地址为可信地址，一旦攻击者掌控了该钱包私钥，这套防护机制就会失效。

Bitquery还发现收款地址中包含8个Trust Wallet智能账户，但调查并未找到证据证明本次盗币由Trust Wallet自身漏洞导致。

赃款兑换为稳定币与ETH，降低资产追回可能性

资金到账后，疑似黑客迅速开展资产兑换操作。攻击者通过UniswapX，将价值约6298万美元的USDC、USDT兑换为27553枚ETH，成交均价约2286美元。

两者的关键差异在于：USDC发行方Circle拥有冻结权限，而ETH不存在能够冻结用户余额的中心化发行方；还有部分资金兑换为DAI，DAI同样不具备这类冻结机制。

截至11月2日，约7827万美元资产仍存放在嫌疑人相关地址，其中包含6890万美元ETH、560万美元DAI以及370万美元USDC。