美国司法部详解 27 亿美元冻结：朝鲜黑客盗走 Binance 60 亿美元后，稳定币发行商成第一道防线

美国司法部近日披露，在 2026 年 10 月 29 日 Binance 遭遇超过 60 亿美元加密货币盗窃案后，司法部已与两大稳定币发行商 Tether 和 Circle 合作，冻结了约 27 亿美元涉案资金。根据司法部获得的法院授权，其中 12 亿美元已被正式扣押或限制处置，其余资金仍在追查之中。

这起被 FBI 命名为"TraderTraitor"的攻击，是目前已知规模最大的加密货币盗窃案，超过 2025 年 2 月 Bybit 被盗 15 亿美元的纪录。事件的核心看点不在于黑客如何得手，而在于稳定币发行商在案发后数小时内完成的大规模冻结——这标志着加密资产的合规拦截机制，正在从交易所延伸到稳定币发行端。

27 亿美元如何被冻结

根据美国司法部向法院提交的文件，执法部门在 Binance 被盗资金流向稳定币后迅速介入。Tether 和 Circle 在案发后的第一时间配合锁定了相关地址中的 USDT 和 USDC，总计约 27 亿美元。

区块链情报公司 TRM Labs 的数据给出了更细的口径：截至 2026 年 10 月 30 日 00:30 UTC，被冻结资产中约 17.7 亿美元为 Tether 锁定的 USDT，约 8.25 亿美元为 Circle 锁定的 USDC。此外，Ripple 和 World Liberty Financial 也冻结了较小金额，Arbitrum 安全委员会则动用紧急权限，将攻击者钱包中约 3000 万美元转移至安全地址。Binance 方面估计，被冻结资金总额约为 30 亿美元。

这意味着，被盗的 60 多亿美元中，接近一半在案发后极短时间内失去流动性。但剩余资金仍在被转移和清洗，调查人员正通过跨链桥、混币器和交易所等渠道继续追踪。

从冻结结构看，USDT 占比约三分之二、USDC 占比约三分之一，这一比例与两大发行商在稳定币市场的份额格局基本一致，也说明被盗资金在转移过程中高度依赖中心化稳定币作为中转媒介。对执法部门而言，这既是好消息——资金集中在可冻结的发行商体系内；也是挑战——未冻结部分一旦脱离稳定币轨道，追踪难度将显著上升。

FBI 定性：朝鲜"TraderTraitor"所为

2026 年 10 月 31 日，FBI 发布网络警报，正式将此次攻击归因于朝鲜。FBI 称，朝鲜民主主义人民共和国对 2026 年 10 月 29 日前后从 Binance 盗取超过 60 亿美元虚拟资产的行为负责，FBI 将这一朝鲜恶意网络活动称为"TraderTraitor"。

FBI 与特勤局（USSS）、国税局刑事调查局（IRS-CI）观察到，攻击者主要将盗取资产转换为以太坊（ETH），随后预计会通过 DeFi 协议和即时兑换服务进一步洗钱。FBI 已敦促 THORNode 运营商、RPC 节点运营商、即时交易所、DeFi 服务、区块链分析公司及其他虚拟资产服务提供商，屏蔽与 TraderTraitor 用于洗钱的地址相关的交易。

安全机构 ZeroFox 的报告还原了攻击起点：2026 年 10 月 29 日约 20:05 UTC，五个 Binance 拥有的 XRP Ledger 钱包向一个攻击者控制的地址发送了 233 枚 XRP，攻击随之展开。TRM Labs 以"高置信度"将攻击归因于 TraderTraitor，并指出此次攻击与 2025 年 Bybit 盗窃案、2026 年 4 月 KelpDAO 黑客事件存在共同特征：由混币器资金资助的操作钱包、在资金移动前就已完成的长期准备，以及提前收集签名后一次性使用。

这些共同特征指向同一类攻击模式：黑客并非临时起意，而是在目标系统内完成了长期潜伏和权限积累，待时机成熟时一次性动用已收集的签名完成大额转移。这也解释了为何攻击能在极短时间内完成——Binance 在案发后被迫暂停提币数日，并动用储备金填补被盗资金。

朝鲜方面否认了指控。朝鲜劳动党中央委员会副部长金与正 2026 年 11 月初公开驳斥了美国关于平壤盗取 Binance 资金的认定，并质疑美国是否想通过追回被盗加密资产充实其战略储备。

稳定币发行商成为事实上的"执法接口"

此次冻结行动最值得关注之处，是稳定币发行商扮演的角色。USDT 和 USDC 均为中心化发行的链上资产，发行方保留对特定地址的冻结权限。这一机制过去常被用于配合执法部门打击洗钱、勒索软件和制裁规避，但在单次案件中冻结超过 25 亿美元，规模前所未有。

这带来两个层面的影响。

第一，稳定币的"可冻结性"正在被定价。对于交易所、机构用户和 DeFi 协议而言，持有 USDT、USDC 意味着接受发行方的合规审查和冻结权限。此次事件后，市场对中心化稳定币的信任逻辑可能进一步分化：一方面，冻结能力证明稳定币发行商是有效的合规拦截节点，能够在案发后第一时间阻断资金流动；另一方面，这也提醒持有者，链上稳定币并非完全不可审查的资产，发行商在法律压力下可以单方面锁定地址。

第二，拦截时点至关重要。TRM 数据显示，大部分冻结发生在案发后数小时内。如果黑客更早完成跨链、兑换隐私币或通过去中心化协议分散资金，冻结难度将大幅上升。FBI 在警报中特别提到攻击者正在将资产转换为 ETH 并通过 DeFi 和即时兑换服务洗钱，正是因为这一路径一旦跑通，资金追踪和拦截的成本会指数级增加。这也解释了为何执法部门此次如此强调与节点运营商、即时交易所等中间环节的合作——在稳定币冻结之外，还需要在资金继续流动的每一个节点上设置关卡。

后续观察：冻结能否转化为追回

法院授权扣押的 12 亿美元只是第一步。司法程序通常漫长，资金最终能否返还受害者、如何分配，仍取决于案件进展和各国司法协作。在过往的跨境加密盗窃案中，被冻结资金的返还往往需要数月甚至数年的法律流程，且涉及多个司法辖区的协调。

更关键的变量在于剩余未冻结资金的去向。如果 TraderTraitor 能够通过跨链桥、混币器或隐私币完成清洗，这部分资金很可能重新进入场外交易渠道，最终被变现。历史经验显示，朝鲜相关黑客组织盗取的资金往往通过复杂的场外网络逐步套现，用于支持其核导项目。这也是美国财政部近年来频繁对朝鲜加密洗钱网络实施制裁的原因——切断变现通道比追踪链上地址更为关键。

对于行业而言，此次事件可能推动三方面变化：交易所对大额异常提币的风控阈值将进一步收紧，尤其是在多签钱包和跨链桥等高风险环节；稳定币发行商的冻结权限和透明度可能面临更严格的监管审视，市场会要求更清晰的冻结标准与申诉机制；链上分析公司与执法部门的协作机制或成为行业基础设施的一部分，TRM、Chainalysis、Elliptic 等机构在案件归因和资金追踪中的作用将更加前置。

截至发稿，Binance 已使用储备金填补被盗资金，平台运营逐步恢复。但 60 亿美元级别的盗窃案留下的问题远未结束：当稳定币发行商成为执法的第一道闸门，加密资产的去中心化承诺与合规现实之间的张力，才刚刚开始被重新定价。